ランサムウェアに感染した、情報が漏れた。そうしたニュースの多くで、侵入口は意外なほど地味です。古いまま放置されたルーター、誰でもつなげる来客用Wi-Fi、退職者のアカウントが残ったままの管理画面。高度な攻撃の前に、まず塞がれていない「普通の穴」から入られます。
ネットワークセキュリティと聞くと、専門的で身構えてしまうかもしれません。ですが守りの基本は、家の戸締まりと同じです。入口を限る・鍵をかける・部屋を分ける・見回る。この4つをオフィスのネットワークに当てはめて確実に行うことで、狙われやすい穴の大半は塞げます。
このコラムでは、オフィスの情報資産を守る立場にある情報システム・総務の担当者に向けて、次の3点を整理します。
- ネットワークを守る「4つの基本動作」と、機器でできること
- 無線LANという「見えない入口」をどう固めるか
- 機器を入れたら終わりにしない、運用の勘どころ
ここではISMSなどの制度設計ではなく、オフィスのネットワークを技術的にどう守るかに絞って解説します。
30秒でわかる：ネットワークを守る4つの基本動作
ネットワークセキュリティの基本は「入口を限る・鍵をかける・部屋を分ける・見回る」の4つに集約できます。難しい言葉に置き換える前に、この4動作で全体像をつかみましょう。
| 基本動作 | 技術でいうと | 守るもの |
|---|---|---|
| 入口を限る | ファイアウォール／UTM | 外部からの不正な侵入 |
| 鍵をかける | 無線の暗号化・認証／VPN | 通信の盗み見・不正接続 |
| 部屋を分ける | ネットワークのセグメント分離 | 感染の社内拡大 |
| 見回る | 監視・ログ・更新の運用 | 異常の見逃し・脆弱性の放置 |
この4つは、どれか1つだけ完璧でも十分ではありません。入口を固めても部屋を分けていなければ、一度入られたあとに被害が広がります。鍵をかけても見回らなければ、破られたことに気づけません。4動作をバランスよく回すことが基本です。
被害相談で見えてきた現実
ここ数年は、ランサムウェアの感染経路としてVPN機器やリモートデスクトップが注目されています。警察庁の集計でも、感染経路の多くがVPN機器やリモートデスクトップ経由で、侵入に使われた機器の一部はセキュリティパッチが未適用でした。
被害は大企業だけでなく中小企業にも広がり、取引先経由で攻撃が広がる「踏み台」にされる例もあります。実際の相談でも「自社のVPNやルーターのパッチは大丈夫か」「取引先が攻撃を受けたが自社は巻き込まれないか」という具体的な不安が増えています。
入口を限る：境界をファイアウォールで守る
最初の守りは、社内ネットワークとインターネットの境目です。ここにファイアウォールを置き、許可した通信だけを通し、それ以外を遮断するのが境界防御の基本になります。
家でいえば玄関にあたります。鍵もかけずに開けっ放しにしていれば、誰でも入れてしまいます。ファイアウォールは、外から来る通信を見て、怪しいものをここで止める役割を担います。
UTMで複数の守りをまとめる
最近は、ファイアウォールに複数のセキュリティ機能をまとめたUTMという機器も広く使われます。専任担当者が手薄な中小規模のオフィスでも、1台で複数の守りをカバーしやすいのが特長です。
| 機能 | 何をするか |
|---|---|
| ファイアウォール | 許可外の通信を遮断する |
| 不正侵入の検知・防御 | 攻撃の通信パターンを見つけて止める |
| ウイルス・不正サイト対策 | 危険な通信・サイトへの接続を防ぐ |
ただし、機器を置くだけでは守りは完成しません。許可する通信のルール設定や、ファームウェア更新を継続して初めて機能します。
境界防御で大切なのは「更新を止めない」こと
エレコムは無線アクセスポイント・スイッチ・NASなどのメーカーであり、ファイアウォール／UTM専用機は主力ラインナップではありません。境界防御は他社UTMやセキュリティ製品との組み合わせ、またグループ会社groxiによるネットワーク設計や不正アクセス検知の導入支援でカバーします。
現場目線で特に重要なのは、境界機器のパッチ未適用を放置しないことです。高価な機器を置くこと以上に、ルーター・VPN機器・AP・スイッチを含めた全機器のファームウェア更新運用を止めないことが、実効的な対策になります。
鍵をかける：無線LANという「見えない入口」を固める
有線と違い、無線LANの電波は壁を越えて屋外にも漏れます。つまり、建物の外からでも入口に手が届くということです。だからこそ無線は、暗号化と認証を徹底する必要があります。
- 暗号化を最新の方式にする
古い暗号化方式（WEP等）は解読されるため使いません。現在はWPA3、最低でもWPA2を使います。
- 来客用と業務用を必ず分ける
来客端末を社内ネットワークに直接つながせると、その端末経由で社内に入られるリスクが生まれます。
- パスワードの管理を運用に組み込む
無線のパスワードを長年変えず、退職者も知っている状態は見えない穴です。人の出入りに応じて見直します。
法人向け無線APでできる認証と分離
エレコムの法人向け無線AP（WABシリーズ）は、WPA3に加え、IEEE802.1X／RADIUS認証に対応しています。よく使われるMACアドレスフィルタリングは、MACアドレスを詐称されると突破されるため、単体では十分とはいえません。認証基盤と組み合わせることで、許可した端末以外を土台からつなげない運用が組めます。
さらに、周囲の野良AP・なりすましAPを見つけるワイヤレスモニター（不正AP検出）、来客同士の端末通信まで遮断するSSID＆STAセパレータなど、来客が混在する環境を安全に運用するための機能も備えています。
部屋を分ける：一度入られても被害を閉じ込める
どれだけ入口を固めても、侵入をゼロにはできません。だから現代のセキュリティは、入られる前提で、入られても被害を広げない設計を重視します。その柱が、ネットワークを用途で区切るセグメント分離です。
すべての端末を1つのネットワークに同居させると、1台が感染したとき、つながっている全機器に被害が広がりうる状態になります。部署・用途ごとにネットワークを分けておけば、感染を一部屋に封じ込められます。
| 分けるもの | なぜ分けるか |
|---|---|
| 業務用／来客用 | 来客端末経由の侵入を防ぐ |
| 一般業務／重要システム | 経理・サーバなど重要データへの到達を限る |
| IoT機器／業務端末 | カメラ・複合機など守りが弱くなりがちな機器を隔離する |
特に近年は、カメラや複合機などのIoT機器が穴になりやすくなっています。これらは更新が後回しになりがちで、攻撃者に狙われます。業務端末と別の区画に置いておくと、万一そこが破られても被害を限定できます。
セグメント分離の実装例
セグメント分離で狙うのは、一度入られても横に広がらせないことです。大阪の病院被害では、攻撃者が窃取した認証情報を使い回し、機器から機器へ横移動したことが被害を拡大させました。
実例では、回復期リハビリ病院で電子カルテ系をインターネットにつながらない院内専用ネットワークとして完全分離し、業務系・患者向けゲストWi-Fiと切り分けました。分離はスイッチのVLAN（EHB Webスマート等）や、無線APのタグVLAN・ゲストネットワークで実装します。
見回る：機器を入れたら終わりにしない
セキュリティ機器は、設置した瞬間が最も新しく、そこから日々古くなっていきます。運用で見回らなければ、いつの間にか穴が開きます。守りを保つための見回りは3つです。
- ファームウェア・ソフトを更新し続ける
ルーター・UTM・スイッチ・APの内部ソフトには、新たな脆弱性が見つかると修正版が提供されます。更新を止めると、既知の穴が開いたまま放置されます。
- アカウント・権限を棚卸しする
退職者のアカウントが残っている、誰でも管理画面に入れる状態は典型的な穴です。人の出入りに合わせてアカウントを整理します。
- 異常を見える化する
集中管理や監視の仕組みで、不審な通信・見慣れない接続・機器の異常を早く拾えるようにしておきます。
| 見回り項目 | 放置するとどうなるか | 打ち手 |
|---|---|---|
| ファームウェア更新 | 既知の脆弱性が残り狙われる | 計画的に適用 |
| アカウント・権限 | 退職者・過剰権限が穴になる | 定期的な棚卸し |
| 異常の監視 | 侵入に気づけず被害が拡大 | 集中管理・監視で見える化 |
技術的な対策と並行して、従業員の意識も守りの一部です。怪しいメールを開かない、パスワードを使い回さない。機器でいくら固めても、人がドアを開けてしまえば意味がありません。
更新が止まることを仕組みで防ぐ
侵入の入口がパッチ未適用の機器であることを踏まえると、更新運用こそ最大の対策になります。現場では、サポートが終了した機器や、導入以来ファームウェアを一度も更新していないAP・スイッチが残りがちです。
エレコムでは、無料のクラウド管理「アドミリンク」で遠隔から複数拠点の機器を一斉にファーム更新・再起動できます。集中管理ソフト「WAB-MAT」なら、死活監視やSyslog転送による通信の見える化、異常のメール通知まで行えます。先出しのデリバリー保守やセンドバック延長保証も、故障時に業務を止めない体制づくりに役立ちます。
エレコムの法人向けネットワークセキュリティ製品
エレコムは、ネットワーク機器メーカーとして、オフィスのネットワークを守る無線アクセスポイント、スイッチ、NASなどを提供しています。「どこから手をつければいいか分からない」という段階からの相談にも対応します。
| 項目 | 内容 |
|---|---|
| 製品カテゴリ | 無線AP・スイッチ・NAS・LAN周辺機器など |
| 主な対策 | WPA3、IEEE802.1X／RADIUS認証、ゲストWi-Fi分離、不正AP検出、VLANによるセグメント分離 |
| 支援範囲 | 機器選定、構成提案、設計・施工、グループ会社groxiとの連携によるネットワーク刷新 |
導入・支援の一例
WAB／WAB-BEシリーズは、暗号化・認証・ゲストWi-Fi分離・不正AP検出を備え、EHB WebスマートシリーズはVLANによるセグメント分離に対応します。これらを組み合わせることで、入口の鍵かけと内部の分離を実装できます。
設計・施工から、不正アクセス検知を見据えたネットワーク刷新までは、グループ会社groxiと連携して一括で対応できます。医療・福祉、オフィス、工場、学校など、用途別にネットワークを切り分ける導入実績があります。
よくある質問
Q1. 中小規模のオフィスでも、そこまでの対策が必要ですか。
必要です。むしろ対策が手薄な中小規模の環境が、侵入しやすい入口として狙われる傾向があります。取引先の大企業へ攻撃を広げる踏み台にされるケースもあり、自社だけの問題では済みません。
Q2. 来客用Wi-Fiは、本当に分けないと危ないですか。
分けることを強くおすすめします。来客の端末が感染していないとは限りません。それを社内ネットワークに直接つなぐと、その端末経由で社内に入られる経路を自分から作ることになります。
Q3. VPNやリモート接続を使っている場合、何を確認すべきですか。
まず、ルーターやVPN機器のファームウェアが最新かを確認します。次に、使っていないアカウントが残っていないか、管理者権限が広がりすぎていないかを棚卸しします。報道をきっかけに「うちのVPNは危なくないか」と相談されるケースでも、この2点から確認することが多くあります。
Q4. 無線LANの電波は建物の外から勝手に入られませんか。
電波自体は建物の外へ漏れることがあります。そのため、WPA3などの暗号化、強い認証、来客用と業務用の分離、推測されにくいパスワード管理が重要です。隣のビルや駐車場から見えても、接続できない状態を作ることが基本です。
まとめ：守りの基本は「戸締まり」と同じ
ネットワークセキュリティは、特別な魔法ではありません。入口を限る・鍵をかける・部屋を分ける・見回る。この4つの基本動作を、オフィスの機器と運用で確実に行うことに尽きます。
- 入口を限る：境界にファイアウォール／UTMを置き、不要な通信を通さない
- 鍵をかける：無線は最新の暗号化、来客用は分離、パスワードを管理する
- 部屋を分ける：セグメント分離で感染を一部屋に封じ込める
- 見回る：更新・権限棚卸し・監視を運用に組み込む
完璧を一度に目指す必要はありません。まずは入口と無線の穴を確認し、明らかなところから塞いでいってください。どこから手をつけるべきか迷ったら、ネットワーク機器を一体で扱うメーカーに相談するのも一つの手です。
