UTMは必要ない？もう古いと言われる理由と中小企業の判断の基準を解説

UTMが必要ないかどうかは、会社ごとに違います。社員のほとんどが社内で働き、社内のサーバーやファイル共有を使っている会社では、UTMはまだ有効な選択肢です。

今日やることは、2つ⁠の割合を書き出すことです。社員のうち社外で働く人の割合と、業務のデータのうちクラウドにある割合です。この2つが、以下の判断の材料になります。

「古い」⁠と言われるのは、UTMの性能が落ちたからというより、守る対象の場所が変わったからです。理由を1つずつ分けると、自社に当てはまるものと当てはまらないものが見えてきます。ネットワークの守りの全体像は、ネットワークのセキュリティの解説⁠にまとめています。

UTMは何をする機器で、なぜ古いと言われる？

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版は、UTMを、ファイアウォールやIDS・IPS、メールやURLのフィルタリングなど複数の機能を一つのハードウェアに統合したものと説明しています。社内ネットワークとインターネットの間で、脅威を検知して防御する道具です。

古いと言われる理由は、私たちの整理では次の5つ⁠に分かれます。

5つ⁠のうち、UTMという形そのものの弱点は「境目を通らない通信」⁠と「1台への集中」⁠で⁠す⁠。残りの3つは、ほかの機器でも形を変えて出てくる運用の問題です。

通信が機器を通らないとは、どういうこと？

UTMが検査できるのは、UTMを通る通信だけです。サクサのSS7000Ⅲの注意書きにも、ウイルスの侵入防御や迷惑メールの検知は、本製品を経由するWebやメールの送受信に対して行うと書かれています。

したがって、社員が自宅や出張先からクラウドに直接つなぐ通信は、UTMの検査の外です。社員の半分が社外で働き、データの大半がクラウドにある会社では、UTMが見ている通信は全体の一部になります。

逆に、社員の大半が社内で働き、社内からインターネットへ出る会社では、通信の多くがUTMを通ります。「古い」⁠と⁠い⁠う評価が、そのままは当てはまりません。

IPAの情報セキュリティ10大脅威2026でも、組織向けの1位⁠はランサム攻撃、4位⁠がシステムの脆弱性を悪用した攻撃で、8位⁠にリモートワーク等の環境や仕組みを狙った攻撃が入っています。社外の仕事がなくても無関係ではありませんが、社外の仕事の比重によって、優先する対策は変わります。

VPN機器が狙われるのはUTMの問題？

UTMそのものの問題というより、社外に面した入口の管理の問題です。

警察庁の令和8年上半期の資料⁠によると、ランサムウェア被害の報告は123件で、半期の件数として統計を取り始めた令和2年下半期以降で最多でした。被害組織へのアンケートでは、侵入経路はVPN機器が約5割です。同じ資料は、未修正の脆弱性や漏えいした認証情報が悪用されると説明しています。

また、警察庁の令和8年1月の資料は、VPN機器を利用している組織の52%⁠が最新のパッチを未適用だったとしています。

UTMのVPN機能を使っていなければ、この入口は別の話になります。VPN機能を使っている会社は、機器を替える前に、更新の担当と、社外接続の認証方式を確かめてください。同じ資料では、社外からの業務アクセスの認証がID・パスワードのみの組織が39.8%でした。

速度の問題はどれくらい効く？

入れる機能と回線の速さで変わります。ヤマハ UTX200の仕様では、ファイアウォールのみは6.4Gbps、防御機能を全部入れると650Mbps（Smart Accel無効時は500Mbps）です。

FortiGate 40Fのデータシートでは、Threat Protectionが600Mbps、暗号化された通信を調べるSSL Inspection（IPS）⁠は310Mbpsです。

通信量の少ない会社なら、機種を合わせれば問題にならない場合もあります。機種の大きさの決め方は、ファイアウォール機器の選び方⁠に分けました。

自社はどちらに近い？判断の基準

次の表で、自社に近い行を探してください。割合の線引きは私たちの整理で、公的な基準ではありません。迷ったら、社外で働く人と社内のサーバーの実態を販売店にも伝えて相談します。

担当者がいないことも、UTMを選ぶ理由になります。フォーティネットのUTMの解説は、機能を1台⁠にまとめて、単一の管理ポイントで監視できる点を利点に挙げています。別々の製品を複数管理する余裕がない会社には、この点が効きます。

ただし「1台にまとまる」⁠は⁠、誰も見なくてよいという意味ではありません。更新と警告を見る担当が社内に置けないなら、セキュリティ運用代行の比較で外に任せる範囲も見てください。

製造業では何を見て判断する？

たとえば、事務所と工場が同じ敷地にあり、社員の大半が現場で働き、社外で働くのは営業の数人という会社を考えます。

この会社では、インターネットへの出入口は社内に残り、多くの通信がそこを通ります。UTMが効く場面は残っています。

同時に、工場と事務所を分けているかが別の論点になります。UTMが見るのは、基本的に出入口を通る通信です。社内で完結する事務所と工場の間の通信は、構成によっては検査の外です。

IPAのガイドラインは、工場など用途の異なるネットワークを分けて運用するよう求めています。経済産業省の工場システムのガイドラインは、いかなる工場でもサイバー攻撃を受ける可能性があるという認識を示しています。UTMの要否とは切り離して、工場の分離を検討してください。

営業の数人だけが社外から入るなら、その接続だけをZTNAに分ける案もあります。ZTNAの製品比較で方式の違いを確かめられます。

UTMをやめるときに残る仕事は？

UTMをやめても、UTMが担っていた役割は残ります。やめる前に、それぞれの持ち主を決めてください。

• 出入口のファイアウォール。IPAのガイドラインは、社内と社外の境界を明確にし、ファイアウォールを導入して設定を有効にするよう求めています
• Webの危険なサイトへの接続を止める役割
• ウイルスの検査。端末の対策やクラウドメールの機能で足りるかを確かめる
• 社外からの接続の方式と認証
• ログの保管。IPAのガイドラインは、ネットワークの接続とデータ転送の監視を求めています

SASEは、これらの一部をクラウドで受け持つ仕組みです。社内に残るサーバーや工場の機器を、どうつなぐのかまで決める必要があります。SASEの製品比較で、提供の形を確かめてください。

費用は単純な比較になりません。UTMは本体とライセンスの総額で、機種の範囲に収まる間は人数で金額が変わらないのに対し、SASEは人数ごとの月額が基本です。UTMの側の数字の出し方は、UTMの本体・保守・ライセンスで見る5年の総額⁠に書きました。

「まだ有効」⁠と言える範囲はどこまで？

UTMが有効な会社でも、UTMだけで足りるわけではありません。UTMが見ていないものは、別の対策で埋めます。

• 社外に持ち出すパソコンの中の動き
• 盗まれたIDとパスワードでのログイン
• 社内のパソコンどうしの通信
• 暗号化されたあとのデータの復旧

警察庁の令和8年上半期の資料では、ランサムウェアの復旧に総額1,000万円以上⁠を要した組織は全体の6割です。出入口の機器の議論に時間を使いすぎると、復旧の備えが後回しになります。

今あるUTMを残すと決めた場合も、保守とライセンスの期限、更新の担当者は確かめてください。今のルーターのまま足りるのかが論点なら、ファイアウォールとルーターの違い⁠を読むと切り分けられます。出入口の機種を比べるなら、ファイアウォール機器の製品比較⁠が使えます。