当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
目的
現在のネットワーク構成を1枚の構成図として可視化し、ネットワーク内のデバイスや機器を完全に把握できる状態にすることが第一の目的である。
ネットワーク障害の発生時やセキュリティインシデントへの対応時に、「何が接続され、どこを経由して通信し、どの機器が重要なのか」が不明瞭な状態では、迅速な原因究明や被害の拡大防止もおぼつかない。
また、第二の目的として、ここで作成する構成図を、今後のVLAN設計、VPN設計、NASの導入、Wi-Fiネットワークの分離、および適切なバックアップラインの設計を進める上での重要な前提資料とするというものもある。
可視化する対象物の例
- 共有機器
- 個別デバイス
- 通信経路
- インターネット接続経路
- Wi-Fiの利用状況
- 管理対象機器
実践手順
事前準備（機器および接続デバイスのリストアップ）
ネットワークを構成する機器と、そこにぶら下がるデバイスを漏れなく洗い出す。ただし現時点で詳細な型番やMACアドレスなどの細かな情報は後回しで構わない。
- ネットワークインフラ機器： ルーター、ONU（回線終端装置）、Wi-Fiアクセスポイント、スイッチングハブ
- 接続デバイス（エンドポイント）： 業務PC、NAS（ファイルサーバー）、プリンター、スマートフォン、タブレット、IP電話、ネットワークカメラ、その他スマート家電などのIoT機器
手順1：接続機器の簡易洗い出し（資産台帳のベース作成）
最低限、ネットワークに存在する機器とその主な用途を以下のフォーマットでリスト化する。
- ルーター： インターネット接続・ルーティング
- NAS： 業務ファイルの保存・共有
- PC： 社員の日常業務利用
手順2：物理・論理トポロジー（接続関係）の描画
機器同士がどのように物理的、または無線で接続されているかを視覚的に描画する。初期段階では専用の作図ソフトを使用せず、手書きのメモやテキストによるツリー表現でも実務上の効果は十分である。
描画例：
この段階では正確さよりも全体像の把握を優先する。まずは主要な機器と接続関係を書き出し、細かな設定情報は後から追記すればよい。
手順3：通信経路およびトラフィックフローの追記
単に線で結ぶだけでなく、実務で発生する「特定のデータフローや通信経路」を矢印等を用いて図中に書き加える。
- 業務PCから社内NASへのファイルアクセス経路
- 各スマートフォンから外部のクラウドサービス（Google DriveやMicrosoft 365など）へ直接抜けていく通信経路
- 外出先のモバイルPCからVPN終端装置（ルーター等）を経由して社内ネットワークへ潜り込むリモートアクセス経路
手順4：機器のセキュリティ属性による分類
洗い出したデバイスを、それぞれの性質やセキュリティリスクに応じて以下のグループに識別・分類する。この分類結果は、将来的なVLAN設計、ゲストWi-Fi設計、アクセス制御設計などの参考資料となる。
- 業務機器グループ： 業務PC、サーバー、共有NASなど、最重要データを扱う端末
- 個人利用機器グループ： 従業員の私物スマートフォンやタブレット（BYOD）
- 来客・ゲスト利用機器グループ： 一時的にインターネット接続のみを許可するゲストWi-Fi利用端末
- IoT機器グループ： 監視カメラ、スマート家電など、OSのアップデートが困難で脆弱性の温床となりやすい端末
手順5：管理責任（境界線）の明確化
作成した図面上で、自組織のIT担当者がパッチ適用や設定変更の権限を持つ「管理対象機器（ルーター、NAS、支給PCなど）」と、外部ベンダーやユーザーが所有しコントロールが及ばない「管理対象外機器（来客端末、保守業者の専用端末、顧客の持ち込みPCなど）」を色分け等によって明確に区別する。
運用・検証ルール
導入に伴うデメリットと運用の障壁
- 急速な形骸化リスク： ネットワーク構成図は、作成した瞬間から現実のネットワークとのずれが起こり、陳腐化が始まると言われる。新しいPCの導入、プリンターの買い替え、ゲストWi-Fiへの一時的な端末接続などが発生した際、図面の修正ルールが形骸化していると、インシデント発生時に古い図面を信じて誤った対処（間違ったハブのLANケーブルを抜く等）を引き起こす原因になる。
- 物理的な隠れ端末や機器（シャドーIT）の存在： 社員が勝手にオフィスへ持ち込んだ私物スマホ、私物ノートPC、アクセスポイントやスイッチングハブ、IoT機器などは、目視チェックや専用のスキャンツール（Pingスキャンなど）を定期的に実行しない限り、構成図の死角として残り続ける。
検証確認
作成した構成図とオフィス内の物理的な配線、および各端末のIPアドレス設定が一致しているか、代表的な重要機器（NASやルーター）に対して各PCから通信テストコマンドを実行したりネットワーク機器の管理画面で接続デバイスをチェックしたりし、図通りの経路でパケットが到達しているかを確認する。
- Ping
- IP確認
- DHCP一覧
- ルーター管理画面
成功条件
以下の要素が、専門家ではない人間でも客観的に判別できる状態をもって達成とする。
- ネットワークに「何が」物理的・論理的に接続されているか。
- 重要データや外部への通信が「どこの機器」を経由して流れているか。
- 侵害を受けた際、最優先で防衛・隔離すべき「重要機器（NAS等）」はどれか。
- インターネットへの出入口、および社外からのリモートアクセス（VPN等）の接続ポイントがどこに存在しているか。
- 業務機器と私物デバイスが同一ネットワーク内にいる、来客Wi-Fiが無いなど、次の改善対象がわかる