UTMとは？1台⁠で何を守れて何を守れないのかを総務の目線で解説する

UTMとは、ファイアウォールやIDS・IPS、メールやURLのフィルタリングなど、複数の守りの機能を1台⁠にまとめた機器です。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版⁠の技術的対策の説明も、同じ趣旨です。

今日やることは、社内のUTMについて3つ⁠を確かめることです。どの機能が有効か、保守とライセンスの期限はいつか、更新は誰の担当か。保守会社との契約書と請求書を出して、分からない項目は電話で聞いてください。

この3つ⁠が答えられない状態だと、「UTMを入れてあるから大丈夫」という判断の根拠がありません。

UTMは何をする機器？

社内と社外の境目に置いて、通る通信を調べる機器です。私たちは「社外からの入口を見る箱」⁠と割り切って考えることを勧めています。万能の守りと考えると、守れていない場所に気づけなくなるからです。

1台⁠に入る主な機能は次のとおりです。機種や契約によって、使える範囲は変わります。

フォーティネットのUTMの解説は、利点として機能を1台⁠にまとめて管理を簡単にできる点を挙げています。別々の機器を並べて管理する余裕がない会社に向く理由は、ここにあります。

検知と遮断の仕組みをさらに比べるなら、IDS・IPSの製品比較が使えます。

UTMとファイアウォールや次世代ファイアウォールの違いは？

ファイアウォールは機能の名前で、UTMはその機能を含む複数の機能をまとめた機器の呼び名です。見積書に「ファイアウォール」とだけ書いてあれば、IDS・IPSやフィルタリングが含まれるのかを確かめてください。

次世代ファイアウォールとの線引きは、製品の説明でも揺れがあります。フォーティネットの解説は、違いは表面上は言葉の差に見えるとしたうえで、一般的なUTMには不要な機能が含まれる場合があると述べています。次世代ファイアウォールなら、必要な機能だけを有効にして使えるという説明です。

メーカーごとに呼び名の使い方が違うので、総務の立場で名前の区別にこだわる必要はありません。見るのは、契約の範囲でどの機能が動いているかです。同じ機種でも、ライセンスの種類によって使える機能が変わることがあります。

UTMで守れる範囲と守れない範囲は？

判断の軸は1つです。その通信がUTMを通るかどうかで考えます。

表の下半分を見ると、UTMだけでは足りない理由が分かります。社外で働く人が増え、クラウドを直接使う会社ほど、UTMを通らない通信は増えます。

パソコンの中の動きを見るのはEDRの役割です。IPAのガイドラインでも、UTMとは別の仕組みとして説明されています。端末側の選び方は端末の守りの製品比較⁠で確かめられます。

UTM自体が狙われることはある？

あります。UTMは社外に面した機器で、VPN機能を使っていれば社外からの入口そのものになります。

警察庁の2026年上半期の資料⁠によると、ランサムウェア被害の報告は123件で、統計を取り始めた2020年下半期以降の半期で最多でした。被害組織へのアンケートでは、侵入経路のうちVPN機器が約5割⁠を占めています。

同じ資料は、未修正の脆弱性や漏えいした認証情報が侵入に悪用されると説明しています。守るために置いた機器も、更新が止まれば弱点になり得ます。

もう1つ⁠、構造上の弱点があります。機能を1台⁠に集めているので、その1台⁠が故障すると、インターネットの接続や社外からの接続が同時に止まる場合があります。故障時の代替機と連絡先を、保守契約で確かめておいてください。

更新や保守期限の具体的な見方は、機器ごとに違います。導入の多い機種を例に、FortiGateのファームウェア更新と保守切れの注意点⁠で整理しました。

製造業の工場では何が見えにくい？

たとえば、本社の事務所と工場が同じネットワークにつながっていて、インターネットとの境目にUTMが1台ある場合を考えます。

事務所のパソコンから工場の生産管理サーバーへの通信は、社内で完結するので、構成によってはUTMを通りません。すると、持ち込まれたパソコンや、すでに侵入された端末からの通信は、境目の機器では見えにくくなります。

IPAのガイドラインは、公開サーバーや機密性の高い情報を扱うサーバー、工場など、用途の異なるネットワークを分けて運用するよう求めています。必要に応じて、経済産業省の工場向けのガイドラインも参照するよう案内しています。

工場を持つ会社なら、UTMの機種を選ぶ前に、事務所と工場のネットワークが分かれているかを見てください。分かれていなければ、機器の入れ替えより先に検討する価値があります。

UTMを新しく入れる前に確かめることは？

次の4つ⁠に答えてから見積もりを取ると、不要な機能に費用を払う場面を減らせます。

• 社員の何割が社外から仕事をしているか
• 業務のデータは、社内のサーバーとクラウドのどちらにあるか
• 機器の警告を見て動ける人は誰か、休日はどうするか
• 保守とライセンスの期限が切れた場合、どの機能が止まるか

社外で働く人が多く、データの大半がクラウドにある会社は、UTM1台⁠で考えるより、社外の接続も含めて見直すほうが筋が通ります。その場合はSASEがUTMやVPNの何を置き換えるのかと、VPNをやめるかどうかの判断⁠が次に読む内容です。

社内のサーバーが中心で、社員が事務所と工場に出社して働く会社なら、入口を見る機器の役割はいまも大きいです。機能と保守の違いはUTM・ファイアウォール機器の比較⁠で並べて確かめられます。クラウド型への移行を比べるならSASEの製品比較が参考になります。

担当者を社内に置けない場合は？

IPAが制度を運用するサイバーセキュリティお助け隊サービス⁠を確かめてください。中小企業向けのサービスを民間事業者が提供し、IPAの2024年3月の発表⁠によれば、異常の監視、攻撃を受けたときの初動対応の支援、簡易サイバー保険などをまとめています。

同じ発表では、1類の価格要件をネットワーク監視型で月額1万円以下⁠、端末監視型で1台あたり月額2,000円以下としています。監視を増やせる2類も、このときに新設されました。内容と価格は提供事業者ごとに違うので、見積もりで確かめてください。

機器を買うか、監視まで頼むか。どちらを選んでも、社内で決めておくことは残ります。警告が来たとき、ネットワークを止める判断を誰がするのかです。社長、総務、保守会社の3者で、連絡の順番を1枚⁠の紙に書いておくと、夜間や連休の判断が速くなります。

UTMを含む社外とのつなぎ方の全体は、ネットワークの守り方のまとめ⁠で確かめられます。