ファイアウォールとUTMの違い｜機器を1台足す前に確かめる3つ

2026年9月8日 11:34

「ファイアウォールは入れています」。
中小企業でセキュリティの話をすると、まずこの答えが返ってきます。
実際、入れてある会社は多いはずです。

ではその機器は、いま何を見ていて、何を見ていないのか。
入れたのは何年前で、最後に設定を見直したのはいつか。
ここまで答えられる会社は、急に少なくなります。

先に答えを書きます。
確かめる価値があるのは、機器の型番や新しさではありませんでした。
ログが何日残っているか、アラートが誰に届いているか、届いた人が何をすることになっているか。
この3つです。

そこにたどり着くまでに、よく使われる「入口・内部・出口」という分け方も確かめました。
この3つは公的な文書にも出てきますが、機関によって定義も使い方も揃っておらず、業界の標準として確定した分類ではありませんでした。
近年の主要な文書は、機器をどこに置くかではなく、攻撃のどの段階に効くかで対策を並べています。

この記事は、NISC・IPA・総務省・NISTの一次資料をもとに、2026年9月時点の内容にしています。

取引先から「ログを出してほしい」と言われたら、誰が答えるのか

侵入口は、人よりも社外とつながる機器に寄っている

警察庁が2026年8月に公表した令和8年版警察白書によると、令和7年のランサムウェア被害で感染経路はVPN機器が66.3パーセント、リモートデスクトップサービスが20.7パーセントでした。
この2つで約87パーセントです。

ただし、この数字の母数は感染経路を回答した92件です。
前年は55.0パーセントと31.0パーセントで、1年で10ポイント以上動いています。
年による振れは大きい指標なので、割合そのものを覚える意味はあまりありません。
読むとすれば、2年続けてこの2つが上位を占めているという事実のほうです。

どちらも、社外から社内に入るための仕組みです。
攻撃の起点は、誰かがメールを開いた一回の操作より、社外とつながる機器そのものに寄っている。
そしてその機器は、買ったあとに誰かが更新し、設定を見直し続けるものです。
機器の問題は、そのまま運用の問題でもあります。

10月1日から、聞かれる側になる会社が増える

2026年10月1日、サイバー対処能力強化法の報告義務が施行されます。
正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」です。

報告義務を負うのは「特別社会基盤事業者」です。
電気、ガス、水道、通信、金融、鉄道といった、生活や経済の土台になる事業として国から指定を受けた会社のうち、事業に欠かせない特定のシステムを使っているところを指します。
会社の規模ではなく、業種と指定で決まる枠です。
中小企業がこの枠に直接入ることは、基本的にありません。

ここから先は、条文に書かれていることではなく、報告義務の組み立てから筆者が見ている見通しです。
対象になる事業者は、異常を認知した段階で報告しなければなりません。
その報告に必要な材料が、自社の中だけで揃うとは限らない。
システムを納めたベンダー、保守を請けている会社、業務を委託している先に、ログの提供や緊急時の連絡体制といった協力を求める場面が出てくるはずです。

「おたくのログを出してほしい」。
そう言われたときに、出せるログが残っているか。
誰がその依頼を受けて、誰が機器からログを取り出すのか。
社外との通信の記録という意味では、境界に置いた機器がその出発点になります。
だから、これは機器の話です。
この「誰が」に答えを出すところまでが、この記事の射程です。

なお、この記事で扱うのは境界に置く機器に限ります。
端末側の対策と、バックアップについては、深く立ち入りません。

入口・内部・出口という言い方は、どこから来たのか

NISCの用語解説にある定義

セキュリティの解説記事を読むと、必ずといっていいほど「入口対策・内部対策・出口対策」という3つの層が出てきます。
この言葉自体は公的な文書にもあります。

内閣サイバーセキュリティセンター（NISC）が2024年に公開した用語解説では、「多層防御」の項目の中にこう書かれています。

多層防御：システム内に複数の防御層を設置することで、さまざまな種類のサイバー攻撃から機密情報などを守る。具体的には、以下の３つの領域において対策を行う。

そして入口対策を「社内ネットワークへのウイルスの侵入・不正アクセスなどの脅威を未然に防ぐ対策」、内部対策を「脅威となる存在の侵入を阻止できなかった場合などに、被害の拡大を防止する対策」、出口対策を「機密情報や個人情報などの外部漏洩を阻止するための対策」と定義しています。

3つとも、公的な文書に定義があります。
問題はこの先で、他の機関を見ると揃っていません。

IPAは2014年に使っていたが、出口は内部の一部だった

IPAも3層を使っていました。
2014年9月の「高度標的型攻撃対策に向けたシステム設計ガイド」です。

ただし整理の仕方が違います。
この文書の図で対策ポイントとして並ぶのは「入口対策」「エンドポイント対策」「内部対策（出口対策を含む）」で、出口対策は内部対策の内側に置かれています。

一般的な解説記事で見かける、入口・内部・出口が横一列に並んだ図とは、構造が違います。

総務省は2つしか使わず、しかも出口の意味が違う

総務省の「国民のためのサイバーセキュリティサイト」では、見出しそのものが2つです。
「入口対策（攻撃の侵入を防ぐ対策）」と「出口対策（侵入後に被害の発生を防ぐ対策）」。

「内部対策」という語は、このページに出てきません。
総務省はここで「多層防御」ではなく「多層的な対策」という言い方をしています。

そして出口対策の意味も、NISCとは違います。
NISCが「機密情報や個人情報などの外部漏洩を阻止する」と限定して書いているのに対し、総務省は「侵入後に被害の発生を防ぐ」と、もっと広く書いています。
同じ語で、指している範囲が違う。

現行の主要文書には出てこない

さらに、経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver 3.0」と、令和7年度版の政府統一基準群には、この3つの語がありません。

IPAの現行の主要文書も同じです。
2026年3月に公開された「中小企業の情報セキュリティ対策ガイドライン第4.0版」、2026年1月に決定された「情報セキュリティ10大脅威 2026」のいずれにも、入口対策・内部対策・出口対策という語法は見当たりません。
いずれもPDFの本文を全文検索した範囲です。

言葉としては通じます。
話を始める枠としては便利です。
ただ「国が定めた標準的な分類」ではありません。
ベンダーの資料でこの3層が出てくるとき、その並びは慣用であって規格ではない、と思って読むほうが正確です。

いまの公的資料は、場所ではなく段階で並べている

IPAの中小企業向けガイドラインが示す並び

では、いまの公的資料は何で対策を分けているのか。

IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」の実践編、本格的に取り組む段階の項目を順に見ると、資産管理のあとに「攻撃等の防御」、次に「攻撃等の検知」、点検と改善をはさんで「インシデント対応体制等の整備」と並んでいます。

ネットワークのどこに置くかではなく、攻撃のどの段階に効くかで並んでいます。

場所以外の分け方は、以前からあった

これは急に現れた分け方ではありません。
総務省は2017年7月に公表した「防御モデルの解説」で、技術的対策をすでに3段階に整理しています。

事前対策は「被害に遭いにくく」。
ここに括弧で「それでも被害は発生する」と添えられています。
次が検知で「被害に気付く仕組み（被害の放置・拡大を防ぐ）」。
最後が事後対策で「被害に遭っても、被害を最小化・再発防止」。

入口・内部・出口ではなく、事前対策・検知・事後対策という別の3分法です。
9年前の資料にこれがあり、2026年のガイドラインも同じ向きで並んでいる。
少なくとも、公的資料でいま使われているのはこちらの分け方です。

NISTのDefense in Depthは、位置の話ではない

ベンダーの資料などで「多層防御」の英語としてDefense in Depthが当てられることがありますが、これも意味が違います。

米国のNISTが用語集で示している定義は、SP 800-53 Rev.5版でこうです。

An information security strategy that integrates people, technology, and operations capabilities to establish variable barriers across multiple layers and missions of the organization.

人、技術、運用の能力を統合して、組織の複数の層とミッションにまたがる可変の障壁を築く情報セキュリティ戦略。
ネットワーク上のどこに置くかという話ではありません。
人と運用が定義に入っている点が、日本語の「入口・内部・出口」とは決定的に違います。

なお、2024年2月に公開されたNIST CSF 2.0には、Defense in Depthという語自体が出てきません。
最新の枠組みは、この語を使わずに整理されています。

段階で見ると、機器が担うのは3つのうち2つだけ

防御・検知・対応という分け方で、境界に置いた機器を見直してみます。

機器は通信を止めます。
これが防御です。
そして記録を残し、異常があれば知らせます。
これが検知です。
3つのうち2つを、1台が担っています。

残る対応は、機器の側にはありません。
知らせを受け取った人が何をするか、誰に連絡するか、取引先にどう説明するか。
ここは体制の話です。

そして検知も、機器を置いただけでは半分しか成立しません。
ログがどれだけ残るか、アラートが誰に届くか、届いた人が何をするか。
これは設定と運用の側にあります。
筆者の見る限り、機器を入れた会社の多くは防御のほうだけを買ったつもりでいて、検知の残り半分が空いたままになっています。

この記事の後半で見ていくのは、機器そのものより、この検知の残り半分と対応の側です。
10月1日以降に問われうるのも、こちらです。

UTMは、何を1台にまとめているのか

ファイアウォールとの関係

UTMは Unified Threat Management の略で、日本語では統合脅威管理と訳されます。
ファイアウォール、アンチウイルス、不正侵入防止、Webフィルタリング、迷惑メール対策といった機能を1台の機器に集めた製品です。

ベンダー以外の中立的な説明としては、NISTの「Guidelines on Firewalls and Firewall Policy」（SP 800-41 Rev.1、2009年）が使えます。
NISTの用語集も、UTMの項目でこの文書を参照しています。

ファイアウォールの定義はこうです。

Firewalls are devices or programs that control the flow of network traffic between networks or hosts that employ differing security postures.

異なるセキュリティ方針を持つネットワークやホストのあいだで、通信の流れを制御する装置またはプログラム。

そしてUTMについてはこう書かれています。

A typical unified threat management (UTM) system has a firewall, malware detection and eradication, sensing and blocking of suspicious network probes, and so on.

一般的なUTMは、ファイアウォール、マルウェアの検知と駆除、不審な探査の検知と遮断などを備えている。

つまりUTMはファイアウォールの上位互換ではなく、ファイアウォールを含む複数の機能を1台にまとめたものです。

NISTが書いているのは、推奨ではなくトレードオフ

同じNISTの文書は、UTMを勧めていません。
判断材料として、得るものと失うものを並べています。

For example, deploying a UTM reduces complexity by making a single system responsible for multiple security objectives, but it also requires that the UTM have all the desired features to meet every one of the objectives.

UTMを入れると、複数の目的を1つの機器に負わせることで複雑さは減る。
ただしその1台が、目的のすべてを満たす機能を備えている必要がある。

性能についても書かれています。

Another tradeoff is in performance: a single system handling multiple tasks has to have enough resources such as CPU speed and memory to handle every task assigned to it.

複数の処理を1台でこなす以上、割り当てられたすべての処理をさばけるだけのCPUとメモリが要る。

そのうえで、UTMのほうが釣り合う組織もあれば、同じ場所に複数のファイアウォールを置く組織もある、と結んでいます。
どちらが正解かは書いていません。

性能は、見積もりの段階で書面にしてもらう

この節は筆者の見方です。

管理する相手が1台になること、問い合わせ先が1つになることは、専任の担当者がいない会社にとって実際に大きい利点です。
ただしNISTが挙げているとおり、1台にまとめる以上、その1台に機能の網羅性と性能の余裕が要ります。

とはいえ、専任の担当者がいないから1台にまとめたい会社に「性能を評価してください」と言っても、できません。
できないから困っているわけです。

現実的なのは、評価そのものを引き受けてもらうことです。
見積もりを取るときに、想定する同時接続数と回線速度で、すべての機能を有効にしたときの実効スループット、つまり実際に出る通信速度がいくつになるかを、書面で出してもらう。
カタログ値ではなく、自社の条件での数字を、紙で残る形でもらう。
これなら専門知識がなくても頼めますし、あとで遅くなったときに話の出発点にもなります。

機能についても同じです。
何が有効になっていて何が無効か、有効にすると速度がどれだけ落ちるかを、導入時に一覧でもらっておく。
全機能を有効にすると遅いので、いくつか切って納品されている、というのはよくある話です。

公的資料は、製品カテゴリを名指ししない

ここからは資料の話に戻ります。
日本の公的資料でUTMがどう扱われているかを見ておきます。

IPAの「サイバーセキュリティお助け隊サービス基準」では、こう書かれています。

「ネットワーク監視」とは、UTM（Unified Threat Management・統合脅威管理）等のネットワークセキュリティ監視装置を用い

「UTM等」です。
ネットワーク監視という機能を要件にしていて、UTMはその例として挙げられているだけです。

そして、IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」には、UTMという語自体がありません。
総務省のサイバーセキュリティサイトの用語集にも項目がありません。

公的資料は、特定の製品カテゴリを名指しで推奨する書き方をしていない。
ここは押さえておくと、資料を読むときの見え方が変わります。

「UTM義務化」に公的な根拠はない

検索すると「UTMの義務化」「中小企業のUTM義務化対策」といった記事が上位に出てきます。

しかし、UTMの導入を義務づける法令も政府方針もありません。
これらの記事は、いずれもUTMを販売する事業者や代理店が運営するサイトのものです。

義務化という言葉が出てきたら、根拠となる法令名と条文を探してください。
見つからなければ、それは販促の文脈です。

感染したあとの通信を止めるという考え方

C2サーバーという言葉

ここまで見てきたとおり「出口対策」という語は、NISCと総務省で指す範囲が違います。
この記事ではNISCの定義に寄せて、感染したあとに情報を外に出さないための対策という狭い意味で使います。

この考え方の中心にあるのがC2サーバーです。
C2はコマンド＆コントロールの略で、攻撃者が感染した端末を遠隔操作するために使うサーバーを指します。
侵入の経路はメールでもUSBでもWebでも構わないのですが、攻撃者が感染した端末を操作しようとする以上、最終的にはこのC2サーバーとの通信が発生します。

そこを止めれば、侵入されても情報の持ち出しは防げる。
これが出口対策の発想です。
もっとも、C2を経由しない持ち出しの経路は残ります。
正規のクラウドサービスにアップロードされれば、通信としては普通の業務に見えます。

この考え方に絞った製品がある

この考え方に特化した製品も実在します。
1つ例に取ります。
仕組みを公開していて、根拠にした調査を注記付きで示している、数少ない例だからです。

DDH BOXという法人向けの製品です。
公式のリリースによれば、デジタルデータソリューション株式会社と株式会社ラックが共同開発し、2018年10月に提供を開始しました。
2018年の製品ですが、2026年9月時点でも提供が続いています。

公式ページの説明はこうです。

Ｃ２サーバとの不正通信を検知した時点で、通信そのものを停止します。お客様が通信の停止を判断する必要はありません。

判断を人に求めない、という設計です。
C2サーバーのリストには、ラックが運営するセキュリティ監視センターJSOCで更新されているものを使うと説明されています。

ここで、書き方を分けておきます。
「国内最大級のセキュリティ監視センター」という表現は、ラック自身が自社サイトで「国内最大規模を誇っています」と説明しているものです。
第三者機関の認定ではありません。
ラックは根拠となる数字も公開していて、2025年の実績値として約740組織の監視、1日あたり160億件のログとアラートの取得を挙げています。
これも自社の公表値ですが、少なくとも具体的な内訳が示されているという点で、「最大級」という評価の言葉とは性格が違います。

なお価格は公式には公開されていません。

「対策済みの企業の7割が感染」の出どころ

この製品の説明でよく見かける数字があります。
「多くの企業はセキュリティ対策を導入済み、しかし約7割の企業がマルウェア感染にあっています」というものです。

この数字は、記事に書けませんでした。
理由を書いておきます。

出どころは公式ページの注記にあるとおり、IPAの2013年度の情報セキュリティ事象被害状況調査です。
その調査でウイルスの遭遇率が71.5パーセントでした。

問題は「遭遇」の定義です。
この調査シリーズにおける遭遇率は、感染した場合と、発見したが感染はしていない場合の合計です。
感染率ではありません。
同じシリーズのサイバー攻撃の項では、遭遇19.3パーセントのうち実際に被害に遭ったのは4.2パーセントと内訳が示されています。

さらに、これは2013年度の数字で、13年前になります。
そして報告書そのものが現在IPAのサイトから削除されており、当時の掲載ページはいまアクセスすると404を返します。
読者が原典を確認できません。

指標の意味が違い、13年前で、検証もできない。
この3つが揃うので、使いませんでした。

製品の良し悪しと、数字の確かさは別

この節を長めに書いたのは、この製品を否定したいからではありません。

出口対策という考え方には意味がありますし、判断を人に求めない設計は、専任の担当者がいない会社にとって実際に価値があります。
C2通信の遮断という機能も、実在する製品として説明されているとおりです。

言いたいのは、製品の良し悪しと、その製品を説明する数字の確かさは、別だということです。
機器を検討するときに見る資料は、たいていベンダーの資料です。
それは避けようがありません。
ただ、数字が1つ出てきたら、その数字が何を数えたものかを一度だけ確かめる。
それだけで、判断の質は変わります。

公的な一覧から選ぶという方法

サイバーセキュリティお助け隊サービス

専任の担当者がいない会社が、どこから機器やサービスを選べばいいのか。
公的な入口が1つあります。

IPAが2021年春から運営している「サイバーセキュリティお助け隊」制度です。
IPAが定めた基準に適合しているかを審査し、通ったサービスにマークを付与して、一覧を公表しています。

ここは正確に書いておきます。
IPAが個別のサービスを認証したり推奨したりしているのではなく、基準への適合性を審査してマークを付与し、一覧を公開している、という建て付けです。

2026年9月時点で、80件を超えるサービスが登録され、提供している事業者は46社です（事業者一覧の更新日は2026年8月20日）。
地域から探す一覧と、監視の種別から比較する一覧が用意されています。

ネットワーク監視と端末監視の分かれ方

比較の一覧では、監視の種別が分けられています。
公式の説明はこうです。

ネットワーク監視は「社内ネットワークに監視製品（UTM等）を設置し、ネットワーク通信を監視します」。
端末監視は「PCへ監視製品（EDR等）をインストールし、個々のPCの通信や挙動を監視します」。
EDRは、パソコンやサーバーの中の動きを記録して、不審な挙動を見つけたら知らせる仕組みです。
両方を使うものは「併用」です。

この記事で扱ってきた機器の話は、ネットワーク監視のほうにあたります。

サービス基準が定めている要件は11項目あります。
相談窓口、異常の監視、緊急時の対応支援、中小企業等でも導入・運用できる簡単さ、簡易サイバー保険、これらのワンパッケージ提供、中小企業等でも導入・維持できる価格等、提供実績、情報共有、事業継続性、法令等の遵守。

先に、機器が担うのは防御と検知の2つで、検知は運用が決まらないと半分しか成立しないと書きました。
この基準は、その残り半分まで要件にしています。
監視は24時間で、重大なインシデントは60分以内を目標に通知すること。
緊急時には技術者を現地に派遣する対応支援が、年1回以上、利用者の費用負担なしで受けられること。
サイバー保険が付帯すること。
機器そのものではなく、鳴ったあとに人が動く部分が入っています。

IPAが決めているのは、価格の上限

価格についても基準に書かれていますが、よく誤解される部分なので正確に書きます。

IPAが定めているのは下限や目安ではなく、上限です。
初期導入費用はネットワーク監視で50万円（税抜き）以下、端末監視も端末数によらず50万円（税抜き）以下、併用の場合は100万円（税抜き）以下。
月額はネットワーク監視で1万円（税抜き）以下。
端末監視にも同種の上限が定められています。

このほか、端末1台から契約できること、最低契約期間が2年以内であること、初期費用や契約期間を書面に明記して分かりやすく説明すること、途中解約時の違約金と利用者側の解除の権利を書面に明記することも要件に含まれています。

「月額1万円から」ではありません。
「月額1万円を超えないこと」が条件です。
各サービスの実際の価格は、比較の一覧に価格表が掲載されています。

制度が動く前後に増える営業に、気をつける

SCS評価制度は、まだ申請できない

取引先から対策状況を問われる場面が増えていく流れの中に、もう1つ動いている制度があります。

経済産業省と内閣官房国家サイバー統括室が進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」、通称SCS評価制度です。
2026年3月27日に構築方針が公表されました。

段階は★3、★4、★5が公表されています。
★3は基礎水準で、一般的なサイバー攻撃に対処しうる水準。
要求事項は26件で、専門家の確認を付けた自己評価により、有効期間は1年。
★4は標準水準で、要求事項は43件、第三者評価で実地審査と技術検証を含み、有効期間は3年。
★5は高度水準で、要求事項も評価スキームも開始時期も検討中とされています。

そして重要なのは、まだ申請できないことです。
経済産業省のページでは、運用開始が令和8年度末頃、つまり2027年1月から3月頃とされています。
評価ガイドの類は2026年秋頃、評価機関は2026年12月頃の公表予定です。

「今すぐ取らないと入札から外れる」に注意喚起が出ている

経済産業省が2026年4月27日付で注意喚起を出しています。

「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった営業活動による勧誘が報告されている、という内容です。

そのうえで、この制度は任意であって規制措置ではないこと、特定のセキュリティ対策製品の導入が必須とされているものではないことが明記されています。

制度の名前を出して急がせる話が来たら、まず所管官庁のページを見てください。
10月1日のサイバー対処能力強化法についても、同じことが起きる可能性があります。

では、今日何を確かめるか

機器を足す前に、6か条を見る

新しい機器やサービスの話をしてきましたが、IPAが中小企業に最初に求めているのは機器ではありません。

「中小企業の情報セキュリティ対策ガイドライン第4.0版」が挙げる情報セキュリティ6か条は、次のとおりです。

OSやソフトウェアは常に最新の状態にしよう！
ウイルス対策ソフトを導入しよう！
パスワードを強化しよう！
共有設定を見直そう！
バックアップを取ろう！
脅威や攻撃の手口を知ろう！

第4.0版で「バックアップを取ろう！」が5番目に追加され、5か条から6か条になりました。

この記事に関わるのは1番目です。
OSやソフトウェアの更新には、境界に置いた機器のファームウェアも含まれます。
感染経路の上位2つが社外とつながる機器であることは、最初に見たとおりです。
その機器の更新が止まっていれば、入口は開いたままになります。
新しい機器を買う判断は、いまある機器の更新日を確かめたあとです。

防御にあたる部分

境界に置いている機器は何で、いつ入れたか。保守契約は生きているか
その機器のファームウェアを、最後に更新したのはいつか
全機能が有効になっているか。導入時に無効にしたまま忘れている機能はないか
社外から社内につなぐ経路はいくつあるか。使っていない経路が残っていないか

検知にあたる部分

ログはどれだけの期間残っているか
機器のアラートは、いま誰のメールボックスに届いているか
届いた人は、何をすることになっているか。決まっているか

対応にあたる部分

取引先からログの提供を求められたとき、誰が受けるか
機器からログを取り出せる人は社内にいるか。ベンダーに頼むなら、どこへ連絡するか
その連絡先は、営業時間外でもつながるか

この10項目のほとんどは、機器の管理画面と契約書があれば今日わかります。
買い足す判断は、そのあとで構いません。

そして新しく見積もりを取るときは、自社の条件での実効スループットと、有効になっている機能の一覧を、書面でもらってください。

ここで挙げた確認を社内で回すための書式を、別の記事で配っています。
事前準備チェックリストと緊急連絡先シートを含む、5点をまとめています。

まとめ

令和8年版警察白書によると、令和7年のランサムウェア被害の感染経路はVPN機器66.3パーセント、リモートデスクトップ20.7パーセント。ただし感染経路を回答した92件が母数で、年による振れは大きい。2年続けてこの2つが上位を占めている
2026年10月1日、サイバー対処能力強化法の報告義務が施行される。義務を負う「特別社会基盤事業者」は業種と指定で決まる枠で、中小企業が直接の対象になることは基本的にない。ただし取引先が対象なら、ログの提供や連絡体制の協力を求められる場面が出てくると見ておいたほうがいい
「入口対策・内部対策・出口対策」の3層は、公的資料の中でも定義と使い方が揃っておらず、国が定めた標準的な分類ではない。とくに出口対策は、NISCと総務省で指す範囲が違う
「多層防御」の英語としてDefense in Depthを当てるのは正確ではない。NISTの定義は人・技術・運用を組織の複数の層とミッションにまたがって統合する戦略で、位置による区分ではない。NIST CSF 2.0にはこの語自体がない
近年の公的資料は、場所ではなく段階で対策を並べている。IPAの第4.0版は「攻撃等の防御」「攻撃等の検知」「インシデント対応体制等の整備」、総務省の2017年の資料は「事前対策」「検知」「事後対策」
境界に置いた機器が担うのは、防御と検知の2つ。対応は機器ではなく体制の側にある。そして検知も、ログの保存期間・アラートの宛先・届いた人の動き方が決まっていないと半分しか成立しない
UTMはファイアウォールの上位互換ではなく、ファイアウォールを含む複数機能を1台にまとめたもの。NISTはこれを推奨ではなくトレードオフとして書いており、1台にまとめる分、その1台に機能の網羅性と性能が要ると述べている。「UTM義務化」を裏づける法令・政府方針はない
ベンダーの資料に数字が出てきたら、それが何を数えたものかを一度だけ確かめる。それだけで判断の質は変わる。「対策導入済み企業の約7割がマルウェア感染」がその例で、原典はIPAの2013年度調査のウイルス遭遇率71.5パーセント、遭遇は感染と発見の合計だった。感染率ではなく、13年前で、報告書もIPAのサイトから消えている
サイバーセキュリティお助け隊サービスは、IPAが基準適合性を審査してマークを付与し、一覧を公開する制度。2026年9月時点で80件超、提供事業者は46社（2026年8月20日時点）。基準は監視だけでなく、60分以内を目標とした通知、費用負担なしの駆けつけ、サイバー保険の付帯まで求めている。IPAが価格について定めているのは上限で、ネットワーク監視は月額1万円（税抜き）以下、初期費用は50万円（税抜き）以下
情報セキュリティ6か条は、第4.0版で「バックアップを取ろう！」が5番目に加わった。1番目の更新には、境界に置いた機器のファームウェアも含まれる
SCS評価制度はまだ申請できない。運用開始は令和8年度末頃、2027年1月から3月頃の予定。経産省は「今すぐ取得しないと入札から除外される」といった営業に注意喚起を出しており、制度は任意で、特定製品の導入は必須とされていない

今日やることは、前の節の10項目に尽きます。
機器を1台足すより先に、いま置いてある機器が何年前のもので、最後に更新したのがいつかを確かめる。
順番はそちらが先です。

皆さんの会社では、機器のアラートは、いま誰のメールボックスに届いていますか。

参考・引用元

法令・行政（一次資料）

内閣サイバーセキュリティセンター「用語解説」（2024年。多層防御・入口対策・内部対策・出口対策の定義） https://www.cyber.go.jp/pdf/policy/kihon-s/cs2024-8.pdf
IPA「「高度標的型攻撃」対策に向けたシステム設計ガイド」（2014年9月） https://www.ipa.go.jp/files/000046236.pdf
総務省「国民のためのサイバーセキュリティサイト」電子メールとWebサイトにおける対策（入口対策・出口対策） https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/admin/05/
総務省「国民のためのサイバーセキュリティサイト」用語集 https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/glossary/en/
総務省「防御モデルの解説」概要版（平成29年7月） https://www.soumu.go.jp/main_content/000495296.pdf
経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver 3.0」（2023年3月） https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf
内閣官房「政府機関等のサイバーセキュリティ対策のための統一基準（令和7年度版）」 https://www.cyber.go.jp/pdf/policy/general/kijyunr7.pdf
IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」（2026年3月27日公開） https://www.ipa.go.jp/security/guide/sme/about.html
同本体PDF https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf
IPA「情報セキュリティ10大脅威 2026」（2026年1月29日決定） https://www.ipa.go.jp/security/10threats/10threats2026.html
IPA「サイバーセキュリティお助け隊」制度 https://www.ipa.go.jp/security/sme/otasuketai/index.html
IPA「サイバーセキュリティお助け隊サービス基準」2.1版（令和7年9月8日） https://www.ipa.go.jp/security/sme/otasuketai/nq6ept000000faii-att/000092713.pdf
IPA「サイバーセキュリティお助け隊サービス」監視種別サービス一覧 https://www.ipa.go.jp/security/otasuketai-pr/hikaku/
同サービス提供事業者一覧 https://www.ipa.go.jp/security/otasuketai-pr/hikaku/vender-list.html
警察庁「令和8年版警察白書」（2026年8月25日公表） https://www.npa.go.jp/publications/whitepaper/r08/index.html
警察庁「令和7年版警察白書」第3章（令和6年の感染経路の数値） https://www.npa.go.jp/hakusyo/r07/honbun/html/bb3313000.html
「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和7年法律第42号。中核部分の施行日は、施行期日を定める政令により令和8年10月1日）
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」 https://www.meti.go.jp/policy/netsecurity/scs.html
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する注意喚起」（2026年4月27日） https://www.meti.go.jp/policy/netsecurity/20260427_scs.html
IPA「サプライチェーン強化に向けたセキュリティ対策評価制度」 https://www.ipa.go.jp/security/scs/index.html

海外の規格・ガイドライン

NIST SP 800-41 Rev.1「Guidelines on Firewalls and Firewall Policy」（2009年9月） https://nvlpubs.nist.gov/nistpubs/legacy/sp/nistspecialpublication800-41r1.pdf
NIST Computer Security Resource Center 用語集「Defense in Depth」 https://csrc.nist.gov/glossary/term/defense_in_depth
NIST CSF 2.0（NIST CSWP 29、2024年2月26日） https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf

製品・企業の公式情報

デジタルデータハッキング（DDH BOX 公式） https://www.digitaldata-hacking.com/service/product/
デジタルデータソリューション株式会社事業紹介 https://digitaldata-solution.co.jp/business/
株式会社ラック「JSOC」 https://www.lac.co.jp/corporate/unit/jsoc.html

公表元をたどれなかった数字

IPA「2013年度情報セキュリティ事象被害状況調査」。DDH BOXの公式ページが出典として挙げているが、報告書はIPAのサイトから削除されており、原典を確認できない

書籍

技術評論社「図解即戦力ネットワークのしくみと技術がこれ1冊でしっかりわかる本」（中尾真二著／2022年5月18日／192ページ／1,760円） https://gihyo.jp/book/2022/978-4-297-12793-0

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40