ネットワーク・ゼロトラスト：UTMとVPNを見直す順番と判断の軸

ネットワークの対策とは、社外と社内の間で通してよい通信を決め、入口の機器を最新に保つことです。UTM、VPN、SASEと製品の名前は多いですが、最初にやるのは買い替えではなく、社外に開いている入口の一覧づくりです。

何から手を付けるか

順番は、把握する、更新する、絞る、置き換えを考える、です。

1. 社外から入れる機器とサービスを書き出す
2. 機器の型番、保守の期限、最後に更新した日を確かめる
3. 不要な機器と不要な通信を止める
4. 社外から入るアカウントに多要素認証を付ける
5. 機器の入れ替え時期に、置き換えが要るかを判断する

中小企業の情報セキュリティ対策ガイドライン 第4.0⁠版⁠の自社診断には、「外部から内部ネットワークへの不要な通信を遮断する」⁠と⁠い⁠う項目が加わりました。3の根拠として、社内の説明にも使えます。

なぜ入口の機器から見るのか

警察庁の令和8年上半期の報告では、ランサムウェアの感染経路（有効回答36件）⁠のうちVPN機器が18件⁠、リモートデスクトップが9件でした。IPAの10大脅威の解説書にも、2025年10月31日⁠にVPN機器等の利用者へ注意を促したことが書かれています。

機器そのものが悪いというより、インターネットに常に見えている分だけ、更新の遅れが狙われやすいと考えます。特に見落としやすいのは次の3つです。

• コロナ禍の頃に急いで設定したまま残っている接続
• 設備メーカーや保守会社のために開けた接続口
• 退職者のアカウントが残っているVPN

工場の設備の保守用回線は、製造の現場しか把握していないことがあります。一覧にするときは、総務だけでなく現場にも聞きます。

言葉と守る範囲の整理

製品の名前を、役割で分けると次のようになります。

ファイアウォールやUTMが守るのは、基本的に社内と社外の境目です。社員がクラウドへ直接つないでいる通信や、一度入られたあとの社内の動きは、この箱だけでは見えにくくなります。

ゼロトラストは製品の名前ではない

ゼロトラストは、社内からの通信だからといって無条件に信用せず、そのつど確かめるという考え方です。製品を1つ買えば完成するものではありません。実際の入口は、IDの管理と多要素認証です。

VPNは一度入ると社内の広い範囲に届きやすいのに対し、ZTNAは利用者ごとに使えるシステムを絞る考え方です。全面移行を急がず、外から使うシステムを1つずつ移す進め方もあります。

逆に、ほとんどの社員が社内で働き、社外から使うのは数人という会社なら、今の機器の更新と多要素認証を確実にするだけで、当面の説明はつくかもしれません。SASEの見積もりは、この条件を確かめてからで間に合います。

機器の更新で確かめること

UTMやVPN機器の更新は、数年に一度の大きな買い物です。本体の価格だけで比べると、あとで差が出ます。見積もりでは、次の点を揃えて聞きます。

• 本体、保守、機能のライセンス、設置の費用を、5年間の合計で出す
• 保守が切れる日と、そのあと更新の提供がどうなるか
• 社員数と回線の速度に対して、処理の能力が足りているか
• 更新のときに誰が作業し、止まる時間はどれくらいか

更新の作業を誰がやるのかは特に大切です。導入した会社との保守の契約に、更新の適用が含まれているとは限りません。契約書で確かめないまま「任せているはず」⁠と思っていると、入口の機器が古いまま残ります。社外での仕事が多い会社なら、Webの通信をクラウドで検査するSWGや、法人向けVPNの新しい形と比べる機会にもなります。

在宅勤務がある会社が見るもの

総務省のテレワークセキュリティガイドライン⁠は第5版（2021年5月）⁠が最新です。同じページに、中小企業の担当者向けのチェックリスト（第3版・2022年5月）⁠もあります。ガイドラインは厚いので、担当者はチェックリストから始めます。

機器の更新や監視を誰がやるかは監視・運用・社内体制⁠、工場の回線との分け方は工場・製造業のセキュリティ⁠に書きました。全体の順番はセキュリティ対策の全体像⁠にまとめています。