最終目的：現実的に運用できる、壊れても戻せる町工場のセキュリティ構成

20人規模町工場向け
セキュリティ設計ガイド

最終更新日：

この文書は、専任情シスがいない製造業を前提に、IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」の考え方へ沿ってまとめた実務向けの設計書です。 高価な製品を並べるのではなく、MFA、VPN更新、VLAN分離、そして「戻せるバックアップ」を中心に考えます。

守る MFA、端末管理、VPN更新で入口を固めます。
広げない 事務、製造、開発、NASをVLANで分けます。
持ち出させない 外向きの通信を絞り、大量の持ち出しに気づけるようにします。
戻せる NASとは別の「まもり蔵」で復旧力を持ちます。
町工場の共有データと復旧用バックアップを分けることを示すコミック風イラスト

1. 全体アーキテクチャ

まず会社の中を「同じ社内LAN」ではなく、役割の違う区画として見ます。事務PC、製造設備、開発PC、デザインMac、NAS、監視カメラ、来客Wi-Fiは、同じ危険度ではありません。 ランサムウェア対策では、入口を守るだけでなく、侵入後に横へ広がらず、外へ持ち出されない構造が重要です。

HTML図解：入口・分離・持ち出し・復旧

入口を守る
  • VPN MFA
  • SaaS MFA
  • 端末更新
→
広がりを止める
  • VLAN分離
  • 共有権限の最小化
  • 開発LANを隔離
→
持ち出させない
  • 外向き通信の制限
  • 通信量の確認
  • 預け先の台帳
→
戻せるようにする
  • まもり蔵
  • 世代管理
  • 復元試験
flowchart TB
  Internet["Internet / SaaS"] --> FW["Firewall / UTM
FortiGate or OPNsense"]
  FW --> VPN["VPN / ZTNA
MFA必須"]
  FW --> Guest["VLAN40 来客Wi-Fi
Internetのみ"]
  FW --> Office["VLAN10 事務系
Windows / SaaS"]
  FW --> Factory["VLAN20 製造設備系
CAD/CAM / 加工機"]
  FW --> Dev["VLAN30 開発系
Linux / macOS / Git / Docker"]
  FW --> Camera["VLAN50 監視カメラ
NVR / Camera"]
  FW --> Server["VLAN60 サーバ/NAS
認証 / NAS / ログ"]
  Server --> NAS["みんな蔵
共有NAS"]
  NAS --> Backup["控え蔵
Linux + restic"]
  Backup --> Offsite["逃がし蔵
外部退避 / クラウド / オフライン"]

ASCII構成図

                         Internet
                            |
                     [Firewall / UTM]
                   FortiGate / OPNsense
                            |
              +-------------+-------------+
              |                           |
          [VPN/ZTNA]                 [Guest Wi-Fi]
       MFA必須 / 端末制御              Internetのみ
              |
   +----------+----------+----------------+----------------+
   |                     |                |                |
[VLAN10 事務]      [VLAN20 製造]   [VLAN30 開発]   [VLAN50 カメラ]
 Windows PC        CAD/CAM/設備     Linux/macOS     NVR/Camera
   |                     |                |                |
   +----------+----------+----------------+----------------+
              |
        [VLAN60 Server/NAS]
        みんな蔵 NAS / 認証 / ログ
              |
        read-only / pull
              |
        [まもり蔵 Backup]
        控え蔵 restic
              |
        offline / cloud / external
              |
        逃がし蔵 外部退避
Win

Windows現場系

現場・事務・CAD/CAMはWindows中心です。Defender、IntuneまたはLANSCOPE、標準ユーザー運用を基本にします。古いCAD端末は更新できない前提で隔離します。

Dev

Linux/macOS開発系

Git、Docker、SSH鍵があるため、便利な管理LANにしてはいけません。開発LANは危険領域として分離し、Secrets管理と構成管理を重視します。

Mac

デザイン系

macOSはMosyleやJamfで管理します。NASのデザイン共有へは必要な権限だけを付け、事務・製造・開発と権限を混ぜないことが重要です。

領域推奨構成考え方
共通認証基盤Microsoft Entra ID / Google Workspace / Okta / KeycloakOS統一よりID統一。退職者対応、MFA、権限管理を一箇所へ寄せます。
VPN/ZTNAFortiClient VPN、WireGuard、Cloudflare Zero Trust等古いVPNは侵入口になりやすいため、MFA必須で更新します。
NASSynology / QNAP / TrueNAS共有基盤です。バックアップではありません。
ログ監視Wazuh、syslog、FortiAnalyzer等最初はFirewall、VPN、NAS、認証、EDRのログに絞ります。
資産管理LANSCOPE、Snipe-IT、GLPI誰の、どの端末が、どこにあるかを台帳化します。

2. VLAN設計

VLANは「社内を小部屋に分ける」仕組みです。感染したPCが出ても、工場全体へ広がらないようにします。 20人規模では、細かすぎる分離より、運用できる6区画から始めるのが現実的です。

VLAN対象役割アクセス制御外向き通信（Internetへ）
VLAN10事務系会計、受発注、メール、SaaS利用NASの事務共有のみ許可。製造設備へ原則不可。業務で使うSaaSとWebを許可。業務で使わないクラウドストレージや転送ツールはUTMで止める。
VLAN20製造設備系CAD/CAM端末、加工機、更新困難なWindowsInternet制限。NASの必要フォルダのみ。開発LANから直接アクセス不可。原則不可。更新やライセンス認証に必要な宛先だけ許可。
VLAN30開発系Linux/macOS、Git、Docker、検証環境NASは開発共有のみ。事務・製造へ原則不可。管理通信は限定。Gitやパッケージの配布元など、開発に必要な宛先を許可。転送ツールは止め、通信量を記録する。
VLAN40来客Wi-Fi来客端末、私物端末Internetのみ。社内LAN完全遮断。許可。社内のデータには届かない前提。
VLAN50監視カメラカメラ、NVRNVR管理端末のみ許可。Internet原則不可。原則不可。
VLAN60サーバ/NASNAS、認証、ログ、バックアップ連携管理者端末と必要通信のみ許可。原則不可。OSやソフトの更新と、逃がし蔵への外部退避の宛先だけ許可。
開発LANは危険領域です。 Docker、SSH鍵、検証用サーバ、Gitの認証情報があるため、侵害された場合の横展開力が高くなります。便利だからといって製造設備やNAS管理画面へ広く通してはいけません。

3. バックアップ設計

ランサムウェア対策の中心は、最後に戻せることです。NASにファイルを置いているだけでは、NASごと暗号化されたときに戻れません。 共有する場所と、復旧する場所を分けるのが基本です。

3コピー

作業データ、バックアップ、外部退避の3つを持ちます。

2種類の媒体

NASだけに寄せず、外部HDDやクラウドも使います。

1つは外部

社内全滅に備えて、別拠点やクラウドへ逃がします。

復元試験

半年ごとに実際に戻します。戻せないものはバックアップではありません。

考え方実装
NASは共有基盤でありバックアップではないNASは「みんな蔵」。作業用の棚として扱います。
共有系と復旧系を分離NASとバックアップサーバは別権限・別ネットワークにします。
pull型バックアップバックアップ側からNASを読みに行きます。NASからバックアップ先へ書かせません。
read-only mountバックアップサーバはNASを読み取り専用でマウントします。
世代管理日次14世代、週次8世代、月次12世代などを保持します。
immutableの考え方削除・改ざんされにくい保存先を用意します。S3 Object Lock等も候補です。
オフライン/クラウド退避USB HDDローテーション、別拠点、S3互換クラウドを使います。
復元試験半年ごとに特定フォルダを別環境へ復元し、開けるか確認します。

4. 「まもり蔵」構成

「まもり蔵」は、町工場の経営者にも説明しやすいバックアップ全体の呼び名です。 専門用語だけでは運用が続かないため、社内で覚えやすい名前を付けます。

名称意味実体経営者向けの説明
まもり蔵全体バックアップシステム設計全体会社のデータを守り、戻すための仕組み全体。
みんな蔵共有NASSynology / QNAP / TrueNAS等皆で使う作業棚。ここだけでは守れません。
控え蔵resticバックアップLinux + restic読み取り専用で写しを取る鍵付き倉庫。
逃がし蔵外部退避USB HDD / クラウド / 別拠点火事や全社感染に備えた別場所の控え。
 
flowchart LR
  Users["社員PC
事務・製造・開発"] --> NAS["みんな蔵
共有NAS"]
  Backup["控え蔵
Linux + restic"] -- "read-only mount / pull" --> NAS
  Backup --> Repo["世代管理リポジトリ
日次・週次・月次"]
  Repo --> Offsite["逃がし蔵
USB / Cloud / 別拠点"]
  Restore["復元試験
半年ごと"] --> Repo
まもり蔵の肝は、NASがバックアップ先へ書けないことです。感染したPCがNASを暗号化しても、控え蔵と逃がし蔵まで同じ権限で壊されないようにします。

restic運用例

# 読み取り専用でマウントしたNASをバックアップ
restic -r /backup/restic-repo backup /mnt/minna-gura

# 世代管理
restic forget --keep-daily 14 --keep-weekly 8 --keep-monthly 12 --prune

# バックアップ健全性確認
restic check

# 復元試験
restic restore latest --target /restore-test

5. 持ち出させない・気づく

警察庁の2026年上半期の集計では、ランサムウェア被害の多くが「二重恐喝」です。データを盗んだうえで暗号化し、払わなければ公開すると脅します。暗号化せず、盗むだけで脅す手口も出ています。 被害企業の約6割は中小企業で、業種別では製造業が約3割です。

まもり蔵があれば、暗号化されたデータは戻せます。ただ、外へ持ち出された図面や顧客情報は、バックアップでは取り戻せません。

HTML図解：攻撃の流れと、どこで止めるか

侵入

VPN機器の脆弱性や、漏えいした認証情報から入ります。

守る
内部探索

管理者権限を奪い、重要なデータとバックアップを探します。

広げない
持ち出し

データをクラウドなどへアップロードします。

持ち出させない
暗号化

ランサムウェアを起動し、ファイルを使えなくします。

戻せる
脅迫

支払いを求め、盗んだデータの公開を予告します。

連絡の手順
まもり蔵で戻せるのは、暗号化されたデータだけです。 持ち出されたデータは、相手の手元に残ります。持ち出しは暗号化より前に起きるので、この段階で止めるか、気づく必要があります。

5-1. 外から届くものの棚卸し

侵入の入口になるのは、インターネットから直接届く機器や画面です。設置を業者さんに任せた機器は、外から開いているかどうかを社内の誰も知らないことがあります。 Firewallのポート転送（NAT）の設定は、外から届くものの一覧そのものです。まずこれを印刷し、1行ずつ「誰が、何のために開けたか」を書き込みます。

対象よくある例確認方法原則
NASの外部アクセス機能出先から図面を見るために、メーカーの中継機能（SynologyのQuickConnect等）やポート開放を有効にしている。NASの管理画面で、外部アクセスと中継サービスの設定を見る。無効にする。出先からはVPN経由で使う。
リモートデスクトップ保守業者や在宅勤務のために、RDPをインターネットへ直接公開している。Firewallのポート転送設定で、3389番などの転送を探す。直接公開しない。VPNまたはZTNAの内側からだけ使う。
生産管理・販売管理のDB営業所や協力会社から使うために、DBやWeb画面を外へ公開している。導入業者に、外部から接続できる経路があるかを書面で確認する。外から使う場合もVPN経由にする。DBのポートは公開しない。
VPN・UTMの管理画面遠隔保守のため、管理画面がインターネット側から開ける。機器の設定で、管理画面を開いているインターフェイスを確認する。社内の管理者端末からだけ開けるようにする。
複合機・NVRなどの機器遠隔監視のため、NVRや複合機の管理画面を外へ公開している。Firewallのポート転送設定と、機器の遠隔サービス設定を見る。公開しない。メーカーの遠隔保守は、使うときだけ有効にする。
保守業者のリモート接続機器やサーバを遠隔で直してもらうために、保守業者用のVPNアカウントやリモート操作ツールを、いつでも使える状態にしている。VPNのアカウント一覧と、PCやサーバに入っているリモート操作ツールを確認する。作業するときだけ有効にする。詳しくは5-3。

5-2. 公開が必要なWebの仕組み

受注、予約、問い合わせのように、公開をやめられない仕組みもあります。 2026年10月には、出張買取の申込を受けるシステムが、データベースへのアクセスに関する脆弱性を突かれました（トレジャー・ファクトリー）。 百貨店の予約サイトを経由して、顧客管理システムに入られた事案もあります（阪急阪神百貨店）。

自社で作っていない仕組みでも、外注先に次のことを確認しておきます。答えがはっきりしない場合は、その仕組みに置く情報を減らします。

外注先に確認することなぜ聞くか答えが出ないとき
脆弱性診断（いつ、誰が実施したか）作った時点では問題がなくても、後から見つかる脆弱性があります。公開前と大きな改修の後に、診断を行うことを契約に入れる。
ソフトの更新（OS、CMS、プラグイン）古いソフトは、公表済みの脆弱性で狙われます。更新の担当と頻度を、保守契約に書く。
管理画面・管理機能をどこから使えるか管理機能が外から使えると、そこから保存しているデータ全体に届きます。社内や決まった接続元からだけ使えるようにする。
ログインしなくても開けるページやAPI画面にボタンがなくても、APIがあれば外から呼ばれます。一覧を出してもらい、使っていないものを止める。
同じ相手からの大量のアクセスを止める仕組み機械的に繰り返しアクセスされると、少しずつ多くのデータを取られます。回数の制限やWAFを入れられるかを相談する。
保存しているデータの範囲と保存期間残っていないデータは、漏れません。古い申込や問い合わせを消す時期を決める。

5-3. 委託先が社内に入る経路

保守・開発の委託先のアカウントは、社内に入るための正規の入口です。IDとパスワードが正しければ、MFAや接続元の制限がない限り、入口では止まりません。

2026年10月20日、NECは、開発・保守の委託先がサイバー攻撃を受け、盗まれた正規アカウントの認証情報で顧客のシステムに不正アクセスされたと公表しました。 サーバ内のファイルが暗号化され、関係者で共有していたクラウドストレージのファイルも漏えいしています。

対象決めること確認方法頻度
委託先のリモート接続アカウント社員と同じくMFAを必須にする。担当者ごとにアカウントを分け、共用しない。VPNやSaaSの管理画面で、委託先のアカウントとMFAの設定を見る。月次
接続元接続できる場所を、委託先の決まった拠点や端末に限る。VPNやFirewallの設定で、接続元の制限を確認する。契約時と半年ごと
有効にする時間普段は無効にしておき、作業の日だけ有効にする。作業の依頼と、アカウントを有効にした記録を照らし合わせる。作業のたび
接続の記録いつ、誰が、どの機器に接続したかを残す。VPNと認証のログで、作業の予定がない日の接続を探す。月次
作業後の後始末作業で使ったパスワードを変える。契約が終わったらアカウントを止める。委託先のアカウント一覧と、契約の一覧を照らし合わせる。作業のたび、契約終了時
委託先と共有しているクラウドストレージ共有するフォルダと期間を決め、終わったら共有を外す。個人情報は置かないか、必要な分だけにする。共有リンクと共有相手の一覧を見る。月次
NECは事案の後、委託先に自社が管理する端末を貸し出しています。同じことができない場合は、接続できる場所とアカウントを絞ります。

5-4. 預け先の台帳

自社のシステムが無事でも、データを預けたクラウドや委託先が破られれば、お詫びと連絡を出すのは自社です。 2026年秋にも、委託先やクラウド事業者が破られ、預けた側の顧客情報が漏れた事案が続きました（3週間に公表された不正アクセスの調査）。

預け先預けている情報渡している認証情報自社側の担当事故時の連絡先自社でのバックアップ・削除の確認
メール・グループウェア社員のメール、取引先とのやり取り、添付の図面管理者のパスワード、連携を許可しているアプリ管理者アカウントを持つ人事業者の管理者向け窓口、障害情報のページメールやファイルを定期的に書き出しているか。
会計・販売管理のクラウド取引先の住所・口座、売上ログインのパスワード、銀行やほかのシステムとの連携経理の担当者事業者のサポート窓口データを定期的に書き出しているか。
図面の転送サービス取引先から預かった図面アカウントのパスワード（有料契約の場合）図面を送る担当者有料契約ならサポート窓口。無料サービスでは連絡先がない場合がある。送信後に削除されるか、保存期間はどれだけか。
Webの問い合わせフォーム問い合わせた人の氏名・連絡先制作サービスのアカウント、通知先や外部サービス連携のAPIキーWebサイトの担当者制作会社、サーバー会社送られた内容がどこに保存されているか。
保守・開発の委託先作業のために渡したデータリモート保守の接続情報、サーバの管理者パスワード契約の担当者委託先の責任者作業後にデータを消したか。接続情報を変えたか。
委託先と共有しているクラウドストレージ委託先や取引先とやり取りする図面・資料共有リンク、共有相手のアカウント共有を設定した担当者ストレージ事業者の窓口、共有相手の責任者終わった共有を外したか。原本を自社でも持っているか。
取引先の図面を無料の転送サービスで送ってよいかは、社内で決めておきます。取引先との秘密保持契約で、送り方が決められている場合もあります。 台帳は月に1回見直します。預け先の事故が報じられた日に、自社が関係あるかをその場で判断できます。 「渡している認証情報」は、預け先が破られたときに差し替える対象です（5-6）。

5-5. 大量持ち出しの見張り方

全部のログを見る必要はありません。持ち出しに気づくために、次の4つに絞ります。

見るログ何を見るか頻度
Firewall／UTM外向き通信量の上位端末。普段より桁違いに多い端末、夜間や休日に大量に送っている端末。日次
Firewall／UTMクラウドストレージや転送ツールへの接続。業務で使っていないサービスへの接続。日次
NAS短時間の大量読み出し。1つのアカウントが共有フォルダを端から読んでいる。週次（通知を設定できるNASは即時）
認証・VPN時間外や海外からのログイン。同じアカウントが短時間に離れた場所からログインしている。日次
見張るだけでなく、出口も絞ります。VLAN60（サーバ/NAS）からInternetへの通信は、更新と逃がし蔵への外部退避に必要な宛先だけにします。 事務・開発のVLANでは、UTMのアプリケーション制御やDNSフィルタで、業務で使わないクラウドストレージや転送ツールを止めます。区画ごとの方針は「2. VLAN設計」の表にまとめています。
預け先の中で起きた漏えいは、自社のログでは気づけないことが多くあります。気づくきっかけは、預け先からの連絡や発表、顧客に届く不審な連絡です。 そのときに使うのが、5-4の台帳と、次の5-6の手順です。

5-6. 預け先が破られたときの後始末

預け先が破られたと発表されたら、預け先の対応を待つだけでなく、自社側でも手を動かします。 2026年10月にWebサイト制作サービスのStudioが不正アクセスを公表したときは、利用者に、APIキーやトークン、Webhook通知のURL、パスワードの差し替えが求められました。

順番やること対象の例根拠にする情報
1台帳で、自社が関係あるかを確認する。発表に出てくるサービス名、ドメイン預け先の発表、5-4の台帳
2渡している認証情報を差し替える。新しいキーを発行して設定を更新し、その後で古いキーを失効させる。先に古いキーを止めると連携が止まり、止め忘れると古いキーが使えるまま残る。APIキー、トークン、Webhook通知のURL、外部サービスとの連携預け先の案内（差し替えの手順が示されることがある）
3預け先と同じパスワードを使っているほかのサービスも変える。社内のアカウント、ほかのSaaS預け先の案内、社内のアカウント一覧
4漏れた情報の範囲を、預け先に確認する。情報の項目、期間、件数預け先の続報。発表の時点から内容が変わることがある
5報告と本人への通知が必要かを判断し、5-7へ進む。問い合わせフォームの送信内容など、個人情報を含むもの預け先が判断してくれるとは限らない。Studioは、要否を利用者自身で判断するよう求めた

5-7. 漏えいしたときの連絡先

漏えいが疑われた日に、誰に何を連絡するかを調べ始めると、期限に追われます。連絡先と文面の雛形を、平時に用意しておきます。

相手伝えること根拠・期限事前に用意するもの
個人情報保護委員会漏えいの概要、対象の人数、原因、再発防止策不正アクセスによる漏えいは、1人分でも、おそれの段階でも報告義務がある。速報は発覚から3〜5日以内、確報は発覚から60日以内（不正の目的によるおそれがある場合）。報告の窓口の場所。社内で報告を判断する人。
本人（顧客・従業員）漏れたおそれのある情報、二次被害への注意、問い合わせ窓口報告の対象になる事態では、状況に応じて速やかに通知する義務がある。通知文の雛形。連絡先一覧の保管場所。
取引先（図面・技術情報）預かった図面や技術情報のうち、漏れたおそれがあるもの秘密保持契約に、通知の期限や方法が書かれている場合がある。取引先ごとの契約の写しと連絡先。
警察被害の状況、攻撃者からの連絡（脅迫文）被害届は最寄りの警察署へ。相談は都道府県警察のサイバー事案の相談窓口へ。管轄の相談窓口の連絡先。
サイバー保険の保険会社（加入時）事故の発生契約で、事故時の連絡や使える調査業者が決められていることがある。証券番号、事故受付の窓口。

6. 推奨OSS/製品

OSSを活用しつつも、20人規模では「安いが運用が重い」構成は避けます。入口・認証・端末管理のように止まると困る部分は、有償製品のほうが総コストが低いことがあります。

カテゴリOSS有償中小企業向け現実解
FirewallOPNsense, pfSense CEFortiGate, SophosFortiGate小型機。保守込みで入口を安定化。
VPN/ZTNAWireGuard, HeadscaleCloudflare Zero Trust, FortiClient既存VPN更新 + MFA。段階的にZTNAへ。
MFAprivacyIDEADuo, Okta, Microsoft Entra IDMicrosoft/Google/DuoのMFAを優先。委託先のアカウントも対象。
ID管理KeycloakEntra ID, Okta, Google WorkspaceSaaS中心ならEntra IDまたはGoogle。
MDMFleet, MunkiIntune, Jamf, MosyleWindowsはIntune、MacはMosyle/Jamf。
EDRWazuh agentDefender for Business, CrowdStrikeDefender for Businessが現実的。
SIEMWazuh, OpenSearchMicrosoft Sentinel, Splunk最初はWazuh。必要時に有償へ。
ログ監視Wazuh, syslog-ngFortiAnalyzerFirewall/VPN/NAS/認証ログから開始。
バックアップrestic, Borg, KopiaAcronis, VeeamLinux + restic + 外部退避。
Secrets管理Vault, SOPS1Password, Bitwarden Enterpriseまず1Password/Bitwarden。Vaultは必要時。
NASTrueNASSynology, QNAPSynology + 別バックアップ。
VLAN/Wi-FiOpenWrtUniFi, Aruba, FortinetUniFiまたはFortiGate連携。
コンテナセキュリティTrivy, GrypeSnyk, AquaTrivyをCIと定期実行。
資産管理Snipe-IT, GLPILANSCOPE, SKYSEALANSCOPEまたはSnipe-IT。
外向き通信の制御OPNsense, Pi-hole（DNSフィルタ）FortiGate（アプリケーション制御・Webフィルタ）, Cisco Umbrella入れたFirewall/UTMの機能から使う。
外部公開の棚卸しNmap外部の脆弱性診断サービスポート転送設定の一覧から始め、年1回は外から確認。

7. 優先順位

いきなり全部はできません。予算と人手が限られる場合は、被害額を大きく下げるものから順番に入れます。

項目優先度理由最初の一手
MFASVPN/SaaS/Git侵害の入口を大きく減らします。管理者、VPN、SaaS、Git、委託先のアカウントから強制。
VPN更新S古いVPNは侵入口になりやすいです。機器更新、MFA、管理画面の外部公開停止。
外部公開の棚卸しSNAS、RDP、管理画面の外部公開は、侵入と持ち出しの両方の入口です。ポート転送設定を印刷し、1行ずつ用途を確認。
BackupSランサム被害時の事業継続の最後の砦です。まもり蔵構成で復元試験まで行う。
VLAN分離A侵害後の横展開を止めます。来客Wi-Fi、製造、NASから分離。
外向き通信の制限Aデータの持ち出しを止める、または気づけるようにします。VLAN60からInternetへの通信を原則不可に。
委託先のリモート接続管理A委託先が攻撃されると、その正規アカウントで社内に入られます。委託先ごとのアカウントを洗い出し、普段は無効にする。
EDRA端末侵害の検知と封じ込めを行います。Defender for Businessから開始。
資産管理B古い端末・野良端末を減らす基礎です。端末台帳を作り、月次更新。
預け先台帳B預け先の事故が報じられた日に、自社が関係あるかを判断できます。使っているSaaSと委託先を書き出す。
ログ監視B異常の早期発見に必要です。Firewall、VPN、NAS、認証ログを集約。
SIEMC20人規模では高価なSIEMを最初に入れる必要は薄いです。Wazuhなどで最小開始。

8. ありがちな事故

事故は特殊な会社だけで起きるものではありません。小さな設定ミス、古い機器、誰でも書ける共有フォルダから始まります。

古いVPN侵害

古いVPN装置の脆弱性や漏えいした認証情報から侵入されます。VPNは便利な玄関なので、MFAなしのまま放置しないことが重要です。

NAS暗号化

感染PCがSMB共有へ書き込み、共有フォルダ全体を暗号化します。NASスナップショットと、別系統バックアップの両方が必要です。

開発LANからの横展開

SSH鍵、Docker、検証サーバ、Git認証情報が足場になります。開発LANは強い権限を持ちやすいため、分離と鍵管理が必須です。

SMB共有事故

Everyoneフル権限の共有が残り、退職者や不要な端末から重要ファイルへアクセスできる状態になります。月次で権限棚卸しを行います。

古いCAD端末

更新できないWindowsや古いCAD/CAM端末が感染入口になります。Internetを制限し、製造VLANへ隔離します。

バックアップ未検証

バックアップしているつもりでも、復元できない、途中までしかない、権限が戻らないことがあります。半年ごとの復元試験が必要です。

NASの外部公開から侵入

出先から図面を見るためにNASの外部アクセス機能を有効にし、そのまま忘れられています。NASの脆弱性や推測しやすいパスワードを突かれると、共有フォルダの中身を持ち出されます。

委託先・SaaSからの漏えい

自社のシステムは無事でも、データを預けたクラウドや委託先が破られ、顧客や取引先の情報が漏れます。お詫びと連絡を出すのは、預けた側です。

委託先のアカウントから侵入

保守や開発の委託先が攻撃され、盗まれた正規アカウントで社内に入られます。正しいIDとパスワードなので、MFAや接続元の制限がなければ入口では止まりません。

9. 運用サイクル

セキュリティは買って終わりではありません。20人規模では、毎日長時間見る運用ではなく、短い確認を定例化するほうが続きます。

頻度作業担当の考え方
日次バックアップ成功確認、EDR重大アラート確認、VPN失敗ログ確認、外向き通信量の上位端末の確認5〜10分で確認。異常だけ記録。
週次Windows Update状況、NAS容量、バックアップ世代、不要アカウント確認現場責任者と兼任管理者で確認。
月次資産台帳更新、共有権限棚卸し、Firewall/VPN更新確認、Trivyスキャン、預け先台帳と外部公開（ポート転送設定）の見直し、委託先アカウントの棚卸し外部保守会社と一緒に見ると属人化しにくいです。
半年ごと復元試験、VPN/管理者権限レビュー、非常時連絡訓練、古い端末の隔離確認、公開しているWebの更新・診断状況の確認経営者も結果を確認します。

10. 技術スタックの方向性

Windows現場 Defender / Intune / LANSCOPE / FortiGate

現場の安定性を優先します。標準ユーザー運用、更新管理、古い端末の隔離が要点です。

Mac Mosyle / Jamf / Okta / Duo

デザイナ用MacはMDMで最低限の設定と紛失対策を入れ、SaaS認証はMFA必須にします。

Linux OSS Ansible / Keycloak / Wazuh / restic / Vault / WireGuard / Trivy

OSSは強力ですが、設定が散らばると危険です。構成管理品質がセキュリティ品質になります。

11. 重要方針

高価なSIEMよりMFAとバックアップ

最初に買うべきものは、ログ分析基盤よりも入口を閉じるMFAと、戻れるバックアップです。

NASはバックアップではない

NASは皆で使う棚です。棚が壊れたときに戻すための別倉庫が必要です。

OS統一よりID統一

Windows、macOS、Linuxが混在していても、認証と権限を統一すれば管理できます。

VLAN分離が重要

侵入をゼロにできなくても、広がりを止めれば被害は小さくできます。

開発LANは危険領域

SSH鍵、Docker、Gitがあるため、社内で最も横展開力を持つ区画の一つです。

Backupは戻せることが本質

保存成功だけでは不十分です。復元試験までやって初めてバックアップです。

ランサム対策では分離が最重要

共有、復旧、外部退避を同じ権限で触れるようにしてはいけません。

Linux OSS環境は構成管理が命

Ansibleなどで設定を再現可能にし、個人の手作業に依存しない状態を作ります。

バックアップでは漏えいは戻らない

まもり蔵で戻せるのは、暗号化されたデータです。持ち出された図面や顧客情報は戻りません。外向き通信の制限と見張りで防ぎます。

12. 導入ロードマップ

最初から理想構成を完成させるより、3か月単位で事故に強くしていくほうが現実的です。

時期やること成果
1か月目MFA強制、VPN棚卸し、外部公開の棚卸し、委託先アカウントのMFAと棚卸し、共有権限確認、資産台帳と預け先台帳の初版作成入口と権限の大穴を塞ぐ。
2〜3か月目まもり蔵構築、バックアップ世代管理、復元試験、来客Wi-Fi分離、預け先が破られたときの後始末の手順と台帳の認証情報の記入壊れても戻せる最低ラインを作る。
4〜6か月目VLAN本格分離、外向き通信の制限、公開Webの外注先への確認、EDR導入、ログ集約、古いCAD端末の隔離侵入後に広がりにくく、持ち出しにくい構成へ。
7か月目以降Wazuh/監視改善、Secrets管理、Trivy、Ansible整備開発環境とOSS運用の品質を上げる。

参考資料