物理的管理策の選び方

要点と定義

物理的管理策は、建物や部屋への入退、情報資産の持込み・持出し、資産の保管場所などを管理し、情報や機器を物理的な脅威から守る対策です。対策は、守る対象と想定する脅威に合わせて選びます。

入退室を制限する方法には、入館証や暗証番号による認証、関係者の確認、従業員による案内などがあります。専用オフィスで常に人が在席し、最終退出者が施錠する運用も、関係者以外の入室を抑える代替策として評価できます。

来訪者用の一時的な入館証は、利用を一回に限る設定にすると、使用済み証を拾われても再入館に使われにくくなります。入館後にエレベーターで別の階へ移動できる環境では、行先階で従業員証の認証を求め、従業員が来訪者を案内する方法が有効です。

入退室の認証を強化するだけでは、認証済みの人に続いて入る共連れを防げない場合があります。共連れのリスクを知らせる掲示や、発見時の個別注意など、行為そのものを抑止・是正する対策も検討します。

対策は脅威に直接対応させます。印刷物の置き忘れには、印刷時に本人が認証して出力を受け取る方法や、複合機の利用者を部門内に限る配置が役立ちます。

適用条件と例

出入口で入館証と持ち物を確認する運用は、部外者の侵入だけでなく、媒体や機器の持込み・持出しの確認にも使えます。複数の脅威に共通する対策として選ぶ場合は、それぞれの脅威を実際に確認できるかを見ます。

一方、特定の脅威に絞った対策もあります。例えば、記憶媒体の持込みとノートPCの持出しの両方を抑えたい場所では、私物を入口外のロッカーに預け、業務に必要な物だけを透明なバッグに入れて持ち込む運用が候補になります。

部外者を見分けたい場所では、要員に入館証を着用させると識別しやすくなります。入館証の確認や持ち物確認を担う警備員の配置は、複数の侵入・持込み・持出しの脅威に対する共通策としても検討できます。