中小企業の物理セキュリティ対策｜情シス1人でもできる入退室管理・盗難対策・PCロック設定の実践ガイド

オフィスへの不審者侵入、ノートPCの置き忘れ、会議室でののぞき見——こうした「物理的な」出来事が、企業の情報漏洩やシステム侵害の引き金になることは決して珍しくありません。

サイバー攻撃への対応に追われるあまり、物理的なセキュリティが後回しになっている中小企業は多い現状です。情シスが1人体制であれば、デジタル対策で手一杯というのも無理はありません。

この記事では、中小企業の情シスが最低限おさえるべき物理セキュリティ対策を、入退室管理・端末盗難対策・PCスクリーンロック・書類管理の4ステップで解説します。予算をかけずに今日から始められる手順も具体的にご紹介します。

物理セキュリティとは？情報漏洩の入口は「デジタル」だけではない

物理セキュリティとは、建物・設備・機器への物理的なアクセスを管理・制限することで、情報資産を守る仕組みです。

よく誤解されることがありますが、サイバー攻撃は必ずしも「ネットワーク越し」に行われるわけではありません。攻撃者がオフィスに直接侵入し、USBメモリを差し込むだけで、どれほど堅牢なファイアウォールも無意味になります。

物理セキュリティが関係する主な脅威を整理すると次のとおりです。

・不審者侵入: 共連れ（正規の人物の後ろについて入室する手口）でオフィス内に侵入し、PCやサーバーへ直接アクセスする
・デバイス盗難: ノートPC・スマートフォン・USBメモリなどを窃取し、保存データを入手する
・のぞき見（ショルダーハッキング）: 電車や会議室での画面のぞき見でパスワードや機密情報を盗み取る
・内部不正: 退職者や悪意ある従業員がアクセス権を悪用してデータを持ち出す
・廃棄物からの情報収集: 不適切に廃棄した書類やHDDから機密情報を入手する（ゴミ箱あさり・Dumpster Diving）

IPA（情報処理推進機構）の調査でも、情報セキュリティインシデントの相当数が「内部不正」や「紛失・置き忘れ」といった物理的要因によるものと報告されています。デジタル対策と物理対策は車の両輪です。片方だけを強化しても、穴が残り続けます。

攻撃者はどう動くか——物理的脅威の仕組み

物理セキュリティを正しく理解するために、攻撃者の視点で典型的なシナリオを見てみましょう。

【シナリオ1】共連れによる侵入
攻撃者は宅配業者や清掃業者に扮し、正規の従業員の入退室に紛れてオフィスに入ります。「入口で確認しなかった」「声をかけにくかった」という場面を狙います。一度オフィス内に入ってしまえば、無人の会議室のPC、充電中のスマートフォン、施錠されていないサーバー室への侵入が容易になります。

【シナリオ2】ノートPCの置き忘れ・盗難
外出先のカフェや移動中の電車でPCを置き忘れる、または窃取されるケースです。フルディスク暗号化がされていなければ、HDDを取り出して別のPCに接続するだけで全データが読み取られます。ログイン画面のパスワードだけでは、物理的にストレージを取り出されると意味がありません。

【シナリオ3】廃棄HDDからのデータ復元
「フォーマットすれば大丈夫」という誤解から、クイックフォーマットしただけのHDDを廃棄する企業があります。通常のフォーマットでは、専用ツールを使えばデータの復元が可能です。廃棄物から機密情報を収集する「ゴミ箱あさり」は、コストのかからない情報収集手段として攻撃者に利用されています。

具体的な防御手順

1. 入退室管理の整備

入退室管理は物理セキュリティの基本です。完全なシステム導入が難しい場合でも、段階的に整備できます。

まずコストゼロからできること
・来客者記録の徹底: 来訪者は必ず受付で氏名・会社名・訪問目的を記録し、来客者バッジを発行する
・共連れ防止の周知: 「後ろについて入ろうとする人への声かけを」と従業員に繰り返し周知する
・部外者への立会い: 来客者・業者を1人でオフィス内に残さない。担当者が必ず同行する
・サーバー室・ネットワーク機器の施錠: 重要機器は施錠された部屋またはラックに収容する

次のステップ（予算をかけた対策）
・ICカード・暗証番号式ドアロック: 個人に割り当てた認証情報で入退室を管理し、ログを記録する。月額数千円からクラウド型のサービスも増えている
・防犯カメラ（IPカメラ）: 入口・サーバー室・重要書類保管場所に設置し、映像を一定期間保存する

入退室ログは、インシデント発生時の調査でも重要な役割を果たします。「誰が、いつ、どの部屋に入ったか」が記録されていると、内部不正の調査がスムーズになります。

2. 端末・デバイスの盗難対策

ノートPCの盗難・紛失は、最も発生頻度が高い物理インシデントの一つです。以下の3層で対策します。

層1: ハードウェアロック
ケンジントンロック（Kensington Lock）は、ノートPCの専用スロットにワイヤーロックを通して固定する物理的な盗難防止装置です。価格は3,000～8,000円程度。オフィス内の固定席に置くノートPCには、まずこのロックをかける習慣をつけましょう。

層2: フルディスク暗号化
物理的にPCが盗まれても、ストレージが暗号化されていればデータは読み取れません。WindowsのBitLocker、macOSのFileVault、LinuxのLUKSは、いずれも追加費用なしで利用できるOS標準機能です。

# WindowsでBitLockerの状態を確認する（管理者PowerShell）
manage-bde -status

# 「保護がオフ」と表示された場合は有効化が必要
# コントロールパネル → BitLockerドライブ暗号化 → 有効にする

# macOSでFileVaultの状態を確認
fdesetup status
# 「FileVault is Off.」と表示された場合は未設定
# システム設定 → プライバシーとセキュリティ → FileVaultから有効化する

LinuxサーバーでのLUKS暗号化の設定方法については、姉妹サイトLinuxMaster.JPでも詳しく解説しています。

層3: MDMによるリモートワイプ
Microsoft IntuneやJamf（Mac向け）などのMDM（モバイルデバイス管理）ツールを導入すると、盗難・紛失時に端末のデータをリモートで消去できます。Microsoft 365 Business Premiumプランにはデバイス管理機能が含まれており、月額数百円/端末から利用可能です。

3. PCスクリーンロックと離席対策

PCの画面をのぞき見される「ショルダーハッキング」や、離席した隙に操作される「なりすまし」を防ぐための対策です。

スクリーンロックの設定（全PC必須）
離席後5分以内でスクリーンロックが自動的にかかるよう、全PCにポリシーを適用します。

# Active Directory環境でグループポリシーを使って一括適用する場合
# gpedit.msc → ユーザーの構成 → 管理用テンプレート
#   → コントロールパネル → 個人用設定
# 「スクリーンセーバーのタイムアウト」: 300秒（5分）に設定
# 「スクリーンセーバーのパスワード保護」: 有効

# ADなしの個別設定（Windows）
# 設定 → アカウント → サインインオプション
# → サインインを求める: 「PCがスリープから復帰するとき」を選択

# macOSの自動ロック設定
# システム設定 → ロック画面 → スリープまたはスクリーンセーバー開始後:
# 「すぐに」または「1分後」に設定

AD環境がない小規模環境では、個別のPC設定でスクリーンセーバーと復帰時のパスワード要求を有効にするか、Windowsキー＋Lキーで手動ロックする習慣を全員に徹底してください。

プライバシーフィルターの活用
カフェや電車内、共用スペースでの作業が多い場合は、モニターに装着するプライバシーフィルターが有効です。正面以外の角度から見た際に画面が真っ黒に見える偏光フィルムで、のぞき見を物理的に防ぎます。3,000～10,000円程度から入手できます。

4. 書類・記録媒体の適切な管理と廃棄

「クリアデスクポリシー」は、業務時間外に机の上に書類や記録媒体を放置しないルールです。物理的なデータ漏洩を防ぐ基本方針として、多くの組織で採用されています。

書類の廃棄ルール
・シュレッダーの設置: 個人情報・機密情報が含まれる書類は必ずシュレッダーにかける
・クロスカットシュレッダーの使用: 縦に切るだけのストレートカットは復元されやすい。クロスカット（細かく断片化）か、機密文書廃棄業者への委託を選ぶ
・機密文書廃棄サービスの活用: 大量の書類は専門業者へのセキュリティ溶解委託が確実で効率的

記録媒体の廃棄ルール
・HDD: 専用の穿孔機による物理破壊、または専門業者への廃棄委託が確実。データ消去ソフトによる多回上書きも有効だが、SSDはすべてのセクタへの書き込みが保証されないケースがある
・SSD・USBメモリ・SDカード: 物理的に破砕するか専門業者へ委託する。「フォーマットすれば安全」は誤り
・廃棄証明書の取得: 専門業者に依頼した場合は「データ消去証明書」「廃棄証明書」を必ず受け取り、一定期間保管する

中小企業でも今日からできること

予算や人手が限られている中小企業では、リスクの高い順に優先して対応することが重要です。まず「無料でできること」から着手しましょう。

スクリーンロック設定とディスク暗号化は、今日この場でPCの設定を変更するだけで完了します。まずここから始め、次にケンジントンロックとシュレッダーを手配し、MDM導入や入退室管理は次の四半期の予算で対応する、という段階的アプローチが現実的です。

従業員向けセキュリティ教育の具体的な進め方については別記事で詳しく解説しています。物理セキュリティは「なぜやるのか」を全員が理解することで初めて機能します。技術的な設定と従業員への周知は、必ずセットで行ってください。

よくある誤解と注意点

【誤解1】「うちは狙われるほど重要な会社じゃない」
残念ながら、これは根拠のない思い込みです。中小企業の取引先には大企業が含まれることも多く、中小企業を踏み台にしてサプライチェーン攻撃を仕掛ける手口が近年増加しています。「小さいから狙われない」ではなく、「小さいから対策が甘いと狙われやすい」という認識に切り替えることが必要です。

【誤解2】「ログイン画面のパスワードがあれば物理盗難も防げる」
ノートPCを物理的に入手できれば、ストレージを取り出して別のPCに接続するだけでデータを読み取れます。ディスク暗号化なしでは、ログイン画面のパスワードは物理盗難に対してほぼ無意味です。BitLocker/FileVaultの有効化は必須です。

【誤解3】「フォーマットすればHDDのデータは消える」
通常のクイックフォーマットはファイル管理情報を削除するだけで、データ本体は残ります。専用のデータ復元ツールを使えば復元できるケースがほとんどです。HDDの廃棄は必ず物理破壊か専門業者への委託で行ってください。

【注意】防犯カメラ設置時の確認事項
防犯カメラを設置する際は、従業員への事前告知が必要です。また、トイレや更衣室など、プライバシーが高い場所への設置は違法になるケースがあります。労働基準法や個人情報保護法の観点から確認してから設置してください。詳細は法律の専門家にご確認ください。

本記事のまとめ

物理セキュリティは、サイバー対策と同様に情報漏洩を防ぐ重要な要素です。デジタル対策がいくら完璧でも、物理的な穴があれば攻撃者に突かれます。中小企業でも、まずコストゼロからできる対策を即日着手し、予算に合わせて段階的に整備することが現実的です。

これらの対策をルールとして文書化し、全従業員に周知することが大切です。中小企業のセキュリティポリシー策定ガイドでは、物理セキュリティのルールも含めた社内規程のひな形を紹介しています。ぜひあわせてご活用ください。