UTMの義務化は本当か？電話営業で言われたときの確かめ方と断り方

UTMの導入を中小企業へ一律に義務づけた法律は、2026年11月7日⁠に法令検索で確かめた範囲では見つかりません。

今日やることは、電話を受ける人へ1枚⁠のメモを渡すことです。「法律名と条文番号をメールでください。今日は決めません⁠」⁠と書きます。すでに話が進んでいる会社は、見積書の契約年数と解約の条件を署名の前に読みます。

この記事は、法律の有無を自分で確かめる方法と、営業電話への返し方に絞ります。ネットワークの守り全体は、ネットワークセキュリティの対策一覧⁠で扱っています。

法律で決まっているかは、どう確かめる？

相手の言葉を評価する必要はありません。条文を引けば分かります。使うのは、e-Gov法令検索です。私たちは同じデータを引ける法令APIのキーワード検索で、次の語を調べました。

0件⁠が検索の故障でないことも確かめるため、「ファイアウォール」⁠で⁠も検索しました。こちらは条文が返ってきます。ただし、これは中小企業一般へ機器の導入を命じる内容ではなく、それぞれの法令の対象者や対象の設備に関する記述です。

この確かめ方には限界があります。検索の対象は法令で、業界の指針、取引先との契約、社内規程は入りません。「義務」⁠と言われたら、法律の義務なのか、契約上の義務なのか、推奨なのかを分けて聞きます。

「義務化」⁠と言われる話の中身は？

営業電話で出てきそうな話を、一次情報で並べます。

個人情報保護法の第23条は、個人データの漏えいなどを防ぐために「必要かつ適切な措置」⁠を講じるよう定めています。措置を求める法律はありますが、それが条文上UTMを指すわけではありません。「個人情報を持っているからUTMが義務⁠」⁠と言われたら、そこに飛躍があります。

いわゆるサイバー対処能力強化法は、正式には重要電子計算機に対する不正な行為による被害の防止に関する法律⁠といいます。第2章の見出しは「特別社会基盤事業者による特定侵害事象等の報告等」⁠で⁠す⁠。自社がこの事業者に当たるのかを、相手に聞き返せば話が具体的になります。

医療機関については、厚生労働省の資料に、令和5年4月から医療法に基づく立入検査へサイバーセキュリティ対策の項目を位置付けたとあります。業種ごとに決まりがある例です。他業種の話をそのまま持ち込まれていないか、気を付けます。

SCS評価制度が始まると、UTMは必須になる？

SCS評価制度は機器の購入を命じる法律ではなく、取引の中で使う「共通のものさし」⁠で⁠す⁠。

IPAの概要資料（2026年10月）⁠によると、2社間の取引契約などで、委託元が委託先に適切な段階（★）⁠を示し、対策の実施を促すことを想定しています。★3は計26件⁠、★4は計43件⁠の要求項目からなり、2027年3月⁠に受付を始める計画です。格付けを目的とした制度ではないとも書かれています。

私たちが読んだのは概要資料で、要求事項の全文までは読めていません。「★を取るにはこの機種が必要」⁠と言われたら、要求事項のどの番号の話かを聞き返します。

製造業で実際に話が動きやすいのは、この取引先からの要請です。たとえば、部品メーカーが発注元から調査票を受け取った場合を考えます。設問が「ファイアウォールを導入しているか」なのか、「UTMという製品を入れているか」なのかで、取るべき対応は変わります。社内の工場と事務所のネットワークが分かれているか、といった設問も並ぶかもしれません。

営業の担当者ではなく、発注元の購買や品質保証の窓口に、何をいつまでに求めているのかを聞きます。ここで返ってくる答えは法律ではありませんが、取引の条件として重く扱う理由があります。

営業電話には、何を聞き返せばいい？

相手の説明を論破する必要はありません。次の順に聞いて、答えを書面でもらいます。

1. どの法律の第何条ですか
2. 施行日と所管の官庁はどこですか。官庁のページのURLをください
3. 当社の業種と規模に適用される根拠は何ですか
4. 御社の正式名称と所在地、この電話の目的は販売ですか
5. 総額、契約年数、保守とライセンスの範囲、途中解約の条件を書いた見積書をください

1と2に答えられないなら、法律の話としては受け取らず、通常の売り込みとして扱えば足ります。悪意があるとは限らず、相手が誤解している場合もあります。責める必要はありません。

断るときの言い方

社長に取り次がず、受けた人が言い切れる短い文にしておきます。

• 「法律の根拠は、法律名と条文番号をメールでお送りください。社内で確認します」
• 「今日は決めません。担当への取り次ぎもいたしません」
• 「機器の相談先は決まっていますので、今後のお電話は結構です」

3つ目は、実際に相談先がある場合に使います。電話の内容、日時、会社名を記録しておくと、次に別の人が受けたときに同じ説明を繰り返さずに済みます。

署名の前に見ておくことは？

「あとから解約できる」という口頭の説明は当てにしません。

消費者庁の特定商取引法ガイドは、電話勧誘販売の適用除外として「営業のため、又は営業として締結するもの⁠」⁠を挙げています。会社の業務のために結ぶ契約では、クーリング・オフが使えない場合があります。個別の契約が当たるかどうかの判断は、弁護士などに確かめます。

見積書と契約書で確かめる点は次のとおりです。

• 機器代、設定費、保守、更新ライセンスの総額
• 契約の期間と、途中解約の扱い
• 機器のサポート期限が契約の期間より先にあるか
• 設定の変更、更新の適用、障害時の対応を誰がやるのか
• 通知を受けたときに、誰が判断するのか

特に、更新の適用を誰がやるのかは曖昧にしません。機器を入れても、更新されないまま置かれると別の入口になりえます。この点はVPN機器に脆弱性が多い理由と点検項目⁠で詳しく見ています。

UTMが要らないという話ではない

UTMを勧められること自体が悪いわけではありません。法律の話と、自社に要るかの話を分けて考えます。

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版は、社内と社外の境界を守るファイアウォールの導入を対策に挙げ、工場など用途の違うネットワークの分離も勧めています。UTMは同じ資料の用語集で、ファイアウォールやIDS・IPSなどの機能を1つ⁠にまとめたものと説明されています。

情報セキュリティ10大脅威 2026の組織編も、1つ⁠に統合されることで運用の費用や手間の低減が期待できると書いています。サイバーセキュリティお助け隊サービス⁠のネットワーク監視でも、監視装置の例にUTMが挙がります。同じサービスには、端末に監視ソフトを入れるタイプもあります。UTMは選択肢の1つで、唯一の答えではありません。

検討の順番は、自社の入口を数えるところからです。

• 社外から社内につなぐVPNやリモートデスクトップがあるか
• 今のルーターやファイアウォールのサポートは続いているか
• 設定を変えられる人、更新を当てる人は誰か
• 外部へつなぐ設備や端末が工場にあるか

ここで出た穴に対して、UTMが合うのか、別の製品やサービスが合うのかを見ます。機器を比べるならUTM・ファイアウォール機器の比較⁠が使えます。社内に判断できる人がいなければ、IPAの支援者リスト⁠やセキュリティコンサルの比較から、販売と切り離して相談できる先を探します。

電話を受ける人の判断を助けるには、機器より先に社内の決まりが役に立ちます。「法律と言われたら条文を聞く」「その場で決めない」⁠を周知するなら、社員向けセキュリティ教育の比較の教材やメール訓練の中で扱う方法もあります。

ネットワークの先で何を選ぶかまで考えるなら、ゼロトラストの7つの要件と導入で増える費用と不便⁠を続けて読むと、機器を買い足す以外の見方も持てます。