前回は、情報セキュリティ対策の3分類（人的・物理的・技術的）のうち、「人的セキュリティ対策」について、教育・訓練、秘密保持契約、罰則規定などを確認した。
今回は、施設や設備、機器そのものを守る「物理的セキュリティ対策」を取り上げる。
物理的セキュリティ対策とは
物理的セキュリティ対策とは、情報資産が保管・処理されている場所（サーバ室、執務室など）や、情報を扱う機器（PC、記録媒体など）を、不正な立ち入りや盗難・破損・災害から守るための対策を指す。どれほど技術的な対策を講じても、機器そのものを持ち去られてしまえば情報は守れないため、物理的対策は情報セキュリティの土台として位置づけられる。
代表的な物理的セキュリティ対策には、以下のようなものがある。
1. 入退室管理
サーバ室や重要書類を保管する部屋への入退室を制限し、許可された者だけが立ち入れるようにする対策である。ICカードや生体認証（指紋・静脈など）による入退室管理、監視カメラの設置、入退室記録の保管などが代表例となる。誰が・いつ・どこに入退室したかを記録しておくことで、事故発生時の追跡（トレーサビリティの確保）にもつながる。
2. 施錠管理
執務室のキャビネットや書庫、サーバラックなどを施錠し、鍵の管理台帳を整備することで、無許可の者が物理的に情報資産へアクセスできないようにする。鍵の貸出・返却履歴を記録することも、入退室記録と同様に重要である。
3. クリアデスク・クリアスクリーン
離席時や退社時に、机の上に重要書類やUSBメモリなどを放置しない（クリアデスク）、PC画面をロックする、あるいはスクリーンセーバーを自動起動させる（クリアスクリーン）といった運用ルールである。これは物理的対策に分類されるが、実際にはルールの周知・徹底という点で人的対策とも密接に関わる。試験では、この「分類の境界」が問われることがあるため注意したい。
4. 災害対策
地震・火災・水害・停電といった災害からシステムや設備を守るための対策である。耐震設備の導入、消火設備の設置、無停電電源装置（UPS）や自家発電設備による電源の二重化、遠隔地へのバックアップデータの保管などが該当する。
事業継続計画（BCP：Business Continuity Plan）とも関連が深いテーマである。
5. 機器の盗難・紛失対策
ノートPCやスマートフォンなど、持ち出し可能な機器については、盗難・紛失そのものを防ぐ対策（セキュリティワイヤーでの固定、施錠保管庫の利用）に加え、万が一紛失した場合に情報が漏えいしないようにする対策（記録媒体の暗号化、リモートロック・リモートワイプ機能の活用）もあわせて講じる必要がある。
この後者の対策は、物理的対策と技術的対策の両方の性質を持つ点に留意したい。
なお、実務上は紛失対策の一部として物理的対策と組み合わせるが、 試験上の分類では技術的セキュリティ対策とされる。
試験対策のポイント
試験では、物理的セキュリティ対策について、次のような観点で問われることが多い。
- 入退室管理や施錠管理の具体的な手段（ICカード、生体認証など）とその目的を問う問題
- クリアデスク・クリアスクリーンのように、人的対策と物理的対策の境界が曖昧な事例をどう分類するかを問う問題
- BCP・BCM（事業継続マネジメント）との関連で、災害対策の位置づけを問う問題
- ノートPCの暗号化やリモートワイプのように、物理的対策と技術的対策が組み合わさった事例を問う問題（試験上の分類では技術的セキュリティ対策とされる。）
特に、「持ち出し機器の紛失対策」は、盗難・紛失自体を防ぐ物理的な工夫と、紛失後の被害を抑える技術的な工夫の両方が組み合わさっている点が試験でも狙われやすいため、それぞれの対策がどちらの側面を担っているかを整理しておくとよい。
まとめ
今回は、情報セキュリティ対策の3分類のうち「物理的セキュリティ対策」を取り上げ、入退室管理、施錠管理、クリアデスク・クリアスクリーン、災害対策、機器の盗難・紛失対策といった具体例を確認した。次回は、システムやネットワークを守る「技術的セキュリティ対策」について取り上げ、3分類のシリーズを締めくくる。
コメント