ファイアウォールとは、ネットワークの境目で、決めた規則に沿って通信を通すか止めるかを判断する機器やソフトのことです。
今日やることは、自社の機器について3つを保守会社か担当者に聞くことです。外から入れる通信の一覧。VPN機器など社外に公開している機器の更新状況。工場や公開サーバーが事務所のネットワークと分かれているか。
機器があることと、守れていることは別です。警察庁の令和7年の報告によると、ランサムウェアの被害報告は226件で、中小企業が約6割、業種別では製造業が約4割でした。同じ報告は、インターネットに露出した箇所から侵入する手口が多くを占めると書いています。
ネットワーク全体の考え方はネットワークセキュリティの解説にまとめています。この記事ではファイアウォール1つに絞ります。
ファイアウォールはどう通信を判断する？
NISTのファイアウォールの指針 SP 800-41 Rev.1は、ファイアウォールを、守り方の違うネットワークや機器の間で通信の流れを制御する機器またはプログラムと説明しています。2009年の文書ですが、基本の仕組みの説明は今も土台になります。
建物にたとえると、通用口の受付です。誰がどの部屋へ行くかの名簿を見て通します。ただし、持ち込まれたかばんの中身までは開けません。
判断の方式は、主に次の3つです。
| 方式 |
見るもの |
特徴 |
| パケットフィルタ |
送信元、宛先、通信の種類 |
動きが軽い。中身は見ない |
| ステートフルインスペクション |
上に加えて、接続の状態 |
社内から始めた通信への返事かを確かめられる |
| アプリケーションプロキシ |
アプリの通信の中身 |
間に立って中継する。処理は重くなりやすい |
実際の機器は、複数の方式やほかの機能を組み合わせていることがあります。何が使えるかは機種と契約で変わるので、カタログの名前だけで判断せず、見積もりの時点で確かめます。
基本は「許可したものだけ通す」
SP 800-41は、ポリシーで明示的に許可していない通信は、入りも出も止めるのが一般的だと述べています。使っていない通信を残さないほど、攻撃を受ける場所が減るからです。
入ってくる通信だけでなく、出ていく通信も制御できます。社内の端末が感染したあと、外への不要な通信を止める役に立つ場合があります。
中小企業にファイアウォールは必要？
必要です。IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0版は、社内と社外の境界を明確にし、ファイアウォールを導入して設定を有効にするよう求めています。
ここで見落としやすいのが「設定を有効にする」の部分です。買って置いただけでは、規則が緩いまま動いていることがあります。導入した当時の規則に、もう使っていない接続が残っていないか。担当者が替わった会社ほど、一度棚卸しする価値があります。
規模によって置くものは変わります。社員が少なく、社内にサーバーがほとんどない会社なら、役目は小さくなります。それでも、拠点の出入口を誰が管理しているかは確かめておきたいところです。製品の種類や保守の違いはファイアウォール機器の製品比較で見られます。
メールやWebの攻撃に足りないのはなぜ？
許可した通信の中身までは、基本の機能では見ていないからです。SP 800-41は、パケットフィルタは通信の中身に関心を持たないと説明しています。
メールの受信とWebの閲覧は、仕事に欠かせません。そのため入口の規則では許可されています。攻撃がその許可された通り道に乗って来ると、受付は通してしまいます。
足りない部分を、攻撃の場面ごとに分けると次のようになります。
| 場面 |
ファイアウォールだけでは難しい理由 |
別に考える対策 |
| 添付ファイルや偽のメール |
許可されたメールの通信に乗って届く |
メールの検査、端末の対策、社員教育 |
| 自社のWebサイトへの攻撃 |
公開のため通信を許可している |
WAF、CMSや部品の更新 |
| 許可した通信の中の不審な動き |
規則に合えば通る |
IDS・IPS |
| VPN機器の弱点や弱いパスワード |
正規の入口を使われる |
更新、多要素認証、アカウント整理 |
| 社内の端末どうしの感染の広がり |
境目を通らない |
ネットワークの分離、EDR |
IPAのガイドラインは、WAFをWebアプリの脆弱性を悪用した攻撃から守る技術と説明しています。公開サイトで問い合わせフォームや会員機能を動かしているなら、WAFの製品比較が次に見る候補です。不正な通信の検知と遮断はIDS・IPSの仕組みと違いで扱いました。
正規の入口を狙われたら、ファイアウォールは止めにくい
警察庁の令和7年上半期の報告は、被害組織へのアンケートで、VPNやリモートデスクトップ用の機器からの侵入が感染経路の8割以上を占めたとしています。原因として、IDとパスワードが安易だったこと、不要なアカウントが管理されずに残っていたことを挙げています。
令和7年の通年の報告でも、VPN機器が侵入経路の6割以上です。ただし回答した組織に限った数字で、全国すべての被害を示すものではありません。
外から社内につなぐ通信は、仕事のために許可されています。正しいIDとパスワードで入られると、受付の名簿には合っています。だから、ファイアウォールの規則とは別に、機器の更新とアカウントの管理が要ります。つなぎ方そのものを変える考え方はZTNAとVPNの違いで説明しています。
誤解しやすい点
ファイアウォールの機能がVPN機能と同じ箱に入っていることもあります。この場合、箱そのものが外に公開された入口になります。「守る機器だから安全」とは考えず、ほかの機器と同じく更新の対象に入れてください。
社内の広がりも止められる？
境目に置いた1台だけでは、社内の広がりまでは止めにくいです。SP 800-41は、社内の機器どうしの攻撃はネットワークのファイアウォールを通らないことが多いと書いています。
そのため、用途ごとにネットワークを分け、分け目にも規則を置く考え方があります。IPAのガイドラインも、公開サーバーや機密性の高い情報を扱うサーバー、工場など、用途と扱う情報が違うネットワークは分離して運用するよう求めています。
製造業の場合、工場と事務所の境目をどう見る？
たとえば、本社の事務所と工場の生産設備が同じネットワークにある場合を考えます。事務所のパソコンが感染すると、同じネットワークの設備用パソコンや生産管理のサーバーにも通信が届く状態です。
ここに分け目を作り、生産管理との連携に必要な通信だけを許可すれば、届く範囲を狭められます。設備メーカーの遠隔保守の回線も、この棚卸しの対象です。
進めるときは、先に通信を調べます。いきなり止めると、設備の連携や保守の接続まで止まるおそれがあるからです。
経済産業省の工場システムのガイドラインは、工場システムがインターネットにさらされない前提で設計されてきたことを背景に挙げ、対策の考え方と手順を示しています。工場の分け方を考えるときは、IPAのガイドラインもここを参照先に挙げています。
何を確かめて、何を頼めばいい？
専門の担当者がいない会社でも、質問はできます。次の7項目を保守会社に送り、答えを1枚にまとめてください。
- 境目の機器の型番、ソフトの版、保守の期限
- 外から入れる通信の一覧と、それぞれの用途
- 規則の見直しを最後にしたのはいつか
- VPNなど社外に公開している機器の更新状況と、更新の担当者
- 外から入れるアカウントの一覧と、多要素認証の有無
- 機器のログをどこに、どのくらいの期間残しているか
- 工場、公開サーバー、来客用Wi-Fiは事務所と分かれているか
答えが返ってこない項目があれば、そこが今の弱いところです。機器を買い替える前に、規則の整理と更新の担当決めだけで片づくことも少なくありません。
入れ替えを検討するなら、選ぶ基準は「最大の通信速度」だけでは足りません。使いたい機能を有効にしたときの速度、保守の期限、更新と監視を誰が担当するかまで見積もりで確かめます。拠点が複数あるなら、SD-WANが必要かどうかの判断も同時に考えると、機器を二重に買わずに済みます。
2026年の脅威と照らすと何が言える？
IPAの情報セキュリティ10大脅威 2026の組織編は、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、4位がシステムの脆弱性を悪用した攻撃です。8位にリモートワーク等の環境や仕組みを狙った攻撃、10位にビジネスメール詐欺が入っています。
このうちファイアウォールが直接関わるのは、外に開いている入口を減らす部分です。入口を減らすほど、ほかの対策で見張る範囲も狭まります。対策の土台ではあっても、これ1つでは完結しません。
