ISMSの入退室管理とは？来客受付・入室権限・記録の決め方
更新日：11月6日
来客があったとき、応対する人によって執務室まで案内したり、入口で待ってもらったりしていませんか。社員は気にしていなくても、机の書類や画面が見える場所まで、社外の人が入れることがあります。
ISMSの入退室管理では、誰を、どこまで、どのような確認で入れるかを決めます。システム選びの前に、受付から退室までの動きを一度つないでみると、自社に必要な対策が見えてきます。
▼目次
1. 入退室管理は、情報がある場所への立ち入りを管理すること
入退室管理は、オフィスや保管室などに入る人の権限を確認し、許可していない立ち入りを防ぐための対策です。対象には来客だけでなく、社員、清掃・保守の委託先、期間限定の作業者なども含めて考えます。
入室した時刻を記録するだけでは、入ってよい人かを確認したことにはなりません。反対に、入口で相手を確認していても、その後どこまで移動できるかが曖昧なら、情報を見られる可能性が残ります。確認、案内、立ち入り範囲を合わせて決めましょう。
ISMSでは、自社が扱う情報とリスクに応じて必要な管理策を選びます。入退室管理という名前の高額なシステムや顔認証を、すべての会社が一律に導入しなければならないということではありません。顧客との契約や施設の条件も確認して方法を選びます。
2. まず、入口から何が見え、どこへ行けるかを確認する
簡単な見取り図に、受付、会議室、執務室、書庫、サーバーなどの場所を書き込みます。訪問者の立場で入口から歩くと、社員には当たり前になっていた通り道や、見通しのよい場所に気付くことがあります。
会議室へ行く途中で顧客名の入った画面が見える、複合機の出力紙に手が届く、書庫の扉が開いている。このような場所は、通行ルートの変更、書類や画面の向き、施錠、社員の同行などを検討する箇所です。
同じフロアでも、誰でも来られる受付と、重要情報を扱う執務エリアは分けて考えます。専用の部屋を新設できない場合も、キャビネットの施錠やパーティション、来客ルートの限定など、実際にできる対策を組み合わせます。
3. 来客対応は、予約・受付・案内・退室を一つの流れにする
来客の受付表を作る前に、誰が相手を確認し、どこで待ってもらい、誰が案内するかを決めます。次は一般的な運用を考えるための例です。すべての会社へ同じ手順を求めるものではありません。
訪問前と受付時
訪問先の社員が、予定の相手・日時・目的を把握します。来客時は受付の担当や応対者が用件を確認し、面談する社員へ連絡します。予定外の来客は、見覚えがあるという理由だけで中へ通さず、受け入れの判断者へ確認します。
案内中と面談中
立ち入ってよい場所へ社員が案内します。入館証などを使う場合は、来客だと分かる表示と回収方法を決めます。面談中に社員が離れる必要があるときも、来客が執務エリアへ自由に移動できる状態にならないようにします。
面談後と退室時
応対した社員が退出を確認し、貸したカードや鍵を回収します。記録を取る運用なら退室時刻も残し、未返却や退出未確認を放置しないようにします。次の来客に、前の人のカードが渡らない管理も必要です。
4. 社員の権限と、清掃・保守・荷物の受け取りも忘れずに
社員であっても、全員がすべての部屋へ入る必要があるとは限りません。業務に必要な範囲で権限を付け、異動、退職、委託終了などの際にはカードや鍵の回収、権限の変更・停止を確認します。共有カードを使う場合は、実際に誰が使用したかを確認できる管理も考えます。
宅配便の受け取りや設備点検は、通常の面談とは動きが違います。荷物は原則入口で受け取る、作業のため室内へ入る場合は応対者が同行するなど、自社の事情に合う方法を決めます。東京都のISMS実施手順の資料にも、入口での受け取りや例外時の同行という運用例が示されています。
清掃や保守の委託先が社員のいない時間に入る場合は、契約、対象エリア、鍵の扱い、作業後の施錠、異常時の連絡を確認します。緊急時の避難を妨げないことも含め、施設の担当者と調整しましょう。
5. 記録は、目的・確認する人・保管期間まで決める
入退室記録を残す場合は、何のために、どこまでの情報を記録するかを先に決めます。氏名・所属、訪問先、入退室時刻、案内者などは候補ですが、必要性に応じて項目を選び、本人確認書類の写しなどを習慣で集めないようにします。
記録例なら『○月○日／訪問者・所属／訪問先／入室10:00／退室11:00／案内者○○／カード返却済み』という形が考えられます。これは架空の文例です。受付票を次の来客から見える場所へ置きっぱなしにせず、電子記録も閲覧できる人を限定します。
保存期間は、確認や調査に必要な期間、契約などの条件を踏まえて決めます。『ISMSだから一律に何年』と決め付けず、責任者、廃棄方法、未記入・カード未返却に気付いた場合の連絡先まで整理してください。
6. IT企業C社の支援事例から考える、受付専任者がいない職場
ISOトラストが支援したIT企業C社では、入札条件への対応としてISO27001の取得が必要でした。担当者1名でリソースが限られていましたが、支援後は認証を取得し、情報管理体制の強化と入札条件を満たした案件獲得につながっています。
C社の受付方法や使用機器を紹介する事例ではありません。ここでは公開事例にある少人数の体制を踏まえ、受付専任者がいない職場向けに、弊社の考え方を示します。
全員に同じ受付業務を覚えてもらうより、まず訪問先の社員が受け入れから退出まで責任を持ち、不在時に誰へ連絡するかを決める方法が考えられます。予定外の来客、荷物、保守作業という三つの場面も加えて、一枚の手順で確認できるようにします。
入口の担当者だけに管理を任せず、面談する社員が『どこまで案内してよいか』『カードを誰が回収するか』を説明できるか試してみてください。設備と人の動きを合わせて入退室管理を整えたい場合は、ISOトラストへご相談ください。
著者情報
金光壮太 (ISOコンサルタント)
大手商社にて営業を経験した後、ISOコンサルティングに従事。ISO9001、14001、27001を中心に、各業界の課題や特性に応じたシステム構築や運用支援を行い、企業の業務効率化や信頼性向上に貢献。製造業や建設業など、多岐にわたる業界での豊富な経験を活かし、お客様のニーズに応じた柔軟なソリューションの提案を得意としている。
コメント