防犯カメラや入退室管理は誰が見る？総務と情シスで作る、ネットにつながる設備の台帳

「防犯カメラの映像が、会社のパソコンで見られなくなったんですけど」

月曜の朝、総務から内線が入ります。情シスは先週末、ファイアウォールを新しい機器に入れ替えたばかりでした。受話器を持ったまま、頭の中で社内のネットワークの図をたどります。カメラは、どこにつながっていたのか。そもそも、つながっていたのか。

月曜の「カメラが見られない」は、よくある相談

この電話は、情シスだけが受けるものではありません。防犯カメラの販売と工事をしている会社は、ブログにこう書いています。

ここ5年位でしょうか、「先週まで工場のラインを映しているカメラが見れてたのに、月曜日から見れないんですが」、これと似たお問い合わせが防犯・監視カメラのお客様からあります。

同じ記事によると、原因のほとんどは、社内のネットワークにUTMを入れたことでした。UTMを納めた会社に、録画機のIPアドレスと映像が流れるポートの設定を頼めば解決する、と続きます。

業者から見れば、通り道を開ければ済む話です。ただ、情シスには、開ける前に知りたいことがあります。録画機は業務のPCと同じLANにあるのか。外からも見られる設定なのか。管理画面のパスワードは、誰が持っているのか。

総務にとってカメラは防犯の設備で、情シスにとってはネットワークの上の1台です。同じ機械を、別の地図で見ています。

だから、冒頭の電話は台帳を作るきっかけにもなります。「見られるように戻します。そのために、設置した業者さんの名前と、映像をどのパソコンで見ているかだけ教えてください」。こう返せば、総務を待たせずに、台帳の最初の1行が書けます。業者と相談して通り道を開けるときも、映像を見るPCから録画機へ、の1本に絞れます。

「電気が流れてりゃ、情シス」の先にある線

社内のどの機械を、誰が見るのか。未経験から情シスの部門長になった人は、noteにこう振り返っています。

私も含め、社員の大半が「電気が流れてりゃ、情シス」「流れていないものは総務部」みたいな感覚でいました。

実際の分担は、ネットワークにつながっている機械は情シス、つながっていないテレビなどは総務部だった、と同じ記事は続けます。分かりやすい線です。それでも、防犯カメラや入退室管理の機械は、この線の上で止まりがちです。

持ち主が、3つに分かれるからです。契約と費用は総務が持ち、設置と設定は業者が担い、つながる先は情シスのネットワーク。3者とも自分の受け持ちは知っていますが、全体を知る人がいません。

経済産業省のビルシステムのガイドラインも、防犯・入館管理や監視カメラを、空調や照明と並ぶ「ビルシステム」に数えています。通常はそれぞれ独立したサブシステムで、インターネットを経由したリモート監視やリモートメンテナンスも増えている、という整理です。情シスがふだん見ている業務のシステムとは、生まれも育ちも違う機械といえます。

工場のネットワークを任された人の体験も、Zennに載っています。既存の回線を調べると「業者が入り乱れていて情報が失われていた」うえ、作業の途中で知らないネットワークまで見つかったそうです。電話については「アナログですよね？」と言って逃げた、という一文には、思わず笑ってしまいました。

つながったまま忘れられた機械が狙われる

台帳に無い機械は、なぜ困るのでしょうか。いちばんの理由は、誰も更新しないことです。

宮城県警察は2024年4月、市町村のデジタル担当者に向けて、学校などの防犯カメラが狙われていると呼びかけました。

NICT（情報通信研究機構）の調査で、インターネットにつないで映像を送るタイプの防犯カメラがウイルスに感染し、犯罪に悪用されていたと分かった、という内容です。チェックの項目は4つ。初期パスワードを変えたか、ファームウェアは最新か、サポートは終わっていないか、使わなくなった機器をつないだままにしていないか、です。

オフィスの機械も、他人事ではありません。経済産業省のガイドラインは、2018年4月に国内各地でインターネットカメラが乗っ取られ、画面を書き換えられた件を挙げています。10月27日には、米国のセキュリティ会社Huntressが、防犯カメラの管理ソフトから企業の中に入られた件を報告しました。10月20日には、アツミ電氣の録画機に脆弱性があり、3機種には修正版が出ないことも分かっています。

とはいえ、総務を怖がらせても、話は進みません。「カメラが危ない」と伝えるより、「業者さんに聞くことが4つあります」と伝えるほうが、相手も動きやすいはずです。

正体不明の鍵と、正体不明の管理画面

情シスから総務を兼ねることになった人がnoteに書いた最初の依頼は、意外なものでした。

キーボックスの中に正体不明の鍵が不特定多数あるので、これを整理してほしいという依頼でした。

ネットにつながる設備にも、同じ「正体不明の鍵」があります。管理画面のアドレスと、管理者のパスワードです。設置した業者だけが知っている。初期のまま変えていない。担当者が辞めて、誰も分からない。どれも、キーボックスの鍵と同じ形の困りごとです。

業者の出入りの跡も残ります。セキュリティの会社のnoteは、来客や業者に社内のWi-Fiのパスワードを伝える習慣にふれ、半年前に来た業者のスマホが今もつながっている、ということも普通に起こると指摘しています。

そこで、総務と情シスで1枚の台帳を作ります。項目は9つで、項目ごとに聞く相手を先に決めておくと、聞き漏らしが減ります。

抜けやすいのは、管理画面のアカウントと、更新の連絡の2つです。パスワードそのものは台帳に書かず、パスワードの管理ツールなど、保管している場所だけを書きます。更新の連絡は契約している総務に届くので、情シスに回ってこないまま止まることがあります。

総務に最初に聞くときは、相手の手間を少なくすると、返事が早く来ます。

台帳に入れる機械、後回しでよい機械

全部を一度に台帳へ入れようとすると、手が止まります。先に、持ち主で線を引きます。

テナントとして入っているビルなら、入口のゲートやエレベーター、空調は、ビルのオーナーや管理会社の設備です。自社では設定を変えられないので、台帳には「ビル側」と書き、管理会社の連絡先を控えるだけにします。一方で、自社の扉に付けたカードの読み取り機や、自社で頼んだ防犯カメラは自社の持ち物。こちらは9項目をすべて書きます。

カメラでも、本体のSDカードに録画する単体の型で、社内のネットワークにつないでいないものは、後回しでかまいません。急ぐのは、業務のPCと同じLANにある機器、外から見られる設定の機器、そしてサポートが終わった機器の3つです。

保守の契約を更新する前に、業者と確認すること

台帳ができたら、次の契約の更新が見直しの機会です。総務の手元に更新の案内が届いたら、情シスも打ち合わせに入り、業者に次のことを聞きます。

機械を入れ替えるときは、IPAのJC-STAR（セキュリティ要件適合評価及びラベリング制度）も手がかりになります。インターネットにつながる製品が、最低限のセキュリティの要件を満たすかを、星の数のラベルで示す制度です。IPAは2026年6月、ネットワークカメラの★3の適合要件を公開しました。ラベルを取った製品はIPAの一覧で探せるので、業者から型番を聞いたら、照らし合わせておくと安心です。

冒頭の月曜の電話に戻ります。台帳が1枚あれば、次に「カメラが見られない」と言われたとき、情シスは受話器を持ったまま答えられます。「録画機は受付の棚の下ですね。業者さんには、こちらから連絡します」。キーボックスの鍵と同じで、正体が分かれば、怖い機械ではありません。