社内のネットワーク機器（ルーター・スイッチ・無線AP）のセキュリティ対策はどこまで必要？侵入経路の87%がリモートアクセス機器という現実と、パスワードを変えても元に戻らない乗っ取り・費用ゼロでできる7つの手順【中小企業向け】

結論から申し上げます。
中小企業がランサムウェアに入られた経路は、約9割がVPN機器やリモートデスクトップ用の機器です。
パソコンでもメールでもなく、事務所の壁やラックに付いているネットワーク機器そのものが入口になっています。

しかも厄介なのは、いったん機器の設定を書き換えられると、パスワードを変えてもファームウェアを更新しても元に戻らないことがある点です。
警視庁はこれを「従来の対策のみでは対応できない」と表現し、2023年に新しい対策を1つ追加しています。

この記事では、警察庁・総務省とNICT（NOTICE／NICTER）・警視庁・JPCERT/CC・IPAという公的な一次資料をもとに、ルーター・スイッチ・無線アクセスポイント・VPN装置という「社内ITの土台」を、中小企業がどこまで守ればよいのかを整理します。
最後にまとめた7つの手順のうち、6つは追加費用ゼロで実行できます。

そもそも「ネットワーク機器」とは、社内のどれのこと？

この記事で扱うのは、パソコンでもサーバーでもない、通信そのものを支えている機器です。
多くの中小企業では、事務所の隅のラックや壁、天井、フロアの角に静かに設置されていて、電源が入っている限り誰も触りません。

機器	役割	放置すると起きること
ルーター（VPNルーター）	インターネットと社内LANをつなぐ出入口。社外から社内へ入るVPNの受け口にもなる	外から社内に入る扉が開いたままになる
ファイアウォール・UTM	通信を許可／拒否する関所	関所が素通りになる、または関所自体が乗っ取られる
スイッチ（L2/L3スイッチ）	社内の機器同士をつなぐ結節点	社内の通信をのぞかれる、通信経路を書き換えられる
無線アクセスポイント（無線AP）	Wi-Fiの電波を出す機器	駐車場や隣室から社内LANに入られる
ONU・回線終端装置	光回線を社内で使える形に変換する機器	回線事業者の管理範囲だが、配下の設定は自社の責任
ネットワークカメラ・NVR	防犯カメラと録画機。ネットワークにつながる	映像を第三者に見られる、攻撃の踏み台にされる

パソコンにはウイルス対策ソフトを入れられますが、これらの機器には入れられません。
つまり「全台にウイルス対策ソフトを入れてあるから大丈夫」という安心は、社内でいちばん外側にある機器にはまったく届いていないということになります。

▶ 関連記事：仮想化基盤（VMware ESXi・Hyper-V）のセキュリティ対策はどこまで必要？

なお、複合機・プリンターも同じく「ネットワークにつながる、ウイルス対策ソフトを入れられない機器」です。こちらは別の記事で扱っていますので、あわせてご覧ください。

▶ 関連記事：複合機・プリンターのセキュリティ対策はどこまで必要？

なぜ機器が狙われる？──ランサムウェアの侵入経路の87%はリモートアクセス機器

警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、ランサムウェアの被害を受けた組織に感染経路を尋ねた結果が公表されています。
回答が得られた92件の内訳が、この記事のいちばんの出発点です。

感染経路	件数	割合
VPN機器からの侵入	61件	66.3%
リモートデスクトップからの侵入	19件	20.7%
不審メールやその添付ファイル	2件	2.2%
その他	10件	10.9%

VPN機器とリモートデスクトップを足すと80件、全体の87.0%です。つまり、ランサムウェアの侵入は「怪しいメールを開いてしまった」ではなく、外から見えている機器の入口をこじ開けられたケースが圧倒的多数になっています。

同じレポートは、なぜそこから入られたのかについても踏み込んで書いています。特別な攻撃技術ではなく、設定と運用の問題だと明記されている点にご注目ください。

攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する。
（中略）特に、主要な侵入経路であるＶＰＮ機器等は速やかな対応が必要である。
（警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」より）

被害報告226件のうち、中小企業は143件で63.3%を占めます。大企業だけの話ではなく、むしろ中小企業のほうが多く報告されている、というのが実態です。

▶ 関連記事：ランサムウェアとは？感染したら会社はどうなるか具体的に解説

日本の機器は、いまどういう状態？──国が毎月測っている数字があります

「うちの機器は大丈夫だろうか」を感覚で議論しても答えは出ません。
幸い、日本には国がインターネット側から機器の状態を毎月実測している仕組みがあります。
総務省とNICT（情報通信研究機構）がインターネットサービスプロバイダ（ISP）と連携して行っている「NOTICE（ノーティス）」という取り組みです。

NOTICEでは、NICTがインターネット側から機器にアクセスし、容易に推測されるIDとパスワードを自動入力して、乗っ取られる危険性がある機器を特定しています。
これは通常なら不正アクセス禁止法に触れる行為ですが、NICT法第18条にもとづく「特定アクセス行為」として、総務大臣の認可を受けて合法的に実施されているものです。
見つかった機器の情報はISPへ通知され、ISPから利用者へ注意喚起が届きます。

その最新の観測結果（2026年7月時点）が、こちらです。

観測項目	件数	内容
観測したIoT機器の総数	月 1.18億件	参加ISPのIPアドレスに対して観測している総数
容易に推測可能なID・パスワードの機器	月 13,753件	管理権限を乗っ取られたり、サイバー攻撃に加担させられる危険性がある機器
ファームウェアに高リスク脆弱性がある機器	月 2,230件	第三者に不正利用される危険性がある脆弱性を持つ機器
マルウェア感染が検知された機器	最大 378件／日	Miraiに既に感染していると推定される機器
リフレクション攻撃の踏み台にされうる機器	月 11,705件	DNS・NTP・SSDPの設定が踏み台になり得る状態の機器

この数字は「日本国内で、いま現在、インターネットから丸見えになっている機器の数」です。
推測できるパスワードのまま使われている機器が毎月1万3千台以上、すでにマルウェアに感染している機器が1日あたり最大378台見つかっている、ということになります。

総務省は、この取り組みを通じて分かったことを、次のようにはっきり書いています。

「NOTICE」のこれまでの活動によって、悪用されるIoT機器の多くはルーターやネットワークカメラであることが分かっています。
（総務省 報道資料「IoT機器のセキュリティ向上を推進する新しい『NOTICE』を開始」令和6年3月29日より）

なお2024年（令和6年）3月からは、従来のID・パスワードの調査に加えて、ファームウェアに脆弱性がある機器とすでにマルウェアに感染している機器も調査対象に加わりました（令和5年法律第87号によるNICT法の改正で新設）。
国の側から見ても、機器の放置が無視できない水準になっているということです。

どれくらい探されている？──1つのIPアドレスに、年間250万回のノック

次に、攻撃側がどれだけ機器を探し回っているかを見ます。
NICTは「NICTER（ニクター）」という観測網（約28万IPアドレス）を持っており、その2025年分の集計が2026年2月5日に公表されました。

項目	数値	備考
観測されたサイバー攻撃関連通信	合計 7,010億パケット	2024年から約2.2%増加。観測開始以降で過去最多
1つのIPアドレスあたり	年間 約250万パケット	1本の回線に、1年でこれだけの通信が届く計算
調査目的と推定されるスキャン通信	全体の約55%	前年は約60%。半数以上が「探している」通信
日本宛のDRDoS攻撃	約90万件	2024年は約17万件。1年で5倍以上に増加

重要なのは、探されている対象が変わってきていることです。レポートは次のように書いています。

Telnet（23/TCP）宛の通信の割合は年々減少傾向にある一方で、多数のポート番号を対象とするスキャンが増加しています。上位10ポート以外のその他を示すOther Portsの占める割合が増加傾向にあり、IoT機器やネットワーク機器を幅広く探索する傾向が顕著になっています。
（NICT「NICTER観測レポート2025」プレスリリース 2026年2月5日より）

そしてもう1つ、この記事の中でいちばん怖い一文がこれです。

従来主流だったMirai型とは異なるIoTボットの感染活動が拡大し、家庭用ルータや監視カメラの録画機器など、利用者が感染に気付きにくい機器が引き続き標的となっています。
（中略）感染後に機器内部で不正な動作を行っていることを利用者や管理者から見えにくくする仕組み（プロセス隠蔽）を備えた新たなIoTボットが、家庭用ルータなど複数種のIoT機器を標的として活動している状況も観測されました。
（同上）

機器が感染しても、画面は何も出ませんし、業務も普通に流れます。パソコンなら「動作が重い」「見慣れない警告が出る」といった変化に気づけますが、ルーターや無線APには画面がありません。
しかも最近のIoTボットは、感染していることを管理者から見えにくくする仕組み（プロセス隠蔽）まで持っています。「何も起きていない」ことは、「感染していない」ことの証明にはなりません。

▶ 関連記事：ノーウェアランサム（暗号化しないランサムウェア）とは？

パスワードを変えれば元に戻る？──警視庁が「従来の対策のみでは対応できない」と書いた理由

ここが、この記事でもっともお伝えしたい部分です。警視庁は、サイバー攻撃事案の捜査の過程で判明したこととして、次のような注意喚起を出しています。

サイバー攻撃事案の捜査の過程で、家庭用ルーターが、サイバー攻撃に悪用され、従来の対策のみでは対応できないことが判明しました。
（中略）今回確認された手法は、一般家庭で利用されているルーターを、サイバー攻撃者が外部から不正に操作して搭載機能を有効化するもので、一度設定を変更されると従来の対策のみでは不正な状態は解消されず、永続的に不正利用可能な状態となってしまう手法です。
（警視庁「家庭用ルーターの不正利用に関する注意喚起について」より）

つまり、こういうことです。
攻撃者は機器に入ったあと、その機器がもともと持っている正規の機能を有効にして、自分専用の出入口を作ります。
具体的にはVPN機能を有効にしてアカウントを1つ足す、DDNSを有効にして外から機器を見つけやすくする、といった操作です。

この状態になると、あとからパスワードを複雑にしても、ファームウェアを最新にしても、攻撃者が作った設定はそのまま残ります。
鍵を新しくしても、裏口のドアが増えていることに気づいていなければ意味がない、ということです。

そこで警視庁は、従来の3つの対策に加えて、新しい対策を1つ挙げています。

区分	対策
従来の対策①	初期設定の単純なIDやパスワードは変更する
従来の対策②	常に最新のファームウェアを使用する
従来の対策③	サポートが終了したルーターは買い替えを検討する
新たな対策④	見覚えのない設定変更がなされていないか定期的に確認する

では、具体的にどこを見ればよいのか

警視庁は、管理画面で定期的に確認すべき項目を具体的に挙げています。難しい作業ではありません。管理画面にログインして、次の4つを目で見るだけです。

確認する設定	見るポイント
VPN機能設定	自社で使っていないのに有効になっていないか
DDNS機能設定	自社で使っていないのに有効になっていないか
インターネット（外部）からの管理画面への接続設定	有効になっていないか
VPNアカウント	見覚えのないアカウントが追加されていないか

見覚えのない設定が見つかった場合は、パスワード変更やファームウェア更新だけでは足りません。警視庁は、この場合の手順として「ルーターの初期化を行い、ファームウェアを最新に更新した上、ルーターのパスワードを複雑なものに変更する」と示しています。
順番が大事で、まず初期化です。初期化しないと、攻撃者が作った設定が残ったままになります。

この注意喚起は家庭用ルーターを対象に出されたものですが、中小企業が使っている小規模拠点向けのルーターや無線APは、家庭用と同じ設計思想の製品も多くあります。
「うちは法人向けだから関係ない」と切り分けられる話ではありません。

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

自社の回線が、犯罪の「出口」として使われる？──レジデンシャルプロキシ

機器を乗っ取られたときに起きることは、自社が被害を受けることだけではありません。警視庁が2026年8月21日に更新したページに、いま増えている手口として「レジデンシャルプロキシ」が挙げられています。

一般家庭向けのインターネット回線に接続されたIoT機器が、第三者の通信を中継する仕組みです。
通信先サーバ等のアクセスログには、レジデンシャルプロキシとなっているIoT機器に割り当てられたIPアドレスが記録されるため、犯罪者は身元を隠してサイバー攻撃をすることが可能になります。
（警視庁「家庭用IoT機器を悪用するレジデンシャルプロキシ」2026年8月21日更新より）

かみ砕くと、攻撃を受けた相手側のログに残るのは、犯人のIPアドレスではなく、あなたの会社のIPアドレスということです。
実際に2022年秋には、都内のアパートのルーターが企業へのサイバー攻撃に使われ、その住人が捜査員から「お宅のIoT機器が不正アクセスの通信元になっている」と指摘された事例が報じられています（住人は事件とは無関係でした）。

自社は何も盗まれていないのに、取引先や他社への攻撃の発信元として自社の名前が出る——これがネットワーク機器を放置したときのいちばん実務的なリスクです。取引先から「御社のIPアドレスから不審な通信が来ています」と連絡が入ったとき、機器の台帳もログもなければ、何が起きたのかを説明できません。

警視庁は同じページで、事業者・組織向けの対策として3つを挙げています。いずれも機器を買い足す話ではなく、いまある環境の整理の話です。

対策	警視庁が示している内容
承認していない機器をつながせない	組織で承認していない機器や端末の業務ネットワークへの接続を防止する
ネットワークを分ける	業務用ネットワークとIoT機器等のネットワークを適切に分離する
設定を正しく運用する	ファイアウォールやアクセス制御の設定を適切に運用する

なお同ページは、機器が乗っ取られる経路として「製造過程又は流通過程で仕込まれたマルウェア」も挙げています。
極端に安い出所不明の機器を買うこと自体がリスクになる、ということです。
この点は後半の「買い替えるとき何を見て選ぶか」で改めて扱います。

▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例

中小企業が実際に使っている機器にも、脆弱性は出ている？

「脆弱性といっても、海外の高価な業務用機器の話でしょう」と思われるかもしれません。
しかし2026年に入ってから、日本の中小企業が実際に使っている国内メーカーの機器で、深刻な脆弱性が続けて公表されています。

公表日	対象製品	脆弱性の内容	深刻度
2026年3月27日	バッファロー製Wi-Fiルータ （VPNルーター・中継機を含む計46モデル）	認証回避／OSコマンドインジェクション／コードインジェクション など6件	CVSS v4.0 基本値 最大8.7
2026年7月28日	エレコム製無線LANルーター・ 法人向け無線アクセスポイント（WABシリーズ等）	設定画面と設定復元におけるOSコマンドインジェクション など3件	CVSS v4.0 基本値 最大8.6

バッファローの件で特に注意が必要なのは、CVE-2026-32678（代替パスまたはチャネルを使用した認証回避）です。
この脆弱性は評価指標のうち「必要な権限」も「利用者の操作」も不要とされており、インターネット側から、ログインもせず、誰かがクリックする必要もなく、機器の重要な設定を書き換えられる可能性があります。
前の章で見た「攻撃者が自分専用の出入口を作る」手口と、そのままつながります。

46モデルのうち、ファームウェアの更新版が提供されたのは39モデルで、7製品はサポート終了のため更新版が提供されません。メーカーはこの7製品について、使用を停止して新しい製品へ買い替えることを推奨しています。
「まだ動いているから使い続ける」という判断が、そのまま穴を開けたままにする判断になる、という典型例です。

10年前の部品が、いまの機器の中に残っていることがある

同じバッファローの公表の中に、CVE-2015-1548という古い番号が混ざっています。これは「mini_httpd」という第三者製のソフトウェア部品に、2015年に見つかった脆弱性です。

ネットワーク機器の中身は、メーカーが一から作ったソフトウェアだけではなく、オープンソースの部品を組み合わせて作られています。
その部品に古い脆弱性が残っていると、機器の外見や型番が新しくても、中には10年前の弱点が残ります。
これは利用者側からは絶対に分かりません。
だからこそ、メーカーが出した更新を当てることが唯一の手段になります。

▶ 関連記事：Windows Updateを放置していませんか？パッチ管理の重要性

脆弱性の注意喚起は、どれくらいがネットワーク機器なのか？

JPCERT/CCは、影響範囲が広い脆弱性について「注意喚起」を発行しています。
2026年1月から8月15日までに公開された注意喚起は27件で、そのうちネットワーク機器・リモートアクセス機器に関するものが8件（約3割）ありました。
（当社にて一覧を実測して集計）

公開日	対象	CVE番号など
2026年1月30日	Ivanti Endpoint Manager Mobile（EPMM）	CVE-2026-1281、CVE-2026-1340
2026年3月30日	F5 BIG-IP Access Policy Manager	CVE-2025-53521
2026年3月31日	NetScaler ADC／NetScaler Gateway	CVE-2026-3055（境界外読み取り）
2026年4月27日	Cisco ASA／FTD	CVE-2025-20333、CVE-2025-20362
2026年5月22日	Palo Alto Networks PAN-OS	CVE-2026-0265（認証回避）
2026年6月10日	Check Point Software Technologies社製品	CVE-2026-50751（認証バイパス）
2026年6月23日	Fortinet製品に関連する認証情報の漏えい	—
2026年8月15日	NetScaler ADC／NetScaler Gateway	CVE-2026-8452（リモートコード実行）

並べてみると分かるのは、「認証回避」「認証バイパス」「認証情報の漏えい」という言葉が繰り返し出てくることです。
つまり攻撃者が狙っているのは、機器の複雑な機能ではなく、その機器にログインする、あるいはログインせずに中へ入るという、いちばん手前の部分です。

VPN装置は「社外から社内へ入るための正規の入口」です。その入口にログインできてしまえば、攻撃者は社員と同じようにVPNで社内に入れます。
VPN装置の更新は「機器のメンテナンス」ではなく「玄関の鍵の交換」だと考えてください。警察庁が「速やかな対応が必要」と名指ししているのも、この機器です。

▶ 関連記事：法人向けリモートアクセスVPNの選び方｜方式の違い・比較と「脱VPN」ゼロトラスト・SASEへの移行

深刻度の数値（CVSSスコア）の読み方については、別記事で詳しく解説しています。

▶ 関連記事：CVSSとは？脆弱性の深刻度を評価する共通指標をわかりやすく解説

あなたの会社の機器の管理画面は、どこから見えていますか？

ここからは、実際に確認していただく内容です。まずは管理画面（設定画面）です。

IPAが2026年3月27日に公開した「中小企業の情報セキュリティ対策ガイドライン 第4.0版」の付録5（情報セキュリティ関連規程のサンプル・Word形式で無料配布）には、次のように書かれています。

システム管理者は、機器の管理画面にログインするためのパスワードは初期状態のまま使わず、推測不可能なパスワードを設定して運用する。
ファイアウォール及びルーターのパスワードを変更する。
（中略）遠隔診断ポートの利用は、保守サポートなど必要な場合のみに限定し、認証機能やコールバック機能等を備えるなど、適切なセキュリティ対策を施す。
（IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」付録5 より）

この規程サンプルは無料で、そのまま自社の規程として使えます。「何を決めればいいか分からない」という段階なら、ここから始めるのがいちばん早い方法です。

▶ 関連記事：情報セキュリティ規程とは？就業規則との違い・無料ひな形（IPA付録5）の使い方

管理画面まわりで確認する5つ

確認項目	なぜ危ないか	対応
初期パスワードのまま使っていないか	型番が分かればマニュアルはインターネットで手に入り、初期パスワードも公開されていることがある	変更する（0円）
管理画面がインターネット側から開けないか	外から管理画面が開ける状態は、攻撃者に入口を示しているのと同じ	外部からのアクセスを無効にする（0円）
SSH・Telnetが有効なままでないか	遠隔から機器を直接操作できる機能。使っていなければ切る	無効化する（0円）
UPnP・ポート開放が余分に増えていないか	内側の機器が勝手に穴を開けている場合がある	不要なものを閉じる（0円）
保守業者だけが知っているアカウントがないか	構築を委託した場合、業者用のアカウントが残っていることがある	棚卸しして整理する（0円）

管理画面のパスワードと、Wi-Fiに接続するときのパスワードは、まったくの別物です。NOTICEも「ルーターとして各機能の設定や管理が可能な管理用のパスワードは、Wi-Fi利用時のアクセスポイントとして使用するSSIDのパスワードとは異なりますので注意ください」と明記しています。
現場では、Wi-Fiのパスワードは複雑にしてあるのに、管理画面はadmin／passwordのまま、というケースが少なくありません。

なお、パスワードの強度についてNOTICEが示している条件は3つです。
①英大文字・小文字・数字・記号を含む ②10桁以上 ③推測されにくいランダムな文字列。
機器が入力できる文字種や桁数に制限がある場合は、可能な範囲でいちばん長く・いちばん多くの文字種を使ってください。

ただし例外もあります。
近年の製品は1台ごとに異なる複雑な初期パスワードが本体シールに印字されていることがあり、この場合は変更の必要がないとNOTICEは説明しています。
機器を新しく買うときは、この方式の製品を選ぶことも推奨されています。

無線LAN（Wi-Fi）の設定は、どこまでやればいい？

無線APは「電波が届く範囲がそのまま社内LANの入口になる」機器です。駐車場や隣のテナント、道路からでも電波は届きます。IPAの規程サンプルに書かれている設定項目を、そのまま整理しました。

設定項目	推奨される設定	放置すると
暗号化方式	WPA2-PSK、機器が対応していればWPA3	古いWEPやWPAは解読される
暗号化キー（接続パスワード）	辞書に載っている単語を使わない／大文字・小文字・数字・記号を全て含む／文字数を増やす	短い共通の合言葉は、退職者にもそのまま残る
SSID（電波の名前）	使用者氏名・会社名などを想起させないものにする	会社名が入っていると狙う相手を選ばれる
設定画面のパスワード	容易に推測できないものにする	接続用パスワードとは別物
ファームウェア	自動更新にする	手作業では必ず抜ける
接続する端末	許可した端末だけをつなげる（端末認証・証明書など）	私物端末が勝手につながる状態を防ぐ

特に見落とされやすいのが暗号化キーの更新です。
Wi-Fiのパスワードは全社員が知っている「共通の合言葉」なので、退職者が出ても変更しない限り、退職後もそのまま電波に接続できてしまいます。
「入退社があったときは変える」と決めておくだけで、費用はかかりません。

▶ 関連記事：内部不正による情報漏えいとは？退職者の情報持ち出しの実際の手口と対策

共有パスワードのWi-Fiから、「1人ずつの認証」へ

中小企業のWi-Fiは、ほぼすべてがWPA2-PSK（Personal）方式です。
PSKは Pre-Shared Key の略で、日本語にすると「あらかじめ全員に配っておく共通の合言葉」という意味になります。
この方式には、構造上どうしても消せない弱点が2つあります。

• 誰が接続したのか区別できない：全員が同じパスワードを使うため、ログを見ても「誰の端末か」が分からない
• 退職者や来訪者が知ったまま残る：1人でも外部に漏らせば、全社のパスワードを変えるしかない

これを解決するのがWPA2／WPA3-Enterprise（IEEE 802.1X認証）です。
共通の合言葉ではなく、社員1人ずつのID・パスワードや電子証明書で接続を認証します。
退職者が出たらそのアカウントを止めるだけで、他の社員に影響は出ません。
接続ログにも「誰の端末が、いつつないだか」が残ります。

かつては認証用のサーバー（RADIUSサーバー）を自社に立てる必要があり、中小企業には現実的ではありませんでした。現在はクラウド型の認証サービスや、既にお使いのID基盤（Microsoft Entra ID など）と連携できる無線APが増えています。無線APを入れ替えるタイミングが、共有パスワードをやめる唯一の現実的なチャンスです。見積りを取るときに「802.1X認証に対応していますか」と1問聞いてみてください。

なお、MACアドレスフィルタリング（登録した端末だけ接続を許す設定）だけに頼るのは避けてください。
MACアドレスは電波を傍受すれば分かり、機器側で書き換えることもできるため、単独では防御になりません。
IPAの規程サンプルにも端末認証の一例として挙げられていますが、暗号化方式・パスワード・802.1X認証と組み合わせて初めて意味を持つ補助的な対策だとお考えください。

在宅勤務者の自宅のルーターは、どうすればいい？

自宅のルーターは会社の資産ではないため、会社が更新することも設定することもできません。
しかし、そこから社内のVPNにつないでいる以上、自宅のルーターは実質的に社内ネットワークの一部です。
警視庁の注意喚起が「家庭用ルーター」を対象に出されていることの意味は、ここにあります。

会社としてできることは、大きく3つです。

• ルールで求める：管理画面のパスワード変更、ファームウェアの自動更新ON、サポート終了機器の買い替えを、テレワーク規程に1行入れる（費用ゼロ）
• 会社が機器を貸与する：業務専用のモバイルルーターを貸し出せば、会社側で管理できる
• 自宅の回線に依存しない仕組みにする：ZTNA／SASE方式にすれば、自宅ルーターの設定に関係なく、許可したアプリだけに安全に接続できる

▶ 関連記事：テレワーク時のWi-Fi接続に潜む危険と安全な使い方

▶ 関連記事：私物スマホの業務利用（BYOD）のリスクと社内ルールの作り方

ゲスト用Wi-Fiと業務用ネットワークは、分かれていますか？

来客用にWi-Fiを開放している会社は多いと思います。問題は、そのゲスト用のWi-Fiが業務用のネットワークと同じ中身になっていないかです。

同じネットワークにつながっていると、来客の端末から社内のファイルサーバーや複合機、ネットワークカメラが見えてしまいます。
悪意がなくても、来客の端末がすでにマルウェアに感染していれば、そこから社内へ広がります。

区分	つなぐもの	つながる範囲
業務用ネットワーク	社員のパソコン・サーバー・複合機	社員だけ。許可した端末だけ
ゲスト用Wi-Fi	来客・取引先の端末	インターネットにだけ出られる。社内の機器は見えない
IoT機器用ネットワーク	ネットワークカメラ・入退室装置・スマート家電など	業務用とは分ける。管理者だけが触れる

これは警視庁が事業者向けに挙げている「業務用ネットワークとIoT機器等のネットワークを適切に分離する」と同じ考え方です。
IPAの規程サンプルでも、ネットワーク機器台帳に記録する項目として「ネットワークの利用目的（社内業務用、ゲスト用Wi-Fi、サーバー専用ネットワークなど）」がはっきり挙げられています。

多くの法人向け無線APには、ゲスト用SSIDを業務用と分離する機能が最初から付いています（メーカーによって「ゲストポート」「ネットワーク分離機能」などと呼ばれます）。
機器を買い足す必要はなく、設定を有効にするだけ・費用ゼロで実行できる対策です。いま来客に教えているSSIDが業務用と同じものになっていないか、今日確認してみてください。

▶ 関連記事：製造業のサイバーセキュリティ｜工場停止を招くランサムウェア対策とOT/ITネットワーク分離の実務

サポートが終わった機器は、どうすればいい？

ネットワーク機器のいちばん厄介な点は、壊れないことです。
パソコンは動作が重くなったり起動しなくなったりして入れ替えのきっかけが来ますが、ルーターや無線APは10年でも普通に通信し続けます。
その間に、メーカーのサポートだけが静かに終わります。

メーカーのサポートが終了したルーターやネットワークカメラなどのIoT機器は、機能向上やセキュリティ対策を目的としたファームウェアは提供されなくなる場合があります。また、サポート終了後にご利用のIoT機器に対して新たな脅威が発生しても対策が困難となり、サイバー攻撃の被害を受ける可能性が高くなります。
（NOTICE「IoT機器メーカー サポート情報」より）

NOTICEは主要メーカーのサポート終了情報の探し方をまとめています。そこで示されている、メーカー各社のサポート期間の考え方が下の表です。おおむね「生産終了から5〜7年」が目安になります。

メーカー	サポート期間の考え方	確認先
アイ・オー・データ機器	製品の生産終了日から5年以上経過した製品より、順次サポート・修理・関連ソフトウェアの提供が終了	修理・サポート終了品検索
i-PRO	ハードウェア機器は生産終了から7年間をサポート期間と規定	生産終了製品品番一覧
エレコム	ネットワーク製品・NAS製品のサポートおよび修理対応は、生産終了後 最長5年	サポート期間のご案内ページ
バッファロー	商品ごとにサポート期間を公開	サポート期間のご案内ページ
NECプラットフォームズ	Atermのサポート期間、販売終了・保守終了品（法人向け）を公開	サポート期間ページ
ヤマハ	修理対応終了予定／生産完了品、ソフトウェアのサポートを公開	修理対応終了予定ページ
サン電子	サポート終了はニュースリリースで案内、生産完了機種の一覧あり	ニュースリリース／生産完了機種

「まだ通信できている」ことと「まだ守られている」ことは、まったく別の話です。サポートが終わった機器は、新しい脆弱性が見つかっても修正版が出ません。しかも、そもそも脆弱性情報がメーカーから提供されなくなるため、危ない状態になったこと自体に気づけなくなります。

入れ替えの費用が心配な場合は、後半の補助金の章もあわせてご覧ください。
なお、外した古い機器には設定情報（VPNの認証情報や無線LANのパスワード、アドレス帳など）が残っています。
廃棄や下取りに出すときは、必ず初期化してから手放してください。

▶ 関連記事：パソコン・スマホを廃棄／リース返却するときのデータ消去は？

買い替えるとき、何を見て選べばいい？──JC-STARという新しい目印

機器を選ぶとき、価格と速度以外に見るべきものがなかった、というのがこれまででした。
2025年3月から、IPA（情報処理推進機構）が運営する「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」が始まっています。
セキュリティ要件を満たした製品に、★の数で表示される適合ラベルが付く仕組みです。

レベル	位置づけ	評価方法
★1（レベル1）	IoT製品共通の最低限の脅威に対応するための適合基準	ベンダーの自己宣言
★2（レベル2）	製品類型ごとの特徴に応じた適合基準	ベンダーの自己宣言
★3（レベル3）	政府機関・重要インフラ・地方公共団体・大企業等の重要システムでの利用を想定	独立した第三者が評価
★4（レベル4）	同上（さらに高い水準）	独立した第三者が評価

2026年9月4日時点で公開されている「適合ラベル取得製品リスト」には338製品が掲載されており、当社にて内容を確認したところ、ルーター・無線LAN機器・スイッチなどネットワーク機器と分かるものが47製品、ネットワークカメラが25製品含まれていました。
エレコム、NECプラットフォームズ、オムロン ソーシアルソリューションズ、アットマークテクノなど、国内で入手しやすいメーカーの製品が並んでいます。

現時点で公開されている338製品は、すべて★1です。★1はベンダーの自己宣言なので「第三者が保証したもの」ではありませんが、少なくとも「メーカーが最低限のセキュリティ要件に責任を持つと表明した製品」という区別はできます。
適合ラベルの有効期間は2年です。ラベルがあること自体が、メーカーがその製品を継続的に見ている証拠にもなります。

なお通信機器とネットワークカメラについては、2026年6月12日に★3の適合要件が公開されました。
今後、より高い水準のラベルが付いた製品も出てきます。
次に機器を買うときは、「JC-STARの適合ラベルは付いていますか」と1問だけ販売店に聞いてみてください。
これは費用ゼロでできる、いちばん効率のよい品質確認です。

▶ 関連記事：ISMS・Pマーク・SECURITY ACTION・SCS評価制度はどれを取るべき？

そもそも、どの機器が何台あるか、把握できていますか？

ここまで確認項目を並べてきましたが、そのすべての前提になるのが「機器の一覧があること」です。一覧がなければ、更新すべき機器も、サポートが切れている機器も、見つけようがありません。

IPAの規程サンプル（付録5）には、「3.7 ネットワーク機器台帳/ネットワーク構成図の作成」という節がまるごと用意されています。
中小企業向けの公的なひな形が、「台帳と構成図を作りなさい」とはっきり求めているということです。しかも無料です。

ネットワーク機器台帳に書く項目

区分	書く内容
ネットワークの基礎情報	ネットワーク名、所在地、IPアドレス範囲など
ネットワークの利用目的	社内業務用、ゲスト用Wi-Fi、サーバー専用ネットワークなど
機器の基礎情報	機器名、機器種別（ルータ、ファイアウォールなど）、製造元、モデル名、シリアル番号など
保守事業者に関する情報	事業者名、契約情報など
（実務上あわせて書きたい項目）	ファームウェアのバージョン、最終更新日、サポート終了予定日、管理画面のURL

「保守事業者に関する情報」を書く欄があることに注目してください。NOTICEも「法人の場合は自社で調達する以外にも、ネットワーク構築等を外部に委託した場合には、その構築事業者が用意する場合もあります」と書いています。
中小企業の現場でいちばん多いのは、「この機器は誰が入れたのか、誰が管理しているのか分からない」という状態です。台帳の1行を埋めるところから、その状態を解消できます。

ネットワーク構成図に描く項目

項目	内容
主要なネットワークセグメント	企業LAN、サーバーネットワークなど
デバイスの配置	ルータ、スイッチ、ファイアウォールなど
接続関係	各デバイスの接続経路など
IPアドレス情報	各セグメントのIPアドレス範囲、主要なデバイスの管理IPなど
デバイス名	台帳と一致させる
セキュリティ要素	ファイアウォールやVPNの位置など

構成図というと専門的に聞こえますが、紙に手書きで、四角と線で描くだけでかまいません。
回線が入ってくるところ、ルーター、スイッチ、無線AP、サーバー、パソコン。
この6種類を線でつなぐだけで、「どこが外に接している機器か」が一目で分かります。

事故が起きたとき、外部の専門会社に調査を依頼すると、最初に聞かれるのがこの構成図です。構成図がないと、調査は「まず現状を把握する」ところから始まり、その分だけ時間と費用が増えます。
構成図を作る作業自体は0円ですが、無いことによる追加費用は数十万円単位になります。

▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方

▶ 関連記事：オフィスの物理セキュリティ・入退室管理はどこまで必要？

ログは取れていますか？──「許可なく接続された機器はないか」を見る

IPAの規程サンプルは、ログについても具体的な水準を示しています。

ログの種類	保存期間	取得する項目
ファイアウォールのログ	3年間	日時、送信元IPアドレス及び送信先IPアドレス
プロキシサーバーのログ	3年間	日時、リクエスト元IPアドレス及びURL
PC等の認証ログ	3年間	日時、接続元IPアドレス、ユーザーID及び成功／失敗
クラウドサービスのログ	3年間を満たせるか確認	サービスごとに取得可能な項目を事前に確認する

そして、レビュー（定期的に見返すこと）の観点として挙げられているのが、次の3つです。

［ファイアウォール、プロキシサーバーのログ］
・管理外のインターネット接続がないか
・許可なく接続された機器や無線LAN機器はないか
・不審な通信が行われていないか（異常な接続元IPなど）
（IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」付録5 より）

2番目の「許可なく接続された機器や無線LAN機器はないか」は、現場でよく起きる「誰かが勝手に買ってきて置いた無線AP」のことです。
会議室の電波が弱いから、担当者が家電量販店で無線APを買ってきてLANポートに挿す。悪気はないのですが、その機器は初期パスワードのままで、暗号化も弱く、誰も更新しません。これが、社内でいちばん静かに開いている穴です。

▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較

費用ゼロでできることは、どこまでありますか？

ここまでの内容を、「追加費用がかかるかどうか」で仕分けました。10項目のうち9項目は、機器を買い足さずに実行できます。

#	やること	費用
1	ネットワーク機器を紙に全部書き出す（台帳）	0円
2	四角と線で構成図を描く	0円
3	管理画面のパスワードを初期値から変える	0円
4	ファームウェアを最新にし、自動更新をONにする	0円
5	外部からの管理画面アクセス・SSH・Telnetを無効にする	0円
6	見覚えのないVPN設定・DDNS設定・VPNアカウントがないか確認する	0円
7	ゲスト用Wi-Fiを業務用ネットワークから分離する	0円（機器の機能）
8	Wi-Fiの暗号化キーを見直し、入退社時に変えると決める	0円
9	サポート終了機器を洗い出す（メーカーサイトで型番を検索）	0円
10	サポート終了機器を入れ替える／台帳を仕組みで持つ	有料

お金が必要なのは、10番の1項目だけです。しかも1〜9をやってからでないと、10で何を買えばよいのかが決まりません。
「予算がないから何もできない」のではなく、「予算がなくても9項目は今日から進められる」というのが、この記事の実務的な結論です。

▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？

お金をかける部分は、どの製品で埋める？

費用ゼロの9項目をやり切ったあとに残るのは、「機器そのものを新しくして、更新を自動で回す」ことと、「機器の一覧を人の記憶ではなく仕組みで持つ」ことの2つです。
当社で取り扱っている製品を、この2点に紐づけて整理しました。

項目	Sophos Firewall	Webセキュリティ Plus	Check Point Harmony SASE	LANSCOPE エンドポイントマネージャー	ISM CloudOne
この記事のどこを埋めるか	出入口の機器を新しくして 更新を自動化する	出入口を通るWeb通信を クラウド側で止める	VPN装置そのものを やめる（脱VPN）	ネットワーク機器を 台帳に載せる	機器とPCの脆弱性を 毎日可視化する
提供形態	アプライアンス／仮想／クラウド	クラウド（端末エージェント）	クラウド（SASE）	クラウド（SaaS）	クラウド（SaaS）
初期費用（税別）	本体 124,400円〜 （XGS 107）	60,000円	要見積り	30,000円／契約	30,000円
継続費用（税別）	年 55,200円〜 （XGS 107・Xstream）	1台 月1,580円 （年18,960円）	ユーザー単位の月額	1台 月500円 （ベーシック・年6,000円）	1台 月600円〜360円 （台数で逓減）
更新の自動化	ゼロタッチのOTA自動パッチ適用	クラウド側で常に最新	クラウド側で常に最新	PCのWindows Update管理	脆弱性とサポート終了OSの可視化
ネットワーク機器の一元管理	Sophos Centralでファイアウォール・ スイッチ・Wi-Fiをまとめて管理	—	—	エージェントを入れられない ルーター等も台帳登録可 （最大10,000件）	—
主な機能	IPS／TLS検査／サンドボックス／ DNS保護／NDR／SD-WAN／ZTNA	URLフィルタ／マルウェア検査／ HTTPS復号検査	ZTNA（Private Access）／ Web保護（Internet Access）	資産管理／操作ログ／Wi-Fi・ Bluetooth接続ログ／MDM	自動脆弱性診断／操作ログ／ 外部デバイス制御／ふるまい検知
ひとこと	Gartner Peer Insights Customers’ Choice 2024選出	IPAサイバーセキュリティ お助け隊2類・簡易サイバー保険付帯	1ユーザー5デバイス・ 世界80拠点以上	60日間の無料体験あり	導入90,000社（2025年3月時点）
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

機器そのものを新しくするなら

Sophos Firewall は、この記事で挙げた課題に対して「ゼロタッチのOTA自動パッチ適用」を持っている点が実務的です。
ファームウェアの更新が自動で当たるため、「更新を忘れる」という一番多い失敗が構造的に起きません。
また設定ミスを自動検出するチェック機能もあり、Sophos Central という1つの画面からファイアウォール・スイッチ・Wi-Fi・パソコンをまとめて管理できます。
IT担当者が専任でいない会社ほど、この「1画面にまとまっていること」が効きます。

そもそもVPN装置を持たない、という選択

侵入経路の66.3%がVPN機器であるなら、「VPN装置を社内に置かない」という考え方も成り立ちます。
これがゼロトラスト／SASEと呼ばれる方式で、Check Point Harmony SASE の Private Access が該当します。
社内に受け口の機器を置かず、クラウド経由で、許可したアプリだけに接続させる仕組みです。
更新すべき機器が減るため、運用の負担そのものが小さくなります。

▶ 関連記事：「ゼロトラスト」って何？中小企業でも実践できる考え方と最初の一歩

▶ 関連記事：SASEとUTMの違いを徹底比較｜クラウド時代に選ぶべきセキュリティは？

機器の一覧を、人の記憶ではなく仕組みで持つ

LANSCOPE エンドポイントマネージャーは、「プリンターやルーターなどエージェントがインストールできない機器もまとめて管理できます（最大10,000件まで登録可能）」と明記されている数少ない製品です。
パソコンは自動で情報を取得し、ネットワーク機器は任意項目として登録することで、1つの台帳にパソコンとネットワーク機器を同居させられます。
Wi-Fi・Bluetoothの接続／切断ログも取得できるため、先ほどの「勝手に置かれた無線AP」の検知にも使えます。

ISM CloudOneは、毎日更新されるセキュリティ辞書と社内端末の情報を突合し、「どのPCにどんな脆弱性があるか」とサポート終了OSを一覧化します。
機器そのものというよりは、機器につながるパソコン側の穴を毎日見張る役割です。

▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方

万が一、乗っ取られていた場合

見覚えのない設定が見つかった、あるいは取引先から「御社のIPアドレスから不審な通信が来ている」と連絡を受けた場合は、被害の範囲を確定させる調査が必要になります。
当社では、マルウェア感染調査サービスを300台まで298,000円（税別）から提供しています（詳細レポートは別途500,000円、17時までのご注文で翌日対応）。

マルウェア感染調査の詳細を見る

▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方

実際に、いくらかかりますか？

従業員30名・パソコン30台・1拠点（ルーター1台、無線AP3台、スイッチ2台）という前提で試算しました。税別・目安の金額です。

項目	初年度	2年目以降（年額）
費用ゼロの9項目（台帳・構成図・設定見直し）	0円	0円
LANSCOPE エンドポイントマネージャー ベーシック 30台	210,000円 （初期30,000＋年180,000）	180,000円
Sophos Firewall XGS 107 （Xstream Protection）	179,600円 （本体124,400＋年55,200）	55,200円
小計	約389,600円（月 約32,500円）	約235,200円（月 約19,600円）
（参考）まず台帳だけを仕組みで持つ場合	210,000円（月 約17,500円）	180,000円（月 約15,000円）
（参考）出入口のWeb通信まで守る場合 Webセキュリティ Plus 30台を追加	＋628,800円 （初期60,000＋年568,800）	＋568,800円
（対比）事故が起きてからの調査費用	798,000円 （感染調査298,000＋詳細レポート500,000）	—

警察庁の統計では、ランサムウェア被害で復旧に総額1,000万円以上を要した組織が51.7%（89件中46件）です。上の小計389,600円と比べると、およそ26倍にあたります。
しかも調査費用を払って分かるのは「何が起きたか」であって、止まった業務と失った信用が戻るわけではありません。

▶ 関連記事：クラウドバックアップの費用・料金相場はいくら？

補助金は使えますか？

セキュリティ関連のITツールは、デジタル化・AI導入補助金（旧・IT導入補助金）の対象になり得ます。当社は同補助金の支援事業者として、申請から導入までを一括でサポートしています。

枠	補助額	補助率
通常枠	5万円〜450万円	原則1/2（小規模事業者は最大4/5）
セキュリティ対策推進枠	5万円〜150万円	小規模事業者2/3・中小企業1/2（サービス利用料は最大2年分）

申請にあたっては、SECURITY ACTIONの自己宣言IDとGビズIDが必要です。また交付決定前に発注したものは対象外になるため、順番を間違えないようご注意ください。
なお、ルーターや無線APといったハードウェア本体が補助対象になるかは、枠と年度で扱いが変わります。検討時点の公募要領で必ずご確認いただくか、当社までご相談ください。

▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方

▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ

何から始めればいいですか？──7つの手順

優先順位をつけて並べました。1〜6は追加費用ゼロで、IT担当者が専任でいなくても進められる内容です。

順番	やること	内容	費用
1	機器を全部書き出す	ラック・壁・天井・机の下を実際に見て回り、型番とシリアル番号を控える	0円
2	構成図を描く	回線→ルーター→スイッチ→無線AP→サーバー／PC を四角と線で描く	0円
3	管理画面に入ってみる	パスワードが初期値のままの機器、そもそも入れない機器（＝誰も管理していない機器）を洗い出す	0円
4	見覚えのない設定を確認する	VPN設定・DDNS設定・外部からの管理画面接続・VPNアカウントの4点をチェック	0円
5	更新して、不要な機能を切る	ファームウェアを最新にし自動更新をON。SSH・Telnet・外部管理を無効化	0円
6	ネットワークを分ける	ゲスト用Wi-FiとIoT機器を、業務用ネットワークから分離する	0円
7	入れ替えと仕組み化	サポート終了機器を入れ替え、台帳を製品で持つ。補助金の活用を検討する	有料

順番には理由があります。1〜4で「いま何がどうなっているか」を確定させ、5〜6で「開いている穴を閉じる」。そのうえで7で「お金をかける場所」を決めます。
いきなり7から始めると、まだ社内にある古い機器を残したまま新しい機器を足すことになり、穴が開いたままお金だけがかかります。

▶ 関連記事：サイバーセキュリティ経営ガイドラインとは？経営者の3原則・重要10項目

よくあるご質問

Q. 従業員10名の会社でも、ここまでやる必要がありますか？

A. 台帳・構成図・管理画面のパスワード変更・ファームウェア更新の4つは、規模に関係なく必要です。
警察庁の統計でも、ランサムウェア被害の63.3%は中小企業です。
むしろ小規模な会社ほど機器の台数が少ないので、この記事の1〜6は半日程度で終わります。

Q. 機器は回線業者やリース会社が入れたもので、うちでは触っていません。それでも自社の責任ですか？

A. はい、社内側の設定は原則として自社の責任範囲です。
回線事業者の管理範囲はONUなど一部にとどまり、その先のルーターや無線APの設定は利用者側の管理になります。
まずは「この機器は誰が管理していて、ファームウェアは誰が更新するのか」を、契約書と保守事業者に確認してください。
IPAの台帳ひな形に「保守事業者に関する情報」の欄があるのは、まさにこのためです。

Q. ファームウェアを更新すると、業務が止まりませんか？

A. 更新中は数分間、通信が止まります。
そのため業務終了後や休業日に実施するのが基本です。
ただし「止まるのが怖いから何年も更新していない」状態のほうが、はるかに危険です。
更新を自動で当てられる製品（Sophos Firewall のゼロタッチ自動パッチなど）を選ぶと、この判断そのものが不要になります。

Q. 管理画面のパスワードが分かりません。どうすればいいですか？

A. パスワードが分からない＝誰も管理していない状態なので、最優先で対応すべき機器です。
まず保守を委託している業者に確認してください。
委託先がない、あるいは業者も分からない場合は、機器を初期化して設定し直すことになります。
この作業は業務が止まるため、事前に設定内容（IPアドレス、VPN設定など）を控えたうえで実施してください。

Q. Wi-Fiは会社名のSSIDにしています。変えたほうがいいですか？

A. IPAの規程サンプルは「SSIDは使用者氏名、会社名などを想起させないものを使う」としています。
会社名が入っていると、攻撃者が「どの会社の電波か」を特定できるためです。
ただしSSIDを変えると全端末で再接続が必要になるので、無線APを入れ替えるタイミングで見直すのが現実的です。

Q. MACアドレスフィルタリングをしていれば、Wi-Fiは安全ですか？

A. それだけでは不十分です。
MACアドレスは電波を傍受すれば分かり、機器側で書き換えることもできるため、単独では接続を防ぐ手段になりません。
暗号化方式（WPA2／WPA3）、推測されにくい暗号化キー、可能であればIEEE 802.1X認証（1人ずつの認証）と組み合わせて、補助的な対策として使ってください。

Q. ゲスト用Wi-Fiを分けると、来客に不便ではありませんか？

A. いいえ、来客側の使い勝手は変わりません。
ゲスト用SSIDに接続すればインターネットには普通に出られ、社内の機器だけが見えなくなります。
多くの法人向け無線APに最初から付いている機能なので、設定を有効にするだけで、費用もかかりません。

Q. VPN装置が危ないと聞きましたが、テレワークをやめるべきですか？

A. やめる必要はありません。
危ないのはテレワークではなく、更新されていないVPN装置です。
対策は3つあります。
①ファームウェアを最新に保つ ②VPNに多要素認証をかける ③そもそもVPN装置を置かないゼロトラスト／SASE方式へ切り替える。
①と②は費用ゼロまたは低コストで着手できます。

Q. ネットワークカメラも同じように対策が必要ですか？

A. はい、同じです。
NOTICEが「悪用されるIoT機器の多くはルーターやネットワークカメラ」と明記しているとおりで、2023年には国土交通省の河川カメラ337台が運用停止・全機器交換に至った事例もあります。
初期パスワードの変更、ファームウェア更新、外部からアクセスできる範囲の制限という対策は、ルーターとまったく同じです。

Q. IT担当者がいなくても運用できますか？

A. できます。
この記事の1〜6は専門知識ではなく確認作業です。
そのうえで、更新の自動化（Sophos Firewall）や台帳の自動化（LANSCOPE）といった製品を使えば、人が毎月やる作業を減らせます。
監視や対応まで外部に任せたい場合は、マネージドサービスという選択肢もあります。

Q. まず何から相談すればよいですか？

A. 「いま社内にどんなネットワーク機器があるか分からない」という状態からで結構です。
当社では、機器の棚卸しと構成図の作成からお手伝いし、そのうえで更新が必要な機器、入れ替えるべき機器、補助金が使える範囲を切り分けてご提案します。

▶ 関連記事：ネットワークカメラ・防犯カメラのセキュリティ対策はどこまで必要？9割が「外から見えるつもりはなかった」という現実

まとめ

社内のネットワーク機器は、誰も見ていないのに、外からは毎日見られている資産です。
1本の回線に年間250万回のノックが届き、国の観測では毎月1万3千台以上の機器が推測できるパスワードのまま見つかっています。

そして、ランサムウェアで入られた中小企業の87%はリモートアクセス機器から入られています。パソコンのウイルス対策をどれだけ固めても、この経路には届きません。

さらに厄介なことに、一度設定を書き換えられると、パスワードを変えてもファームウェアを更新しても元に戻りません。
だからこそ警視庁は「見覚えのない設定変更がなされていないか定期的に確認する」という対策を、あとから付け加えました。

この記事で挙げた10項目のうち、9項目は費用ゼロです。
台帳を作り、構成図を描き、管理画面に入って、初期パスワードを変え、更新を当て、使っていない機能を切り、ゲストWi-Fiを分ける。
どれも新しい機器を買わずにできます。

今日1つだけやるなら、事務所のラックと壁と天井を見て回って、そこにある機器の型番を紙に書き出してください。
費用はかかりません。
そこで「これは何の機器か分からない」「誰が入れたのか分からない」という1台が出てきたら、それが、あなたの会社でいちばん危ない機器です。
その事実を、事故の日ではなく今日知れることに意味があります。

▶ 関連記事：ネットワークセキュリティ徹底比較｜UTM・SASE・ZTNA・SWG・FWaaSの違いとおすすめ製品

▶ 関連記事：UTM（統合脅威管理）とは？法人向けおすすめ製品の比較と費用相場・クラウド型の選び方

▶ 関連記事：法人向けリモートアクセスVPNの選び方｜方式の違い・比較と「脱VPN」ゼロトラスト・SASEへの移行

▶ 関連記事：ファイルサーバー・NASのセキュリティ対策はどこまで必要？

▶ 関連記事：Active Directory（ドメインコントローラ）が乗っ取られると何が起きる？

▶ 関連記事：IPA「情報セキュリティ10大脅威 2026」を中小企業向けに解説