次世代ファイアウォールとは？UTMや従来型との違いを機能で整理する

次世代ファイアウォール（NGFW）⁠と⁠は⁠、ポートやプロトコルだけでなく、アプリケーション、利用者、通信の中身を見分けて制御するファイアウォールです。Fortinetの解説も、従来型との違いをこの点で説明しています。

今日やることは、今の機器の管理画面で2つ⁠を確かめることです。アプリケーション制御という機能があるか。あるなら、実際のポリシーで有効になっているか。分からなければ、保守会社に「アプリケーション制御と侵入防御は、どのポリシーで有効ですか⁠」⁠と聞いてください。

機器の名前がUTMでも、同じ機能を持っていることがあります。買い替えを考えるのは、そのあとで十分です。

従来型のファイアウォールでは何が足りない？

従来型は、ポートとプロトコルで通信を分けます。Palo Alto Networksの解説は、チャットのアプリもWeb閲覧も同じ443番ポートを使う例を挙げ、ポートで見る機器からは同じ通信に見えると説明しています。

業務で考えると、差はこう出ます。従来型で443番を開けると、社内で認めたクラウドサービスも、認めていないファイル共有サービスも一緒に通ります。止めようとして443番を閉じれば、Web全体が止まります。

NGFWはここを、アプリ単位で分けます。使ってよいサービスだけを通し、それ以外を止める、という決め方ができます。

従来型、NGFW、UTMは機能でどう違う？

Fortinetの解説とIPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版⁠の説明を、機能で並べると次のようになります。

UTMの列に「製品による」⁠が多いのは、UTMが機能の詰め合わせを指す言葉だからです。IPAのガイドラインは、UTMをファイアウォール、IDS・IPS、メールフィルタリング、URLフィルタリングなどを1つ⁠のハードウェアに統合したツールと説明しています。アプリを見分けられるかどうかは、この説明からは決まりません。

Fortinetは、UTMを小規模向けのひとまとめの守り、NGFWを大きなネットワーク向けの深い検査と制御と説明しています。ただしこれはメーカーの説明で、線引きを定めた規格があるわけではありません。私たちは、呼び名で決めず、有効にできる機能を並べて比べることを勧めています。

アプリ単位の制御は現場でどう使う？

使い道が思い浮かばないなら、急いで買う理由は小さくなります。製造業なら、次のような決め方が考えられます。説明のための例です。

たとえば、設計部門が取引先と図面をやり取りする場合。会社が契約したファイル共有サービスは通し、個人向けのサービスは止める、という分け方ができます。

たとえば、設備メーカーが遠隔保守のソフトで工場へつなぐ場合。そのソフトの通信は保全担当の端末に限り、ほかのパソコンでは止める、という分け方もできます。利用者と結びつけるには、機器と社内のID情報の連携が必要です。IDが整っていないと、この設定はできません。ID、端末、接続の順に揃える手順⁠はここにつながります。

最初から止めると業務が止まるので、順番があります。はじめは止めずに記録だけ取り、どのアプリが使われているかを見る。そのうえで、部署の責任者と止める対象を決める。社内の合意を取る時間のほうが、設定より長くかかります。

機種の性能はどの数字を見る？

カタログの最大値だけで選ぶと、機能を有効にしたときに足りなくなることがあります。Fortinetの製品ページの注記では、測り方が次のように分かれています。

使う機能に合う数字と、自社の回線の速度を比べてください。測定の条件はメーカーごとに違うので、数字をそのまま別の会社の製品と比べるのは避けます。

暗号化された通信の検査も確かめる点です。Palo Alto Networksの解説は、復号できなければ中の脅威を止められないとする一方、対象の除外を決める機器もあると説明しています。銀行や医療のサイトなど、復号しない先をどう決めるのか。証明書を端末に配る手間は誰が持つのか。ここまで決めてから、性能の数字を見てください。

似た言葉とはどう違う？

カタログや提案書には、近い言葉が並びます。Fortinetの解説⁠の説明をもとに、違いだけを並べます。

自社のWebサイトや受注システムを公開しているなら、NGFWとは別にWAFの要否を考えます。NGFWを入れたからWebアプリの守りも終わり、とはなりません。

NGFWを入れても残るものは？

NGFWは、機器を通る通信を見る製品です。残る課題を先に書いておきます。

機器自身の更新は、どの製品でも残ります。警察庁の令和8年上半期の資料は、ランサムウェア被害組織へのアンケートで、侵入経路はVPN機器が約5割⁠と示し、未修正のぜい弱性や漏えいした認証情報が悪用されると説明しています。IPAの情報セキュリティ10大脅威2026でも、組織向けの4位⁠が「システムの脆弱性を悪用した攻撃」⁠で⁠す⁠。高機能な機器ほど、更新の担当者と保守の期限を決めてください。

社外で使うパソコンは、拠点の機器を通らなければ見えません。社外の端末も同じ方針で守るなら、SASE製品の比べ方⁠を読んでください。

盗まれたIDでの正規のログインは、通信だけでは見分けにくいものです。多要素認証は別に進めます。

どう選ぶ？

機器を比べる前に、次の4つ⁠を決めてください。

1. アプリ単位で分けたい通信が、具体的に何か
2. 拠点の回線の速度と、今後増やす予定
3. 有効にする機能（侵入防御、URLフィルタ、暗号化された通信の検査など）
4. 更新と設定変更を、社内と業者のどちらが持つか

専任の担当者がいないなら、4が最も大きな分かれ目です。設定を任せられるサービスがあるかどうかで、候補が変わります。

機種の比べ方はUTM・次世代ファイアウォールの比較⁠、侵入防御を単体で見たいときはIDS・IPSの製品比較、クラウドで提供する形まで広げるならSASEの製品比較にまとめています。FortiGateをお持ちで回線の見直しも考えているなら、今の機器でSD-WANを始める条件⁠も確かめられます。ネットワーク全体の守りの順番はネットワークセキュリティのカテゴリ⁠にあります。