LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

サーバー室の鍵がいつの間にか戻っていない。貸出簿を見ても、最後に持ち出したのが誰なのか読み取れない——。共用の鍵を紙の貸出簿で管理している職場では、こうした食い違いが起こりがちです。鍵管理システムは、物理の鍵を専用の箱で保管し、誰がいつ持ち出し、いつ返したかを記録する仕組みです。

鍵を取り出せる人を鍵ごとに決められ、返却の漏れも記録から追えます。ただし万能ではなく、社員情報とのつなぎ方を決めないまま入れると、退職した人の権限が残ることがあります。本記事では、総務や情報システムの担当者に向けて、紙の貸出簿や入退室管理との違い、選ぶときに確かめる点、導入の進め方、そして外部に頼むときに確認したい点を整理します。

鍵管理システムとは

鍵管理システムが扱うのは、サーバー室・倉庫・書庫・社用車などの物理の鍵です。暗号に使うデータの鍵を扱う仕組み（KMS）とは別のもので、本記事では物理の鍵だけを扱います。鍵は社員証やIDと同じく、持っている人が変われば守り方も変わる道具です。IPAの中小企業向けガイドラインも、退職や任期満了のときに「情報や機器・ID・鍵等を回収」することを求めています。^*1

• 保管：キーボックス（鍵を1本ずつ差し込んでしまう専用の箱）に鍵を入れておく
• 本人の確認：社員証のICカードや暗証番号などで、鍵を取り出す人を確かめる
• 記録：誰が・いつ・どの鍵を持ち出し、いつ返したかを残す
• 通知：返却の期限を過ぎた鍵や、決まった時間外の持ち出しを担当者に知らせる

似た名前の仕組みに入退室管理システムがあります。こちらは扉に電気錠と読み取り機を付け、扉を通った人を記録します。鍵管理システムは扉には手を加えず、いまの鍵をそのまま使いながら、鍵の受け渡しを記録する点が違います。扉ごとの認証や記録の項目は入退室管理システムの選び方で扱っています。

紙の貸出簿や入退室管理との違い

IPAのガイドラインの付録にある規程のサンプルは、サーバールームの鍵について管理責任者をシステム管理者と定めています。入退室記録に含める内容の一つにも「入退場手段（ICカード、鍵など）」を挙げています。^*2 鍵で開ける部屋がある限り、鍵の受け渡しの記録は、その部屋の出入りの記録の一部になるわけです。

紙の貸出簿は手軽ですが、記録の正しさは書く人に頼ることになります。入退室管理システムは扉の工事が要るため、賃貸のオフィスや多数の倉庫では入れにくい場面もあります。鍵管理システムはその間にあり、扉を変えずに鍵の受け渡しだけを機械で記録したいときの選択肢です。

選ぶときに確かめる点

米国のNIST（国立標準技術研究所）がまとめたセキュリティ対策の一覧（SP 800-53）は、物理的な出入りの管理として、鍵の安全な保管、出入りに使う道具の定期的な棚卸し、鍵をなくしたときや鍵を持つ人が異動・退職したときの鍵の交換を挙げています。^*4 鍵管理システムを選ぶときは、この3つの作業を記録から追えるかを軸にすると、機能の多さに迷わずに済みます。

• 鍵ごとの権限：鍵ごとに、持ち出せる人を部署や役割の単位で決められるか
• 本人の確かめ方：いまの社員証のICカードをそのまま使えるか。暗証番号だけで済ませてよい鍵はどれか
• 返却期限と通知：期限を過ぎた鍵を、誰に、どの方法で知らせるか
• 記録の検索と出力：鍵・人・期間で記録を探せるか。表計算ソフトで開ける形で書き出せるか
• 停電や故障のとき：鍵を取り出す手順と、その間の持ち出しを後から記録に残す方法があるか

特に見落としやすいのが権限の止め方です。社員が退職しても、鍵管理システムの利用者の登録が残っていれば、社員証を返す前の数日間は鍵を取り出せてしまいます。社員情報の変更が鍵管理システムにいつ、どう伝わるかを、選ぶ段階で確かめておきます。

導入の進め方

鍵管理システムの導入で時間がかかるのは、機器の設置よりも、どの鍵を誰に預けるかを決める作業です。次の4つの段階で進めると、運用を始めてから鍵の一覧を作り直さずに済みます。

• ステップ1：鍵を棚卸しする（どの部屋や棚の鍵が何本あり、いま誰が持っているか）
• ステップ2：鍵ごとに管理責任者と、持ち出せる人を決める
• ステップ3：貸し出しと返却のルール、返却の期限を決める
• ステップ4：鍵をなくしたときと、持っていた人が退職・異動したときの手順を決める

ステップ1では、部屋の鍵だけでなく、書類やUSBメモリをしまうキャビネットの鍵も数えます。個人情報保護委員会のガイドラインは、個人データを記録した機器や書類を「施錠できるキャビネット・書庫等に保管する」ことを例に挙げています。^*3 その鍵を誰が持っているか分からなければ、施錠していても守れているとは言えません。IT機器の棚卸しの考え方はIT資産の棚卸しを外注する進め方も参考になります。

外部に頼むときに確認しておきたい点

鍵管理システムは、キーボックスの設置と、社員情報や記録をつなぐソフトウェアの作業に分かれます。設置の業者とシステムの開発を別々に頼むと、境目の作業が抜けやすくなります。見積もりの前に、次の点を確かめておきます。

• 社員情報との連携：人事や社内アカウントの情報から利用者を登録し、退職者の権限を止める作業を、手作業にするか自動にするか
• 記録の保管と出力：記録をどこに、いつまで残すか。監査や事故の調査のときに誰が取り出すか
• ほかの仕組みとのつなぎ方：入退室の記録や勤怠の記録と、時刻を照らし合わせる必要があるか
• 停電・故障時の手順：非常用の鍵を誰が保管し、取り出した記録を後からどう入力するか
• 保守の分担：キーボックスの故障と、ソフトウェアの不具合の窓口を分けるか、1つにまとめるか

どれも、導入を決めた後では変えにくい点です。とくに社員情報との連携は、つなぐ先の仕組みの担当部署との調整が要るため、最初の打ち合わせから加わってもらうと進めやすくなります。

まとめ：鍵管理システムで確かめておきたい3つの点

鍵管理システムを選ぶうえで、確かめておきたい点は3つに整理できます。第一に、部屋やキャビネットの鍵を棚卸しして、鍵ごとに管理責任者と持ち出せる人を決めること。第二に、退職や異動のときに鍵管理システムの権限がいつ止まるかを、社員情報とのつなぎ方から確かめること。第三に、鍵をなくしたときの交換の手順と、停電や故障のときの記録の残し方を決めておくことです。この3点を踏まえておけば、「機器は入れたが、結局だれが鍵を持っているのか分からない」という事態を避けやすくなります。社員情報との連携や記録の扱いに迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：本編の「機密区分に応じた情報の管理ルールを定め、それに基づく管理を行う」（退職・任期満了時に情報や機器・ID・鍵等を回収する）の記述を参照（2026年10月確認）
2. *2　参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 付録5 情報セキュリティ関連規程（サンプル）」（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_5.docx）。出典：物理的セキュリティの規程例（レベル3領域の鍵の管理責任者、入退室記録の保管期間、入退室記録に含める内容）を参照（2026年10月確認）
3. *3　参考：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/）。出典：10-5 物理的安全管理措置（機器及び電子媒体等の盗難等の防止）の記述を参照（2026年10月確認）
4. *4　参考：NIST「SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations」（https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final）。出典：管理策PE-3 Physical Access Control の e（鍵等の保護）、f（棚卸し）、g（紛失時・異動退職時の鍵の交換）を参照（2026年10月確認）

Tweet