運用上の証拠
一元化されたセキュリティによるコンプライアンス
セキュリティコンプライアンスの本質は、組織のセキュリティ規則を遵守し、あらゆる監査サイクルを通じてその遵守状況を証明するという、継続的かつ日常的な取り組みにあります。物理セキュリティチームにとって、その証明には通常、アクセス権限、ユーザーの変更履歴、来訪者記録、イベントログ、インシデントのタイムライン、および監査対応済みの記録などが含まれます。
Brivo Security Suite を利用すれば、アクセス、映像、侵入検知、来訪者の行動、イベント履歴を 1 つのクラウドベースのプラットフォーム上で確認できるため、セキュリティコンプライアンスの管理が容易になります。
物理セキュリティ運用におけるコンプライアンスのユースケース
コンプライアンスは、監査直前に慌てて対応するのではなく、Brivo Security Suite内の反復可能なワークフローに組み込まれ、監査対応可能な記録が自動的に生成されるようにしたときに、最も効果を発揮します。
新入社員、異動者、退職者
人員の異動が頻繁にある場合、アクセス権限の更新が遅れるリスクがあります。誰がアクセス権を取得または喪失したかを示す、承認とタイムスタンプ付きのユーザー変更記録が必要であり、これにより、自動化されたアクセス権限の解除が、一元管理されたIDプロバイダーと確実に連携するようになります。
来訪者、請負業者、および業者
一時的な立ち入りが頻繁にある場合、共有コードは監視の死角となり得るため、訪問者ログのエクスポート機能と、ホスト、時間枠、および使用された具体的な出入り口を記録した明確な訪問者ログの保存ポリシーが必要です。さらに、映像記録は、従業員以外の活動に関する視覚的な背景情報を提供します。
立ち入り禁止区域および規制区域
機密性の高いエリアでは、より厳格なガバナンスが求められます。「役割とゾーンの対応関係」を定めたポリシー記録と、承認済みユーザーの最新リストを活用することで、最小権限のアクセスモデルを構築し、ユーザーが自身の役割に必要なゾーンにのみアクセスできるようにします。また、ビデオ監視システムにより、これらの重要なゾーンにおける異常な行動を監視・記録します。
例外および営業時間外のアクセス
緊急時の立ち入りや営業時間外の作業については、明確な記録を残す必要があります。承認した管理者と、ドアや場所ごとの立ち入り履歴を明確に紐づけた「例外承認記録」を作成してください。視覚的な監視により、例外事例や営業時間外の立ち入りを記録します。
インシデントのフォローアップおよびベンダー監査
インシデントが深刻化した際、証拠の検索によって対応が遅れてはなりません。エクスポート可能なベンダーログと改ざん防止機能を備えた映像を活用すれば、監査の要請に数日ではなく数分で対応でき、請負業者が施設に出入りした時刻のタイムスタンプを提供することができます。
証拠および資料
監査時のセキュリティコンプライアンスに関する枠組み
セキュリティ、施設管理、ITの各部門間で責任の所在が明確であり、チームが必要に応じて一貫性のある証拠を提示できれば、監査はより円滑に進みます。体系的な枠組みを導入することで、NIST、PCI DSSの物理的セキュリティ要件、HIPAAの施設へのアクセス制御といったグローバル基準への準拠が容易になります。
認証情報のガバナンスと承認：承認済みの認証情報の種類および承認記録を管理し、アクセス権限リストと承認履歴を提供する。（担当：セキュリティ部門（IT部門と連携））
IDのライフサイクルとプロビジョニング解除：入社・退社手続きを物理的なアクセス権限と連動させる。役割をゾーンおよび最小権限ポリシーに紐付け、ドアポリシーのレポートを提供するとともに、一元化されたIDプロバイダー（IdP）と同期されたユーザーの作成、更新、無効化の履歴を提供する。（担当：セキュリティおよびIT）
リスクの高いドアに対する多要素認証（MFA）：必要に応じて多要素認証（MFA）または第2の認証要素を適用する。制限区域ポリシーへの準拠を証明するため、設定記録および認証情報ガバナンスのログを提供する。（責任者：ITおよびセキュリティ部門）
来訪者および請負業者の管理：期限付きのアクセス権限と記録に残る受付手続きを実施する。来訪者記録および場所ごとのアクセス可能時間帯をエクスポートする。（担当部署：施設管理部または警備部）
ログ記録、映像証拠、および保存：アクセス履歴と改ざん防止対策が施された映像証拠を作成する。セキュリティログの保存方針を文書化し、定期的なシステムレビューを実施して、継続的な監査対応態勢を証明する。（責任者：セキュリティ部門（IT担当））
セキュリティシステムの完全性：セキュリティシステムがサイバーセキュリティ上安全である状態で、セキュリティデバイスが正常に動作していることを実証する。
一元化された運用
「Brivo Security Suite」は、セキュリティコンプライアンスの達成を支援します
アクセス、映像、来訪者の行動に関する証拠の収集を自動化し、これらを単一の統合された運用ビューに集約することで、方針と実務の間のギャップを解消します。
- 各拠点の証拠を一元管理する。 ドア、カメラ、スケジュール、ユーザーを1つのプラットフォームで一元管理できるため、監査依頼の際にも複数のツールから記録を取り出す必要がありません。各施設間で一貫したスケジュールとガバナンスを適用しつつ、施設ごとの例外にも対応可能です。
- ロールベースのガバナンスを実施する。 ロールおよびゾーンベースの権限設定を採用することで、アクセスをポリシーに沿ったものにするとともに、レビューの際に説明しやすくなります。
- 時間制限を設けて、サードパーティによるアクセスを管理します。 業者や請負業者に対して開始時刻と終了時刻を設定し、アクセス権限が自動的に失効するようにすることで、例外事例の追跡が容易になります。検証対象の事象と映像を結びつける追加の証拠を提供してください。
- 監査対応済みのレポートをエクスポートする。 アクセスイベント履歴、関連する動画映像、および管理者の操作記録を数秒で生成し、コンプライアンス審査の前によく行われる、手作業によるデータ収集という「慌ただしい対応」を排除します。
- Envoyが提供するBrivoビジター管理システムで、来訪者を管理しましょう。 ガバナンスの徹底とフォローアップを支援するため、チェックインの詳細情報や来訪者記録を収集し、エクスポートします。
- 検証済みのセキュリティ保証を提供してください。 Brivoは、SOC 2 Type II（NDAに基づく報告書）およびISO/IEC 27001:2022の認証を取得しているほか、CSA STAR Level 1の検証およびPCI DSSへの準拠も達成しています。
Brivoで企業のセキュリティを確保し、コンプライアンス要件を満たしましょう
複数の拠点を管理する場合、コンプライアンス上の課題は単にポリシーを作成するだけでは済みません。それらを一貫して適用し、迅速に証拠を提示することが求められます。Brivoを利用すれば、地域運営会社はすべての倉庫に対して同一のPCI DSS物理的セキュリティ基準の遵守を義務付けることができ、本社でのポリシー変更が遠隔地のすべての施設で即座に適用されることを確実にすることができます。
Brivoのエンタープライズ セキュリティ アプローチは、厳格な規制コンプライアンス要件やIT要件を満たすように設計されています。
規制遵守、証拠、および監査対応に関するよくある質問
物理セキュリティチームにとって、どのセキュリティコンプライアンスのフレームワークが最も重要なのでしょうか？
これは業界や事業展開地域によって異なります。アクセスログや映像には個人データが含まれているため、多くのチームはデータプライバシーの対策から着手します。EUでは、一般データ保護規則（GDPR）により、安全な処理と保管に関する要件が定められています。
EU域内で生体認証やAIを活用した本人確認を利用する場合、EU AI法は、高リスクAIシステムの導入事業者に対して、運用上の管理措置やログ記録の要件などの義務を課す可能性があり、また、GDPRの影響評価と重複する可能性があります。
重要インフラに関しては、北米のエネルギー関連組織は、物理的セキュリティ対策についてNERC CIP基準（例えば、大規模電力システムのサイバーシステムの物理的セキュリティを規定するCIP-006など）に準拠する必要がある場合があります。
その他にも、重要なセキュリティコンプライアンスのフレームワークとしては、以下のようなものがあります：
- ヒパア
- ISO/IEC 27001
- SOC 2（タイプIおよびII）
- NIST SP 800-53（PEファミリー）
- PCI DSS 4.0（要件9）
- C-TPAT（テロ対策のための税関・貿易パートナーシップ）
物理的セキュリティチームは、どのような監査証拠を迅速に提示できるべきでしょうか？
誰が承認されたか、何が変更されたか、そして何が起きたかを示せるようにしておく必要があります。通常、これにはアクセス承認記録、ユーザーの変更履歴、訪問者ログ、およびドアのイベント履歴が含まれます。映像が利用される場合は、それを関連するイベントと関連付けることで、チームがインシデントのタイムラインをより明確に把握できるようになります。
アクセス制御ログや来訪者記録は、どのくらいの期間保存すべきでしょうか？
保存期間は、社内の方針や、規制、契約、保険上の要件によって異なります。重要なのは一貫性です。保存および削除の方針を明確にし、各拠点のチームがそれを確実に遵守できるようにする必要があります。
緊急時の立ち入りや営業時間外の業者など、例外的なケースにはどのように対応していますか？
例外は、その場しのぎの対応ではなく、管理された事象として扱うようにしてください。アクセスを所定の期間に限定し、ポリシーで定められている場合は承認を義務付け、誰が例外を承認したか、いつそれが適用されたかを記録として残してください。
アクセス制御システムと映像監視システムを別々に運用しても、セキュリティコンプライアンスは達成できるのでしょうか？
そうですね。ただし、それによって手間が増える可能性もあります。証拠が別々のツールに分散していると、チームは記録の整理やタイムラインの照合に多くの時間を費やすことがよくあります。関連するコンテキストが紐付けられた一元化されたイベント履歴があれば、監査やインシデントのフォローアップをより迅速に行うことができます。