フリーアドレスの導入やノートPC・スマートフォンの業務利用が一般化したことで、オフィスネットワークは有線メインから無線（Wi-Fi）メインへと切り替わりつつあります。

無線LANは、場所を選ばずに接続でき、「業務効率化」や「柔軟なオフィス環境の構築」を実現できるといったメリットがある一方で、電波を利用するという性質上、有線LANに比べて通信の盗聴や不正アクセス、社内ネットワークへの侵入といったセキュリティリスクが高まる側面があります。

そのため、機密情報や個人情報を扱う企業・組織においては、無線LANへの適切なセキュリティ対策が求められます。

そこで本記事では、企業が無線LANを安全に運用するために実施すべき具体的な対策や、陥りがちなセキュリティの誤解までをわかりやすく解説します。

「安全に無線LANを運用・導入するための具体的な対策を知りたい」「自社のWi-Fiセキュリティに不安がある」という担当者の方は、ぜひご一読ください。

無線LANにセキュリティ対策が必要な理由

無線LANは、電波を利用して、PCやスマートフォンなどのデバイスをネットワークに接続する技術です。

LANケーブルを物理的に接続する必要がないため、オフィスのフリーアドレス化やモバイルデバイスの業務利用を推進する企業において、いまや欠かせないインフラとなっています。

なお、「無線LAN」と「Wi-Fi」はほぼ同義として使われますが、厳密には、無線LANが「無線通信技術の総称」であるのに対し、Wi-Fiは「相互接続性が保証された代表的な無線LAN規格」という関係性にあります。

無線LANは高い利便性を持つ一方で、有線LANとは異なり、「電波がオフィスの壁を越えて屋外まで届く」という特徴があります。そのため、適切なセキュリティ対策が講じられていないと、以下のようなリスクに晒されてしまいます。

企業においてこのようなセキュリティインシデントが発生した場合、機密情報や個人情報の漏洩、社会的信用の低下や損害賠償など、事業継続に多大な影響を及ぼす恐れがあります。

そのため企業には、「快適につながる利便性」のみを優先するのではなく、通信の暗号化や強固な利用者認証といったセキュリティ対策を適切に実施することが求められます。

無線LANの暗号技術

無線LANでは、電波でやり取りされる通信データを暗号化することで、悪意ある第三者による通信内容の盗聴や改ざんのリスクを低減しています。

データを暗号化する技術（暗号化アルゴリズム・暗号化プロトコル）には、以下のようなものが挙げられます。

ここでは、それぞれの暗号化方式の特徴と安全性の違いについて解説します。

RC4

RC4（Rivest Cipher 4）は、暗号鍵を使って通信データを暗号化する「共通鍵暗号」の一つです。

処理が比較的単純で高速であることから、初期の無線LANで広く利用されており、WEPやWPA/TKIPなどで通信データを暗号化するために使用されていました。

しかし、その後の研究によってRC4には安全性に関する弱点があることが明らかになりました。

特にWEPでは、RC4の利用方法にも問題があり、通信データを収集・解析することで暗号鍵を特定される危険性があります。

こうした問題から、現在では無線LANの通信を保護する目的でRC4を利用することは推奨されていません。

現在の無線LANでは、RC4に代わり、より安全性の高いAESを利用する方式が広く採用されています。

TKIP

TKIP（Temporal Key Integrity Protocol）は、重大な脆弱性が見つかったWEPの欠点を補い、安全性を高めるために開発された暗号化プロトコルです。

パケットごとに異なる暗号鍵を生成する仕組みや、通信データの改ざんを検知する機能（Michael）などが追加され、WEPに比べて安全性が向上しました。

しかし、TKIPもWEPと同じRC4と呼ばれる暗号アルゴリズムを使用しています。

また、その後TKIPの仕組みにも脆弱性が見つかったことから、現在では十分な安全性を確保できない方式とされ、利用は推奨されていません。

そのため、現在の無線LAN環境においては、AESを採用した強固な方式への移行が標準となっています。

AES

AES（Advanced Encryption Standard）は、現在広く利用されている、非常に安全性の高い共通鍵暗号方式です。

AESでは、暗号鍵の長さ（鍵長）として128ビット、192ビット、256ビットの3種類を使用できます。鍵長が長くなるほど鍵の組み合わせが増えるため、総当たり攻撃による解読は難しくなります。

特にAES-256では、2の256乗という膨大な数の鍵の候補が存在するため、現在の計算能力では総当たり攻撃による現実的な解読は極めて困難とされています。

なお、AES-128についても、十分に高い安全性を持つ暗号方式として、現在広く利用されています。

また、AESでは鍵長によって暗号化処理のラウンド数（データに対して繰り返し変換処理を行う回数）が異なり、AES-128では10ラウンド、AES-192では12ラウンド、AES-256では14ラウンドの変換処理が行われます。

このように、AESでは複数回の変換処理を行うことで、暗号文から元のデータや暗号鍵を解析することを困難にしています。

無線LANのセキュリティ方式

無線LANでは、通信の暗号化や接続時の認証などによってネットワークを保護するため、さまざまなセキュリティ方式が利用されています。

代表的なものとして、登場した順に以下の4つがあります。

これらは、無線LANに求められるセキュリティの向上に伴って、より安全性の高い方式へと発展してきました。

また、それぞれの方式では、前項で説明したRC4、TKIP、AESなどの暗号技術が利用されています。

以下では、それぞれの特徴と安全性の違いについて説明します。

WEP

WEP（Wired Equivalent Privacy）は、初期の無線LANで広く利用されていたセキュリティ方式で、通信データの暗号化には、前述したRC4を使用しています。

しかし、暗号化の仕組みに脆弱性があり、通信データを収集・解析されると、暗号鍵を特定される危険性があります。また、通信データの改ざんに対する安全性も十分でないことがわかっています。

そのため、現在では安全性の低いセキュリティ方式とされており、利用は推奨されていません。

WPA

WPA（Wi-Fi Protected Access）は、WEPの脆弱性を改善するために登場したセキュリティ方式です。

WPAは、前述したTKIPを採用することで暗号鍵の管理方法などを改善し、WEPよりも安全性を向上させました。

しかし、暗号化にはWEPと同じRC4を使用しており、その後、TKIPを含む仕組みに脆弱性が見つかったことから、現在では十分な安全性を確保できない方式とされ、利用は推奨されていません。

WPA2

WPA2（Wi-Fi Protected Access 2）は、WPAをさらに強化したセキュリティ方式です。

強力な暗号技術であるAESを使用するCCMPを採用しており、WPAよりも高い安全性を備えています。

WPA2には、家庭や小規模な環境での利用を想定した「パーソナル」と、企業・組織での利用を想定した「エンタープライズ」の2つのモードがあります。

パーソナルでは、事前に設定した共通のパスワードを使って無線LANに接続します。一方、エンタープライズでは、認証サーバーと連携し、ユーザーや端末ごとに認証を行います。

そのため、エンタープライズでは利用者ごとにアクセスを管理でき、企業・組織での利用に適しています。

ただし、WPA2には「KRACK」と呼ばれる攻撃手法などが報告されているため、対応機器では、より安全性を強化したWPA3の利用が推奨されます。

WPA3

WPA3（Wi-Fi Protected Access 3）は、WPA2の後継として登場した、より安全性の高いセキュリティ方式です。

WPA2のパーソナルでは、通信を傍受して得た情報をもとに、パスワードの候補をオフラインで繰り返し試す攻撃を受ける可能性があります。

一方、WPA3のパーソナルでは、SAE（Simultaneous Authentication of Equals）と呼ばれる新しい認証方式を採用しています。

これにより、通信を傍受した情報だけを使って、パスワードの候補をオフラインで繰り返し試す攻撃への耐性が強化されています。

このように、WPA3はWPA2からセキュリティをさらに強化した方式であり、対応している環境ではWPA3の利用が推奨されます。

無線LANのセキュリティ方式と、そこで利用される主な暗号技術の関係を整理すると、以下のようになります。

無線LANのセキュリティ対策

無線LANは利便性が高い一方で、電波を利用して通信を行う特性上、適切な対策を講じていない場合には、不正アクセスや情報漏洩などのリスクが生じます。

特に企業では、無線LANを経由して社内ネットワークへアクセスできる環境もあるため、十分なセキュリティ対策を実施することが重要です。

ここでは、企業が実施すべき代表的な無線LANのセキュリティ対策について解説します。

高度な暗号化方式を導入する

前述の通り、RC4やTKIPなどの暗号技術には脆弱性が確認されており、現在では十分な安全性を確保することができません。

そのため、無線LANでは、AESを利用するWPA2やWPA3など、安全性の高いセキュリティ方式を利用することが推奨されています。

安全性の高いセキュリティ方式を利用することで、第三者による通信内容の盗聴や不正な解析などのリスクを低減できます。

エンタープライズモードを利用する

企業で無線LANを利用する場合は、共通パスワードを使用するパーソナルではなく、利用者や端末ごとに認証を行うエンタープライズモードの利用が推奨されます。

前述の通り、エンタープライズモードでは、利用者ごとにID・パスワードや証明書などを用いて認証を行うため、誰が無線LANに接続できるのかを管理しやすくなります。

また、退職者や不要になったアカウントのアクセス権を個別に停止できるため、不正アクセスの防止やセキュリティ管理の強化にもつながります。

ゲスト用の無線LANを構築する

来訪者や取引先向けに無線LANを提供する場合は、社内ネットワークと分離したゲスト用Wi-Fiを構築することが推奨されます。

社内利用と同じネットワークを共有してしまうと、ゲスト用端末から社内のシステムや機器へアクセスされる危険性があります。

ゲスト用ネットワークを社内ネットワークから分離することで、外部から内部システムへアクセスされるリスクを低減できます。

また、万が一ゲスト用ネットワークで問題が発生した場合でも、社内ネットワークへの影響を限定しやすくなります。

通信ログを収集する

無線LANへの接続や認証などのログを収集・管理することも、重要なセキュリティ対策のひとつです。

ログを記録しておくことで、不審なアクセスや異常な通信が発生した際に、原因の調査や影響範囲の特定を行いやすくなります。

また、セキュリティインシデントが発生した際には、状況を確認するための記録としても活用できます。

ファイル共有機能を無効化する

PCやデバイスのファイル共有機能を有効にしたまま無線LANへ接続すると、設定によっては、意図せず他の利用者から共有ファイルへアクセスされる危険性があります。

特に公共Wi-Fiや共用ネットワークを利用する場合は、不要なファイル共有機能を無効にし、外部から共有ファイルへアクセスされないようにすることが重要です。

ファームウェアを最新化する

ファームウェアとは、機器を制御するために組み込まれているソフトウェアです。無線LANルーターやアクセスポイントなどのネットワーク機器にも搭載されています。

このファームウェアに脆弱性があると、その脆弱性を悪用され、不正アクセスなどにつながる危険性があります。

そのため、メーカーから提供されるセキュリティ情報やアップデートを定期的に確認し、ファームウェアを適切に更新することが重要です。

初期管理用パスワードを変更する

無線LAN機器に初期設定されている管理用のIDやパスワードは、製品によっては共通のものが使用され、その情報が公開されている場合があります。

初期設定のまま使用すると、第三者に管理画面へ不正にアクセスされる危険性が高まります。

そのため、無線LAN機器の導入時には初期管理用パスワードを変更し、推測されにくい十分に長いパスワードを設定することが重要です。

重要なシステムでは有線LANの利用を検討する

機密性の高い情報を扱うシステムや重要な機器については、必要に応じて無線LANではなく有線LANを利用することも対策のひとつです。

有線LANは、ネットワークへ接続するために原則として物理的な接続が必要になるため、無線LANのように周囲へ届く電波を利用した盗聴や不正接続のリスクを抑えることができます。

ただし、有線LANにも不正接続などのリスクはあるため、適切なアクセス制御やネットワーク管理を行うことが重要です。

従業員への情報セキュリティ教育を実施する

無線LANの安全性を高めるためには、利用する従業員への情報セキュリティ教育も重要です。

具体的には、パスワードの適切な管理方法や、安全性の低いセキュリティ方式を利用するリスク、公共Wi-Fiを利用する際の注意点などを周知します。

また、不審なWi-Fiには接続しないなど、無線LANを安全に利用するための基本的なルールを定め、従業員に理解してもらうことも重要です。

無線LANのセキュリティに関するよくある誤解

無線LANのセキュリティ対策では、「MACアドレスフィルタリングを設定していれば安全」「WPA3などの新しいセキュリティ方式を利用していれば安全」と考えてしまうことがあります。

しかし、これらの対策を行っていても、すべてのセキュリティリスクを防げるわけではありません。

それぞれの仕組みや注意点を理解し、複数の対策を組み合わせることが重要です。

ここでは、無線LANのセキュリティに関する代表的な誤解と、その注意点について解説します。

「MACアドレスフィルタリングを設定していれば安全」という誤解

MACアドレスフィルタリングとは、あらかじめ登録したデバイスのMACアドレスをもとに、無線LANへの接続を許可・制限する仕組みです。

一見すると安全性の高い対策のように見えますが、MACアドレスフィルタリングだけでは十分なセキュリティ対策とはいえません。

MACアドレスは秘密情報ではなく、無線通信を監視することで第三者に知られる可能性があります。また、MACアドレスは偽装することも可能です。

そのため、第三者に正規デバイスのMACアドレスを知られ、そのMACアドレスを偽装して不正接続を試みられる可能性があります。

つまり、MACアドレスフィルタリングは、「接続デバイスの制限」を行うための補助的な仕組みであり、単体で強固なセキュリティを確保できるものではありません。

企業や組織など、高いセキュリティが求められる環境では、MACアドレスフィルタリングだけに頼らず、WPA2-EnterpriseやWPA3-Enterpriseなどを利用した適切な認証を行うことが重要です。

「最新規格を利用していれば安全」という誤解

WPA3は、WPA2よりもセキュリティが強化された無線LANのセキュリティ方式です。

しかし、WPA3を利用していれば、すべてのセキュリティリスクを防げるわけではありません。過去には、WPA3の仕組みに関する脆弱性が報告されたこともあります。

そのため、高いセキュリティを維持するためには、WPA3を利用するだけでなく、無線LANルーターやアクセスポイントのファームウェアを適切に更新し、既知の脆弱性に対応することが重要です。

また、複数のアクセスポイントを運用している場合は、それぞれのセキュリティ設定を適切に管理する必要があります。

例えば、一部のアクセスポイントで古いセキュリティ方式や安全性の低い設定が有効になっていると、その機器がセキュリティ上の弱点となる可能性があります。

そのため、すべてのアクセスポイントの設定を定期的に確認し、安全性の低い設定が残らないよう管理することが重要です。

無線LANセキュリティの強化に「LANSCOPE エンドポイントマネージャー クラウド版」

「LANSCOPE エンドポイントマネージャー クラウド版」は、PC・スマホをクラウドで一元管理できるIT資産管理・MDMツールです。

LANSCOPE エンドポイントマネージャー クラウド版では、管理下にあるPC・スマートフォンのWi-Fi接続を制御し、許可されていないフリーWi-Fiへの接続を制限することが可能です※。

管理者が許可したWi-Fiを利用するよう端末を管理することで、安全性を確認できないWi-Fiへの接続による通信内容の盗聴や情報漏洩などのリスクを低減できます。

その他にも、LANSCOPE エンドポイントマネージャー クラウド版には、企業の情報セキュリティ対策に役立つ、以下のような機能が備わっています。

このように、LANSCOPE エンドポイントマネージャー クラウド版を活用することで、Wi-Fiの接続制御だけでなく、PC・スマートフォンの一元管理や情報漏洩対策など、企業のエンドポイントセキュリティを幅広く強化できます。

製品の詳細は、以下の製品ページまたは資料をご確認ください。

※スマートフォンの場合、フリーWi-Fiへの接続制限を行えるのはAndroidのみです。

【Microsoft 365もまとめて管理！】
LANSCOPE エンドポイントマネージャー クラウド版

エンドポイントマネージャー クラウド版ならPC・スマホ管理に加えて、Microsoft 365の利用状況も見える化できます。

資料をダウンロードする

まとめ

本記事では、無線LANセキュリティの必要性や具体的な対策方法などを解説しました。

無線LANのセキュリティ対策では、一つの対策だけに頼るのではなく、複数の対策を組み合わせることが重要です。

また、従業員への教育だけでなく、端末側で許可されていないWi-Fiへの接続を制限するなど、仕組みによる対策も有効です。

「LANSCOPE エンドポイントマネージャー クラウド版」では、管理下にあるPC・スマートフォンのWi-Fi接続を制御し、許可されていないフリーWi-Fiへの接続を制限することが可能です※。

無線LANを含むエンドポイントのセキュリティ対策を強化したい企業・組織の方は、ぜひ「LANSCOPE エンドポイントマネージャー クラウド版」の利用をご検討ください。

※スマートフォンの場合、フリーWi-Fiへの接続制限を行えるのはAndroidのみです。

【Microsoft 365もまとめて管理！】
LANSCOPE エンドポイントマネージャー クラウド版

エンドポイントマネージャー クラウド版ならPC・スマホ管理に加えて、Microsoft 365の利用状況も見える化できます。

資料をダウンロードする