情報セキュリティを支える物理的セキュリティの重要性

サイバーセキュリティだけがセキュリティではない

現在、「セキュリティ」と聞くと、ウイルス対策、ファイアウォール、EDR、WAF、UTMなどのサイバー空間のセキュリティ対策を思い浮かべる人が多いかと思います。もちろん、これらは現代の企業活動において不可欠な対策です。

しかしながら、本来のセキュリティは物理的な防御から始まっています。警備、施錠、金庫といったいわゆる防犯面の対策は、古くから人や資産を守るために用いられてきました。ネットワークなどサイバー空間におけるセキュリティが社会的に強く意識されるようになったのは比較的新しい一方で、物理的な監視や管理、防犯対策はそれ以前から企業活動の基盤として取り入れられていました。

情報セキュリティにおける物理的セキュリティ

情報セキュリティにおいても、この物理的セキュリティは決して補助的なものではありません。情報資産はPCやサーバー、クラウドだけではなく、紙の書類、図面、USBメモリなどの記憶媒体、タブレットやスマートフォンなどの携帯端末、工場内の制御装置など、さまざまな形で現場に存在しています。人が会社で勤務し、そこに端末や書類がある以上、物理的な対策はサイバー空間における対策と同等に重要です。

ゼロトラストにも不可欠な物理的管理

近年の情報セキュリティでは、情報資産を適切に分類し、アクセスできるユーザーやデバイスを厳密に管理する考え方が重視されています。いわゆるゼロトラストの考え方も、単にネットワーク上の認証やアクセス制御だけで完結するものではありません。誰が、どの場所で、どの端末を使い、どの情報にアクセスしているのかを管理するには、物理的な入退室管理や端末管理も不可欠です。

入退室管理・来訪者管理の重要性

たとえば、重要な情報を保管している部屋には、一般の従業員や外部の来訪者の出入りを制限する必要があります。第三者が機密情報を扱うエリアに入室する場合は、来訪者名、所属、訪問目的、入退室時刻、対応者などを記録し、必要に応じて立会いを行うことが望ましいです。また工場では、撮影禁止エリアを設けたり、スマートフォンをロッカーに預けさせたり、撮影禁止シールを用いたりすることもあります。これらは、情報流出の防止だけでなく、万一問題が発生した際の原因特定にも有効です。

代表的な物理的セキュリティ対策

物理的セキュリティの代表的な対策としては、オートロック、入退室管理システム、監視カメラ、開閉センサ、金庫、施錠できるキャビネット、警備会社による施設警備などがあります。これらは、会社資産の保護、不法・不正侵入の抑止、証跡の確保、事件発生後の事実確認といった役割を持ちます。規模の大きい会社では、さらに入退室管理と勤怠管理を連携させていることが多い印象です。

製造業で特に注意したい端末・媒体の管理

製造業では、取引先や業者を装った第三者が社内に侵入し、記憶媒体や端末を通じて情報を窃取したり、マルウェアを持ち込んだりするリスクも考えられます。そのため、不要なUSBポートやLANポートはロックし、外部記憶媒体の利用ルールを定めることが望まれます。特に設計データ、製造条件、顧客情報、価格情報などを扱う部門では、端末やネットワーク接続口の管理が重要になります。具体的にはMDMやセキュリティシステムにより登録外の機器と通信しないようポートを制御する方法がありますが、管理対象外の機器については物理的なポートロックが必要です。

日常業務のルールも物理的セキュリティ

また、日常的な業務ルールも物理的セキュリティの一部と言えます。離席時にはPC画面をロックする、机上に機密書類を放置しない、帰宅時には書類や端末を施錠できる場所に保管する、印刷物をプリンターに放置しない、といった基本的な対策は、情報流出リスクを下げるうえで有効です。ただし、過剰なルールは業務効率を大きく損なう可能性があります。重要なのは、現場の業務実態に合わせて、守るべき情報と必要な対策のバランスを取ることです。

BYOD（私物端末利用）と端末管理

私物端末の扱いも重要です。私物のスマートフォンやPCを業務に利用する場合は、BYODとして管理対象にする必要があります。その場合、MDMなどの端末管理を導入し、紛失時の対応、アプリ利用、データ保存、アクセス制御などを明確にすることが望まれます。ただし、私物端末には個人の権利やプライバシーの問題もあるため、管理には慎重な設計が必要です。セキュリティの観点では、業務利用端末は会社から支給し、私物端末と業務端末を分離する方が望ましい場合が多いといえます。

私用スマートフォンによる撮影リスク

私用スマートフォンによる撮影についても、ルール化が必要です。製造現場、設計部門、試作品、顧客支給品、図面、検査記録などが写り込むと、意図せず機密情報が外部に流出する可能性があります。撮影禁止エリアの明示、来訪者への説明、ロッカー保管、業務用端末のみ撮影可とする運用など、現場に合った対策を検討する必要があります。一方で、私物端末を職場に持ち込ませない運用を行う場合は、緊急連絡の取り次ぎ方法もあわせて整備しておく必要があります。

中小製造業で見落とされがちな拠点の対策

中小製造業の企業においては、工場の出入口や設備周辺については一定の物理的セキュリティが整備されている一方で、本社、営業所、事務所、倉庫などの別拠点では、警備保障や入退室管理が十分でないことが比較的多い印象です。しかし、営業所や本社にも、顧客情報、見積情報、契約書、設計関連資料、PC、ネットワーク機器など、重要な情報資産が存在します。したがって、工場だけでなく、すべての拠点において最低限の物理的セキュリティ水準を確保することが重要です。

まとめ

情報セキュリティは、サイバー空間だけで完結するものではありません。どれだけ高度なシステムを導入しても、部屋に自由に入れる、端末が放置されている、書類が机上に置かれている、来訪者の記録が残っていない、私物端末で自由に撮影できるといった状態では、情報資産を十分に守ることは非常に困難です。

サイバー空間におけるセキュリティと物理的セキュリティは別々のものではなく、相互に補完し合う関係にあります。企業が情報資産を守るためには、ネットワークやシステムの対策だけでなく、人、場所、端末、書類、来訪者を含めた総合的な管理が必要です。特に中小製造業の企業においては、まず入退室管理、来訪者管理、書類・端末の保管ルール、撮影ルールといった基本的な物理セキュリティから見直すことが、現実的かつ効果的な第一歩となると考えられます。