物理的管理策は14項目。93管理策の約15%です。そして、ISMS構築で最も「うちには関係ないのでは」という声が上がる領域でもあります。
実際、その感覚は半分正しい。自社オフィスを持たないフルリモート組織、自社サーバを1台も持たないクラウド専業のSaaS事業者にとって、14項目の相当部分は適用除外か、委託先管理への振り替えになります。問題は、その「相当部分」がどこまでで、振り替えた先で何を示さなければならないのかが、規格を読んだだけでは見えにくいことです。
本記事では、14項目を5グループに整理したうえで、オフィスがある組織／ない組織／自社設備がない組織の3パターンでそれぞれどう扱うかを書きます。ヘルスケアSaaS事業者のように、自社は身軽でも顧客が医療機関という立場では、「うちにはオフィスがないので物理は対象外です」という説明が通らない場面があります。そこも含めて整理します。
全体像は 附属書A 2022年版｜93管理策と4テーマの全体像 をご覧ください。
免責：本記事は一般的な情報提供です。管理策の題名・要求の本文は規格の正文に記載されています。本記事では著作権に配慮し、逐語の引用はせず、要求の趣旨を当社の言葉で説明しています。適用除外の可否は審査機関の判断によります。実際の適用判断は ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料に基づいて行ってください。
14項目を5つのグループで捉える
| グループ | 狙い | 実務での主な成果物 |
|---|---|---|
| ① 境界と入退 | 情報や設備がある場所への物理的な侵入を防ぐ | 区画図（境界の定義）、入退管理手順、入退記録、来訪者記録、監視の記録 |
| ② 環境脅威と支援設備 | 火災・水害・停電・配線障害から守り、設備を維持する | 環境リスク評価、電源・空調の要件、ケーブル管理、保守記録 |
| ③ 執務エリアでの振る舞い | 人が居る場所での漏えいを防ぐ | セキュアエリアでの作業ルール、クリアデスク・クリアスクリーン規程 |
| ④ 装置と社外持ち出し | 機器そのものと、社外に出る機器を守る | 機器設置基準、持ち出し申請・記録、モバイル端末の要件 |
| ⑤ 媒体と廃棄 | 情報が載った物体のライフサイクルを閉じる | 記憶媒体管理台帳、持出・廃棄手順、廃棄証明書 |
物理的管理策の本質は、「情報が物体に載っている間のリスク」を扱うことです。サーバラックの中、紙の上、USBメモリの中、ノートPCのSSDの中。情報がどの物体に載り、その物体がどこにあるかを追えていれば、14項目の大半は自然に埋まります。
パターン1：自社オフィスがある場合
最も素直なケースです。オフィスに執務スペースがあり、書類キャビネットがあり、ネットワーク機器があるなら、5グループすべてが適用対象になります。
① 境界と入退では、まず境界をどこに引くかを決めます。ビル全体か、自社フロアか、フロア内のさらに区画か。医療情報を扱うサーバや、顧客データを印刷した書類を保管する区画があるなら、そこを一段厳しい区画として二重に定義するのが実務的です。入退記録は、カードキーのログがあればそれで足ります。来訪者については、受付記録と入館証の運用、そして同行者なしで執務エリアに入れないというルールを明文化します。
「監視」の管理策は、必ずしも防犯カメラを意味しません。カメラ、警備員、入退ログのレビューのいずれか、あるいは組み合わせで、不正な物理アクセスを検知する仕組みがあることが趣旨です。小規模オフィスなら、施錠管理と入退ログの月次レビューで説明できるケースがあります。
③ クリアデスク・クリアスクリーンは、規程に書くのは簡単ですが、審査時の実地確認で最も直接的に見られる項目です。審査員がオフィスを歩き、離席中のPCがロックされていないのを見れば、それは即座に指摘の対象になります。規程を書いた後、実際に運用を定着させる時間を見込んでおいてください。
⑤ 媒体と廃棄では、紙とUSBメモリの扱いを決めます。ヘルスケア事業者でありがちなのは、顧客からのデータ移行をUSBメモリや外付けHDDで受け取る運用です。これがあるなら、受領・保管・返却・消去のプロセスを台帳で追える状態にしておく必要があります。廃棄は、シュレッダーまたは溶解処理（紙）、物理破壊または適切な消去（電子媒体）で、廃棄証明書を残すのが基本です。
パターン2：オフィスを持たないフルリモート組織
ここからが本題です。自社で賃借する執務スペースがなく、全員が自宅またはコワーキングスペースで働いている組織の場合、14項目はどう扱うか。
結論から言うと、「境界」系は適用除外にできる可能性が高く、「装置」「媒体」「振る舞い」系は残ります。そして残った部分は、人的管理策のリモートワークと接続して説明します。
| グループ | フルリモート組織での典型的な扱い | 説明の仕方 |
|---|---|---|
| ① 境界と入退 | 適用除外が成立しやすい | 自社が管理する物理的施設を持たないため。ただし後述の但し書きに注意 |
| ② 環境脅威と支援設備 | 適用除外、または委託先管理へ振替 | 該当設備を保有せず、サービス基盤はクラウド事業者の管理下にあるため |
| ③ 執務エリアでの振る舞い | 残る（リモートワーク規程で吸収） | 在宅・コワーキングでの画面・書類の扱いとして規定 |
| ④ 装置と社外持ち出し | 残る（むしろ重要度が上がる） | 貸与端末は常に「社外」にある。紛失・盗難対策が中心 |
| ⑤ 媒体と廃棄 | 残る（縮小はする） | 紙を扱わないなら一部除外。貸与端末の返却時消去は必ず残る |
「オフィスがない」で除外するときの注意点
2つ、落とし穴があります。
ひとつは、コワーキングスペースやシェアオフィスを常用している場合。 法人契約で固定席を借りている、ロッカーを借りて書類や機器を保管している、といった状況があるなら、それは事実上の自社管理区画です。完全な除外は難しく、「利用するファシリティに求める条件」を規程に書く形での対応になります。
もうひとつは、登記上の本店所在地です。 バーチャルオフィスであっても、そこに郵便物が届き、契約書の原本が保管されているなら、その場所の物理的な管理は説明の対象になり得ます。「本店所在地では情報資産を保管しない」と決め、実際にそう運用しているのであれば、その旨を書けば足ります。
残る部分をリモートワーク規程に吸収する
フルリモート組織で最も重要なのは、④装置と③振る舞いを在宅勤務の文脈で具体化することです。次の項目を規程に落とし込めば、物理的管理策の実質的な要求はおおむね満たせます。
- 作業環境の条件：第三者から画面が見えない位置、離席時の画面ロック、家族・同居人への配慮
- 貸与端末の要件：ディスク暗号化、画面ロックの自動起動時間、リモートワイプの可否
- 持ち運び時の条件：公共交通機関での作業可否、カフェ等での利用条件、端末を車内に放置しない等
- 紛失・盗難時の手順：報告先、報告期限、端末の遠隔ロック/消去の実施者
- 印刷と廃棄：自宅での印刷の可否、認める場合の廃棄方法（家庭用シュレッダーの要件等）
- 返却時の消去：退職・機器更改時の初期化と、その記録
リモートワークの管理策そのものは人的管理策側にあります。詳細は 人的管理策8項目の読み方 をご覧ください。
パターン3：自社設備を持たないクラウド専業事業者
サービス基盤をすべてクラウド（IaaS/PaaS/SaaS）で構成し、自社データセンターもサーバラックも持たない事業者の場合、②環境脅威と支援設備、①境界の一部は委託先管理に振り替えます。
このとき、適用宣言書に「該当なし」とだけ書くのは不十分です。「クラウド事業者が管理しており、その管理状況を自社が確認している」ことまで示すのが正しい形です。具体的には次の3点を揃えます。
- 事業者の選定理由：物理セキュリティを含む管理水準を選定時に評価したこと
- 確認の根拠：事業者が公開している第三者認証（ISO/IEC 27001、ISO 27017、SOC 2 等）の取得状況と、その有効期限
- 継続的な確認：年1回など定期的に認証の有効性やサービス条件の変更を確認する運用と、その記録
3番目が抜けている組織が多い。取得時に一度確認しただけで、その後見ていないという状態は、委託先の監視という組織的管理策側の要求にも引っかかります。年次の委託先レビューの中に「認証の有効期限確認」を項目として入れておけば、両方まとめて満たせます。
委託先管理の実務は 組織的管理策37項目の読み方 と 外部委託先管理｜チェックシートと契約条項 で扱っています。
医療機関の顧客からは別の質問が来る
ここが、ヘルスケア事業者に固有の論点です。自社が身軽であることと、顧客である医療機関の要求に答えられることは別です。
医療機関は3省2ガイドラインに基づいて委託先を評価するため、次のような質問が実際に来ます。
- 医療情報が保存される物理的な所在地はどこか（国内か、リージョンはどこか）
- データセンターの物理的セキュリティはどう担保されているか
- バックアップの保管場所と、その物理的な保護はどうなっているか
- 事業者が撤退・障害した場合のデータの取り出しはどうなるか
これらは自社の適用除外の話とは独立に、答えを用意しておくべき質問です。適用除外の理由を書くのと同じ作業の中で、「顧客に説明する版」も作っておくと二度手間になりません。医療機関側の視点は 医療機関のクラウドセキュリティ、責任分界の考え方は 責任共有モデルで考えるAI電子カルテのセキュリティ設計 を参照してください。
なお、データの保存場所（国内リージョンか否か）は3省2ガイドラインの文脈で論点になることがあります。制度の基礎は 3省2ガイドラインとは をご覧ください。
適用除外をどう書くか
物理的管理策の適用除外は、書き方が悪いと審査で追加質問を呼びます。押さえるべきは**「事実」と「代替」をセットで書く**ことです。
| 悪い書き方 | 良い書き方 |
|---|---|
| 該当なし | 適用範囲内に自社が管理する物理的施設が存在しないため不採用。従業者の作業環境は「リモートワーク規程」で規定し、貸与端末の保護は装置関連の管理策で対応する |
| クラウドを使っているため対象外 | サービス基盤の設置設備は委託先の管理下にあるため自社では不採用。委託先の物理セキュリティは選定時評価および年次レビューで確認する（委託先管理規程 第X条） |
| 紙を扱わないため不要 | 業務上、紙媒体および可搬記憶媒体を取り扱わないため不採用。例外的に発生する場合の手続は「情報取扱規程」に定める |
良い書き方に共通するのは、不採用の事実根拠と、そのリスクをどこで受け止めているかの参照先が書かれていることです。「書いていない」ではなく「ここに書いてある」と示せれば、審査は先に進みます。記載の型は 適用宣言書（SoA）の書き方 にまとめています。
まとめ
- 物理的管理策14項目の本質は、情報が物体に載っている間のリスクを扱うこと
- 5グループのうち、フルリモート組織で残るのは③振る舞い・④装置・⑤媒体。境界と設備は除外か振替になりやすい
- 除外の落とし穴はコワーキングスペースの常用と登記上の本店所在地。完全な「施設なし」は意外に成立しにくい
- 残った部分はリモートワーク規程に具体化して吸収する。端末の暗号化、紛失時の手順、返却時の消去まで
- クラウド専業なら、選定理由・第三者認証の確認・年次の継続確認の3点セットで委託先管理に振り替える
- 自社の適用除外とは別に、医療機関から来る物理に関する質問への回答を用意しておく
- 適用除外は「該当なし」では足りない。事実根拠と代替の参照先をセットで書く
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。物理的管理策は、事業構造によって適用範囲が大きく変わる領域です。オフィスの有無・クラウド構成・媒体の取扱いを整理したうえで、適用宣言書の除外理由と、顧客説明用の資料を同時に作る進め方をご提案できます。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。
全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド、技術側の対応は 技術的管理策34項目の読み方 をあわせてご覧ください。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- ISO/IEC 27002 Information security controls｜ISO
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- テレワークセキュリティガイドライン｜総務省
※適用除外の可否は審査機関の判断によります。管理策の解釈は規格の改定や審査機関の運用によって変わり得ます。最新の取扱いは規格本文および認定機関・審査機関の公表資料をご確認ください。