誰がいつ入ったかを残すオフィス入退室管理システムの選び方

深夜に社内のファイルサーバから顧客名簿が持ち出された疑いが出たとき、最初に見たいのは「その時間に誰がオフィスにいたか」です。ところが多くの小規模オフィスでは、この問いに答える材料がありません。玄関はシリンダー錠で、鍵は5本を回し持ちしていて、合鍵が何本あるかも定かではありません。監視カメラは入口を写しているものの、暗い時間帯の映像から人物を特定できるとは限りません。結局、誰がいつ入ったかは推測にしかなりません。

入退室管理システムは、この「誰がいつ」を扉の側で記録に変える仕組みです。ICカードや暗証番号で本人を照合し、照合が通ったときだけ電気錠を解錠し、その操作を履歴として残します。錠前としての機能に、認証と記録という二つの機能が乗ります。

この記事は、小規模オフィスやサーバー室の出入口に、記録付きの電気錠を入れることを検討している管理担当に向けて、選ぶときに見る項目を整理します。認証方式の選び分け、ICカードの中身による複製のしやすさの違い、後付けと工事の分かれ目、停電時の挙動、避難との両立、記録をどこに何件残せるか、退職時の失効、そして入退室管理では防げないことまでを扱います。仕様と法令は公的資料とメーカーの公式資料で確認できた範囲を土台にします。なお本記事はアフィリエイトリンクを含みます。紹介する製品の防犯効果や適合性を保証するものではなく、購入判断はご自身と設置環境に照らしてお願いします。詳細は広告およびアフィリエイトについてをご覧ください。

入退室管理が担う役割と担わない役割#

入退室管理システムを入れる目的は、大きく三つに分かれます。第一に、入れる人を絞ることです。第二に、入った事実を記録に残すことです。第三に、鍵の運用そのものを楽にすることです。この三つは似ているようで、必要な機器の条件が違います。

入れる人を絞るだけなら、暗証番号式の電子錠でも足ります。記録を残すなら、履歴を保持して読み出せる機器が要ります。鍵の運用を楽にするなら、失効や権限変更を個別に行える仕組みが要ります。安い機器を選んだあとで「誰が入ったかを出してほしい」と言われて困る事態は、この三つを最初に切り分けていないときに起きます。

経済産業省の情報セキュリティ管理基準は、この分野の管理策を三つに分けて整理しています。物理的セキュリティ境界を定めること、その境界に対する物理的入退を管理すること、そしてオフィスや部屋や施設そのもののセキュリティを設計することです。扉の錠は二つめに対応する部品であり、境界の設計と部屋の使い方が先に決まっていないと、錠だけを買っても効きません。

経済産業省の情報セキュリティ管理基準(令和7年改正版)は、物理的管理策として7a-7.1「物理的セキュリティ境界」、7a-7.2「物理的入退」、7a-7.3「オフィス、部屋及び施設のセキュリティ」、7a-7.4「物理的セキュリティの監視」などを掲げています。7a-7.2の管理策は、セキュリティを保つべき領域を適切な入退管理策及びアクセス場所(受付など)によって保護すると定めています。

この管理基準は、JIS Q 27001:2023およびJIS Q 27002:2024に準拠して改正されたものだと前文に記されています。日本規格協会の書誌情報によると、JIS Q 27001:2023の対応国際規格はISO/IEC 27001:2022です。ISMS認証を取っている組織でも、これから取ろうとしている組織でも、扉の管理策として何を求められているかは同じ体系の中で読めます。

日本規格協会の書誌情報は、JIS Q 27001:2023の規格名称を「情報セキュリティ，サイバーセキュリティ及びプライバシー保護―情報セキュリティマネジメントシステム―要求事項」とし、対応国際規格をISO/IEC 27001:2022と記載しています。制定は2006年5月20日、改正は2014年3月20日、2023年9月20日、2025年5月20日と示され、追補としてJIS Q 27001:2023/AMENDMENT 1:2025が発行されていると案内しています。

一方で、入退室管理が担わない役割もはっきりしています。扉を通った人が中で何をしたかは記録されません。持ち出した物の中身も分かりません。この線引きを踏まえたうえで、記録の使いどころを決めます。

法令とガイドラインが求めていること#

小規模オフィスで入退室管理を検討する動機のひとつは、個人データの安全管理措置です。個人情報の保護に関する法律第23条は、個人情報取扱事業者に対し、取り扱う個人データの漏えい、滅失または毀損の防止その他の安全管理のために必要かつ適切な措置を講じることを義務づけています。義務の対象は個人情報取扱事業者が取り扱う個人データであって、すべての事業者のすべての部屋ではありません。

その具体的な内容を示すのが、個人情報保護委員会のガイドライン(通則編)の別添「講ずべき安全管理措置の内容」です。物理的安全管理措置として、個人データを取り扱う区域の管理、機器および電子媒体等の盗難等の防止、電子媒体等を持ち運ぶ場合の漏えい等の防止、個人データの削除および機器や電子媒体等の廃棄の四つが挙げられています。

区域の管理では、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域を「管理区域」、その他の個人データを取り扱う事務を実施する区域を「取扱区域」と呼び分け、それぞれ適切な管理を行わなければならないと定めています。そして管理区域の管理手法の例として、入退室管理および持ち込む機器等の制限等を挙げ、入退室管理の方法としてICカードやナンバーキー等による入退室管理システムの設置等が考えられると書いています。

個人情報保護委員会のガイドライン(通則編)10-5「物理的安全管理措置」は、管理区域の管理手法の例として「入退室管理及び持ち込む機器等の制限等」を挙げ、「なお、入退室管理の方法としては、ICカード、ナンバーキー等による入退室管理システムの設置等が考えられる」と記載しています。取扱区域については、間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等による、権限を有しない者による個人データの閲覧等の防止を例示しています。

見落とされやすいのが、この例示の位置づけです。同じ別添の前文は、具体的な手法について、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模および性質、個人データの取扱状況、記録した媒体の性質等に起因するリスクに応じて必要かつ適切な内容とすべきものであるとしたうえで、必ずしも例示の内容の全てを講じなければならないわけではなく、適切な手法はこれらの例示に限られないと明記しています。つまり「ICカードの入退室管理システムを入れないと違法になる」という読み方は正確ではありません。扱っている個人データの量と性質に照らして、必要な水準を自分で決める作業が先にあります。

同ガイドラインの10「(別添)講ずべき安全管理措置の内容」の前文は、安全管理措置を講ずるための具体的な手法について、リスクに応じて必要かつ適切な内容とすべきものであるため、必ずしも例示の内容の全てを講じなければならないわけではなく、適切な手法はこれらの例示の内容に限られないと述べています。あわせて、中小規模事業者(従業員の数が100人以下の個人情報取扱事業者。ただし取り扱う個人情報が5,000を超える者や委託を受けて個人データを取り扱う者を除く)については、円滑に義務を履行し得るような手法の例を示すとしています。

盗難等の防止については、個人データを取り扱う機器や記録された電子媒体、記載された書類等を施錠できるキャビネットや書庫等に保管すること、機器のみで運用されている場合はセキュリティワイヤー等により固定することが手法の例として挙げられています。部屋の扉と、部屋の中の入れ物は別の管理策です。扉に錠を付けたから書類は机上に置いてよい、とはなりません。

あわせて読みたい

書類と電子媒体の施錠保管に使う鍵付きキャビネットの選び方

IPAの「中小企業の情報セキュリティ対策ガイドライン」も、同じ方向の対策を具体的に書いています。取組の一項目として、サーバー等の設置エリアへの入退室を管理し、記録することを挙げ、情報の持ち出しや機器障害等を防止するために、サーバー等設置エリアに対する入室可能な者を制限し、入退室記録の取得と保管を行うよう促しています。図中には、施錠ができないエリアに設置する場合はサーバを専用ラックに入れて施錠するという注記もあります。

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4版は、「サーバー等の設置エリアへの入退室を管理し、記録する」という取組項目を掲げ、情報の持ち出しや機器障害等を防止するために、サーバー等設置エリアに対する入室可能な者を制限し、入退室記録の取得と保管を行うよう記載しています。図では入退室記録の項目例として氏名、入館日時、退館日時を示し、施錠ができないエリアに設置する場合はサーバを専用ラックに入れて施錠するとしています。

あわせて読みたい

小規模オフィスのネットワーク機器を施錠して収める鍵付きサーバーラックの選び方

認証方式を四つの軸で比べる#

扉の前で本人を確かめる方法は、大きく四つに分かれます。持っているもの(ICカード)、知っているもの(暗証番号)、本人自身に関するもの(生体)、そして持っているものの変種としてのスマートフォンです。それぞれ運用上の弱点が違います。

暗証番号の弱点は、記録の粒度に現れます。番号を全員で共有していれば、履歴に残るのは「その番号が使われた」という事実だけで、誰が使ったかは分かりません。個人ごとの番号を配れば粒度は上がりますが、機器の登録可能数が上限になります。美和ロックのマジカルテンキーユニットTKU-003は、暗証番号を9種まで登録できると記載されています。10人を超える事務所では、全員に別番号を配る運用が成り立ちません。

美和ロックのマジカルテンキーユニットTKU-003の製品ページは、暗証番号を9種まで登録可能と記載しています。使うたびにパネル上のテンキーの数字の位置が変わるマジカル表示機能(位置は全6パターン)と、数字の配列も変わるランダム表示機能を備え、特定の場所が変色摩耗することはないと説明しています。カバー付仕様にはのぞき見防止機能があるとしています。

数字の位置が毎回変わる仕組みは、二つの弱点に効きます。ひとつは肩越しののぞき見で、もうひとつは指紋の付着や塗装の摩耗から番号を推測される事象です。テンキーの一部だけが擦り減っていれば、使われている数字が絞り込めます。位置が変わる方式ならこの手掛かりが残りません。

ICカードと暗証番号を組み合わせる運用も選べます。美和ロックのID照合ユニットMIU-301に接続するテンキーカードリーダーRDTK-B01は、カードまたはテンキーのいずれかで操作するOR認証モードと、カードとテンキーの両方で操作するAND認証モードを選択できると記載されています。AND認証にすると、カードを拾った人や借りた人だけでは扉が開きません。

IPAのガイドラインも、多要素認証の説明として、職場の入退室管理システムを利用する際に本人のみが持つICカード認証に本人のみが知るパスワード認証を追加することで、本人からのアクセスに限定できると述べています。すべての扉でAND認証にすると通行の負担が大きいため、サーバー室のような内側の扉だけをAND認証にする構成が現実的です。

生体認証は、貸し借りができない点で入退室管理と相性が良い方式です。ただし、指の乾燥や手袋、屋外の照度といった環境で読み取り率が下がること、登録作業に人手がかかること、そして生体情報そのものの保管が新たな管理対象になることを踏まえて選びます。経済産業省の情報セキュリティ管理基準は、物理的入退の認証の仕組みとして、アクセスカード、生体認証、またはアクセスカードと秘密の個人識別番号のような二要素認証の仕組みの使用を含めるとし、慎重を要する領域へのアクセスには二重のセキュリティドアの採用を検討するとしています。

情報セキュリティ管理基準7a-7.2.3は、物理的入退の管理策として、敷地及び建物へのアクセスを認可された要員だけに制限し、アクセス権の管理プロセスに認可の提供、定期的なレビュー、更新及び失効を含めることを挙げています。また、全てのアクセスについて物理的な記録簿又は電子形式の監査証跡を維持及び監視すること、認証の仕組みにアクセスカード、生体認証、又はアクセスカード及び秘密の個人識別番号のような二要素認証の仕組みの使用を含むこと、慎重を要する領域へのアクセスには二重のセキュリティドアの採用を検討することを示しています。

スマートフォンでの解錠は、発行と失効を遠隔でできる点が運用上の利点です。入社当日に権限を付与し、退職手続きと同時に無効化できます。一方で、電池切れ、機種変更、アプリの更新やクラウド側の障害が解錠できない事由として増えます。物理鍵かカードのどちらかを併用手段として残しておくと、締め出しの被害を小さくできます。

ICカードの中身で複製のしやすさが変わる#

「ICカードで入退室管理をしています」という説明は、実は中身を何も語っていません。同じ13.56MHz帯の非接触ICカードでも、暗号方式によって複製のしやすさがまったく違います。

もっとも注意が必要なのが、カードの固有番号だけを見て判定する運用です。美和ロックのID照合ユニットMIU-301の製品ページは、FeliCaのIDmとMIFAREのUIDについて、原則として固有の番号であることになっているが、固有性の保証はカード製作会社各社に委ねられていると注記し、カードから簡単に番号を読み取ることが可能なため、高いセキュリティ性を求める用途への使用には適さないと明記しています。メーカー自身が用途の限界を書いている記述です。

美和ロックのID照合ユニットMIU-301の製品ページは、注記として「IDm、UIDは原則として固有の番号であることになっていますが、固有性の保証はカード製作会社各社に委ねられています。また、カードから簡単に番号を読み取ることが可能なため、高いセキュリティ性を求める用途への使用には適しません。お客様の判断のもとにご使用くださいますようお願いいたします」と記載しています。

固有番号ではなく、カード内の鍵で相互認証する方式であれば、事情が変わります。ただしその暗号が破られていれば同じことです。MIFARE Classicが該当します。この製品はCRYPTO1という独自のストリーム暗号で認証と通信の暗号化を行いますが、2008年のESORICS会議で発表された論文がその設計を解析しています。

Garciaらによる論文「Dismantling MIFARE Classic」(ESORICS 2008, LNCS 5283)は、MIFARE Classicがオフィスビルの入退室管理や公共交通の決済に広く使われている非接触ICカードであるとしたうえで、認証プロトコル、対称暗号、初期化機構をリバースエンジニアリングしたと述べています。CRYPTO1は48ビットの秘密鍵を用いるストリーム暗号でNXPの独自方式であり設計は非公開だとしています。最も深刻な攻撃は、正規のリーダーとの1回か2回の認証試行から、通常のハードウェア上で1秒未満、事前計算なしに秘密鍵を復元できるとし、同じ手法でタグとリーダー間の通信を盗聴して全トレースを復号でき、カードのクローン作成や以前の状態への復元が可能になると記しています。

この論文から15年以上が経ちましたが、MIFARE Classicは今も広く使われています。2024年に公開された研究は、その状況を踏まえたうえで、無許諾の互換チップに仕込まれたハードウェアバックドアを報告しています。

Philippe Teuwen氏(執筆時点の所属はQuarkslab)によるIACR ePrint 2024/1275「MIFARE Classic: exposing the static encrypted nonce variant」は、MIFARE Classicが長年にわたり多数の攻撃を受け、新しい版が出てもカード単体の攻撃に対して脆弱なままであったと述べています。2020年に無許諾の「MIFARE互換」チップの大手メーカーからFM11RF08Sという新しい変種が既知のカード単体攻撃を防ぐ対策を備えて登場したとし、著者はこのチップにハードウェアバックドアを発見して鍵を破ったと報告しています。バックドアを知る者は、事前知識なしに数分間カードにアクセスするだけで、そのカードのユーザー定義鍵をすべて侵害できるとしています。さらに旧世代のカードの調査で、複数のメーカーに共通する別のハードウェアバックドア鍵も見つかったと記しています。

新規に選ぶなら、AESを使う世代を前提にします。NXPのMIFARE DESFire EV3(型番MF3D(H)x3)は、Common Criteriaのセキュリティターゲットが公開されており、AESコプロセッサが128ビット鍵のAESに対応することと、EAL5にaugmentedを加えた保証パッケージでの評価であることが記載されています。リレー攻撃に対するProximity checkの機能も挙げられています。

NXPが公開しているMF3D(H)x3(MIFARE DESFire EV3)のSecurity Target Lite(Rev.1.0、2020年3月17日、NSCIB-CC-0011955)は、Common Criteria version 3.1のEAL5 augmentedによる評価だと記しています。AESコプロセッサは128ビット鍵長のAES演算に対応し、TripleDESコプロセッサは112ビットと168ビットの鍵長に対応するとしています。セキュリティ機能のひとつとしてリレー攻撃に対するProximity check featureが挙げられています。

この文書には、購入時に見落としやすい注意も書かれています。DESFire EV3にはMIFARE Classicのブロックをファイルシステムに写して動かす互換モードがあり、その互換モードとMIFARE Classicマッピングを有効にするアプリケーションは認証の範囲から除外されています。つまり「DESFire EV3のカードを買った」ことは、その現場がAESで運用されていることを意味しません。読み取り機側とシステム側がどのモードで認証しているかまで確認する必要があります。

同じSecurity Target Liteは、推奨される認証とセキュアメッセージングをEV2 secure messagingとしたうえで、DESFire EV1後方互換モードについては認証範囲がAESモード(認証とセキュアメッセージングの両方)と3TDEA(認証のみ)に限られると述べています。MIFARE DESFire D40後方互換モードはセキュリティ機能要件の対象外であり、MIFARE Classic互換モードとMIFARE Classicマッピングを有効にする全てのDESFireアプリケーションも認証範囲から除外されるとしています。

FeliCaについては、ソニーが公式ページで、最新のFeliCa Standard ICチップ群がISO/IEC 15408のEAL5+以上を取得していると説明しています。技術方式としては、ISO/IECの通信プロトコル規格、NFCフォーラムの規格、そしてメッセージフォーマットやコマンドを含むJIS X 6319-4で構成されると案内しています。ここでも、カードの能力と、現場がその能力を使っているかは別問題です。FeliCaのIDmだけを読んで判定していれば、チップの評価等級は運用の強度に反映されません。

ソニーの「NFCとFeliCaの関係」のページは、FeliCa技術が、基礎的な通信プロトコルを定義しているISO/IECの規格、デジタルインターフェースや半二重通信プロトコルの処理を定義しているNFCフォーラムの規格、さらにメッセージフォーマットやコマンドを含めたJIS X 6319-4の規格で構成されていると説明しています。NFC-FとFeliCaは同じ無線通信技術であり、FeliCaはNFC-Fというオープン規格の上にカードOSを加えたものと表現できるとしています。

後付けで済ませるか工事を入れるか#

機器の選択は、扉と壁に手を入れられるかどうかでほぼ決まります。選択肢は三つに整理できます。

第一が、既存の扉にかぶせる後付けの電池式です。工事がいらず、原状回復もしやすい代わりに、電池交換の手間と、扉の形状への適合という制約が付きます。GOALの製品一覧には、電池式スマートロックとして、カードと暗証番号により多種多様な利用シーンに対応でき後付けも可能な製品と、スマートフォンなどを様々なカギとして利用できるようにする製品が掲載されています。

第二が、既設扉に補助錠として面付けする方式です。GOALの面付本締電気錠は、既設ドアへの電気錠システムの導入が簡単な補助錠として案内されています。扉を交換せずに電気錠の制御を入れられるため、賃貸オフィスで検討しやすい構成です。

第三が、錠前ごと入れ替えて配線を引く方式です。制御盤と操作器を分けて設置でき、複数の扉をまとめて管理できます。電源の確保と配線ルートの検討が要り、内装工事の範囲になります。

GOALの電気錠の製品一覧は、機能切替型電気錠(EUT、EUR、EUTP、EURP)について「施工時や施工後に、通電時解錠型か通電時施錠型の機能を選択して切替可能」であり「アンチパニック機能を任意の側に付加することもできます」と記載しています。レバーハンドル型電気錠のEZS、EXS、EXMは「コンパクトな本体で框扉にも取付可能」とされ、SXEとSXEVは引戸用電気錠、面付本締電気錠MEは「既設ドアへの電気錠システムの導入が簡単な電気錠の補助錠」と説明されています。2線式電気錠システム2WS-EL100は配線工事が簡単な2線式として案内されています。

扉の構造も選定を縛ります。框扉は框の幅が狭く、錠ケースを収める奥行きが取れないことがあります。GOALがEZSやEXSについて框扉にも取付可能と明記しているのは、この制約に対応した設計だからです。引戸には引戸用の電気錠があり、開き戸用の製品をそのまま使うことはできません。ガラス扉や自動ドアはさらに別の扱いになります。

電源と停電時の挙動を先に決める#

電気錠を選ぶうえで、機能の次に決まりが重いのが停電時の挙動です。美和ロックは、停電時に電気錠がどうなるかを型式によって三つに分けて説明しています。停電時に施錠するもの、停電直前の状態を保持するもの、停電時に解錠するものです。

この三つは、通電と施錠の関係で言い換えられます。通電で解錠する型式は、電気が止まれば施錠側に落ちます。通電で施錠する型式は、電気が止まれば解錠します。前者はセキュリティを優先し、後者は人の通行を優先する設計です。

美和ロックの「電気錠に関する注意事項」は、停電が発生すると電気錠が三つのいずれかの状態になると説明しています。停電時には施錠するもの(停電中の解錠は外部からキー、内部からサムターンかハンドルで行い、解錠後の扉開閉で施錠する)、停電時には停電直前の状態を保持するもの、停電時には解錠するもの(停電中にキーで施錠することはできず、閉鎖が必要なときは電気錠以外の手段で通路封鎖を実施したうえで別扉から入館出館する)の三つです。

自分の扉がどの型式かを調べる方法も、同じページに書かれています。電気錠の型番を調べてカタログで確認するか、電気錠制御盤の電源を切って停電の状況を作って確認する方法です。後者については、制御盤部と扉部の2人で作業し、閉め出されないよう注意するようにという注記が付いています。

用途ごとの傾向も示されています。事務所入口の扉に使われる電気錠の多くは、停電時に施錠になるものか、停電直前の状態を保持するものであり、IDカード等により出入り管理を行っている扉では停電時に施錠になる電気錠が多く使われるとしています。タイマーで就業時間中は解錠、時間外には施錠という運用の扉では、停電直前の状態を保持する電気錠が多いとされています。

同ページは事務所ビルなどの設備について、事務所入口扉に使われる電気錠の多くは停電時に施錠になるものか停電直前の状態を保持するものだと述べ、IDカード等により出入り管理を行っている扉では停電時には施錠になる電気錠が多く使われるため、停電時にはIDカードなどによる解錠ができなくなりキーでの解錠操作を行うことになると説明しています。非常口に使われる電気錠の多くは停電時に解錠するものが使われており、この仕様の電気錠はキーでの施錠ができないとしています。

停電補償機能の扱いも押さえておきます。電気錠制御盤に停電補償機能が設けられている設備では、停電補償時間のあいだは施錠を保持し、その後は解錠すると説明されています。バッテリーがあるから施錠され続けるとは限らず、時間切れの後の状態を確認しておく必要があります。

電磁ロック(電磁錠)は、この分類の中で位置が固定されています。美和ロックのEM2Lシリーズは、枠に本体を取り付け、扉にストライクプレートを取り付けて枠と扉の間を電磁石でロックする通電時施錠型であり、通電が切れると解錠すると記載されています。同社の停電案内でも、電磁ロックは通電時施錠の仕様でキーでの操作の機構を持たないため施錠できないと明記されています。

美和ロックのEM2Lシリーズの製品ページは、電磁石を利用した電磁ロックであり、枠に本体を取り付け扉にストライクプレートを取り付けて枠と扉の間をロックすると説明しています。通電時施錠型であり通電が切れると解錠すると明記し、同社の電気錠操作盤と接続して遠隔操作でき、操作盤で施解錠状態および扉の開閉状態を確認できるとしています。指定以外の操作盤との組み合わせは誤動作の原因となるため使用できないと注記しています。機械的に動作する部分が少ないため部品の摩耗などによる性能への影響がほとんどないこと、本体とストライクプレートに隙間がある状態では吸着しないため指などを挟んだ状態で吸着しないことも挙げられています。

電池式の場合は、停電の代わりに電池切れが同じ役割を果たします。電池残量の通知があるか、切れたときにどう解錠するか、外部から給電して一時的に動かせるかを確認します。あわせて、電池切れの直前に警告が出る期間の長さも見ておくと、交換の運用が組みやすくなります。

避難できることを施錠より先に置く#

施錠を強くするほど、非常時に出られなくなる余地が生まれます。ここは設備の設計思想ではなく、法令が枠をはめている領域です。

建築基準法施行令第125条の2は、屋外に設ける避難階段に屋内から通ずる出口、避難階段から屋外に通ずる出口、そしてそれ以外の出口のうち維持管理上常時鎖錠状態にあって火災その他の非常の場合に避難の用に供すべきものについて、その戸の施錠装置は屋内からかぎを用いることなく解錠できるものとし、かつ当該戸の近くの見やすい場所に解錠方法を表示しなければならないと定めています(法令の規定により人を拘禁する目的に供せられる建築物を除く)。

e-Gov法令検索で参照できる建築基準法施行令第125条の2(屋外への出口等の施錠装置の構造等)は、第一号に「屋外に設ける避難階段に屋内から通ずる出口」、第二号に「避難階段から屋外に通ずる出口」、第三号に「前二号に掲げる出口以外の出口のうち、維持管理上常時鎖錠状態にある出口で、火災その他の非常の場合に避難の用に供すべきもの」を掲げ、これらの出口に設ける戸の施錠装置は、当該建築物が法令の規定により人を拘禁する目的に供せられるものである場合を除き、屋内からかぎを用いることなく解錠できるものとし、かつ当該戸の近くの見やすい場所にその解錠方法を表示しなければならないと定めています。

国土交通省が公開している「災害に備えるにあたっての関係法令等の解説」も、避難経路となる出入口の機能確保という項目でこの条文の概略を示し、あわせて消防法第8条の2の4を引いています。この解説は令和4年2月1日時点で施行されている法令等に基づくと明記されており、詳細は各法令を参照するよう促しています。

国土交通省の「災害に備えるにあたっての関係法令等の解説」は、避難経路となる出入口の機能確保として、出入口の確保の状況が建築基準法施行令第125条および第125条の2の規定に適合していること、通行に支障となる物品が放置されていないことを挙げています。建具については開閉不良や施錠と解錠の不良がないことを保全の基準としています。建築基準法施行令第125条の2の概略として、屋外に設ける避難階段に屋内から通ずる出口、避難階段から屋外に通ずる出口、それ以外の維持管理上常時鎖錠状態の出口で非常の場合に避難に用いる出口に設ける戸の施錠装置は、屋内からかぎを用いることなく解錠できるものとすると記しています。

消防法第8条の2の4は、施錠そのものを直接扱う条文ではありません。学校や工場や事業場などの防火対象物で政令で定めるものの管理について権原を有する者に対し、廊下、階段、避難口その他の避難上必要な施設について避難の支障になる物件が放置され、またはみだりに存置されないように管理すること、そして防火戸についてその閉鎖の支障になる物件が放置され、またはみだりに存置されないように管理することを求めています。物を置いて塞がないという要求です。

e-Gov法令検索で参照できる消防法第8条の2の4は、学校、病院、工場、事業場、興行場、百貨店、旅館、飲食店、地下街、複合用途防火対象物その他の防火対象物で政令で定めるものの管理について権原を有する者に対し、当該防火対象物の廊下、階段、避難口その他の避難上必要な施設について避難の支障になる物件が放置され、又はみだりに存置されないように管理し、かつ、防火戸についてその閉鎖の支障になる物件が放置され、又はみだりに存置されないように管理しなければならないと定めています。

設備の側でこの要求に応える仕組みが、アンチパニック機能です。GOALの製品一覧には、施錠していても内側のレバーハンドルやノブを回すだけで解錠でき、そのまま扉を開けられるアンチパニック錠が掲載されています。機能切替型電気錠については、アンチパニック機能を任意の側に付加できるとされています。外からは認証がないと開かないが、中からはハンドル操作だけで出られるという構成が、施錠と避難を両立させる基本形です。

一方で、避難経路に該当するかどうか、必要な表示は何か、消防設備との連動が要るかどうかは、建物の用途と規模と構造で変わります。この記事の範囲で断定できるものではありません。電気錠を扱う扉が避難に関わる可能性がある場合は、着工前に管轄の消防と建物の管理会社と施工業者の三者に確認してください。図面を持って相談すると話が早く進みます。

記録をどこに何件残すか#

入退室管理の価値の半分は記録にあります。記録の設計で見る項目は、どこに残るか、何件残るか、どう読み出すか、そして改ざんできないかの四つです。

保存先は大きく二つに分かれます。制御器の中に持つ方式と、ネットワーク越しにサーバやクラウドへ送る方式です。制御器に持つ方式は、通信が切れても記録が取れる代わりに、件数の上限があり、読み出しに手間がかかります。美和ロックのID照合ユニットMIU-301は、カードを1,000枚、暗証番号を100種まで登録でき、操作履歴を5,000件保存できると記載されています。履歴の閲覧には別途管理PCソフトが必要だとも書かれています。

美和ロックのID照合ユニットMIU-301の製品ページは、カード、暗証番号などの照合結果を接点出力し、電気錠操作盤や自動扉等の制御が可能だと説明しています。カードは1,000枚、暗証番号は100種まで登録可能で、操作履歴を5,000件保存できるとし、履歴の閲覧には別途管理PCソフトが必要だと記載しています。USBスロットを備えており、USBメモリを使って登録情報の読み出しと書き出しができるとしています。接続できるリーダーとして、テンキーカードリーダーRDTK-B01と、露出取付型の非接触ICカードリーダーRDNT-S02A、埋込取付型のRDNT-B03Aが掲載されています。

5,000件という上限は、人数と扉の数で寿命が決まります。従業員10人が1日に平均4回その扉を通れば1日40件、営業日20日で月800件となり、半年ほどで一巡します。古い記録から消える動作なら、必要な期間を保てるかを先に計算しておきます。

クラウド型は、件数の制約が緩む代わりに、月額費用と、サービス提供者への依存が加わります。通信が切れているあいだの記録がどう扱われるか、サービスを解約したときに過去の記録を取り出せるか、記録の保管場所がどこかを、契約前に確認します。

読み出し方法も、実務では効いてきます。管理ソフトが特定のバージョンのWindowsでしか動かない、USBメモリを挿さないと取り出せない、といった制約があると、記録を出す作業自体が滞ります。インシデントが起きた日に「ソフトが動くパソコンが見当たらない」となる事態は避けたいところです。導入時に一度、実際に記録を出力するところまで試しておきます。

あわせて読みたい

ログ管理の基本。何を・どこまで・どれだけ残すか

改ざんへの耐性については、経済産業省の情報セキュリティ管理基準が、全てのアクセスについて物理的な記録簿または電子形式の監査証跡を、セキュリティを保って維持および監視することを求めています。制御器の管理者パスワードが初期値のままだと、履歴を消せる立場の人が増えます。設置時に管理者の認証情報を変更し、誰が管理できるかを決めておきます。

記録の保存期間と個人情報としての扱い#

入退室記録は、氏名や社員番号と結び付いた「誰がいつ入ったか」の情報です。検索できるように整理して保管していれば、個人情報の保護に関する法律第16条第1項が定める個人情報データベース等を構成することになり、その中の個人情報は個人データとして扱われます。従業員の記録であっても、個人データであることに変わりはありません。

保存期間について、法律が年数を定めているわけではありません。同法第22条は、個人情報取扱事業者に対し、利用目的の達成に必要な範囲内で個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは当該個人データを遅滞なく消去するよう努めなければならないと定めています。努力義務ですが、期間を無制限に伸ばす運用を正当化する条文ではありません。

e-Gov法令検索で参照できる個人情報の保護に関する法律は、第22条(データ内容の正確性の確保等)で「個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」と定めています。第23条(安全管理措置)は、取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならないと定めています。第33条は、本人が保有個人データの開示を請求できることを定めています。

実務としては、記録を何のために使うかを先に書き出し、そこから期間を導きます。労務上の在館確認に使うなら勤怠の締めのサイクルに、不正の調査に使うなら発覚までの想定期間に合わせます。決めた期間と理由を文書に残しておくと、あとから説明できます。機器側の上限が短い場合は、上限が実質的な保存期間になるため、定期的に書き出す運用を足すか、機器を選び直します。

利用目的の明示も要ります。入退室記録を人事評価や在席時間の管理に使うつもりがあるなら、防犯目的とは別の利用目的です。従業員に説明せずに用途を広げると、信頼を損ねるだけでなく、目的外利用の問題にも触れます。あわせて、本人からの開示請求に応じられる形で保管しているかを確認します。同法第33条は、本人が保有個人データの開示を請求できることを定めています。

あわせて読みたい

個人情報保護法の要点。エンジニアが知っておくべきこと

閲覧できる人の範囲も絞ります。誰がいつ入ったかの記録は、勤務実態や交友関係を推測できる情報でもあります。管理者以外が自由に見られる状態にしておくと、記録を残す目的から外れた使われ方が生じます。記録の閲覧権限を、扉の解錠権限とは別に設計しておきます。

鍵の貸し借りと退職時の失効#

物理鍵の運用でもっとも管理しにくいのは、合鍵の総数です。何本作ったか、誰に渡したか、返ってきたか、返ってきた1本が本当にその1本かは、台帳がなければ追えません。退職者が1人出るたびにシリンダーを交換するのは現実的ではないため、実際には「鍵を返してもらったことにする」運用になりがちです。

ICカードや暗証番号に移すと、この問題の形が変わります。返却されなかったカードは、システム側で無効にできます。経済産業省の情報セキュリティ管理基準も、物理的領域へのアクセス権の管理プロセスに、認可の提供、定期的なレビュー、更新および失効を含めることを求めています。同じ基準は、物理的な鍵または認証情報の管理について、記録簿または毎年の鍵監査と、鍵管理プロセスの設定を挙げています。

失効を確実にする鍵は、人事の手続きと同じ流れに載せることです。退職の申請が上がったら、アカウントの停止と同じチェックリストにカードの失効を並べます。入退室管理システムが人事情報と連携できるなら、その仕組みを使います。連携できない場合でも、退職手続きの用紙にカード番号の欄を作るだけで、抜けは大きく減ります。

あわせて読みたい

入社から退職までアカウントを人事イベントに同期させる運用の作り方

貸し借りの抑止には、記録が使われていることを従業員が知っている状態が効きます。誰にも見られない記録は、事実上ないのと同じです。月に一度、深夜や休日の入退室だけを一覧で確認する運用を決めておくと、記録が生きた統制になります。確認は誰が行い、異常を見つけたら誰に上げるかまで決めておきます。

訪問者の扱いも設計に含めます。情報セキュリティ管理基準は、訪問者について、適切な手段でアイデンティティを認証すること、出入りの日時を記録すること、特定の認可された目的で領域のセキュリティ要求事項および緊急時の手順に関する指示の下でだけアクセスを許可すること、明示的に例外が許可されない限り全ての訪問者を監視することを挙げています。

情報セキュリティ管理基準7a-7.2.4は、物理的入退の訪問者に関する管理策として、適切な手段によって訪問者のアイデンティティを認証すること、訪問者の出入りの日時を記録すること、特定の認可された目的で、かつ領域のセキュリティ要求事項及び緊急時の手順に関する指示の下でだけアクセスを許可すること、明示的に例外が許可されない限り全ての訪問者を監視することを挙げています。7a-7.2.3は、全ての要員及び利害関係者に目に見える証明書の着用を要求し、付き添いのない訪問者や証明書を着用していない者を見かけた場合は直ちにセキュリティ要員に知らせることも示しています。

来訪者用の受付システムを置くと、訪問者の記録が自動的に残ります。ただし、受付で名前を書いてもらう紙の台帳でも要求は満たせます。人数と来客の頻度に見合った方法を選びます。

サーバー室に二重の境界を作る#

小規模オフィスでも、サーバーや通信機器を置く部屋だけは扱いを変える価値があります。物理的にアクセスできる機器は、設定の初期化やコンソール接続を通じて管理権限に近づけるためです。

NISTのSP 800-116 Rev.1は、連邦政府の施設を対象にした文書ですが、区画の作り方の考え方が参考になります。この文書は保護区画をControlled、Limited、Exclusionの三段階に分け、それぞれに必要な認証要素の最小数を1、2、3と示しています。Controlledは所属の証明で足りる区画、Limitedは部門や役割による区画、Exclusionは個別の認可だけで入れる区画という整理です。

NIST SP 800-116 Rev.1は、保護区画をControlled、Limited、Exclusionの三つに分け、Table 4-3で各区画に必要な認証要素の最小数をそれぞれ1、2、3と示しています。Controlledな区画には所属の証明で足りることが多く、Limitedな区画へのアクセスは機能的なサブグループや役割に基づくことが多く、Exclusionな区画へのアクセスは個別の認可によってのみ得られると説明しています。

この段階分けをオフィスに当てはめると、建物の共用部が最も外側、オフィスの入口が次、サーバー室が最も内側になります。オフィスの入口はカード1要素、サーバー室はカードと暗証番号の2要素、というように内側ほど要素を増やす構成が素直です。

入れ子の区画には、外側の認証を内側で数えられるかという論点があります。SP 800-116 Rev.1は、この持ち越しを使えるのは、共連れのリスクを減らす保護がある場合に限ると述べています。具体例として、1回の認証につき1人しか通れないようにするゲートやターンスタイルの設置と、PACSが直近のアクセス判定を記憶して外周で認証した人だけに内側の通行を許す仕組みが挙げられています。

同文書は、保護区画が入れ子になっている場合、外側の区画での認証を内側の区画に必要な認証要素の数に算入できる(authentication in context)としつつ、これを利用できるのは、piggybackingとtailgatingのリスクを減らす保護が講じられ、内側の境界の前に外側の境界で当人が認証していることが確実な場合に限られると述べています。その手段として、1回の認証ごとに1人しか通過できないようゲートやターンスタイルを設けること、あるいはPACSが直近のアクセス判定を記憶し、外側で最近認証した個人にだけ内側の通行を許すことを挙げています。

小規模オフィスにターンスタイルを置くのは現実的ではありません。そこで、サーバー室の扉ではオフィス入口とは別の要素をもう一度求める構成にします。カードで建物に入り、サーバー室ではカードと暗証番号を求める。この形なら、共連れで建物に入った人がサーバー室の扉で止まります。

あわせて読みたい

最小権限の原則（Least Privilege）。なぜ権限を絞ることが最強の防御の一つなのか

サーバー室を作れない事務所では、ラックの施錠が代わりを務めます。IPAのガイドラインが図中で示している「施錠ができないエリアに設置する場合はサーバを専用ラックに入れて施錠する」という考え方です。境界を部屋で作れないなら、箱で作ります。

情報セキュリティ管理基準の7a-7.3は、重要な施設を一般の人のアクセスが避けられる場所に設置すること、建物を目立たせず目的を示す表示を最小限にすることを挙げています。サーバー室の扉に「サーバー室」と大書きするのは、この考え方から外れます。

入退室管理で防げないこと#

導入の前に、何が防げないかを言葉にしておくと、期待の置き所を間違えずに済みます。

第一が共連れです。認証した人の後ろに続いて入る行為は、扉の機構では止まりません。SP 800-116 Rev.1が示すゲートやターンスタイルは共連れを物理的に防ぐ手段ですが、小規模オフィスでは費用と面積が見合わないことが多くなります。代替として、一人ずつ通す運用を明文化すること、来訪者に見える証明書を着けてもらうこと、証明書のない人を見かけたら声を掛ける文化を作ることが、実際に効く対策です。情報セキュリティ管理基準が「目に見える証明書の着用」と「付き添いのない訪問者を見かけたときの通報」を並べて挙げているのは、機構では埋まらない部分を人で埋める設計だからです。

第二がカードの貸与です。本人が自分の意思でカードを渡した場合、システムは正規の解錠として記録します。履歴には貸した側の名前が残り、実際に入った人の名前は残りません。生体認証を混ぜると貸与はできなくなりますが、費用と運用の負担が上がります。ここでも、貸与を禁じる規程と、記録を定期的に見ていることの周知が土台になります。

第三が別の経路です。窓、天井裏、パーティションの上、他社と共用する天井空間などは、扉の錠と無関係に通れます。情報セキュリティ管理基準の7a-7.1.1は、境界に隙間がなく容易に侵入できる箇所がないこと、要員が不在のときには扉と窓を施錠すること、一階の窓については外部からの保護を考慮すること、換気口の位置も考慮することを挙げています。パーティションで区切っただけのサーバー室は、天井裏が抜けていれば境界として機能しません。

情報セキュリティ管理基準7a-7.1.1は、情報処理設備を収容した建物又は敷地が物理的に頑丈な境界をもつこと(境界には隙間がなく、又は容易に侵入できる箇所がないこと)を挙げ、敷地内の屋根、壁、天井及び床を堅固な構造物とし、外部に接する全ての扉をかんぬきや警報装置や錠などの開閉制御の仕組みによって認可されていないアクセスから適切に保護するとしています。要員が不在のときには扉及び窓を施錠し、窓(特に一階の窓)については外部からの保護を考慮し、換気口の位置も考慮するとしています。

第四が、正規の権限を持つ人による持ち出しです。入る権限のある人が、入る権限のある時間に入り、持ち出す。この経路は入退室管理では止まりません。記録は「その時間に誰がいたか」を示すだけで、何を持ち出したかは示さないためです。ここを補うのは、書類と媒体の施錠保管、機器の持ち出し管理、システム側の操作ログ、そして監視カメラです。

情報セキュリティ管理基準の7a-7.4は、施設を認可していない物理的アクセスについて継続的に監視することを管理策とし、監視カメラなどのビデオ監視システムや侵入者警報、警備員を手段として挙げています。扉の記録とカメラの映像は、片方だけでは判断できない場面を互いに補います。

あわせて読みたい

屋外用と屋内用で見る家庭用防犯カメラの選び方

あわせて読みたい

内部不正による情報持ち出しを機会と動機の両面から抑える統制の作り方

賃貸物件で確認しておくこと#

賃貸オフィスでは、扉と壁は自分のものではありません。工事の可否と原状回復の範囲は、賃貸借契約で決まります。

国土交通省の「原状回復をめぐるトラブルとガイドライン」は、民間賃貸住宅を対象にした文書であり、事務所の賃貸借を直接扱うものではありません。ただし、そこに書かれた考え方の前提は参考になります。同ガイドラインは、民間賃貸住宅の賃貸借契約について、契約自由の原則により民法や借地借家法等の法令の強行法規に抵触しない限り有効であるとし、原状回復の内容や方法等は最終的には契約内容や物件の使用の状況等によって個別に判断、決定されるべきものだと述べています。事務所の場合も、まず契約書を読むところから始まります。

国土交通省が公開している「原状回復をめぐるトラブルとガイドライン」(再改訂版)は、民間賃貸住宅の退去時における原状回復にかかるトラブルの未然防止を目的とした文書です。本文は、民間賃貸住宅の賃貸借契約について契約自由の原則により民法や借地借家法等の法令の強行法規に抵触しない限り有効であるとし、本ガイドラインは使用を強制するものではなく、原状回復の内容や方法等については最終的には契約内容や物件の使用の状況等によって個別に判断、決定されるべきものであるとしています。

確認する項目は次のとおりです。扉への穴あけが可能か、共用部の壁に配線を通せるか、電源をどこから取るか、退去時に何をどこまで戻すか、そして建物側の入退室管理システムと併存させられるか。ビルによっては、エントランスに管理会社のシステムが入っており、専有部だけ別のシステムを入れると社員が二枚のカードを持つことになります。管理会社のシステムに相乗りできるかを最初に聞いておくと、選択肢が変わります。

原状回復を軽くしたい場合は、扉に穴を開けない後付け型と、既存のサムターンにかぶせる方式が候補になります。粘着で固定する製品は、剥がしたときの塗装の状態が問題になり得るため、退去時の扱いを事前に管理会社と話しておきます。

あわせて読みたい

スマートロックの選び方を物理と通信の両面から整理する

費用の内訳と段階的な入れ方#

見積もりを比べるときは、金額の総額だけでなく内訳の項目を揃えます。入退室管理の費用は、機器代、施工費、カードなどの媒体代、そして継続費用の四つに分かれます。

機器代は、リーダー、制御器、電気錠、電源の合計です。制御器の登録数と履歴件数の上限が価格帯と連動するため、人数と扉の数から必要な仕様を先に決めます。施工費は、扉の加工、配線、電源工事、そして建物側の調整で変わります。既設扉に面付けするのか、錠前を交換するのか、壁に配線を通すのかで幅が出ます。

媒体代は、カードの枚数と再発行の頻度で効いてきます。紛失時の再発行が有償か、予備を何枚持つか、退職者から回収したカードを再利用するかを決めておきます。継続費用は、クラウド型なら月額の利用料、機器を買い切る構成なら電池代と保守の費用です。

段階的に入れる場合の順序は、扱っている情報の重みで決めます。サーバーと個人データを置いている部屋から先に固め、次にオフィスの入口、最後に会議室や倉庫という順序が素直です。個人情報保護委員会のガイドラインが管理区域と取扱区域を分けているのは、この優先順位の付け方と同じ発想です。

導入前に確認する項目#

記録が残っている状態を保つための順序#

入退室管理の選び方をひとつの筋にまとめると、扉の前に区域の設計があり、区域の前に守る対象があります。どの部屋に何があるかを決めないまま機器を選ぶと、通行の負担だけが増えて記録は使われないままになります。

機器の側で外せない確認は三つです。停電したときにその扉がどうなるか、記録が何件残ってどう読み出せるか、そしてカードの認証がどの方式で行われるか。美和ロックが停電時の動作を三分類で説明し、ID照合ユニットの製品ページに登録数と履歴件数を明記し、固有番号だけを見る運用の限界まで注記しているのは、いずれも導入後に取り返しにくい項目だからです。

法令の側で外せないのは、避難の確保です。建築基準法施行令第125条の2が求める「屋内からかぎを用いることなく解錠できる」という条件は、防犯の都合で緩められるものではありません。施錠を強くする設計と、非常時に出られる設計は両立できますが、両立させるための確認は着工前にしか行えません。図面を持って消防と管理会社と施工業者に相談する手間を先に払うほうが、後から手戻りするより軽く済みます。

そして最後に残るのが、記録を使う人がいるかどうかです。誰も見ない履歴は、容量を消費するだけの記録になります。月に一度、深夜と休日の入退室を眺める時間を決め、気になる記録があれば本人に確認する。この習慣があってはじめて、扉に付けた機器が統制として働きます。個人データを扱うなら、保存期間を利用の必要性から決め、必要がなくなったものは遅滞なく消去するよう努めるという法の考え方に沿って、残す期間も同時に決めておきます。記録を長く持つことと、記録を適切に扱うことは別の話です。