Akerun(アケルン) | スマートロック
導入社数No.1の法人向け入退室管理

「経産省のガイドラインに対応する必要があるのは理解しているが、何から手をつければよいかわからない」——。

工場を持つ製造業のセキュリティ担当者の方から、こうした相談を受けることが増えています。経済産業省が2022年11月に公表した「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」は、製造業のサイバー・物理両面のセキュリティ対策の基本方針を示した重要文書です。さらに2026年度には「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」が開始され、2027年度以降、取引契約の要件として活用される見込みになっています。

つまり、これからの数年間で、製造業のセキュリティ対策は「やったほうがよいもの」から「取引を継続するために必要なもの」へと位置づけが変わります。2028年は、こうした制度が本格的に取引要件化されるタイミングの目安として、多くの製造業で意識すべきマイルストーンになっています。

本記事では、工場のセキュリティ対策の中でも見落とされがちな「物理セキュリティ」、特に入退室管理の観点から、ガイドラインへの対応として今やっておくべきことを整理します。

経産省ガイドラインが示す「物理セキュリティ」の位置づけ

経産省の「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」（以下、工場セキュリティガイドライン）は、サイバーセキュリティと物理セキュリティを一体で捉えた対策フレームワークです。

ガイドラインでは対策を「システム構成面」と「物理面」の両面で検討することが求められており、物理面については以下のように明記されています。

生産設備・制御システム等を物理的に守るもので、建物の構造、防火・防水の強化や、電源設備・制御システムの施錠管理、入退室管理、バックアップなど

つまり、ガイドラインの中で入退室管理は物理セキュリティの中核として位置づけられているのです。

工場のセキュリティというと、ファイアウォール・脆弱性対策・OTシステムの保護といったサイバー面が注目されがちです。しかし実際の脅威は、外部からの不正侵入による設備の破壊、退職者による持ち出し、清掃や保守の名目で侵入する第三者など、物理的なアクセスを起点とするものも多く存在します。サイバー対策だけを強化しても、物理面に穴があればそこから侵入されるため、両面の整備が不可欠です。

2028年に向けて意識すべき制度動向：SCS評価制度

工場のセキュリティ対策が「取引要件」になっていく流れの中心が、SCS評価制度（Supply Chain Security評価制度）です。

経済産業省と内閣官房国家サイバー統括室が2026年3月に公表した制度構築方針によれば、SCS評価制度は2026年度末頃の制度開始を目指し、★3（基礎水準）・★4（標準水準）・★5（高度水準）の3段階で企業のセキュリティ対策状況を可視化する仕組みです。

この制度の実務上の影響は次のとおりです。

• 2社間の取引契約において、発注元が「★3以上を保有している取引先のみ」といった条件を設定できるようになる

• 取引先選定や契約更新の段階で、評価マークの保有が判断材料となる

• 評価マークを取得していない企業は、新規取引・契約更新で不利になる可能性がある

★3は「サプライチェーン企業が最低限実装すべき対策」、★4は「機密情報を扱う企業が実装すべき水準」、★5は「重要インフラ等に関わる高水準」と位置づけられています。多くの製造業にとっては、★3または★4の取得が現実的な目標となります。

評価項目には、入退室管理を含む物理セキュリティに関する対策も含まれています。記録の取得、入退室権限の管理、退職者への対応など、ガイドラインで言及されている内容の一部が評価対象として整理されているため、ガイドラインへの対応はそのまま評価制度への備えになります。

取引要件化の流れは、すでに業界別ガイドラインで始まっている

SCS評価制度の本格運用を待つまでもなく、業界別のセキュリティガイドラインによる調達要件化はすでに進んでいます。

自動車業界：日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）が共同で「自工会／部工会サイバーセキュリティガイドライン」を公開しており、自動車関連の取引先には自己評価による対策水準の提示が広く求められています。

鉄鋼業界・医療機器業界：日本鉄鋼連盟、日本医療機器産業連合会など、複数の業界団体が同様のガイドライン策定や工場セキュリティガイドラインのレビューに参加しています。

個別企業の調達要件：取引先選定にあたり、独自のセキュリティチェックリストを求める発注元企業が増加しています。2022年2月、トヨタ自動車の取引先である小島プレス工業がサイバー攻撃を受け、トヨタの国内全14工場が一時的に停止した事案は、この動きを加速させた象徴的な事例です。

こうした動きは、工場で働く実務担当者にとって「ガイドラインを読めばよい」というレベルではすでにありません。取引先からのセキュリティチェックシートに答え、必要な対策を実装し、その状況を説明できる体制を整えることが、事業継続そのものに直結する課題になっています。

ガイドラインが推奨する「3つのステップ」

工場セキュリティガイドラインは、対策を以下の3ステップで進めることを推奨しています。

ステップ1：内外要件、業務、保護対象の整理

法令・取引先の要件・自社の業務内容と保護すべき対象を整理します。

ステップ2：セキュリティ対策方針の策定とゾーン定義

工場内の保護対象をエリアで区分（ゾーニング）し、それぞれに必要な対策レベルを定義します。物理面では「重要設備のあるエリア」「制御システムのあるエリア」「事務所エリア」「来訪者対応エリア」などに分けて、それぞれ求められる入退室管理のレベルを設計します。

ステップ3：対策の実行とPDCAサイクル

実装した対策を運用し、評価・改善を継続します。サプライチェーン全体での対策（取引先要件への対応含む）もこのステップで実施します。

入退室管理の観点でやっておくべき対策

ガイドラインに沿って物理セキュリティ・入退室管理の観点でやっておくべきことを整理します。これらは2028年以降の取引要件化を見据えた最低限の対応です。

対策1：工場内のゾーニングと、ゾーンごとの権限設計

工場の中には、誰でも入れるエリアと、限定された人しか入れないエリアが混在しています。これを曖昧なまま運用していると、第三者が制御システムや重要設備に容易にアクセスできてしまいます。

考慮すべきゾーニングの例

• 来訪者エリア：受付・応接・打ち合わせスペース。来訪者対応のみで業務エリアへは入れない設計

• 事務所エリア：事務スタッフ・営業の業務エリア

• 製造エリア：製造ラインがあるエリア。担当ラインによってさらに細分化する

• 制御システムエリア（OTサーバー・PLC設置エリア）：最も厳格な権限管理が必要

• 薬品・原材料保管エリア：HACCP対応の食品工場や、化学物質を扱う工場で特に重要

• 倉庫・出荷エリア：物流動線と業務エリアを分離

各ゾーンに「誰が入れるか」を明確にし、ICカード・スマートロック・暗証番号などで物理的に制御することが基本です。

対策2：入退室記録の取得と保管

「誰がいつどこに入ったか」のログを取得し、定められた期間保管することは、ガイドラインで求められる物理面の基本対策です。記録は以下のような場面で活用されます。

• 不正アクセス・盗難・破壊行為が発生した場合の追跡調査

• 取引先・発注元から提示を求められた場合の証跡

• セキュリティインシデント発生時の原因究明

• 内部監査・外部監査での記録提示

紙の入館記録簿では、改ざんリスクが残るうえ、検索・突合に膨大な工数がかかります。クラウド型の入退室管理システムを導入することで、ログの取得・保管・検索を自動化でき、記録の信頼性も担保できます。

対策3：退職者・異動者の権限失効ルール

退職した社員のICカードや鍵が回収されないまま、現場で「使えてしまう」状態が続いている工場は少なくありません。これは物理セキュリティの中で最も典型的な脆弱性のひとつです。

クラウド型の入退室管理システムであれば、退職や異動が発生した時点で管理画面から即時にアクセス権限を失効できます。物理鍵の場合は鍵自体の交換が必要になりますが、ICカードや暗証番号方式であれば即日対応できるため、運用負荷を大きく下げられます。

対策4：保守・清掃・配送業者など外部業者の入室管理

工場には、自社の社員以外にも、設備保守業者・清掃業者・原材料配送業者・物流業者など多くの外部業者が出入りします。これらの業者の管理は、入退室記録としても重要であり、サプライチェーン経由の侵入リスク対策としても重要です。

外部業者向けには、以下のような運用が望ましいといえます。

• 作業日時を限定した一時的な権限発行：当該業者の作業日のみ有効なICカード・QRコード・暗証番号を発行

• 業者の身分証チェックと同行原則：自社担当者の同行を必須とする

• 作業エリアの限定：業務に必要なエリアのみ入室可能とする

• 作業終了時の権限自動失効：終了時刻を超えると自動的にアクセスできなくなる設定

クラウド型の入退室管理システムでは、こうした「期限付き権限」「エリア限定権限」を簡単に発行できます。

対策5：制御システム・サーバーエリアの厳格な管理

OT（制御技術）システムやPLC、サーバー類を設置するエリアは、サイバーセキュリティと物理セキュリティの両方が交差する最重要ポイントです。これらのエリアには、以下のような厳格な対策が望ましいと考えられます。

• 入室を限定された担当者のみに制限する

• 2要素認証（ICカード＋暗証番号など）を採用する

• 入退室ログを長期保管する（外部監査・取引先提示を想定）

• カメラや侵入検知センサーとの連携で異常入室を即時検知する

対策6：緊急時の動作モード設計

工場では、火災・地震・停電などの緊急時に、避難経路を確保しながらセキュリティを維持する設計が求められます。電子錠の停電時動作（解錠優先か施錠優先か）、非常解錠手順、UPSとの連携など、有事の動作仕様を平時から設計しておくことが重要です。

対策7：記録・運用状況のドキュメント化

ガイドラインの趣旨は「対策を実装する」だけでなく「実装している状況を説明できる」ことにあります。取引先や監査人から「どのような入退室管理を行っているか」と問われたときに、規程・運用手順書・ログ取得状況・退職時対応フローなどを整理して提示できる体制を整えておくことが、実務上の「対策完了」のラインです。

2028年に向けてのロードマップ

ここまでの内容を踏まえ、工場のセキュリティ担当者・責任者がやっておくべきことを時系列で整理します。

今すぐ着手すべきこと

• 自社・自工場のゾーニング設計の見直し

• 取引先からのセキュリティチェックシートへの対応状況の棚卸し

• 退職者・異動者のアクセス権限失効ルールの明文化と実行確認

• 紙ベースの入館記録簿のデジタル化検討

2026年度中にやっておきたいこと

• 入退室管理システムの導入または入れ替え検討

• SCS評価制度★3または★4の評価項目に対する自社状況の棚卸し

• 制御システム・サーバーエリアの権限管理強化

• 外部業者への一時権限発行ルールの整備

2027年〜2028年に向けて

• SCS評価制度★3／★4の取得

• ガイドラインに沿った運用状況のドキュメント化と社内教育

• 取引先からの確認要請への迅速対応体制の確立

まとめ：物理セキュリティは「あれば加点」から「ないと取引できない」へ

工場のセキュリティ対策において、物理面・入退室管理は長らく「総務や生産部門の担当」「サイバーセキュリティとは別物」として扱われてきた面があります。しかし経産省ガイドラインが示すように、これからの時代、物理面の対策はサイバー対策と一体で評価される項目になります。

特に2026〜2028年にかけては、SCS評価制度の運用開始と取引要件化が重なり、物理セキュリティの整備は「やったほうがよいもの」から「やっていないと取引が継続できないもの」へと位置づけが変わる節目になります。

ICカードによる入退室管理、ログの記録、退職者の権限失効、業者の一時権限発行——これらは個別に見れば地道な作業ですが、ガイドライン対応・取引要件対応・社内のセキュリティ水準向上という3つの効果を同時にもたらします。今のうちから段階的に整備を進めることが、数年後の競争力を守ることに直結します。

Akerunが提供する工場・製造業向け入退室管理

Akerunは、クラウド型のスマートロック・入退室管理システムです。後付け設置が可能なため、既存の工場・倉庫・事務所棟に大規模な工事をすることなく導入でき、ゾーンごとの細かい権限設定、入退室ログのクラウド保存、退職者・異動者の即時権限失効、外部業者への一時権限発行など、経産省ガイドラインへの対応に必要な機能を網羅しています。

入退室ログは長期保存され、取引先・監査人からの提示要請にも対応可能です。複数の工場・拠点を一元管理することもでき、グループ全体のセキュリティ水準の可視化にも活用いただけます。

「経産省ガイドラインへの対応を進めたい」「SCS評価制度の取得に向けて物理セキュリティを整備したい」「取引先から要求されたセキュリティチェックシートに対応する必要が出てきた」とお考えの製造業のご担当者様は、お気軽にご相談ください。