物理セキュリティ：クラウドファースト企業が見落とすトピック
ほとんどのセキュリティチームは今やすべてをクラウド上で運用し、錠前やカメラについて考えることはめったにありません。それでも多くのフレームワークは物理的な管理策を求めており、監査人も依然としてそれについて質問します。
本記事では、執筆時点でControlMappingがマッピングしていた11個のフレームワークを扱います。その後、DORA, CPS 234, Cyber Essentialsが2026-10-27に追加されました。それらのページおよびカバレッジマトリクスにも含まれています。
物理セキュリティは、現代のセキュリティプログラムで忘れられがちなトピックになっています。ワークロードは他社のデータセンターで稼働し、従業員は在宅勤務をし、オフィスはほぼデスクとコーヒーだけになりました。それでも多くのフレームワークは物理的な管理策を求めており、当サイト自身のマッピングを監査したところ、マッピングが不十分であることが判明したため、独立したトピックとして扱うことにしました。
誰が何を求めているか
| フレームワーク | 物理的セキュリティ | リンク |
|---|---|---|
| NIST CSF 2.0 | PR.AA-06DE.CM-02PR.IR-02 | トピックの定義 |
| ISO 27001 | A.7.1A.7.2A.7.3A.7.4A.7.5A.7.8A.7.11A.7.6A.7.12 | 対応表 |
| CIS v8.1 | — | 当サイトのデータにはマッピングがありません |
| SOC 2 | CC6.4 | 編集 |
| PCI DSS | 9.2.19.2.39.3.19.2.1.19.3.1.19.3.2 | 対応表 |
| CMMC | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4PE.L2-3.10.5PE.L2-3.10.6 | 対応表 |
| 800-53 | PE-2PE-3PE-6PE-8PE-13PE-14 | 対応表 |
| HIPAA | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)§164.310(b)§164.310(c) | 対応表 |
| GDPR | — | 当サイトのデータにはマッピングがありません |
| NIS2 | 13.113.213.3 | 対応表 |
| Essential Eight | — | 当サイトのデータにはマッピングがありません |
各リンクの詳細と根拠： 物理的セキュリティ のフレームワーク横断 →
最も要求の厳しいフレームワーク
PCI DSS は最も詳細で、カード会員データシステムを扱う施設への入退室管理、カメラや入退室管理システムによる機密エリアの監視、訪問者の承認と記録、ネットワーク接続口やハードウェアの制限、メディアの安全な保管と破棄、カード読取装置の改ざん検査を含みます（要件9）。CMMC Level 2 には一つのファミリー全体があり、物理アクセスの制限と監視、訪問者の同行、アクセスログの保持、アクセス機器の管理、代替作業場所でのCUIの保護を求めています（PE.L2-3.10.1 to 3.10.6）。ISO 27001 は附属書A.7のテーマに14の物理的管理策があり、境界や入退管理からクリアデスク、機器の保守、安全な廃棄までを扱います。HIPAA は§164.310に物理的保護措置の完全なセットがあります。
要求していないもの
CIS Controls はバージョン8で物理セキュリティを除外しました。GDPR と Essential Eight はこれを扱っていません。SOC 2 は単一の基準（CC6.4）でこれを扱い、クラウドのみを利用する企業の監査人は、これについてクラウド事業者自身の報告書を受け入れることがよくあります。
クラウドファーストの企業に監査人が尋ねること
自社でサーバーを所有していない場合でも、次のような短い質問リストが想定されます：
- 自社システムをホストしているクラウドやコロケーション事業者はどこで、その保証報告書はどこにありますか？
- オフィスへのアクセスはどのように管理していますか、また鍵やバッジを持っているのは誰ですか？
- 機密情報が見える場所では、訪問者は受付で記録され、同行されていますか？
- ノートPCの紛失や盗難時にはどのように保護されていますか（暗号化、リモートワイプ、報告プロセス）？
- ドライブ、ノートPC、紙文書はどのように廃棄されていますか？
十分な裏付け（バッジシステムのエクスポート、訪問者記録、MDMレポート、廃棄証明書など）を少し用意すれば、通常このトピックは速やかに終えられます。
要点
- ほとんどのフレームワークは依然として物理的な管理策を求めています。
- クラウドファーストの企業は、データセンターの保証を継承するほか、オフィス、ノートPC、メディアの安全性も確保する必要があります。
- 対面でのカード決済を行うと、PCIの物理的要件が再び適用範囲に入ります。
- PCI DSSは最も詳細で、訪問者記録やカード読取装置の改ざん検査にまで及びます。
データセンターなしで対応する
自社でサーバーを持たない企業の場合、物理セキュリティは次の4点に集約されます：
- データセンターを継承する。 クラウド事業者のSOC 2報告書またはISO認証が、その施設をカバーします。適用範囲を確認し、それに依拠していることを自社文書に記録してください。
- オフィスを状況に応じて安全に保つ。 バッジによる入退室管理、訪問者の受付記録、機密情報の施錠保管、クリアデスク方針（ISO A.7.7）。
- ノートPCを境界とみなす。 フルディスク暗号化、画面ロック、リモートワイプ、紛失端末の手続きにより、かつて物理的管理策が担っていた役割の大半をカバーできます。
- メディアと廃棄を管理する。 再利用または廃棄の前にドライブや機器のデータを消去または破壊してください（ISO A.7.14、PCI 9.4.7、HIPAA §164.310(d)）。
対面でカード決済を行う場合は、PCI DSS要件9を注意深く確認してください。販売時点の読取装置は、どれほどクラウドネイティブであっても物理的管理策を適用範囲に戻します。
物理セキュリティトピックのページでは、各要件とその出典を一覧できます。ギャップ分析では、既存のフレームワークに新しいフレームワークが何を追加するかを確認できます。
よくある質問
CIS Controlsは物理セキュリティを扱っていますか？
いいえ。CIS Controls v8では物理セキュリティが削除されており、そのためこのトピックへのマッピングはありません。
クラウドのみの企業は、物理セキュリティ要件をどのように満たしていますか？
データセンターについてはクラウド事業者の保証（例：同社のSOC 2報告書やISO認証）に依拠し、自社のオフィス、機器、メディア、訪問者を自ら管理することで満たしています。
データ基準日：2026-10-27。本記事の数値は現行の対応表から算出しており、対応表が更新されると数値も更新されます。 対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 準拠に関する助言ではありません。
関連記事
分析 · 2026-10-27APRA CPS 234とISO 27001：ISMSがカバーする範囲とAPRAが追加する要件ISO 27001のISMSは、APRAのCPS 234のほぼすべての段落をカバーしています。しかしAPRAは、取締役会の責務、第三者による保証、厳格な通知期限を追加しています。
分析 · 2026-10-27Cyber Essentials と Essential Eight の比較：2つの国家ベースラインを対比英国の Cyber Essentials とオーストラリアの Essential Eight はどちらも一般的な攻撃を対象としていますが、カバーする領域は異なります。何が重なり、何が重ならないのか、そしてその理由を解説します。
分析 · 2026-10-27DORA対NIS2：NIS2プログラムで既にカバーされている範囲DORAとNIS2はセキュリティ要件の大半を共有していますが、DORAは情報登録簿、契約条件、脅威ベースのテストを追加しています。条文ごとに、何を引き継げるかを示します。