ランサムウェア攻撃でVPN機器が主要な侵入経路になっている
テレワークや拠点間の接続を支える仕組みとして、VPN（Virtual Private Network／仮想プライベートネットワーク）は多くの企業に定着しました。インターネット上に暗号化された通信路をつくり、社外の端末から社内ネットワークへ安全に接続できるようにする技術です。
ところが近年は、VPN機器そのものを狙った攻撃が継続的に確認されています。VPN機器は社外から社内へ接続するための出入口であり、インターネットに接続された状態で運用されることが多いため、脆弱性や認証情報を悪用されると社内システムへの侵入経路になり得ます。安全な接続のために導入したVPNであっても、機器やアカウントの管理が不十分であれば重大なリスクを抱える点に注意が必要です。
本記事では、VPNの脆弱性がなぜ生まれるのか、突かれると何が起きるのか、そして限られた人員でも着手できる対策は何かを、公的機関が公表している一次資料をもとに整理します。VPNの基本的な仕組みそのものを先に確認したい場合は、こちらの記事もあわせてご覧ください。
ランサムウェア被害の6割超がVPN機器経由
警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年（令和7年）に報告された企業・団体等のランサムウェア被害は226件で、依然として高い水準が続いています。
注目すべきはその侵入経路です。被害組織へのアンケート結果では、侵入経路はVPN機器が6割以上を占めると報告されています。同資料は、攻撃者が未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定の不備などを悪用して組織のネットワークに侵入していると説明しています。
警察庁の資料からは、未修正の脆弱性や漏えいした認証情報、簡易なパスワード、設定不備など、既知の対策でリスクを下げられる弱点が実際の侵入に悪用されていることがわかります。VPN機器を導入するだけでなく、継続的な更新と認証・設定の見直しまで含めて運用することが重要です。
また同資料では、近年はインターネットに露出した機器などから遠隔で内部に侵入する手口が多くを占め、添付ファイル型のメールを起点とする感染は相対的に少なくなっていると指摘されています。従業員向けの注意喚起に加えて、外部公開機器の脆弱性管理や認証情報の保護を重視する必要性が高まっています。
被害の中心は中小企業で、復旧費用は1,000万円超が過半
同じ警察庁の資料では、被害を受けた組織の規模別内訳も公表されています。前年と同様、中小企業が約6割を占めており、業種別では製造業が約4割で最多、続いて卸売・小売業、サービス業、情報通信業が上位に挙がっています。
ランサムウェアは大企業だけの問題ではありません。警察庁の統計では被害組織の約6割を中小企業が占めており、企業規模にかかわらず、脆弱性や認証・設定上の弱点が残る組織は被害を受ける可能性があります。セキュリティ専任者を置きにくい企業では、機器の更新やアカウント管理を仕組み化しておくことが特に重要です。
被害に遭った場合のコストも軽くありません。同資料に掲載された被害組織向けアンケートでは、調査・復旧に総額1,000万円以上を要した組織の割合が全体の5割を超えました。復旧期間についても、1か月未満で復旧できた組織は5割強にとどまり、被害が長期化する傾向にあると分析されています。
さらに、サイバー攻撃を想定した業務継続計画（BCP）を策定済みの組織は約18％にとどまるという結果も示されています。ランサムウェアによるデータの暗号化は、地震などの物理的な災害とは被害の様相も復旧手順も異なるため、専用の想定を用意しておく必要がある、というのが警察庁の指摘です。
「VPNを入れたから安全」が成り立たなくなった背景
VPN機器が突破されやすくなっている背景には、技術そのものの問題というより、運用構造上の事情があります。主に次の3点です。
・止められないため更新が後回しになる。VPNは業務時間中ずっと使われる設備であり、再起動を伴う更新の時間を確保しにくい構造にあります
・機能が増え、設定が複雑になった。設定項目が多いほど、意図しない公開や許可が残りやすくなります
・インターネットに露出しているため、常に探索されている。攻撃者は公開された機器を自動的にスキャンし、既知の脆弱性が残っていないかを日常的に調べています
この3つが重なると、「脆弱性が公表されてから、自社が修正を終えるまでの時間差」がそのまま攻撃の窓になります。パッチの公開は攻撃者にとっても弱点の告知であり、対応が遅れるほど危険は増していきます。
IPA（情報処理推進機構）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」でも、組織向け脅威の第1位はランサム攻撃による被害でした。2位はサプライチェーンや委託先を狙った攻撃で、この2つは近年順位が変わっていません。侵入口としてのVPNへの備えは、こうした主要脅威への対策と直結しています。
そもそもVPNの脆弱性とは何を指すのか
「VPNの脆弱性」と一口に言っても、暗号化の仕組みそのものが破られているわけではありません。実務上問題になるのは、VPNを実現している機器やソフトウェアの実装上の欠陥と、その運用のしかたに残る弱点です。大きく4種類に分けて理解すると、自社の点検項目に落とし込みやすくなります。
なお、VPNで使われる通信規格ごとの違いや選び方については、次の記事で詳しく整理しています。
ソフトウェア・ファームウェアの欠陥
最も分かりやすいのが、機器のソフトウェアやファームウェアに含まれるプログラム上の不具合です。認証を回避されて本来必要なログインを飛ばされてしまうもの、想定外のデータを送り込まれて機器上で任意のコードを実行されてしまうもの、本来読めない領域の情報を読み取られてしまうものなど、種類はさまざまです。
この種の欠陥は、修正プログラムが公開される前から悪用される「ゼロデイ攻撃」につながることもあります。修正版やパッチが提供されている場合は、影響範囲を確認したうえで速やかに適用することが基本的な対策です。すぐに適用できない場合は、提供元が案内する暫定的な回避策や緩和策も確認します。
認証の弱さ
機器に欠陥がなくても、正規の認証情報を使われてしまえば侵入は成立します。多要素認証が設定されていない、社内の他システムと同じパスワードを使い回している、といった状態は特に危険です。
近年は、端末に感染して保存された認証情報を盗み出す「インフォスティーラー」と呼ばれるマルウェアや、巧妙なフィッシングによってVPNのIDとパスワードが窃取される例が問題になっています。窃取された認証情報は闇市場で取引され、別の攻撃者の手に渡ることもあります。
警察庁の分析でも、VPN機器からの侵入原因として、IDやパスワードが非常に容易であったことや、不要なアカウントが適切に管理されずに存在していたことが挙げられています。実際に、海外拠点の機器を管理できていなかったためにそこから侵入され国内の本社が被害に遭った例や、試験的に作成したアカウントの簡易な認証情報を悪用された例が把握されているとされています。
設定の不備
設定に起因する弱点も少なくありません。代表的なものは次のとおりです。
・管理画面がインターネット側から誰でもアクセスできる状態になっている
・初期パスワードのまま運用している、または既定の管理者アカウントを残している
・業務上不要なポートやサービスを有効にしたままにしている
・接続元のIPアドレスや国による制限をかけていない
・古い暗号方式や古いバージョンの通信規格を許可したままにしている
こうした設定の一部は、自動化されたスキャンなどによって外部から発見される可能性があります。導入時の暫定設定や不要になった許可設定が残ることもあるため、定期的な棚卸しが欠かせません。
サポート終了（EOL）機器の放置
提供元のサポートが終了した機器では、新たな脆弱性が見つかっても修正プログラムが提供されない場合があります。そのため、サポート期限を把握し、終了前に更新や更改の計画を立てることが重要です。
見落とされやすいのは、本番機以外の機器です。故障時に切り替えるための予備機、閉鎖した拠点に残った機器、買収した子会社や海外拠点の機器などは、管理台帳から抜け落ちたまま稼働し続けていることがあります。組織として把握できていない機器は、更新の対象にも監視の対象にもなりません。
2026年に注意喚起が出た主なVPN・リモートアクセス機器の脆弱性
VPNの脆弱性が「たまに起きる出来事」ではないことは、公的機関の注意喚起の頻度からも読み取れます。JPCERT/CC（JPCERTコーディネーションセンター）が公開している2026年の注意喚起一覧から、VPNやリモートアクセスに関わる製品のものを抜き出すと、次のようになります（2026年8月20日時点）。
| 公開日 | 対象製品と内容 |
| 2026年8月15日 | NetScaler ADCおよびNetScaler Gatewayにおけるリモートコード実行につながる脆弱性（CVE-2026-8452） |
| 2026年6月23日 | Fortinet製品に関連する認証情報の漏えい |
| 2026年6月10日 | Check Point Software Technologies社製品における認証バイパスの脆弱性（CVE-2026-50751） |
| 2026年5月22日 | Palo Alto Networks製PAN-OSにおける認証回避の脆弱性（CVE-2026-0265） |
| 2026年4月27日 | Cisco ASAおよびFTDにおける複数の脆弱性（CVE-2025-20333、CVE-2025-20362）※更新 |
| 2026年3月31日 | NetScaler ADCおよびNetScaler Gatewayにおける境界外読み取りの脆弱性（CVE-2026-3055） |
| 2026年3月30日 | F5 BIG-IP Access Policy Managerの脆弱性（CVE-2025-53521） |
出典はJPCERT/CCの注意喚起一覧です。
注意喚起は特定ベンダーだけの問題ではない
この一覧から読み取れる重要な点は、注意喚起の対象が特定のメーカーに偏っていないことです。国内外で広く使われている複数ベンダーの製品について、認証回避、リモートコード実行、境界外読み取り、認証情報の漏えいなど、さまざまなセキュリティ上の問題が公表されています。
したがって、「別のベンダーへ乗り換えれば脆弱性の問題がなくなる」とは限りません。企業ネットワークの出入口に置かれる装置は攻撃者から狙われやすいため、どの製品を使う場合でも、脆弱性の公表を前提に更新・監視できる運用体制を整えておく必要があります。
大切なのは、脆弱性が出ないことを期待するのではなく、出たときにどれだけ速く気づき、どれだけ速く塞げるかという体制側の設計です。
脆弱性情報を自社に当てはめる読み方
注意喚起を目にしたとき、自社に影響があるかどうかを判断するには、次の順に確認すると迷いにくくなります。
・製品名と型番が一致するか。同じシリーズでもモデルによって影響範囲が異なることがあります
・稼働しているバージョンが影響を受ける範囲に含まれるか。管理画面で実際の値を確認します
・該当する機能を有効にしているか。特定の機能を使っている場合のみ影響を受ける脆弱性もあります
・すでに悪用が確認されているか。悪用済みと明記されているものは、対応の優先度が上がります
・修正版が提供されているか、暫定的な回避策があるか。すぐに更新できない場合は、回避策の適用を検討します
この確認を短時間で行うには、前提として自社の機器台帳が整っている必要があります。裏を返せば、台帳が整っていない組織は、注意喚起が出るたびに調査から始めることになり、その分だけ危険な時間が延びます。
VPNの脆弱性を突かれたとき何が起きるか
脆弱性を放置した結果として何が起きるのかを、具体的な流れとして把握しておくと、対策の優先順位を判断しやすくなります。
侵入から暗号化までの典型的な流れ
警察庁の資料に示されたランサムウェア攻撃の代表的な流れを整理すると、次のようになります。
・VPN機器などインターネットに面した箇所から、脆弱性や認証情報を悪用してネットワーク内部へ侵入する
・より広い範囲にアクセスするため、管理者権限の奪取やセキュリティ機能の無効化を試みる
・内部を探索し、重要なデータやバックアップの所在を特定する
・データを外部のクラウドストレージなどへ持ち出す
・ランサムウェアを起動してデータを暗号化する。復旧を妨げるため、バックアップも一緒に暗号化されることが多い
・脅迫文を残して連絡と支払いを要求し、ログや使用した痕跡を消去する
注目したいのは、暗号化が攻撃の最終段階で行われるケースが多いという点です。画面に脅迫文が表示される前に、内部の探索やデータの持ち出しが行われている可能性があります。侵入から暗号化までの兆候を捉えるためにも、ログを取得・保存し、不審な挙動を監視できる状態にしておくことが重要です。
二重恐喝による情報漏えいと事業停止
近年は、データを暗号化するだけでなく、事前に盗み出した情報を「支払わなければ公開する」と脅す二重恐喝も確認されています。暗号化されたデータをバックアップから復旧できたとしても、情報漏えいへの対応は別途必要になる点が、この手口の大きな問題です。
警察庁の資料では、2025年下半期に発生した事案として、飲料メーカー大手がグループ内のネットワーク機器を経由して侵入され、製品の受注・出荷が停止するとともに、顧客や従業員などの個人情報約191万件が漏えいまたはそのおそれがあると公表した例が紹介されています。また、同年10月には通販大手が認証情報を窃取・悪用されて攻撃を受け、受注・出荷に影響が出たほか、約74万件の個人情報に漏えいのおそれがあることが判明したとされています。
いずれも、被害が自社の情報システムにとどまらず、取引先や消費者を巻き込む事業停止に直結した例です。VPNをはじめとする出入口の管理は、情報システム部門だけの課題ではなく、事業継続の問題として扱う必要があります。
自社のVPNが危険な状態か確認する8つのチェックポイント
専門的な診断を受ける前に、社内だけでも確認できる項目があります。ひとつでも「いいえ」があれば、そこが優先的な改善箇所です。
・稼働中のVPN機器をすべて把握できていますか。予備機、旧拠点、子会社や海外拠点の機器を含めた一覧はありますか
・各機器のバージョンを即答できますか。最後に更新した日付は記録されていますか
・提供元のサポート期限を把握していますか。すでに終了している機器はありませんか
・VPNの認証に多要素認証を設定していますか。一部のアカウントだけ例外にしていませんか
・退職者や異動者、外部委託先のアカウントは、利用終了と同時に無効化されていますか
・管理画面はインターネットから直接アクセスできない状態になっていますか。接続元の制限はかけていますか
・VPNの接続ログを取得し、一定期間保存していますか。深夜や国外からの不審なログインに気づける状態ですか
・バックアップは本番環境から切り離した場所に保存され、実際に復元できることを確認していますか
特に確認したいのは、1つ目の「すべての機器を把握できているか」と5つ目の「不要なアカウントが残っていないか」です。警察庁の資料でも、管理が行き届いていない機器や、簡易な認証情報・不要なアカウントが侵入に悪用された事例が示されています。
VPNの脆弱性対策として今すぐ着手すべきこと
対策は網羅的に並べると膨大になりますが、被害の実態から逆算すると、着手すべき順序ははっきりしています。
機器の棚卸しとパッチ適用の体制づくり
最初に行うべきは、外部からアクセスできる機器の洗い出しです。台帳に機種、バージョン、設置場所、管理責任者、サポート期限を記録し、更新のたびに履歴を残せる形にします。
そのうえで、脆弱性情報を受け取る経路を決めます。JPCERT/CCの注意喚起やIPAの脆弱性対策情報、利用製品ベンダーの告知を購読し、誰が確認して誰が判断するかをあらかじめ割り当てておきます。担当者が不在の日に重大な脆弱性が公表されることも想定し、代理の担当者まで決めておくと確実です。
適用の手順としては、重大な脆弱性が公表された際に、必要に応じて業務時間内でも更新できる条件をあらかじめ合意しておくことが有効です。業務影響を理由に更新判断を先送りすると、その間も脆弱な状態が続きます。すでに悪用が確認されている脆弱性では、更新のための一時的なサービス停止を含め、リスクに応じて優先度を高めて対応する必要があります。
認証強化とアカウントの棚卸し
脆弱性の修正と並行して、認証情報を悪用された場合の被害を抑える手当てを進めます。中心になるのは多要素認証の全面適用です。一部の管理者アカウントや外部委託先のアカウントだけが例外になっていると、そこが突破口になります。
あわせて、アカウントの棚卸しを定期的に実施します。退職者、異動者、検証目的で作成したアカウント、共有利用されているアカウントを洗い出し、不要なものは削除します。人事異動の手続きとアカウント停止の手続きを紐づけておくと、対応漏れを構造的に減らせます。
接続元の制限も効果的です。業務上必要のない国からの接続を遮断する、社給端末の証明書がない端末は接続させないといった制御を加えることで、正しいIDとパスワードを持っているだけでは入れない状態をつくれます。
侵入されることを前提とした備え
どれだけ対策しても、侵入の可能性をゼロにはできません。だからこそ、被害を局所化して早く復旧するための備えが必要になります。
・バックアップを本番環境から切り離した場所に保管し、復元手順を実際に試しておく
・VPN機器やサーバーのログを十分な期間保存し、侵害範囲を後から追跡できるようにする
・サイバー攻撃を想定した業務継続計画を用意し、連絡先や判断者、公表の手順を事前に決めておく
・被害を確認した際は、感染した端末をネットワークから切り離したうえで、警察や関係機関へ早期に相談する
警察庁は、被害発生時に慌てて電源を切ると侵入の痕跡が失われ、その後の調査が困難になる可能性があると注意を促しています。初動では被害の拡大防止とログの保全を優先し、体制を整えてから調査と復旧に取り組むことが望ましいとされています。
VPNのリスクへの対処法と回避策
ここまで見てきたリスクへの向き合い方は、大きく2つに分かれます。ひとつはVPNを使い続けたうえで危険度を下げていく「対処法」、もうひとつはそもそもVPNを通さない経路をつくる「回避策」です。どちらか一方に決める必要はなく、通信の用途ごとに使い分けるのが現実的です。
対処法：VPNを使い続けながらリスクを下げる
既存のVPNをすぐに置き換えるのは、コストや既存システムとの兼ね合いから難しい場合があります。そのため、まずは現在のVPNを使いながら、更新・認証・設定・監視を強化してリスクを下げる方法が現実的な選択肢になります。
具体的には、これまで述べた更新体制の整備、多要素認証の適用、アカウントと設定の棚卸し、ログの取得が柱になります。加えて、VPNで社内に入った後の動きを制限することも重要です。接続したユーザーが社内のあらゆるサーバーへ到達できる状態になっていると、ひとつのアカウントが乗っ取られただけで被害が全社に広がります。業務上必要な範囲だけに通信を許可する形へ、社内側の区切りを見直しておきましょう。
また、管理画面をインターネットへ不用意に公開しない、使っていない機能を無効にするといった「露出を減らす」対応も重要です。既存環境の設定見直しで実施できる場合もあり、攻撃対象となる範囲を小さくする効果が期待できます。
回避策：VPNを経由させない通信をつくる
もう一方の考え方が、従来型VPNへの依存を減らし、利用者や端末ごとに必要なシステムへのアクセスだけを許可する構成へ移行する方法です。ZTNA（Zero Trust Network Access）は、社内ネットワーク全体への接続を許可するのではなく、認証・認可された利用者や端末に対して必要な業務システムへのアクセスを個別に制御します。ネットワーク機能とセキュリティ機能をクラウド側で統合して提供するSASEの導入も選択肢の一つです。
こうした方式では、従来型VPNのように社内ネットワーク全体への入口を公開する必要性を減らせる場合があります。外部へ露出する接続点を減らすことで、インターネットから探索される対象や、脆弱性対応が必要な範囲を絞り込みやすくなります。
ただし、移行には時間と費用がかかり、既存の業務システムとの相性を確認する必要もあります。すべてを一度に切り替えようとすると計画が止まりがちなので、まずはクラウドサービスへのアクセスなど切り出しやすい部分から移し、VPNを通す通信を段階的に減らしていく進め方が現実的です。
現場機器や拠点の通信を社内網から切り離す
見落とされがちなのが、人が使う端末以外の通信です。監視カメラ、センサー、デジタルサイネージ、決済端末、遠隔監視装置といった現場の機器を、社内ネットワークに相乗りさせているケースは少なくありません。
こうした機器の通信を社内網に集約すると、管理すべき接続点や通信経路が増えます。また、IoT機器は長期間稼働するものや、機種によって更新方法・サポート期間が異なるものもあるため、PCやスマートフォンとは別の観点でセキュリティ管理が必要です。
対策の一つとして、現場機器には社内ネットワークを経由しない専用の通信回線を割り当て、必要なクラウドサービスだけへ接続させる構成があります。社内網と通信経路を分け、アクセス先も適切に制御することで、侵害が発生した場合の影響範囲を限定しやすくなります。
こうした用途別の回線を用意する手段のひとつが、法人向けのIoT用SIMです。株式会社CoeNova（旧DXHUB株式会社）が提供するIoTBiz SIMは、ドコモ・ソフトバンク・KDDI・楽天の4キャリアに対応し、1回線から契約できます。設置場所ごとに最適な回線を選べるため、拠点ごとに電波状況が異なる現場でも導入しやすい点が特徴です。
・4キャリア対応（ドコモ・ソフトバンク・KDDI・楽天）
・1回線から契約可能・最短翌日発送
・初回取引から売掛け対応（Paid決済）
・テストSIMの貸し出しが可能
料金の目安は、ドコモ回線の通常プランで1GB 450円／月から50GB 6,500円／月まで（いずれも税別）。監視カメラのように上り方向の通信が中心となる用途向けには、上り特化大容量プラン（上り100GB 2,980円／月〜、税別）も用意されています。詳細は公式サイトをご確認ください。
なお、現場に無料の公衆無線LANを利用する運用は、通信内容の盗み見や不正なアクセスポイントへの接続といったリスクを伴います。そのリスクについては次の記事で解説しています。
対処と回避のどちらを選ぶかの判断軸
両者を選ぶ際の判断材料を整理すると、次のようになります。
| 観点 | 対処法（VPNを使い続ける） | 回避策（VPNを経由させない） |
| 初期コスト | 比較的小さい | 設計・移行の費用が必要 |
| 着手までの時間 | 短い。今週からでも開始できる | 数か月単位の計画が必要 |
| 運用負荷 | 脆弱性公表のたびに緊急対応が発生 | 公開する出入口が減り負荷は下がる |
| 向いている状況 | 当面の被害リスクを早く下げたい | 機器更改やクラウド移行の時期が近い |
現実的には、まず既存VPNの対策で足元のリスクを下げ、機器の更改やクラウド移行の時期に合わせて、VPNへの依存を減らす構成を検討するという二段構えが取りやすいでしょう。重要なのは、どちらを選ぶ場合でも「いま自社にいくつの出入口があり、誰が管理しているのか」を把握することです。この前提が欠けると、方式を変えても管理上の死角が残る可能性があります。
現場機器を含めたセキュリティの考え方については、次の記事もあわせて参考にしてください。
VPNの脆弱性に関するよくある質問
Q. VPNを使っていれば通信は安全ではないのですか。
A. VPNは通信経路を暗号化する技術であり、通信内容の盗み見を防ぐ効果はあります。一方で、VPN機器そのものの欠陥や認証情報の窃取には対応できません。暗号化と、機器・アカウントの管理は別の課題として考える必要があります。
Q. 中小企業でも狙われるのでしょうか。
A. 警察庁の統計では、ランサムウェア被害を受けた組織の約6割が中小企業でした。企業規模にかかわらず、インターネットに露出した機器の脆弱性や認証上の弱点が悪用される可能性があるため、規模が小さいことを安全の根拠にはできません。
Q. 修正プログラムをすぐに適用できない場合はどうすればよいですか。
A. まず提供元が案内する暫定的な回避策の有無を確認します。あわせて、接続元の制限を強める、該当機能を一時的に無効にする、接続ログの監視を強化するといった緩和策を組み合わせ、適用までの期間を短縮する計画を立てます。
Q. 多要素認証を入れれば脆弱性対策は不要になりますか。
A. いいえ。多要素認証は認証情報が漏れた場合の被害を抑える手段であり、機器の欠陥そのものを塞ぐものではありません。認証を回避する種類の脆弱性も報告されているため、修正プログラムの適用と併用することが前提です。
Q. 脆弱性情報はどこで確認すればよいですか。
A. JPCERT/CCの注意喚起、IPAの脆弱性対策情報、利用している製品の提供元が公開するセキュリティ情報が基本の情報源です。自社が使っている製品を登録し、通知を受け取れる状態にしておくと確認の漏れを減らせます。
まとめ
VPN機器は、ランサムウェア攻撃における主要な侵入経路となっています。警察庁の資料では、被害組織へのアンケートで侵入経路の6割以上をVPN機器が占め、被害組織の約6割は中小企業、調査・復旧費用が1,000万円以上となった組織は5割超という実態が示されています。
実際の侵入では、未修正の脆弱性、弱い認証、設定不備、サポート終了機器の放置などがリスク要因になります。機器の棚卸しと更新体制の整備、多要素認証の適用、不要アカウントの削除、ログの保存、バックアップと復元手順の確認といった基本対策を継続することが重要です。
そのうえで、VPNを使い続けながらリスクを下げる対処法と、VPNへの依存を減らす構成への移行を、通信の用途に応じて組み合わせて検討しましょう。特に現場機器の通信は、社内ネットワークと経路を分け、アクセス先を適切に制御することで、管理範囲を整理し、侵害時の影響を限定しやすくなります。まずは自社の外部接続点と管理責任者を棚卸しするところから始めることが重要です。
