複合機セキュリティ完全チェックリスト｜HDD暗号化・ユーザー認証・印刷ログ管理

「複合機のセキュリティって、そもそも何を確認すればよいのですか」

「プライバシーマークやISMSの取得に向けて、複合機の設定を洗い直したい」

「テレワーク併用でクラウド印刷を使い始めたが、情報漏えいのリスクが気になる」

――こうした声を、中小企業の情報システム担当・総務担当者の方から伺うことがあります。複合機は「印刷する機械」というより、社内ネットワークにつながり、原本データを内部HDDに保持し、FAX・スキャン・クラウドを経由して社外にデータを送出する情報機器です。設定が甘いままだと、退職者アカウントからの不正印刷、FAX誤送信、廃棄時のHDDデータ流出などのリスクが積み上がります。

本記事では、複合機・コピー機の専門店「事務機器ねっと」（運営：株式会社庚伸）のノウハウをもとに、中小企業が押さえておきたい複合機セキュリティチェックリストを15項目に整理してご紹介します。

結論から言うと、複合機のセキュリティを実務レベルで担保するには、①HDD暗号化と廃棄時のデータ消去（機器そのもののデータ保護）、②ユーザー認証と権限管理（誰が何を印刷・スキャンしたかの追跡可能性）、③通信・FAX・クラウド経路の暗号化とログ管理（社外送出の統制）の3点を軸に、15項目を年に1回棚卸しすることが重要です。 プライバシーマーク・ISMS（ISO/IEC 27001）審査でも、これらは「物理的資産の管理」「アクセス制御」「通信のセキュリティ」の各章で問われる典型的な確認項目です。

目次

• 複合機セキュリティが「機器」ではなく「経路」の問題である理由
• 複合機セキュリティチェックリスト15項目【一覧表】
• HDD暗号化とデータ消去の実務
• ユーザー認証・アクセス制御の運用
• 通信・FAX・クラウド経路のセキュリティ
• プライバシーマーク・ISMS審査で問われるポイント
• よくある質問（Q&A）
• 中小企業の複合機セキュリティ強化なら「事務機器ねっと」にご相談ください
• まとめ

1. 複合機セキュリティが「機器」ではなく「経路」の問題である理由

複合機のセキュリティは、複合機本体だけの話ではありません。複合機を経路として通過する情報の流れ全体を守る、という発想が実務では現実的です。

1-1. 複合機に残る「見えないデータ」

複合機は、印刷・コピー・スキャン・FAXのいずれの操作でも、原本データを一時的に内部ストレージ（HDDまたはSSD）に保持します。ジョブが終わっても、上書き削除や暗号化の設定が入っていないと、データが機器内に残ることがあります。リース満了時に業者に返却する場面や、故障で機器を入れ替える場面で、この「見えないデータ」が問題になります。

1-2. プライバシーマーク・ISMSでの位置づけ

プライバシーマーク（JIS Q 15001）やISMS（ISO/IEC 27001:2022）の審査では、複合機は「物理的資産」として管理台帳に載せる対象になります。加えて、ネットワークに接続されたデバイスとして「アクセス制御」「通信のセキュリティ」「運用のセキュリティ」の各管理策の適用対象にもなります。1台の複合機が複数の管理策にまたがるため、チェックリスト形式で棚卸しする方式が実務に馴染みやすい領域です。

2. 複合機セキュリティチェックリスト15項目【一覧表】

中小企業がまず押さえておきたい15項目を、4つのカテゴリに分けて整理しました。年に1回、情報システム担当と総務担当で棚卸しする運用が現実的です。

No.	カテゴリ	チェック項目	確認の観点
1	データ保護	HDD暗号化が有効になっている	設定画面またはメーカー仕様書で確認
2	データ保護	ジョブ完了後の上書き削除（HDD自動消去）が有効	1回消去/複数回消去の方式も確認
3	データ保護	親展ボックス・共有フォルダのパスワード設定	初期パスワード放置の有無を確認
4	データ保護	廃棄・返却時のデータ消去手順が文書化	証明書発行の要否も確認
5	データ保護	USBメモリ使用の可否ポリシーが定義	USBポートの物理封鎖の要否も検討
6	アクセス制御	ユーザー認証（ICカード/PIN/ID・パスワード）が有効	ゲストプリント許可範囲も確認
7	アクセス制御	管理者アカウントの初期パスワード変更済み	複数管理者の権限分掌も確認
8	アクセス制御	ジョブログ（誰が何を印刷したか）を取得・保管	保管期間はISMS方針に合わせる
9	アクセス制御	退職者・異動者のアカウント削除フローが整備	ICカード返却手順とセットで確認
10	通信・NW	通信暗号化（SSL/TLS・IPP over HTTPSなど）が有効	脆弱プロトコル（SSLv3等）は無効化
11	通信・NW	不要なポート・サービス（Telnet・FTP等）が無効	メーカー標準設定の見直し要
12	通信・NW	ファームウェアが最新に更新	脆弱性情報の受領経路も確認
13	運用・廃棄	FAX誤送信対策（宛先確認画面・宛先制限）	ワンタッチ登録の定期見直しも
14	運用・廃棄	クラウド連携（スキャン to クラウド）の権限管理	共有先アカウントの棚卸し
15	運用・廃棄	設置場所の物理セキュリティ（施錠・監視カメラ範囲）	来客動線と分離できているか

各項目の詳細は、以下の実務セクションで解説します。

3. HDD暗号化とデータ消去の実務

15項目のうち、実務で最も見落とされやすいのが「HDD暗号化」と「廃棄・返却時のデータ消去」です。導入時の初期設定と、契約満了・機種入れ替え時の返却手順で、それぞれ確認する必要があります。

3-1. HDD暗号化の設定確認

主要メーカーの複合機は、標準機能または有償オプションでHDD暗号化に対応しています。AES 256bitなどの暗号方式で内部ストレージを常時暗号化し、機器から物理的にHDDを取り外しても外部からデータを読み取れないようにします。導入時に有効化しておくと、以降の運用中は特別な操作は不要です。

3-2. ジョブ完了後の上書き削除

印刷・コピー・スキャン・FAXの各ジョブが完了したあと、HDD上の一時データを上書き削除する機能です。1回消去・3回消去・DoD準拠などの方式が選べる機種もあります。処理速度と安全性のバランスを見て、業務量に合った方式を選ぶのが現実的です。

3-3. 廃棄・返却時のデータ消去手順

リース満了で機器を返却する場面や、故障で入れ替える場面では、HDDの完全消去または物理破壊を実施します。販売業者が消去証明書を発行できるか、返却前に依頼できるかを契約時に確認しておくと、プライバシーマーク・ISMS審査での証跡としても使えます。手順の詳細は複合機のセキュリティ対策｜HDD暗号化・データ消去・認証の基本で整理しています。

4. ユーザー認証・アクセス制御の運用

「誰が何を印刷・スキャンしたか」を追跡できる状態にしておくことは、ISMSの管理策A.5.15（アクセス制御）・A.5.18（アクセス権）・A.8.15（ログ取得）に相当する重要な運用です。

4-1. ICカード認証・PIN認証の運用

社員証ICカード（FeliCa・MIFARE等）をかざして印刷を開始する方式や、4〜8桁のPIN入力方式が一般的です。認証なしで印刷できる状態は、放置文書からの情報漏えいの原因になりがちです。ICカード運用にする場合、退職・異動時のカード回収フローとセットで整備するのが実務のポイントになります。

4-2. 管理者アカウントの権限分掌

複合機の管理者アカウントは、初期パスワード（例：admin/1234等）のまま放置されているケースが少なくありません。導入直後にパスワードを変更し、機器管理担当と一般利用者の権限を分けておきます。管理者権限の付与は最小限にとどめるのが原則です。

4-3. ジョブログの取得と保管

ジョブログ（印刷・コピー・スキャン・FAXの実行履歴）は、事故が起きた後の追跡調査で使う証跡です。ログの保管期間は、社内の情報セキュリティ方針・プライバシーマーク方針に合わせて設定します。半年〜1年程度を目安にしている中小企業が多い印象です。

5. 通信・FAX・クラウド経路のセキュリティ

複合機は、社内LAN・インターネット・FAX回線・クラウドサービスなど複数の経路とつながる情報機器です。各経路で暗号化・認証・権限管理を整えておくことが求められます。

5-1. 通信の暗号化と不要ポートの無効化

プリンタドライバから複合機への印刷通信はIPP over HTTPS、複合機の管理画面へのアクセスはHTTPS、スキャン to メールはSMTP over TLSといった具合に、経路ごとに暗号化を有効にします。あわせて、Telnet・FTPなど暗号化されない旧プロトコルは無効化しておきます。設定の詳細は複合機のクラウドプリントSaaS導入ガイドもあわせて参考にしてください。

5-2. FAX誤送信対策

FAX誤送信は、複合機まわりで発生する情報漏えいの中で件数が多い事故類型です。宛先確認画面の表示、ワンタッチ登録の定期棚卸し、宛先制限（登録済み宛先のみ送信可）、送信履歴レポートの取得などを組み合わせて対策します。宛先確認画面をスキップできない設定にしておくと、うっかり送信の抑止に有効です。

5-3. クラウド連携時の権限管理

スキャン to クラウド（Box・Dropbox・Google Drive・Microsoft 365等）を運用する場合、複合機に登録する共有先アカウントの権限を最小限にとどめます。半年〜1年に1回、共有先アカウントの棚卸しを実施し、退職者アカウントや不要フォルダへの権限が残っていないかを確認します。詳細は複合機のクラウド連携メリットで整理しています。

6. プライバシーマーク・ISMS審査で問われるポイント

プライバシーマーク・ISMS審査では、複合機まわりで以下の観点が問われることが一般的です。

6-1. 資産管理と物理的セキュリティ

複合機は情報資産管理台帳に登録し、設置場所・管理者・廃棄予定時期を記録します。設置場所は施錠可能な区画または監視カメラ範囲内に置き、来客動線から見えない配置にできるとより望ましい状態です。

6-2. アクセス制御とログ

ユーザー認証・管理者権限分掌・ジョブログ取得の3点セットは、審査での定番の確認項目です。運用手順書に落とし込み、記録として残せる状態にしておきます。

6-3. 廃棄・返却時のデータ消去

複合機の廃棄・返却時のHDD消去手順を文書化し、消去証明書または業者からの完了報告書を保管しておくと、審査時の証跡として使えます。テレワーク併用時の運用ルールは複合機とテレワーク運用で整理しています。DX全般の観点は複合機とDXもあわせて参考にしてください。

7. よくある質問（Q&A）

Q. HDD暗号化はすべての複合機で標準対応していますか

A. 主要メーカーの現行機種は標準対応またはオプション対応となっています。中古機・古い機種では未対応のケースがあり、契約前に仕様書またはメーカー公式サイトで確認するのが現実的です。

Q. FAX誤送信を完全に防ぐ機能はありますか

A. 100％防ぐ機能はありません。宛先確認画面の必須表示、ワンタッチ登録の定期棚卸し、宛先制限機能などを組み合わせることで、誤送信の発生確率を下げる運用が現実的です。事故が起きた後の追跡には送信履歴レポートを使います。

Q. リース満了で返却する複合機のHDDデータはどうなりますか

A. 販売業者に依頼して消去または物理破壊を実施するのが一般的です。消去証明書の発行可否・費用の要否・データ消去方式（1回消去/複数回消去/物理破壊）を契約前に確認しておくと、審査時の証跡として活用できます。

Q. プライバシーマーク・ISMS審査で、複合機に特化した規格はありますか

A. 複合機単独の規格はありません。プライバシーマーク（JIS Q 15001）・ISMS（ISO/IEC 27001:2022）の管理策の中で、物理的資産管理・アクセス制御・通信のセキュリティ・運用のセキュリティといった観点から、複合機を対象に含める形が一般的です。

Q. 中小企業が優先すべき項目を3つに絞るとどれですか

A. 情報システム担当が兼務で対応するケースを想定するなら、①HDD暗号化の有効化、②ユーザー認証（ICカードまたはPIN）の導入、③管理者アカウント初期パスワードの変更、の3点から着手するのが現実的です。この3項目を押さえるだけで、複合機経由の情報漏えいリスクの多くを軽減できます。

8. 中小企業の複合機セキュリティ強化なら「事務機器ねっと」にご相談ください

複合機・コピー機の専門店「事務機器ねっと」（運営：株式会社庚伸）は、SHARP・Canon・FUJIFILM・KYOCERA・OKI・EPSON・KONICA MINOLTA・HPの8メーカーを取り扱う独立系マルチベンダー販売店です。株式会社庚伸はJIS Q 27001:2023（ISO/IEC 27001:2022）認証を取得しており、自社の情報セキュリティ運用で培ったチェックリストの考え方を、お客様の複合機導入・運用に反映しています。

「プライバシーマーク・ISMS取得に向けて複合機の設定を棚卸ししたい」「テレワーク併用でクラウド連携時のセキュリティを整理したい」「リース満了で返却する複合機のデータ消去手順を確認したい」といった段階の情報システム担当・総務担当者の方は、お問い合わせフォームからお気軽にご相談ください。8メーカーの中から、お客様の業務量・審査要件・拠点構成に応じた選択肢を複数パターン比較提示いたします。

9. まとめ

複合機のセキュリティは、「機器そのものの機能」ではなく「機器を経路として通過する情報の流れ」を守る発想で組み立てることが現実的です。

本記事で紹介した15項目のチェックリストを、①データ保護、②アクセス制御、③通信・ネットワーク、④運用・廃棄の4カテゴリで年に1回棚卸ししていくと、プライバシーマーク・ISMS審査での指摘リスクも下がっていきます。まずは優先度の高い3項目（HDD暗号化・ユーザー認証・管理者パスワード変更）から着手し、そこから通信暗号化・FAX誤送信対策・クラウド連携権限管理へと広げていく順序が、中小企業の運用体力に合った進め方です。

複合機・コピー機の専門店「事務機器ねっと」（運営：株式会社庚伸）は、複合機導入時のセキュリティ設定から、リース満了時のデータ消去手順まで、8メーカーの中立的な立場からご案内しています。お気軽にご相談ください。