情報セキュリティ管理士 物理的セキュリティとBCPの対策

物理的セキュリティは、建物・部屋・機器・紙や媒体 を、盗難・のぞき見・破壊・災害から守る対策です。どんなに強い暗号やパスワードを使っても、サーバを持ち去られたり、画面をのぞかれたりすれば情報は漏れます。ISMS の管理策の規格（ISO/IEC 27002:2022）でも、管理策の4つの分類の一つが「物理的管理策」です。

ゾーニング は、敷地や建物を、誰でも入れる区画、社員だけが入れる区画、サーバ室のように限られた人だけが入れる区画、というように分け、内側に行くほど認証を強くする 考え方です（当サイトの整理）。受付や打合せ室は外側に、重要な情報を扱う部屋は奥に置き、部外者が重要な区画を通り抜けないように配置します。

4択では、「アンチパスバックは入室時に2つの認証を求める仕組みである」のように、多要素認証やインターロックと入れ替えた説明 が作られやすい点に注意してください（当サイトの作問の観点）。アンチパスバックの本質は、入退室の記録の整合性で不正な通過を見つける ことです。

• クリアデスク：離席時や退社時に、書類や媒体を机の上に出しっぱなしにせず、施錠できる場所にしまう。
• クリアスクリーン：離席時は画面をロックし、一定時間操作がなければ自動でロックされるようにする。
• のぞき見の防止：来訪者から見える位置にモニタを置かない、のぞき見防止のフィルタを使う。
• 廃棄：書類はシュレッダー、記憶媒体は物理的な破壊や専用のソフトによる消去を行い、廃棄の記録を残す。
• 印刷物：プリンタに出力を放置しない。認証してから印刷が始まる仕組みも有効。
• 機器の固定：ノートPC をワイヤーロックで固定し、持ち去りを防ぐ。

人の操作ミスを仕組みで防ぐ考え方（フールプルーフ）は、自動で画面がロックされる設定などにも当てはまります。フールプルーフとはも参考にしてください。

ノートPC やスマートフォンは、持ち出せるからこそ便利で、持ち出せるからこそ紛失と盗難の危険があります。持ち出す前・持ち出している間・なくしたとき の3つの場面で対策を考えます（当サイトの整理）。

遠隔でのロックや消去は、MDM（モバイルデバイス管理）などの仕組みで行います。ただし、命令は端末が通信できるときにしか届きません。暗号化は、通信できない状態で拾われても中身を読まれない対策 なので、遠隔消去とは役割が違います。詳しくはMDMとMAMの違いへ。

設備やシステムの障害への備えは、止まらないようにする（冗長化） と、止まっても戻せるようにする（バックアップ） の2本立てです。

冗長化の効果は稼働率で考えられます。稼働率0.9の装置を2台並列にし、どちらかが動いていればよい構成なら、全体の稼働率は 1 −（1 − 0.9）×（1 − 0.9）= 0.99 です。直列（両方が必要）なら 0.9 × 0.9 = 0.81 に下がります。

「冗長化していればバックアップは不要」は誤りです。誤って消したデータや、ランサムウェアで暗号化されたデータは、冗長化した側にもそのまま反映されることがあるからです。

内閣府の「事業継続ガイドライン」（令和5年3月）は、BCP を、災害などのときに重要業務が中断しないこと、中断しても目標復旧時間内に重要な機能を再開させることで企業を守るための経営戦略として説明しています（2026年9月27日確認）。計画書だけでなく、訓練や見直しを含む管理の全体を BCM（事業継続マネジメント）と呼ぶこともあります。

同ガイドラインでは、事業影響度分析（BIA） で優先して続けるべき重要業務を選び、どのくらいの時間で復旧させるか（目標復旧時間、RTO）と、どの水準まで復旧させるか（目標復旧レベル、RLO）を決めます。

RPO が短いほど、バックアップや複製を頻繁に行う必要があり ます。RPO を「1時間」にしたいのに、バックアップが1日1回では目標を満たせません。RTO と RPO の入れ替えは4択の定番です。T は Time（時間の長さ）、P は Point（戻す時点） と覚えてください。

BCP は作って終わりではなく、訓練で手順を試し、結果を踏まえて見直します。BCP の全体像はBCP（事業継続計画）とはでも扱っています。

入退管理で使われるアンチパスバックの説明として、最も適切なものはどれか。

1. 1入室のときに、IC カードと暗証番号の2つを組み合わせて本人を確かめる仕組み
2. 2入室の記録がない ID では退室できないようにし、共連れを見つける仕組み
3. 3片方の扉が閉まるまで、もう片方の扉が開かないようにする二重扉の仕組み
4. 4来訪者に入館証を貸し出し、社員の付き添いなしでは入れないようにする仕組み

正解：2。アンチパスバックは、入退室の記録の整合性を確かめ、入室の記録がないまま退室しようとする ID などを止めることで、共連れによる通過を見つけ出します。

1 は多要素による入室認証、3 はインターロックゲート（二重扉）、4 は来訪者の管理の説明です。どれも入退管理の対策ですが、アンチパスバックとは仕組みが違います。

事業継続の計画で使われる RPO（目標復旧時点）の説明として、最も適切なものはどれか。

1. 1障害が起きてから、業務を再開するまでに許される時間の目標
2. 2業務を再開したときに、通常の何割の水準で動かすかという目標
3. 3障害の後に、どの時点の状態までデータを戻せればよいかという目標
4. 4業務が止まったときの影響を分析し、重要業務の優先順位を決める作業

正解：3。RPO は、停止の後にどの時点までデータを戻す必要があるかの目標です。RPO を短くするほど、バックアップを頻繁にとる必要があります。

1 は RTO（目標復旧時間）、2 は RLO（目標復旧レベル）、4 は BIA（事業影響度分析）の説明です。

オフィスでの対策のうち、「クリアスクリーン」に当たるものとして最も適切なものはどれか。

1. 1離席するときは画面をロックし、一定時間の無操作で自動的にロックされるよう設定する
2. 2退社するときは、机の上の書類や記憶媒体を施錠できる引き出しにしまう
3. 3不要になった紙の書類は、細かく裁断するシュレッダーで処分する
4. 4サーバ室の入口に、1人ずつしか通れないゲートを設置する

正解：1。クリアスクリーンは、画面に情報を表示したまま離れないようにする対策です。自動ロックの設定は、ロックし忘れを仕組みで防ぎます。

2 はクリアデスク、3 は書類の安全な廃棄、4 は共連れを防ぐ入退管理の対策です。

物理的対策の問題は、「どこで（建物・オフィス・外出先）」「何から守るか（侵入・のぞき見・紛失・災害）」 で整理すると、選択肢を切りやすくなります。BCP は RTO・RLO・RPO・BIA の4語の違いを言えるかを確かめてください。

登録不要の無料お試し20問で本番の形（○×と4択）を確かめ、章別ドリルは対策ページから。人の対策は第4章で扱っています。