>
>
公開日
最終更新日
ISMSの管理策「物理的セキュリティの監視」は、認可されていない物理的アクセスを検知するための管理策で、ISO/IEC 27001:2022の附属書Aでは7.4に位置付けられています。経済産業省の『情報セキュリティ管理基準（令和7年改正版）』も、この管理策を含むJIS Q 27002:2024をもとに作られています。
ISO/IEC 27001は、情報の機密性・完全性・可用性を維持するISMSの要求事項を定める国際規格です。端末管理を整備する際は、PCなどの情報資産を洗い出し、リスクを評価して、管理ルールと運用記録を対応付けます。
本記事は、ISO/IEC 27001の管理策を自社の物理統制や端末管理に落とし込む情シス担当者向けです。規格とISMSの違い、2022年改訂で追加された監視カメラに関わる管理策や構成管理、認証取得に向けた文書化・教育・内部監査の流れを整理します。
ISO/IEC 27001とは
ISO/IEC 27001は、組織が情報を安全に管理するための仕組みである情報セキュリティマネジメントシステムの構築と運用に関する要求事項を定めた国際規格です。
規格の概要と情報セキュリティマネジメントシステムの基本概念
ISO/IEC 27001は、情報の機密性、完全性、可用性の3要素をバランスよく維持し、継続的に改善するためのフレームワークを提供します。
情報セキュリティマネジメントシステム、略してISMSと呼ばれるこの仕組みは、特定の製品や技術の導入だけを指すものではありません。組織全体のルール作り、リスク評価、従業員教育といった「マネジメント」の側面を重視しています。日本ではこの国際規格を日本語に翻訳したJIS Q 27001が国内規格として用いられています。
認証制度の仕組みと有効期間
ISMS認証は、組織のセキュリティ体制がISO/IEC 27001の要求事項に適合していることを第三者機関が証明する制度です。
一般的な認証制度では、認証は3年のサイクルで運用され、サーベイランス審査（維持審査）は年1回以上、再認証審査（更新審査）は3年ごとに行われます。審査の日程や具体的な実施方法は認証機関との契約内容にも左右されるため、契約書と審査計画をもとに年間の証跡準備を組み、担当部署ごとの記録収集時期を調整します。
▶ 関連記事: 情報セキュリティ3要素CIAとは？機密性・完全性・可用性の具体例
ISO/IEC 27001とISMSの違いは何？
ISO/IEC 27001は「達成すべき基準を記したルールブック」であり、ISMSは「そのルールに従って組織が構築した管理体制」そのものを指します。
規格とシステムの役割の違い
ISO/IEC 27001が組織の満たすべき要求事項を定めた規格であるのに対し、ISMSは現場で実際に動いている運用ルールやプロセスを意味します。
実務上の会話では両者が混同されることも多いですが、厳密には「規格」と「システム」という明確な区別があります。情シスが「ISMSを構築する」と言う場合は、ISO/IEC 27001という手本を参考にしながら、自社に最適なセキュリティ運用フローを作り上げる作業を指します。
プライバシーマークとの明確な差
ISO/IEC 27001に基づく情報セキュリティマネジメントシステムは、組織が定めた認証範囲に含まれる情報資産や業務を対象にするため、認証は範囲内の適合性を示すものであり、範囲外の拠点や業務まで含めた組織全体の安全性を保証するものではありません。これに対し、JIPDECのプライバシーマーク制度は、個人情報について適切な保護措置を講ずる体制を対象とし、JIS Q 15001を基礎としています。
ISMSとプライバシーマークの主な違いは、対象とする情報、適用範囲の定め方、評価の基準にあります。
項目 | ISMS（ISO/IEC 27001） | プライバシーマーク（Pマーク） |
|---|---|---|
保護対象 | 認証範囲に含めた情報資産・業務 | 個人情報の保護体制 |
適用範囲 | 組織全体または特定の部門・拠点などを定義 | 法人単位を基本に申請 |
審査基準 | ISO/IEC 27001に基づく情報セキュリティマネジメント | JIS Q 15001を基礎とする個人情報保護マネジメント |
制度の位置付け | 国際規格を基礎とした認証制度 | 国内で運用される個人情報保護の評価制度 |
ITインフラ全般を管理する情シスでは、サーバー、ネットワーク、端末、委託先との接続などを認証範囲に含めるかを業務リスクに応じて決めます。個人情報の取扱いを中心に統制を整備する場合はプライバシーマーク、複数の情報資産と運用プロセスを横断して管理する場合はISO/IEC 27001というように、対象業務と既存の管理体制を基準に検討します。
▶ 関連記事: セキュリティポリシーとは？策定5ステップと運用の失敗対策
▲ ISO/IEC 27001（ISMS）とプライバシーマークの適用範囲や審査基準などの違いを示した比較図です。
情シスがISO/IEC 27001を導入する3つの理由
情シスがISMSを導入する目的は、担当者ごとに異なる管理方法を整理し、組織として再現可能な運用ルールを作ることです。
セキュリティ対策の標準化と属人化の解消
担当者の交代時に運用が止まるなら、まずは手順・承認者・記録の保存先を文書化し、担当者依存を減らします。
多くの情シス現場では、特定の担当者だけが把握している「暗黙の了解」でセキュリティが保たれているケースが少なくありません。ISO/IEC 27001の要求事項に沿ってルールを文書化し、定期的な監査を行うことで、誰が担当しても一定水準の安全性を確保できる体制を整えます。たとえばアカウント発行の承認者と記録の保存先を手順書に書いておけば、引き継ぎの際に確認する先が決まります。
対外的な信頼獲得と営業活動での説明
認証を取得していることは、セキュリティに関する管理体制を対外的に説明する材料の一つになります。
取引先からセキュリティチェックシートの提出を求められる企業では、認証取得の有無や情報セキュリティマネジメントシステムの運用状況を確認される場面があります。認証書、適用範囲、最新の審査状況を提示できれば、調達部門や顧客に対して自社の統制範囲を具体的に説明できます。チェックシートの注記欄や取引先の調達窓口で認証資料の扱いを確認し、既存資料で回答できる設問が明らかになれば転記作業を減らし、追加資料が必要なら担当部門と証跡の収集範囲を決めます。
ITリスクの可視化による投資判断の整理
リスクアセスメントでは、資産ごとにリスクを洗い出して評価し、対策の優先順位を決めます。
情シスが「最新のファイアウォールが必要だ」と主張しても、経営層にはその必要性が伝わりにくいものです。ルールは、リスクが高い業務から優先して適用します。全社員に同じ承認手順を課すのではなく、扱う情報、利用場所、管理者権限、委託先との接続有無に応じて手順を分けます。
▶ 関連記事: ISMS認証とは？費用・Pマークとの違い・パスワード管理を解説
2022年改訂版における主要な変更点と対策
ISO/IEC 27001の第3版として発行されたISO/IEC 27001:2022では、附属書Aの管理策の構成が変更されました。経済産業省の『情報セキュリティ管理基準（令和7年改正版）』は、JIS Q 27001:2023附属書AおよびJIS Q 27002:2024をもとに管理策基準が作られているため、管理策の名称や番号を社内規程に写す際は、参照した規格の版数を対応表に併記します。適用する版や追補の時期は、認証機関の案内と自社の認証範囲で決めます。
管理策の再編と4つのカテゴリ
Safieの解説では、2022年版の附属書Aの管理策は、組織的・人的・物理的・技術的という4つのテーマに整理されています。
組織的管理策：方針の策定や資産の管理など
人的管理策：教育や退職時の手続きなど
物理的管理策：入退室管理や機器の保護など
技術的管理策：アクセス制御や暗号化など
情シスでは、この分類を自社の規程、資産台帳、設定変更記録、教育記録に対応付けると、担当部門と証跡の保存先を整理しやすくなります。現行規程の項目と新しい分類の対応表を作り、対応済みの項目は維持し、担当者や記録が未割当の項目は責任部署を決めます。
Safieの解説で挙げられている11の管理策
Safieの解説では、現代的なIT環境への対応に関係する11個の管理策が紹介されています。以下は、その解説で示されている名称と実務での確認観点であり、いずれもリスクアセスメントの結果を踏まえて適用宣言書に採用か除外かを理由つきで記録します（たとえば自社でソフトウェア開発をしない組織では、「セキュアコーディング」を除外する判断があり得ます）。
新規追加として紹介されている11の管理策
脅威インテリジェンス：最新の脆弱性情報や攻撃トレンドを収集し、対策に反映する。
クラウドサービスの利用における情報セキュリティ：利用するSaaSやIaaSの設定、責任分界点を明確にする。
ICTの事業継続に向けた準備：災害やシステム障害からの復旧計画を策定し、テストを行う。
物理的セキュリティの監視：監視カメラ、アラーム、入退室管理、巡回などを組み合わせ、拠点ごとの物理的なリスクに対応する。経済産業省の『情報セキュリティ管理基準（令和7年改正版）』も、この管理策を含むJIS Q 27002:2024をもとにしている。
構成管理：サーバーやネットワーク機器の標準設定値を維持し、不正な変更を防ぐ。
情報の削除：不要になった情報を安全に削除するための手順を確立する。
データマスキング：テスト環境などで個人情報や機密情報を加工して保護する。
データ漏洩防止：ネットワーク、モバイルデバイス、リムーバブルメディアなどからのデータ漏洩を防止する。
監視活動：ネットワークやシステムの異常な動作を継続的に監視する。
Webフィルタリング：悪意のあるWebサイトへのアクセスを制限する。
セキュアコーディング：ソフトウェア開発において安全なコーディング原則を確立する。
「クラウドサービスの利用における情報セキュリティ」「構成管理」「脅威インテリジェンス」は、既存の情シス運用と結び付けやすい管理策です。利用中の台帳、設定変更記録、脆弱性情報の確認手順との対応を整理し、証跡が残らない運用には担当者と記録方法を追加します。
▶ 関連記事: ITガバナンスとは？構成要素やITマネジメントとの違いを解説
▲ 2022年改訂版で再編されたISO/IEC 27001管理策の4つのカテゴリ構成です。
認証取得と運用のための5つの実務ステップ
ISMSの構築では、形骸化を防ぐために、実際の業務で使えるルールを作り、段階的に導入します。
STEP 1：適用範囲の定義と体制構築
まずは「どの拠点の、どの業務を情報セキュリティマネジメントシステムの対象にするか」を決定し、推進チームを立ち上げます。
トップマネジメントの関与を明確にすると、部門横断で必要になる資産情報、入退室記録、人事情報を収集する際の役割分担を決めやすくなります。最初の30日は、適用範囲の文書化、対象拠点と端末の一覧づくり、台帳項目の決定、記録ごとの保存先と担当者の割当の4点に絞ると、STEP 2以降の作業に入りやすくなります。
STEP 2：情報資産の洗い出しとリスクアセスメント
組織が保有するサーバー、PC、ソフトウェア、データなどをリストアップし、それぞれのリスクを評価します。端末台帳の項目はISO/IEC 27001の要求事項として一律に定められたものではなく、管理策の実施の手引きであるISO/IEC 27002（2022年2月発行）を参考に組織が定める運用例として、管理責任者、利用者、OSとパッチの適用状況、ディスク暗号化の有無、貸与・返却・廃棄の日付を含めます。私物端末、委託先端末、例外申請も対象に含める場合は、利用条件と承認者を同じ台帳で追えるようにします。暗号化と遠隔消去の適用範囲は、保存情報、利用者の権限、社外利用、物理的管理、紛失時の対応時間を評価して決めます。MDMの管理画面で暗号化状態と遠隔消去の実行記録を確認できない端末は、利用制限または代替統制の対象にします。
リスク評価の観点
機密性：外部に漏れた際の影響は？
完全性：改ざんされた際の影響は？
可用性：止まった際の影響は？
これらの観点から、優先的に対策すべきリスクを特定します。たとえば、機密情報を扱い社外利用もある端末は、MDMによる棚卸し、EDRなどのマルウェア対策、画面ロック、ローカル管理者権限の制限、USB・外部記憶媒体の制御を優先候補にします。共有端末や倉庫端末では、利用者の切替方法、設置場所、物理的な持出し防止策を評価します。すべてを同じ水準にするのではなく、許容できるリスクを明確にすることが実務上のポイントです。
STEP 3：文書化と管理規定の作成
規格の要求事項に基づき、自社の実情に即した情報セキュリティ基本方針や各種手順書を作成します。
作成する文書の例
情報セキュリティ基本方針
リスクアセスメント手順書
適用宣言書
各種運用手順書（パスワード、バックアップなど）
文書は「審査に通るため」ではなく「現場が迷わないため」に作成します。可能な限り図解やフローチャートを用い、端末の設定ベースライン、脆弱性対応の期限、BYODの利用条件、廃棄時の消去証跡なども担当者が判断できる表現で記載します。
STEP 4：従業員教育とルールの運用
作成したルールを社内に周知し、実際の業務で運用を開始します。
情シスは、全従業員を対象としたeラーニングや説明会を実施します。日々の運用記録、いわゆるエビデンスは、管理策ごとに残すものを先に決めておきます。端末なら、貸与・返却日と管理責任者を記した資産台帳、人事システムの退職・異動通知と台帳の返却日を突き合わせた記録、パッチ適用結果の出力、紛失時の遠隔消去の実施記録です。監視カメラなら、定期の作動試験記録、録画の閲覧申請と承認の記録、入退室ログとの照合記録が該当します。録画データの保存期間は一律に定めず、事故調査に必要な期間、保管コスト、映像に含まれる個人情報やプライバシーへの配慮を踏まえて決め、閲覧権限と削除方法を運用ルールに記載します。サーバールームでは入退室と機器への接触、受付では来訪者導線、倉庫では搬出入と死角というように、エリア別のリスクに応じてカメラ以外の統制も組み合わせます。
STEP 5：内部監査とマネジメントレビュー
自分たちで運用状況をチェックする内部監査を行い、その結果を経営層に報告して改善の指示を受けます。管理策ごとに担当部門、記録の名称、保存先、確認頻度を対応表にしておくと、監査時に証跡を集める作業と改善担当の割当を進めやすくなります。
▶ 関連記事: 情報資産管理とは？定義・分類から2026年最新対策まで解説
▲ ISMS認証取得と運用を進めるための5つの実務ステップです。
情シスの負担を軽減するISMS運用の効率化テクニック
ISMS運用が情シスの「重荷」にならないよう、テクノロジーを活用して事務作業を自動化・簡略化すると、継続的な運用につなげやすくなります。
クラウド型ISMS管理ツールの導入
Excelでの手作業が負担になっている場合は、専用のISMS管理ツールで文書管理やリスク評価の進捗を一元化する選択肢があります。
専用ツールは製品ごとに機能が異なります。試用の段階で、管理策対応表の全項目と資産台帳の全件を実際に取り込み、承認経路を1件通しで動かして、手作業が残る箇所を洗い出します。手作業が残る箇所は、Excel台帳との併用を前提に月あたりの工数へ換算して製品間で比較します。
既存のIT資産管理システムとの連携
資産目録やPCのパッチ適用状況などは、既に導入している資産管理ツールに記録されている項目を起点に整理します。
資産管理ツールやMDM、EDRの出力画面に、台帳の項目（管理責任者、OSとパッチの状況、暗号化の有無、返却日）が揃っているかを見比べます。たとえば返却日はツールの標準項目に含まれないことがあるため、人事システムの退職・異動通知と突き合わせる列だけをExcel台帳に足し、ほかの項目はツールの出力をそのまま証跡にすると、二重入力を抑えながら例外管理と棚卸しを行えます。
まとめ
組織の価値を高めるセキュリティマネジメントの実現
ISO/IEC 27001は、単なる認証取得の手段ではなく、組織のITガバナンスを支える枠組みです。クラウドやサイバー脅威への対応では、文書を整えるだけでなく、資産、権限、設定、物理的なアクセス、運用記録を結び付けて管理します。テクノロジーを活用して証跡収集を効率化し、リスクが高い業務から統制を適用すれば、情シスは運用負荷とセキュリティ対策を両立しやすくなります。
端末台帳では、管理責任者・OSとパッチの状況・暗号化の有無・返却日がそろっているかを確認し、監視カメラのある拠点では、作動試験記録、録画閲覧の承認記録、保存期間と削除方法のルールを見直します。資産台帳と人事システムの退職・異動通知を照合した結果は内部監査用の証跡として整理し、空欄や記録の欠落には担当部門、保存先、確認頻度を決めて補います。このギャップ分析を継続すると、組織全体のセキュリティ運用を改善するための優先順位が明確になります。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
