FortiGateのUTMライセンスが切れたら？止まる機能と更新の判断

FortiGateのUTMライセンス（FortiGuardの契約）⁠が切れても、ファイアウォールとVPNは動き続けます。止まるのは、IPSなどの定義の更新と、カテゴリ型のWebフィルタのように毎回Fortinetへ問い合わせる機能です。

今日やることは4つです。管理画面と請求書でライセンスの期限を確かめる。契約の正式名と型番を控える。カテゴリ型のWebフィルタを使っているか保守会社に聞く。機種のサポート終了日を調べる。期限まで日があるなら、更新と入れ替えの見積もりを同時に取ってください。

ここでの動作は、Fortinetの管理ガイド（FortiOS 7.4.3）⁠のライセンス切れの説明と、Fortinetのナレッジ記事で確かめたものです。FortiOSの版で変わることがあるので、自社の機器は保守会社にも確かめてください。

ライセンスが切れると何が止まる？

機能ごとの動きを表にしました。Fortinetのナレッジ記事（機能ごとの動作）⁠の内容も合わせています。

FortiGateの仮想版は別の話です。Fortinetのナレッジ記事（切れても動く機能の一覧）には、ライセンスサーバーとの通信が30日ほどできないと通信の処理が止まることがある、と書かれています。これはFortiGuardの契約とは別の仕組みです。

切れた日に社内のネットが止まるのはなぜ？

カテゴリ型のWebフィルタは、見に行くサイトの分類を毎回Fortinetに問い合わせます。契約が切れると分類が返らないので、公式の説明では既定でWebとDNSの通信を落とします。

判定エラーのときに許可する設定なら、通信は止まりません。そのかわり、Webの通信はフィルタなしで素通りします。どちらの設定かで、切れた日の見え方が変わります。

たとえば、工場の事務所でカテゴリ型のWebフィルタを使っている場合です。取引先のサイトから図面を受け取る作業も、部品の発注も、Webを使うものは一度に止まる可能性があります。機器の故障に見えても、原因はライセンスの期限かもしれません。通信が止まったら、機器の交換を手配する前に期限を確かめてください。

逆に、誰も気づかない切れ方もあります。カテゴリ型のフィルタを使っていない機器は、通信がそのまま流れます。警告は管理画面に出ますが、見る人がいなければ気づきません。

検査が動いていれば更新しなくてもよい？

定義が古いままだと、切れた後に見つかった攻撃の備えが入りません。公式の説明も、IPSの有効なライセンスは新しい攻撃を止めるために欠かせないとしています。検査の画面が動いていても、守れる範囲は少しずつ古くなります。

機器そのものの弱点は、定義とは別に直す必要があります。警察庁の令和7年⁠のサイバー脅威の情勢は、VPN機器等を主要な侵入経路として挙げ、速やかな対応を求めています。

公式ガイドでも、製品の弱点に関する確認項目は、ファームウェアの契約に左右されると書かれています。修正版のファームウェアを入手する条件は、契約書と保守会社の説明で確かめてください。

「UTMライセンス」⁠の中身はどう確かめる？

見積書の「UTMライセンス」という言葉だけでは、中身が分かりません。FortiGate 40Fのデータシート⁠を見ると、契約は個別の機能のほか、Enterprise Protection、Unified Threat Protection、Advanced Threat Protection、SD-WANといったまとめ売りに分かれ、含まれる機能が違います。

同じデータシートでは、まとめ売りには24時間365日対応のFortiCare Premiumが含まれます。定義の更新と、問い合わせや故障対応の契約が1つになっている場合があるということです。

請求書で確かめるのは次の3つです。

• 契約の正式名と型番（SKU）
• 対象の機器のシリアル番号
• 開始日と終了日

機器の購入元とは別の保守会社が窓口になっている会社もあります。誰に頼めば更新できるのかも、ここで決めておきます。

更新か入れ替えかはどう決める？

判断の材料は、機種の寿命です。Fortinetの製品ライフサイクルの説明⁠によると、ハードウェアのサポート終了は、一般に受注終了から60か月後です。サービス契約を延長できる最後の日はサポート終了の12か月前で、サポート終了を越える契約はできません。

リースの途中で入れ替えると、残りのリース料を払う契約が多くあります。確かめ方はUTMのリース相場と解約の注意点⁠にまとめました。

機種を入れ替えるなら、UTM・ファイアウォール機器の比較で、処理性能や保守の違いを並べて見られます。IPSを別に強くしたいかどうかは、IDS・IPS製品の比較の見方⁠で切り分けてください。

社内で警告を見きれないときは？

更新しても、警告を見て動く人がいなければ、機器の力を使い切れません。担当を置けない会社では、監視まで外に任せる形が選択肢に入ります。

IPAのサイバーセキュリティお助け隊サービスの基準は、中小企業向けの価格の上限を定めています。ネットワーク監視の場合で月額1万円（税抜き）⁠、初期費用などの合計で50万円（税抜き）⁠で⁠す⁠。これは基準の上限で、サービスごとに料金と範囲が違います。

監視や相談の範囲を比べるなら、セキュリティ運用代行・顧問サービスの比較が使えます。

保守会社には何を聞く？

更新の連絡が来たら、次の5つ⁠をまとめて聞いてください。

1. 今の契約の正式名、含まれる機能、終了日
2. 期限の後に更新した場合に、遡る範囲と金額
3. カテゴリ型のWebフィルタを使っているか。判定エラーのときに通信を止める設定か、通す設定か
4. この機種のサポート終了日と、更新できる最長の年数
5. 入れ替える場合の機種、総額、設定の移行にかかる費用

3番の設定は、ライセンスが切れた日の社内の動きを左右します。止める設定なら業務が止まり、通す設定ならWebのフィルタがなくなります。どちらを選ぶかは、社長や総務を含めて決めておく事柄です。

ライセンスの期限は、担当者の個人の予定表だけでなく、共有の予定にも入れてください。更新の見積もりと社内の承認にかかる日数を考えて、期限の3か月前に通知が来るようにしておくと、入れ替えの比較にも間に合います。ネットワーク全体の考え方は、ネットワークのセキュリティのカテゴリ⁠で順に確かめられます。