社内ネットワークのセキュリティ対策の基本

「ウイルス対策ソフトは入れている」だけでは守れない

社内ネットワークのセキュリティというと、PCのウイルス対策ソフトを思い浮かべる方が多いのですが、それは対策の一部にすぎません。端末側の対策をすり抜けた脅威や、来客・私物端末の持ち込み、設定ミスによる「開けっ放しの入口」は、ネットワーク側で止める必要があります。

この記事では、専任の情シスがいない中小企業でも現実的に取り組める社内ネットワークのセキュリティ対策を、「境界」「内部の分離」「無線」「運用」の4層に整理して解説します。社内ネットワークをこれから作る方は、先に社内ネットワーク構築の進め方を読んでから戻ってくると全体がつながります。

対策の全体像 — 4層で考えると漏れがない

外側（境界）だけ固めても、内側がフラットなネットワークだと、1台の感染が全体に広がります。逆に内側だけ分離しても、出入口が無防備では意味がありません。4層をバランスよくが基本です。

1. 境界 — 出入口で止める

UTM・ファイアウォールの導入

インターネットとの境界には、ファイアウォール機能を持つ法人向けルーター、または UTM（統合脅威管理アプライアンス）を置きます。UTMはファイアウォールに加えて、不正侵入検知・Webフィルタリング・アンチウイルスなどを1台にまとめた機器で、専任者のいない組織でも境界対策を一括で底上げできるのが利点です。

ただし「UTMを入れたから安心」ではありません。初期設定のまま運用している UTM は、高価な置物になりがちです。自社の業務に合わせたポリシー設定と、ライセンス・シグネチャの更新が前提です。

不要な「公開」をやめる

意外に多いのが、使っていないポート開放やリモートデスクトップ（RDP）のインターネット直接公開が残っているケースです。外部からの不正アクセスの常套手段なので、ルーターの設定を棚卸しし、使っていない開放設定は閉じる。外部アクセスが必要なら VPN 経由に限定するのが原則です。

2. 内部の分離 — VLANで「もしも」の被害を区切る

4層の中で、中小企業のネットワークで最も手つかずになりがちなのがここです。

オフィスのネットワークが1つのフラットな LAN になっていると、来客の持ち込み端末も、社員のPCも、基幹サーバーも、互いに通信できてしまいます。この状態で1台がマルウェアに感染すると、横方向（ラテラルムーブメント）に被害が広がります。

対策は VLAN（仮想LAN）による分離です。物理的には同じスイッチ・同じ配線のまま、ネットワークを論理的に分割できます。

最低限やっておきたい分離は次の3つです。

• ゲストWi-Fiと業務LANの分離 — 来客端末がウイルスに感染していても業務LANに届かないように。効果に対して手間が小さく、最優先
• サーバー類と一般端末の分離 — NAS・業務システムへの通信を「必要なものだけ」に絞る
• 防犯カメラ・IoT機器の分離 — ファーム更新が止まりがちな機器を業務LANから隔離する

3. 無線 — Wi-Fiは「社内の壁の外」まで届く

無線LANの電波はオフィスの壁を越えて届きます。駐車場や隣のテナントから接続を試みられる可能性を前提に設計します。

• 暗号化は WPA2 以上（可能なら WPA3） — 古い機器のために WEP や WPA（初代）を残すのは厳禁です
• ゲスト用SSIDを分ける — 来客に業務用Wi-Fiのパスワードを教える運用は、VLAN分離を無意味にします。ゲストSSID＋ゲストVLANをセットで
• パスワードの定期的な見直し — 退職者が出たタイミングでの変更をルール化します。従業員規模が大きい場合は、個人ごとに認証する 802.1X（証明書・ID連携）の導入も検討に値します

4. 運用 — 「入れて終わり」にしない

• ファームウェア更新 — ルーター・スイッチ・AP・カメラも、PCと同じくソフトウェアで動いています。脆弱性修正が放置された機器が侵入口になります。サポートが終了した機器の放置も同じ文脈のリスクです
• 管理パスワードの変更と保管 — 機器の初期パスワード運用は論外として、「前任者しか知らない」「付箋で貼ってある」も同じくらい危険です
• 構成図・設定情報の整備 — 何がどう繋がっているか分からないネットワークは、守りようがありません。インシデント時の切り分け速度にも直結します
• 退職・入退社時の手順化 — アカウント・Wi-Fiパスワード・VPN権限の棚卸しを、人の出入りのたびに実施します

やりがちなNG集

• ゲストWi-Fiを業務LANにそのまま接続している（パスワードも全員共通で数年変えていない）
• UTMを入れたが初期設定のまま、ライセンス切れにも気づいていない
• 「一時的に」開けたポート開放・RDP公開がそのまま残っている
• ルーターやNASの管理画面が初期パスワードのまま
• ネットワーク構成図がなく、障害時にどこを見ればいいか誰も分からない

1つでも心当たりがあれば、見直しの価値があります。

どこから手をつけるべきか

優先順位をつけるなら、(1) 不要な公開の停止と初期パスワードの変更（今日できる）→ (2) ゲストWi-Fiの分離 → (3) UTM導入とVLAN設計 → (4) 運用ルールの整備の順をお勧めします。先頭の2つはコストがほぼかからず、効果が大きい対策です。

NET INNOVATIONでは、UTM・ファイアウォールの導入から VLAN 設計、無線の認証強化まで、セキュリティ設備の導入とネットワーク構築をワンストップで手がけています。営業を介さず、要件調査の段階から現役のネットワークエンジニアが直接対応します。

「うちのネットワークが今どうなっているのか分からない」という段階のご相談も歓迎です。お問い合わせからお気軽にどうぞ。お見積りは無料です。

関連記事

• 小規模オフィスの社内ネットワーク構築の進め方
• SIMカードのセキュリティ対策｜法人の3大リスク
• Cisco Catalyst EOL一覧・移行ガイド