当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
このページでは、SOHOでもホームネットワークでも使えるように内容を混在させた説明をしています。自身の環境によって不要となる箇所は読み飛ばしてください。
目的
ネットワークを適切に分離して安全性を高めるには、「どのように分ければよいか」がまず分かっていなければならない。
そのため、マルウェア感染や不正アクセスによってネットワーク内の端末が侵害された場合、「何を守るべきか」「何が失われると最も困るか」「どの機器を最優先でネットワークから論理隔離・分離すべきか」をあらかじめ整理・特定する。
実践手順
手順1：守るべき資産のリストアップ
ネットワーク侵害を受けた際、データ消失や業務停止に直結する「最も困る情報資産」を例外なく挙げていく。
- SOHO・小規模ビジネス環境の例： 顧客の個人情報、日々の会計・財務データ、業務管理システム（Excel、Access、FileMaker等のデータベース）、基幹ファイルサーバー（業務NAS）、およびバックアップデータ
- ホームネットワーク環境の例： 過去の重要な写真・動画データ、各種アカウントのマスターキーとなるパスワード管理アプリのデータ、家庭用NAS、およびそのバックアップデータ
手順2：対象資産がある場所を特定する
「現状のネットワーク構成図を書き起こす」で作成したネットワーク構成図を見ながら、リストアップした重要データが具体的にどこの機器、あるいはどの領域に格納されているかを確認・マッピングしていく。
例
- オフィス内の共有NASのHDD内に保存されているのか
- 各社員が使用する業務PCのローカルSSD内に分散しているのか
- 外部のクラウドストレージ（Google DriveやOneDrive、各種SaaS）上にアップロードされているのか
手順3：攻撃者の「初期侵入経路」のシミュレーション
ネットワークの外部、あるいは脆弱な境界線から、どのようなルートで最初の侵害（マルウェアの実行や端末の乗っ取り）が発生し得るかを想定する。
- 来客用に開放しているゲストWi-Fi経由での不正アクセス
- セキュリティ管理の届かない従業員の私物スマートフォン（BYOD）のLAN接続
- パッチ未適用（脆弱性）のVPNルーターや、MFA（多要素認証）が未設定の外部アクセスアカウント
- OSのアップデートが停止しているネットワークカメラやスマート家電などのIoT機器
- フィッシングメールの添付ファイルを実行してしまい、内部で遠隔操作ツール（RAT）に感染したPC
手順4：侵入後の横展開経路を確認する
攻撃者が同一ネットワーク内をどのように移動し、最終的に最重要資産へたどり着くかというシナリオを想像する。
同一LAN内に全ての機器が混在している分離されていない環境では、以下のような初期侵入ポイントを起点として横展開経路（ラテラルムーブメント）が容易に成立してしまうとされる。
- フィッシングメール→PC→NAS
- 来客Wi-Fi→NAS
- 私物スマホ→NAS
- VPN接続→NAS
- IoT機器→NAS
※NASが存在する場合、上記のように攻撃者の最終目的地（重要な資産がある場所）はNASになることが多いが、PCやスマホの端末に侵入されると認証情報の窃取やなりすまし、他者攻撃の踏み台にされることもあり、危険である。
このシミュレーションにより、現在のネットワーク構成にで「どこまで連鎖的に侵入されえるか」を考える。
手順5：資産のセキュリティ優先度分類
すべての機器を平等に守ることはコスト的・運用的に難しいため、資産を以下の3つの優先度に分類する。
最重要
重要データがあり、事業継続や生活に大きな影響を与える資産
- NAS
- 顧客DB
- クラウドストレージ（重要データありの場合）
- バックアップ
重要
初期化などの手間はかかるが再度使えるようになる（データは別）
- PC
- クラウドストレージ（利便性のため共有置き場にしていた場合）
一般
重要データはほとんどない
- プリンター
- テレビ
手順6：ネットワーク分離のやり方を考える
特定した横展開経路を遮断するため、今後のネットワーク設計において分離を検討するリストとして抽出・整理する。
よくある分離パターン例
- インターネット接続のみを許可し、それ以外へは一切通信を通さない「ゲスト端末グループ」
- 業務データへの直接アクセスを禁止する「私物端末（BYOD）グループ」
- インターネットの特定サーバーとの通信のみに限定し、PCやNASへの通信を遮断する「IoT機器グループ」
- 最重要資産として、特定の認証された業務PCからのみアクセスを許可する「NAS・バックアップグループ」
運用・検証ルール
導入に伴うよくある失敗
- 「すべてが最重要」というルールの形骸化： リスクを恐れるあまり、プリンターや利用頻度の低いデバイスまで最重要扱いにしてしまい、通信の制限ポリシーが複雑化し、管理運用負荷が上がり利便性が下がる。他者からの不満をうけ、最終的にすべての制限を解除する運用の形骸化に繋がりやすいとされる。
- 機器の物理的アプローチの見落とし： データ（ファイル）の重要性ばかりに目を奪われ、そのデータが保管されている物理的な筐体（NAS本体など）に、同じネットワークセグメントから誰でもログインを試みられる状態（IoT機器の脆弱性を踏み台にされる等）を見落とす死角が発生しやすい。
- クラウド資産の除外： ローカルの物理機材（NAS等）だけを要塞化し、実際には最も多くの機密データが保存されているGoogle DriveやDropboxなどのクラウドストレージを「社外にあるから」という理由で本Unitの対象外にしてしまうと、アカウントの乗っ取りによる一斉流出リスクに対応できなくなる。
検証確認
作成した被害想定リストおよび構成図をもとに、以下の質問に対して「技術的な根拠（IPアドレスや物理的な配置）」をもって、第三者へ説明できるかを目安に確認する。
- 「最重要資産」と、それが保存されている「具体的な機器」は何か。
- その資産へアクセスすることが「認可されている端末」はどれか。
- 万が一、特定のPCがマルウェアに感染したという警告（EDRのアラート等）が出た際、被害拡大を防ぐために最初に隔離すべき機器はどれか。
成功条件
以下の項目が、台帳や構成図などで具体的なリストとして文書化されている状態をもって、達成とする。
- 最重要データと重要機器が明確に列挙されていること。
- それらの重要資産が格納されている物理的・論理的な場所（NAS、PC、クラウド等）が説明できること。
- ネットワーク外部および内部の脆弱な部分から想定される初期侵入経路が、複数挙げられていること。
- 攻撃者が侵入した際、重要資産へと横展開する具体的な通信のルートが可視化されていること。
- 将来的なVLAN設計において、分離すべき候補となる機器グループ（ゲスト用、IoT用、業務用PCなど）の境界線が見えていること。
- 業務機器と私物端末が同一ネットワークに混在している、来客用ネットワークが存在しないなど、次に改善すべき課題が見えていること。