工場のセキュリティ対策｜入退場・来訪者管理から始める物理セキュリティと事例
工場のセキュリティというと、サイバー攻撃への備えを思い浮かべる方が多いかもしれません。一方で、現場には、派遣スタッフ、協力会社、点検の外部業者など、人も所属も日ごとに変わる外部の方が出入りしています。
この記事では、工場セキュリティを「情報セキュリティ」と「物理セキュリティ」に分け、外部の方の出入りを施設側でどう把握するかという観点を中心に、対策の考え方と2社の事例を整理します。サイバー攻撃への備えを探している方は、このページ後半に、要点をまとめています。
工場セキュリティとは
工場セキュリティとは、工場にある設備、製品、データ、書類などを、守るべき資産として守る取り組みの総称です。
生産ラインのデジタル化が進むほど、守る対象はネットワークの内側にも広がります。整理するときは、ネットワーク経由のリスクに備える「情報セキュリティ」と、人や物の出入りを施設側で管理する「物理セキュリティ」の2つに分けると、わかりやすくなります。
どちらから始めるかについて、当社は、日々の出入りを施設側で把握する物理側から整理を始めることをおすすめします。外部の方の出入りは毎日発生し、いま何が記録に残っているかを確認するところから着手できるためです。
ただし、サイバー面の備えを後回しにしてよいという意味ではありません。
情報セキュリティとは
情報セキュリティとは、主にネットワークを介した被害を防ぐための備えです。工場では、ランサムウェアやサプライチェーンリスクが代表例として挙げられます。
ランサムウェアは、感染した端末のデータを暗号化し、元に戻す代わりに金銭を要求するマルウェア（悪意のあるプログラム）です。
サプライチェーンリスクは、セキュリティが手薄になりやすい取引先やグループ会社を足がかりに、本来の標的である企業へ侵入されるリスクを指します。
物理セキュリティとは
物理セキュリティとは、許可のある人だけが工場内に入れる状態を保つ仕組みです。工場内には製品、資材、書類などが保管されており、持ち出しや紛失は、金銭的な損失や情報の流出につながるおそれがあります。ここで見落としやすいのが、外部の方の出入りを誰がどう把握しているか、という点です。
物理セキュリティと情報セキュリティの相互関係について
2つは切り離せません。たとえば、工場内に立ち入った人が事務所の制御用PCを操作できてしまえば、物理的な立ち入りが、ネットワーク上の問題の入口になる可能性があります。そのため、情報面と物理面の両方を見ておく必要があります。
工場の物理セキュリティ対策
物理セキュリティ対策は、大きく「敷地・建屋」と「人の出入り」に分けて考えられます。ここでは、敷地・建屋の対策を簡単に整理したうえで、外部の方の出入りの管理を中心に解説します。
敷地・建屋の対策
防犯の基本となる対策は、監視カメラと人感ライトです。監視カメラは、人の出入りが多い場所や敷地の境界に設置し、映像を残します。
人感ライトは、センサーが人を検知して点灯するもので、夜間の見通しを確保する用途で使われます。いずれも、抑止や事後の確認に役立つ可能性があります。
ただし、映像だけでは「誰が、何の用件で来たか」まではわかりません。この部分は、次の外部の方の出入り管理とあわせて考える必要があります。
外部の方の出入り管理
工場には、派遣スタッフ、協力会社、設備点検や搬入の外部業者、見学や商談の来訪者など、多様な外部の方が出入りします。
人も所属も日ごとに変わるため、「今日、誰が、どこまで入る予定か」を施設側で把握するだけでも手間がかかります。たとえば24時間稼働の工場では、前日までに届く入場者のリストを守衛へ渡す、早朝や夜間の入場に備えて待機する、といった場面があります。
外部の方の出入りの把握は、「事前に知る」「入口で施設側で確認する」「後から入場の記録で答える」の3つに分けて整理できます（当社の整理です）。
- 事前に知る：誰がいつ来るかを入場前に把握すること。
- 入口で施設側で確認する：来た方が予定された方かを入口で照らし合わせること。
- 後から入場の記録で答える：何かあったときに「いつ・誰が・どこまで入ったか」を確認できる状態にしておくこと。
この3つのうち、どこを誰が担うかは、入構の申請を施設側と来訪元のどちらが持つかによって変わります。施設側が持つ場合は、入力や確認の手間が施設側に集まりやすくなります。来訪元が入力する場合は、その手間が来訪元に移ります。どちらが良い、悪いという話ではなく、手間が生じる場所が変わるということです。
入退場の確認や記録を、どの部署が担っているかは、工場によって違います。誰がどこまで持つかを先に確認しておくと、見直しの順番を決めやすくなります。
ただし、事前の申請や入場の記録があっても、なりすましや入場証の貸し借りを完全に防ぐことはできません。記録は、確認の手がかりを増やすものであり、万能ではない点は押さえておく必要があります。
入構の申請を施設側と来訪元のどちらが持つかについては、別の記事で整理しています。
→ 入構申請は誰が持つ？協力会社が入力し施設側が承認する入構管理の考え方
受付・入退室の管理
受付システムや入退室管理システムは、外部の方の出入りを記録に残す手段の一つです。ここで押さえたいのは、機能そのものよりも、入館の履歴がどこに残り、誰が確認できるのかという点です。
たとえば、受付システムで来訪者の情報をクラウドに保存すれば、入館の履歴を、必要なときに検索して確認できる状態をつくれます。工場内で何か起きた際にも、入場の記録を手がかりに確認を進めやすくなる可能性があります。入退室管理システムは、エリアごとに入れる人を分け、重要度の高いエリアへの立ち入りを限定する用途で使われます。
顔認証を併用する場合は、事前に登録した関係者のみが入れる仕組みにでき、すり抜けを減らせる可能性があります。ただし、QRコードや入場証の貸し借り、なりすましを完全に防ぐことはできないため、運用のルールとあわせて考えることが大切です。
前述のガイドラインは、入退管理を物理的なアクセス制御の基本と位置づけています。そのうえで、来訪者の管理のみであれば、受付に人を配置して管理する方法でもよいとし、部屋単位の管理が必要な場合に、より詳しい仕組みを検討する、という考え方を示しています。
ガイドラインは手引きであり、守るべき要件ではありません。来訪者の数や、立ち入るエリアによって、必要な仕組みは変わります。
工場の情報セキュリティ対策
工場の情報セキュリティ対策を進める際は、経済産業省の「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」（2025年4月11日公表のVer1.1）が参考になります。ガイドラインは手引きであり、対策を義務づける要件ではありません。次の3ステップで進める考え方が示されています。
- 要件や業務、保護対象を整理する
- 整理した内容にもとづいて対策を立案する
- 対策を実行し、計画を見直す
システムへの攻撃を完全に防ぐのは難しいため、運用後も定期的に見直す前提で進めます。
なお、このガイドラインは、情報面だけでなく、物理面の対策もあわせて扱っています。中小規模の製造事業者向けの解説書「工場セキュリティの重要性と始め方」も、同じく2025年4月に公表されています。
ランサムウェアの被害については、解説書「工場セキュリティの重要性と始め方」が、警察庁の令和6年の公開資料を引いて紹介しています。2024年のランサムウェア被害件数のうち、規模別では中小企業が63%、業種別では製造業が29%を占めています。備えを考えるきっかけとして、参考にしてください。
工場のセキュリティに関する事例
ここでは、外部の方の出入りの把握に取り組んだ、RECEPTIONIST導入企業2社の事例を紹介します。各社の事例ページには、より詳しい内容を掲載しています。
オリオンビール株式会社（名護工場）
オリオンビール名護工場では、来訪者が正門の守衛室で受付をし、入場時間などを記入した入場証を受け取って入場する運用でした。入場証は来訪者のポケットや手帳にしまわれることが多く、入場後に、受付済みの方かどうかを見分けられない点が、セキュリティ面の課題でした。来客数も多く、その都度確認することは難しい状況でした。
導入後は、入場証をネックストラップで身につけてもらうことで、受付済みであることと、誰の来客かが一目でわかるようになりました。
また、守衛室では、すべての来客通知を同時に確認し、接客の状況を共有できるようになりました。お客様からは、事前にアポイントを取った来訪者のみを入場とするルールにしたことで、侵入のリスクを減らせたというお声をいただいています。
→ 事例詳細はこちら
太陽油脂株式会社
太陽油脂は食品工場を持ち、フードディフェンス（故意の異物混入などから食品を守る取り組み）が重要な課題でした。従来は、守衛が入場者のコントロールと入退場の記録を担い、入退場の時刻は手書きで記入していました。そのため、記録の正確性が曖昧になり、監視カメラの映像との照合の正確性が十分とはいえない点が、課題でした。
導入後は、入退場のデータがクラウド上に保存され、「いつ・誰が入退場したか」をリアルタイムに記録できるようになりました。万が一何か起きた場合も、入退場の追跡がしやすくなったというお声をいただいています。
担当の方からは、クラウド上でデータを保管するため機密性が担保されていて、安心して使えるというお声もいただいています。
→ 事例詳細はこちら
入場の記録が手元にあることと、後から確実に答えられることは、別の話です。記録で何が答えられるかを点検する観点は、別の記事にまとめています。
→ 入退場記録の点検チェックリスト6項目｜食品防御・監査前の見直し
工場のセキュリティを強化し、より効率的な働き方を実現する
工場のセキュリティは、サイバー面と物理面の両方から考える必要があります。物理面では、外部の方の出入りを、事前に知る、入口で施設側で確認する、後から入場の記録で答える、という3つの場面に分けて、自拠点の現状を見直すことが出発点になります。
仕組みを入れても、なりすましなどを完全に防ぐことはできないため、運用のルールとあわせて検討することが大切です。
受付システムは、入館の履歴を残すことと、取次の手間を減らすことの両方に使える場合があります。この3つの場面のうち、記録の場面は、紙や手入力で残すか、受付システムで入館の履歴としてデータに残すかで、運用の組み立て方が変わります。自拠点に当てはめる場合の考え方は、工場向けの資料と導入事例で確認できます。