ISMS(ISO27001)の具体的なセキュリティ対策！厳選した４つを紹介

ISMS（ISO/IEC 27001）で実施するセキュリティ対策は、規格を一律に指定するものではなく、自社が抱えるリスクに応じて選んで実施するものです。

ISMS（情報セキュリティマネジメントシステム）は、情報を守るための取り決めを組織として決め、運用し、見直していく仕組みです。用語そのものの解説は別記事にまとめています。
ISMSとは

規格の条文を開いても、この機器を入れなさいという指定は出てきません。決まっているのは、守る対象を洗い出し、リスクを評価し、選んだ対策と選ばなかった理由を説明できる状態にしておくという手順のほうです。同じ業種であっても、扱う情報と職場の環境が違えば、必要な対策は変わります。

その対策を整理する枠が、①技術的な対策、②物理的な対策、③人的な対策の3つです。3分類の一覧と自社での確認ポイントは、この後の表にまとめています。詳しく扱うのは、この後に並ぶ4つの対策です。監視カメラの扱いも、その中で答えを出します。

同じ対策でも、どの水準で実施するかは会社ごとに変わります。鍵の貸出簿で足りる会社もあれば、エリアごとに入室権限を分ける会社もあります。この記事では主な対策ごとに、最小限・標準・手厚いの3水準を並べました。自社に合う水準を選ぶための材料として使ってください。

1.ISMS（ISO/IEC 27001）で求められるセキュリティ対策とは

セキュリティ対策の内容を決めているのは、規格と自社のどちらなのか。規格側に必要なものは、対策を選ぶまでの手順と、選んだ結果を説明できる状態にしておくということです。どの機器を導入し、どこまで実施するかは、自社が決めます。

規格が決めていること	自社が決めること
守る対象を特定し、リスクを評価する手順を持つこと	どの情報資産を対象にするか
実施する対策と、実施しない判断の理由を説明できる状態にすること	どの対策を、どこまで実施するか
決めたことを運用し、記録を残し、見直すこと	誰がいつ実施し、どの形式で記録するか

要求事項そのものの読み方は、規格の条文に沿って解説した記事があります。

⑴セキュリティ対策の内容は自社のリスクから決まります

顧客の個人情報を大量に預かる会社と、自社データだけを扱う会社では、守る対象も、失ったときの影響も違います。規格が具体的な対策を一律に列挙していないのは、この違いを前提にしているためです。

洗い出したリスクへの向き合い方も、1つではありません。対策を打って起こりにくくする、その業務のやり方自体をやめて原因を断つ、影響が小さいと判断してそのまま受け入れる。この3つのどれを選ぶかは自社の判断で、選んだ理由を残しておけば、対策を実施しないという結論も成り立ちます。

実施すると決めた対策についても、どの水準で実施するかという幅があります。この記事で紹介する対策例は、自社に当てはめて取捨選択する前提で読んでください。

⑵セキュリティ対策を選ぶときに参照するのが附属書A

自社のリスクに打つ手を考えるとき、抜け漏れの確認に使うのが附属書Aです。規格に定められている管理策の一覧で、自社の対策と突き合わせる参照リストとして使えます。構造と使い方は、専用の記事で詳しく扱いました。

どれを実施対象に選ぶかという手順は、別記事にまとめています。

⑶セキュリティ対策が守っているのは情報資産です

対策は、情報資産を守るために実施します。情報資産とは、顧客名簿、契約書、設計データ、それらを保管しているサーバーや端末、紙の書類などを指します。守れているかどうかを見るときの観点が、情報セキュリティの3要素です。機密性、完全性、可用性という3つの観点の内容は、情報セキュリティの3要素の記事にあります。

2.セキュリティ対策の全体像を技術的・物理的・人的の3つで棚卸しする

自社に足りない対策を見つけるときは、対策を3つの分類に振り分けて並べます。技術で守れるもの、建物と設備などで物理的に守れるもの、人の行動による人的なものの3つです。分類ごとに自社の対策を見ていくと、どこが手薄かに気づけます。

#	分類	守る対象	代表的な対策の例	自社での確認ポイント
①	技術的な対策	システムとその中のデータ	アクセス権の管理、ログの取得と監視、ソフトウェアのインストール制限、マルウェア対策、バックアップ	権限の付与と削除を承認する人が決まっているか。ログを見る人と頻度が決まっているか
②	物理的な対策	建物、エリア、機器、紙の書類	執務エリアの区分、入退室の記録、施錠、監視カメラ、書類と記録媒体の保管	誰がいつ執務エリアに入ったかを後から確認できるか。書類の保管場所が決まっているか
③	人的な対策	情報を扱う人	雇用時の取り決め、権限の見直し、退職時の返却と削除、教育、事故の報告経路	退職時に貸与品の返却と権限削除を行う手順があるか。事故の連絡先を全員が知っているか

この3分類は、実務で対策を整理するときに使う分け方です。規格の附属書Aは、これに1つ加えた4つの区分で管理策を並べています。それが、組織的管理策、人的管理策、物理的管理策、技術的管理策の4つです。

⑴この記事で詳しく扱う4つの対策

上の表の中でも、実施の要否と対策実施水準の両方で判断が分かれやすいのは次の4つです。

• ログの取得と監視（①技術的な対策）
• ソフトウェアのインストール制限（①技術的な対策）
• 入退室管理と監視カメラ（②物理的な対策）
• 退職時の権限削除と貸与品の返却（③人的な対策）

どれも、導入したかどうかだけでは運用の実態を示せず、決めた水準・ルール通りに動いた記録とセットで説明することになる項目です。水準の幅については、対策ごとに表で示します。表に挙げた残りの対策は、4つを見た後にまとめて扱います。

⑵ログの取得と監視（①技術的な対策）

取得ログを、最後にチェックしたのはいつでしょうか。取得の設定と、確認する人と頻度は、セットで決める項目です。誰もチェックしていないログは、異常が起きたときに気づける仕組みとしては説明できません。

取得の対象になるのは、サーバーやファイル共有への接続、管理者権限での操作、外部へのデータ持ち出しなどです。すべてを人の目で追うことはできないので、確認する対象を絞り、いつ誰が確認したかを残す形にします。保存期間も自社で決め、決めた期間を規程に書きます。

どこまで取り、どこまで見るかは、次の3水準で考えると選びやすくなります。

レベル	やり方	向いている会社
最小限	主要なサーバーとファイル共有のログを取得し、消えない場所に保管する	業務システムが少なく、扱う情報の量が限られるなら、ここから始められます
標準	取得の対象を一覧にし、確認する人と頻度を決めて、確認した日と確認者を記録に残す	複数のシステムを使い、担当者が分かれている会社向けです
手厚い	管理者権限の操作や外部への持ち出しを検知の対象にし、通知の条件と対応の手順まで決める	システムの運用を外部に委託している場合の選択です。通知の条件まで決めておくと、事故のときに動けます

保存期間を何か月にするかも組織によって決めることができます。

JPCERTコーディネーションセンターは、ログの保存期間を1年以上にすることが望ましいとし、ひとつの参考値として1年分のログを保存することを推奨しています。長期保存の費用を抑える方法としては、直近3か月をハードディスクなどのオンラインの媒体に置き、3か月を過ぎたものをテープや光ディスクなどのオフラインの媒体に移す運用を挙げています（JPCERT/CC「高度サイバー攻撃への対処におけるログの活用と分析方法」 ）。

当社が支援した企業では、短い会社で3か月、多いのは1年から2年という幅があります。扱う情報の重要度と、保存にかかる費用を見比べて決め、決めた期間をルールとして運用を行ってください。

3.ソフトウェアのインストール制限（①技術的な対策）

業務で使う端末に従業員が自由にソフトウェアを入れられる状態では、脆弱性と情報の持ち出しのリスクが高まります。どこまで制限を掛けるかは、端末の台数と使われ方によって決めます。

レベル	やり方	向いている会社
最小限	業務で使うソフトウェアを一覧にし、私物のソフトをインストールしないことを規程に書いて周知する	私物のパソコンを業務に使わない運用であれば、まずはこの段で十分です。台数が増えた時点で次に移ります
標準	ソフトウェアの申請と承認の手順を決め、利用者のアカウントから管理者権限を外す	端末が複数の拠点に分かれている、入退社が頻繁に発生する組織の選択肢です
手厚い	資産管理ツールなどで導入状況を把握し、許可していないソフトのインストールを制限する	端末数が多い会社や、情報資産の取扱量が多い会社や、ルールの適用人数が多い会社では、検討する価値があります

どの水準の対策を選んだ場合も、許可したソフトウェアの一覧と、申請から承認までの仕組みが記録として残ります。導入の手順は、ソフトウェアの管理とインストール制限の記事で追えます。

4.入退室管理と監視カメラ（②物理的な対策）

監視カメラも生体認証も、設置するかどうかは自社のリスクアセスメントの結果によって決まります。審査で確認されるのは、設備が入っているかどうかより、適用範囲のエリアをどう分けて、どのようなルールで運用しているかを説明できるかどうかです。

求められていることはすべての入退室を監視することではなく、リスクに応じた入退室管理です。規格の附属書Aにも、物理的な監視に当たる管理策があります（JIS Q 27001:2025 附属書A 7.4 物理的セキュリティの監視）。表題にあるのは監視という行為で、監視カメラの名称は出てきません。どのような手段で監視するかは自社が決めます。

⑴執務エリアと来客エリアを分ける

記録の話に入る前に、まずは、エリアを定義することから始めます。誰でも入れる場所と、許可された人だけが入る場所を定義します。

エリア分けの例を挙げます。受付と応接室は来客が入るフリースペース、執務エリアは従業者だけが入るエリア、サーバーラックや書庫は権限を持つ人だけが入ることができるセキュリティエリアです。

エリアを定義づければ、対策はそのエリアとエリアの分かれるところを起点に考えることができます。ワンフロアで来客の入れるフリースペースと執務エリアが同じ空間になっている場合は、パーティションの設置や、PCやデスクの向きなどのレイアウト、書類の保管方法、離席時のルールで補います。

ワンフロアだからISMSが取得できない、ということではありません。ワンフロアであることのリスクを洗い出し、対策によってリスクを低減させることと、対策を行ったうえで発生してしまうリスクを受容するという考え方で対策を決定することが重要です。

⑵入退室の記録をどう残すか

入退室の記録は、生体認証がなくても成立します。電子錠のログ、社員証によるカードリーダーの記録、鍵の貸出簿、来訪者の受付簿でも、誰がいつ入ったかの証拠となります。

自社に合う方法は、そのエリアに情報資産をどのように保管しているかで選びます。生体認証は選択肢の1つで、これを導入していなくても認証は取得できます。

レベル	やり方	向いている会社
最小限	鍵の貸し出し者を決めて、最初入室者と最終退出者の名前と時間を記録する。	執務エリアが1室で、外部の出入りが少ないなら、この水準の運用でもリスクの低減が図れます。
標準	社員証でカードリーダーを通し、来訪者は受付簿と入館証で分ける	エリアが複数ある、来客があるといった会社で選ばれやすい水準です
手厚い	生体認証や監視カメラを併用し、エリアごとに入室できる人を分ける	エリアごとに機密度が違う場合の選択です。顧客データを大量に預かる会社では、ここまで求められることがあります

対策はすべてのエリアで同一にしないといけない決まりはないため、エリアごとに水準を変えても構いません。サーバー室だけ手厚い対策にして、執務エリア全体は標準にとどめるという組み合わせも組織の状況に合わせて選択も可能です。

⑶何を監視の対象にし、どこまで記録を残すか

物理的な監視の対策は、目的から手段を決めます。その場で意図しない来訪を気づき対処したいのか、後から追えればよいのか、事故などの緊急事態のときに状況を確認したいのかで、必要になるものが変わるためです。

目的	手段の例	残る記録
権限のない人の立ち入りに気づく	施錠、警報装置、受付での確認、エリアごとの入室権限	警報の発報記録、来訪者の受付簿
後から誰が入ったかを追う	電子錠のログ、カードリーダーの記録、鍵の貸出簿	入退室の履歴
事故が起きたときに状況を確認する	監視カメラの録画	録画データ、閲覧した記録

どこまでやれば足りるかは、そのエリアに保管している情報資産の重要度で決めるとよいでしょう。

顧客データを保管しているサーバー室と、備品を置いている倉庫に、同じ水準の監視を掛ける必要はありません。エリアごとにどこまで守るかを決め、それに応じた手段を選び、選んだ理由をリスクアセスメントの記録に紐づけておくと、社内でも審査でも説明ができます。

⑷監視カメラは必須か

必須ではない、というのがこの記事の答えです。監視カメラの設置をすべての会社に一様に義務づける決まりはありません。リスクアセスメントの結果として必要と判断すれば設置し、他の手段で同じ目的を果たせるなら、そちらを選んでも構いません。判断の目安を挙げます。

自社の状況	カメラの設置を検討する理由	設置しない場合の代替策
執務エリアに外部の人が出入りする	入口での不審な出入りを後から確認できる	受付での本人確認と入館証、来訪者に同行する運用
サーバーや金庫を置いたエリアがある	立ち入りの事実と時刻を映像で確認できる	電子錠のログ、エリアの施錠、入室権限の限定
夜間や休日に無人になる	無人時間帯の異常を後から確認できる	警備会社との契約、警報装置、最終退出者の確認記録
小規模で全員が顔見知り、来客がない	検討の優先度は下がる	施錠と鍵の貸出記録、書類の保管場所の限定

⑸カメラを設置するなら決めること

リスクアセスメントの結果として、監視カメラの設置を決めたら、機器を選ぶ前に運用のルールを決めます。決める項目は4つです。

• 設置場所と撮影する範囲（執務エリア全体を撮るのか、入口と限られたエリアに絞るのか）
• 録画データの保存期間と、期間を過ぎたデータの扱い
• 録画を閲覧できる人の範囲と、閲覧するときの手続き
• 設置の目的の掲示と、従業者への周知

保存期間は自社で決めて規程に書き、その通りに運用してください。当社が支援した企業で多いのは、短い会社で3か月、長い会社でも1年以内、平均すると半年以内という幅です。事故が起きてから気づくまでにどれくらいかかりそうかを想定し、この幅の中で決めると、期間の根拠を説明できます。

カメラの映像に人が写る場合、その取り扱いは個人情報の保護に関する法律の適用対象になり得ます。

防犯のために設置した従来型のカメラ、つまり撮影した画像から顔の特徴データを抽出しないものについては、個人情報保護委員会が扱いを示しています。

カメラの設置状況から防犯目的が明らかであれば「取得の状況からみて利用目的が明らかであると認められる場合」（法第21条第4項第4号）に当たり、利用目的の通知や公表は不要という整理です。そのうえで、カメラを設置していることを本人が容易に認識できるようにする措置として、店舗や施設の入口、カメラの設置場所への掲示を挙げています（個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」）。

実務では、防犯目的で撮影している旨を掲示する形が一般的です。撮影した画像から顔の特徴データを抽出する機能を使う場合は、外観から目的を判断できないため、利用目的の通知または公表が必要になります（同Q1-14）。保管と社外への提供の扱いは、この違いを踏まえて決めてください。

⑹事業所の形態によって、打てる手は変わります

自社ビルなのか、シェアオフィスなのか、工場を持つのかで、実施できる対策は変わります。シェアオフィスでは共用部の管理を自社で決められないので、ロッカーと施錠、PCなどの離席時のルールなどで補います。工場では、来訪者の動線と搬出入口の管理が加わります。シェアオフィスと工場の事情は、それぞれの記事で補ってください。

手順	やること	詳しく扱っている記事
1	情報資産を洗い出し、台帳にする	情報資産の洗い出し
2	資産ごとにリスクを評価する	リスクアセスメントの進め方
3	実施する管理策を選ぶ	管理策の選び方
4	選んだ結果と理由を文書にまとめる	適用宣言書

取得までの全体の流れの中で、この4つの手順がどこに来るかは、取得までの手順の記事が参考になります。

⑴どこまでやるかを決めるのは、自社の受容基準

「どこまでやれば足りるのか」への答えは、自社が決めたリスクの受容基準です。この水準までのリスクは受け入れる、これを超えたら対策を打つ、という線を先に引いておくと、対策の要否を1件ずつ悩まずに済みます。基準の決め方は、リスク受容基準の記事が詳しいです。

重要なのは、自社にとって最善の対策を実施することです。最高水準の対策をそろえることが目的ではありません。

8.よくある質問

監視カメラは必ず設置しなければならないのですか。

一律に設置が決まっているものではありません。リスクアセスメントの結果として必要と判断すれば設置し、施錠や入退室記録で同じ目的を果たせる場合は、そちらを選んでも構いません。設置しない判断をした場合は、その理由を記録に残してください。

中小企業でも、この記事に挙げている対策を全部やるのですか。

全部を実施する必要はありません。自社が扱う情報資産の重要度に応じて、実施するものと実施しないものを選びます。実施すると決めた対策も、鍵の貸出簿やチェックリストのような最小限の対策でもISMSの取得は可能です。

すでに導入しているセキュリティ製品で足りますか。

製品が入っていることと、対策として運用されていることは別に評価されます。導入済みの製品について、導入目的、設定内容、確認する担当者、確認の頻度が決まっていれば、それは対策として説明できます。

決めた対策は、一度決めたらそのままでよいのですか。

組織も扱う情報も変わるため、見直す前提で運用します。見直しの機会は3つあります。日常の運用で回す改善の流れ、年間の計画で実施する内部監査、対策が目的を果たしているかを測る有効性の評価です。それぞれの進め方は個別の記事にまとめています。

• ISO27001のPDCAサイクルとは？詳しく解説します！
• 【2026年最新】ISMS内部監査の進め方とチェックリスト｜ISO27001対応の手順を徹底解説
• ISMSの有効性評価を最大限に活かす！最適な実施タイミングと目的を徹底解説

パスワードの定期変更は必要ですか。

自社で決める項目です。規格は変更の頻度を定めていません。総務省は、サービスを提供する側がパスワードの定期的な変更を要求すべきではない旨が示されたとしたうえで、流出したときに速やかに変更する扱いを説明しています（総務省「安全なパスワードの設定・管理」／2026年8月25日取得）。期間を区切って変更を課すより、流出が疑われるとき、退職者が出たときといった変更する場面を決めておくほうが、運用は安定します。

クラウドサービスを使っている場合、対策の範囲はどこまでですか。

自社が管理できる範囲が対策の対象です。サービス側の設備は事業者が管理しますが、利用者アカウントの発行と削除、権限の設定、共有範囲の管理は自社の責任で行います。利用しているサービスの一覧と、それぞれの管理者を把握するところから始めてください。

対策の実施記録は、どこまで残せばよいですか。

決めた通りに実施したことを、第三者が後から確認できる粒度が目安です。実施した日、実施した人、対象、結果の4点が分かる形であれば、様式は自社で決めて構いません。記録の保存期間も自社で決め、ルールに定めましょう。

規格の版が変わったら、対策も変えるのですか。

版が変わっても、自社のリスクに応じて対策を選ぶという考え方は変わりません。参照する管理策の一覧が更新された場合は、自社で選んだ管理策と、選ばなかった理由を記載した文書の見直しが必要になります。改訂の内容は改訂を扱った記事にまとめています。
【2026年最新】ISO27001規格改訂の全貌を徹底解説！変更点から具体的な対応まで