ファイアウォール機器の大きさは、社員数そのものより、つなぐ機器の台数、防御機能を入れたときの処理速度、VPNの本数の3つで決まります。
今日やることは、この3つの数を1枚の紙に書き出すことです。あわせて、今の機器の型番と保守の期限も書きます。ここまであれば、販売店に渡したときに提案の前提がそろい、複数社の見積もりを同じ条件で比べられます。
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版も、各拠点のネットワークについて、構成機器や保守事業者の情報を整理し、構成図を作って更新していくよう求めています。
ネットワークの入口を守る考え方の全体は、ネットワークのセキュリティの解説にまとめています。
社員数ではなく何を数える？
数えるのは、ネットワークにつながる機器の台数です。社員30人の会社でも、1人1台のパソコンに複合機やサーバーが加わり、工場があれば生産管理の端末なども加わります。
メーカーも、人数ではなく接続する機器の数で案内している例があります。たとえばサクサのSS7000ⅢはPCの同時接続の推奨台数を15台と60台の2機種で示し、シスコのMeraki MX67は50台までの小さな拠点向けとしています。
数えるときは、次のものを分けて書くと販売店に伝わりやすくなります。
- パソコンとスマートフォンなど、人が使う端末
- 社内のサーバー、ファイル共有の機器、複合機
- 工場の生産管理の端末、ネットワークカメラ、通信機能を持つ設備
- 3年後に増える予定の台数
3年後の台数まで書くのは、途中で機器を入れ替えると本体の費用と工事が二重にかかるからです。
推奨台数の決め方は、メーカーごとに同じではありません。そのまま比べず、自社の使い方で足りるかを販売店に聞いてください。
カタログのどの速度を見る？
防御機能を入れたときの速度を見ます。カタログでいちばん大きな数字は、多くの場合、ファイアウォールの機能だけで測ったものです。
公式の仕様では、同じ機種でも次のように差があります。
UTX200の例では、ファイアウォールのみの6.4Gbpsに対して、防御機能を全部入れると650Mbpsです。契約回線が1Gbpsの会社がこの差を知らずに6.4Gbpsだけを見ると、余裕があると読み違えます。
FortiGateのデータシートでは、Threat Protectionの速度はファイアウォール、IPS、アプリケーション制御、マルウェア対策を有効にして、ログも有効にした条件の値です。測定の条件はメーカーごとに違うので、数字の大小だけで機種の優劣は決められません。
暗号化された通信も検査するなら
Webの通信の中身まで調べる場合は、別の数字を見ます。FortiGate 40Fのデータシートでは、Threat Protectionが600Mbpsで、SSL Inspection（IPS）は310Mbpsです。暗号化された通信の検査を使うかどうかで、必要な機種が変わる場合があります。
回線速度と実測のどちらに合わせる？
両方を書いて相談します。契約が1Gbpsでも、普段の通信量はそれより少ないのが通常です。ただ、月末の締めや、クラウドへのバックアップの時間帯は上がります。
今の機器やルーターの管理画面で、混む時間帯の通信量を1週間ほど見てください。見方が分からなければ、保守会社に実測の値を出してもらいます。サクサのSS7000Ⅲの注意書きにも、多くの通信の負荷がかかると回線速度が低下する場合があると書かれています。
VPNの本数はどう数える？
拠点どうしをつなぐ本数と、社外のパソコンからつなぐ本数を分けて数えます。公式の仕様でも、この2つは別の欄です。
| 機種 |
拠点どうし（IPsec） |
社外の端末から（IPsec） |
| FortiGate 40F |
200 |
250 |
| FortiGate 70G |
200 |
500 |
ルーターでVPNを受ける構成もあります。UNIVERGE IX2235はIPsecで最大256対地、ヤマハ RTX1300はVPN対地数が100で、ライセンスを足すと最大1,100まで拡張できます。
本数の上限より先に確かめたいのが、社外接続の方式です。FortiGate 40FのデータシートにはFortiOS 7.6.0以降でSSL-VPNに対応しないとあり、70GはSSL-VPNの欄がN/Aです。フォーティネットのリリースノートも、メモリが2GB以下の機種からSSL-VPNを外したと説明しています。今の接続方法をそのまま移せるかは、機種を決める前に聞いてください。
VPN機器は更新の体制まで決める
警察庁の令和8年上半期の資料によると、ランサムウェア被害の報告は半期で123件でした。被害組織へのアンケートでは、侵入経路はVPN機器が約5割を占めています。被害企業の約6割は中小企業で、業種別では製造業が約3割です。
VPNを受ける機器は、社外に面した入口です。機種の大きさと同じくらい、更新を誰がいつ行うかが選定の条件になります。社外接続をクラウドの仕組みに移す選択肢もあるので、SASEの製品比較も見ておくと、箱で受ける場合と比べられます。
製造業の場合は何が変わる？
たとえば、本社の事務所と工場が同じ敷地にあり、インターネットの出口が1つの会社を考えます。この場合は、出口の機器の大きさだけでなく、事務所と工場を分けるかどうかが選定に効きます。
IPAのガイドラインは、公開サーバーや機密性の高い情報を扱うサーバー、工場など、用途の異なるネットワークを分けて運用するよう求めています。経済産業省の工場システムのガイドラインも、インターネットにさらされない前提で設計されてきた工場のシステムが、IoT化や自動化の流れで変わってきたことを前提にしています。
分ける構成にすると、機器に必要なポートの数や、ネットワークの分け方の設定が変わります。工場の側を止められない時間帯があるなら、工事の時間も見積もりの条件に書いてください。
通信を見張る機能を工場の手前にも置きたい場合は、IDS・IPSの製品比較で入れ方の違いを確かめられます。
見積もりの前に書き出す項目は？
次の表を埋めて販売店に渡すと、各社の提案の前提がそろいます。
| 項目 |
書くこと |
| 台数 |
今の台数と3年後の台数を、種類別に |
| 回線 |
契約速度、本数、混む時間帯の実測 |
| VPN |
拠点どうしの本数、社外の端末の台数、今の方式 |
| 機能 |
IPS、アンチウイルス、Webフィルタなど使うもの |
| 暗号化通信の検査 |
使うかどうか |
| 拠点 |
拠点の数、工場と事務所を分けるかどうか |
| 故障時 |
止まってよい時間、代替機の受け取り方 |
| 運用 |
更新と警告の担当者、休日の対応 |
| 期間 |
何年使う前提か |
機種名は書かなくてかまいません。条件を渡して、各社の提案の理由を聞くほうが、比べやすくなります。
提案を受けたら、次の4つを必ず聞いてください。
- 表のどの条件の速度を根拠に、その機種を選んだのか
- 同時に使える接続の数は足りるのか。公式の値は、UTX100とUTX200が500,000、FortiGate 40Fが700,000、FortiGate 70Gが1.4M（TCP）です
- 防御機能のライセンスが切れると、どの機能が止まるのか
- 5年間の総額はいくらか
ライセンスについて、サクサのSS7000Ⅲの注意書きは、有効期限が過ぎるとセキュリティ機能が停止したり、定義ファイルが更新されなくなったりすると説明しています。金額の出し方はUTMの本体・保守・ライセンスで見る5年の総額に分けて書きました。
機器を入れる前に、そもそも何を止めたいのか
ファイアウォール機器を入れれば全部守れるわけではありません。機器が見られるのは、その機器を通る通信です。社外で使うパソコンや、クラウドへの直接の接続は、構成によっては通りません。
自社にUTMまで要るのかを迷うなら、UTMは必要ないと言われる理由と判断の基準を読んでください。小規模な拠点で今のルーターのまま足りるのかを確かめたいなら、ファイアウォールとルーターの違いが先です。
仕様を横に並べて確かめるには、ファイアウォール機器の製品比較が使えます。
