レッスン5：ネットワークと通信の安全——暗号化と境界

このレッスンで学ぶこと

暗号化の基本（共通鍵・公開鍵）の発想を持つ
TLS／HTTPS の役割と「鍵マーク」が示すものを理解する
VPN の仕組みと、適切な使い方を整理する
公衆 Wi-Fi のリスクと現実的な対処を持つ
ファイアウォールの基本機能を押さえる
境界防御からゼロトラストへの設計思想の転換を概観する

前のレッスンでは、マルウェア・フィッシング・ソーシャルエンジニアリング・BEC など身近な脅威を扱いました。本レッスンは、その脅威から通信を守る技術の基本——暗号化、TLS、VPN、ファイアウォール、ゼロトラスト——を、技術用語に深入りせずに整理します。「仕組みを完全に理解する」のが目的ではなく、「日常で何を意識すべきか」を持ち帰っていただきます。

なぜ通信を暗号化するか

データはネットワーク上を、複数の中継地点を経由して送られます。暗号化しない通信（平文）は、途中の中継地点や同じネットワーク上の第三者が読み取れます。

「平文」の例

喫茶店の Wi-Fi で開いた、暗号化されていない Web サイト
暗号化されていない社内ネットワーク上の通信
古いプロトコル（POP3、SMTP の暗号化なし版、Telnet）

暗号化された通信

HTTPS で開いた Web サイト（鍵マークが表示される）
VPN を経由した通信
メールサーバー間の TLS 接続
末端間暗号化されたメッセンジャー（Signal、WhatsApp、iMessage）

💡 ポイント 「自宅 Wi-Fi だから安全」「社内ネットワークだから安全」と思っていると、内部脅威やマルウェア感染した同一ネットワーク上の機器に通信を盗まれる可能性があります。暗号化は「通信路の信頼ができないと仮定する」前提に立った技術です。

暗号化の基本——共通鍵と公開鍵

暗号化には大きく分けて 2 つの方式があります。

共通鍵暗号方式

暗号化と復号で同じ鍵を使う
鍵を事前に安全に共有する必要がある
高速で大量データに適する
例：AES（現代の標準暗号アルゴリズム）

公開鍵暗号方式

暗号化用の「公開鍵」と復号用の「秘密鍵」のペアを使う
公開鍵は誰でも知ってよい、秘密鍵は厳重に管理
鍵の事前共有が不要
比較的遅い
例：RSA、楕円曲線暗号（ECC）

実際の通信での組み合わせ

実務では、両者を組み合わせる「ハイブリッド方式」が使われます。

最初に公開鍵暗号で「共通鍵」を安全に交換
その後の本文通信は高速な共通鍵暗号で暗号化

HTTPS の通信もこのハイブリッド方式で動いています。

📝 補足 「2026 年現在も RSA で大丈夫か」と問われることがあります。古典的な RSA は理論上、十分長い鍵長（2048 ビット以上）であれば現状安全とされています。一方、量子コンピュータの発展に伴い「耐量子計算機暗号（PQC）」の標準化が進んでおり、2024 年に NIST が初の標準アルゴリズムを発表しました。実運用への移行は段階的に進行中です。

TLS と HTTPS

TLS（Transport Layer Security）は、Web 通信を暗号化する標準プロトコルです。HTTPS は HTTP に TLS を加えたものを指します。

ブラウザの「鍵マーク」の意味

ブラウザのアドレスバーに「鍵マーク（または「セキュア」表示）」が出ているとき、それは次のことを示します。

通信が暗号化されている：途中で読まれない
サーバー証明書が信頼されている：認証局（CA）が「このサイトは××会社のものです」と保証している

「鍵マークがある＝安全なサイト」ではない

これは多くの人が誤解しがちな点です。鍵マークは「通信が暗号化され、証明書が信頼されている」ことだけを示します。サイト自体が安全とは限りません。

フィッシングサイトも HTTPS 化されている時代です
鍵マークは「通信路の安全」を示すだけで、「相手企業の信頼性」は示しません

警告が出たら立ち止まる

ブラウザが「証明書エラー」「接続が安全ではありません」と警告したら、迷わず立ち止まってください。多くの場合、警告は次のいずれかを意味します。

中間者攻撃（MITM）の可能性
サーバーの設定ミス
期限切れ証明書
偽のサイト

「とりあえず警告を無視して進む」のは最悪の選択肢です。社内の情シスや CSIRT に確認するのが安全です。

⚠️ 注意 「いつもの社内システムなので警告が出ても進む」を続けると、本当に攻撃を受けた瞬間に気づけません。警告は「ルーチンに従って無視するもの」ではなく「立ち止まる合図」です。

VPN——「離れた場所を 1 つのネットワークにつなぐ」

VPN（Virtual Private Network）は、インターネット越しに、暗号化された通信トンネルを作る技術です。

VPN の典型用途

テレワーク：自宅から社内ネットワークに安全に接続
拠点間接続：本社と支社のネットワークを 1 つにつなぐ
個人プライバシー：ISP（インターネット接続業者）から通信内容を隠す

仕組みの概要

VPN クライアント（自宅 PC）と VPN サーバー（社内）の間に、暗号化されたトンネルを張ります。トンネルの中を通る通信は、外部から見ても暗号化されていて読めません。

利用上の注意

VPN は万能ではない：トンネルの中だけが暗号化される。VPN サーバー以降の通信は別の暗号化に依存
VPN 装置の脆弱性が増加：2020 年代に入り、VPN 装置の既知脆弱性を狙う攻撃が急増。パッチ適用が必須
無料 VPN への注意：個人利用の「無料 VPN」サービスには、通信を販売したり、マルウェアを仕込んだりする悪質なものがある

ゼロトラスト時代の VPN

近年は、後述するゼロトラスト発想の広がりで、「全社員に VPN を配るのではなく、必要なときに必要な部分だけ接続する」設計に移行する組織が増えています。「VPN ＝古い」ではないが、「VPN がすべて」でもない時代になっています。

💡 ポイント 個人で VPN を使う場合は、評判のあるベンダーの有料サービスを選ぶのが現実的です。広告で「完全無料」を謳うサービスは、何かで収益化している（あなたの通信データを売る、広告を挿入するなど）と疑うのが安全な姿勢です。

公衆 Wi-Fi のリスク

カフェ、空港、ホテル、駅などで提供される公衆 Wi-Fi は便利ですが、リスクがあります。

リスクの種類

同一ネットワーク上の盗聴：暗号化されていない通信を、同じ Wi-Fi 上の他者が読み取れる
偽 Wi-Fi（エビルツイン）：攻撃者が正規っぽい SSID で偽の Wi-Fi を提供
マルウェア配布：「ログインページ」を装い、不正なアプリを配布
DNS 操作：偽 DNS を返してフィッシングサイトに誘導

現実的な対処

HTTPS のみ使う：HTTPS なら通信は暗号化される
重要な業務は VPN 経由で：会社の VPN を使う
テザリング（モバイル回線）を使う：自分のスマホをルーターとして使う方が安全な場面が多い
「自動接続」をオフにする：知らない SSID に勝手につながらない設定にする
公衆 Wi-Fi では機密業務をしない：ネットサーフィン程度に留め、重要な業務はホテルに戻ってから

📝 補足 「すべての公衆 Wi-Fi を避ける」のは現代の業務では非現実的です。「重要度に応じて使い分ける」発想で、メール返信レベルなら HTTPS で大丈夫、契約書のやり取りはテザリングか VPN、というメリハリが現実的です。

ファイアウォール

ファイアウォール（firewall）は、ネットワークの境界に置いて、通信の出入りを制御する仕組みです。

機能

「許可された通信」のみを通す（ホワイトリスト）
「禁止された通信」をブロック（ブラックリスト）
ログを残し、不審な通信を検知

種類

パケットフィルタリング：IP アドレス・ポートで判定
ステートフルインスペクション：通信の文脈（接続状態）も考慮
次世代ファイアウォール（NGFW）：アプリケーション識別・侵入検知・URL フィルタリング統合

端末側のファイアウォール

Windows Defender Firewall、macOS のファイアウォール、Linux の iptables などが、端末側で動作
個人 PC でも有効にしておくのが基本

ファイアウォールだけでは守れない

ファイアウォールは「境界」を守る仕組みです。境界の内側に入った脅威には弱いし、メール添付ファイルや HTTPS で運ばれるマルウェアには無力なケースもあります。エンドポイント保護（PC 上のセキュリティソフト）と組み合わせるのが基本です。

💡 ポイント 「ファイアウォールがあるから安全」「アンチウイルスがあるから安全」のような単発の安心は、長年積み重なった攻撃手法の前ではあまり役立ちません。多層防御（Defense in Depth）——複数の防御層を重ねる発想が、本コースで繰り返し登場します。

境界防御からゼロトラストへ

伝統的なセキュリティ設計は「境界防御」でした。社内ネットワークと社外ネットワークの境界（ファイアウォール）で防御し、社内に入れたものは信頼する、という発想です。

境界防御の前提が崩れた

クラウドサービス（SaaS）の普及で、業務データが社内ネットワークの外にある
テレワークで、社員が社外から働く
BYOD（個人端末の業務利用）で、端末が社内管理外
標的型攻撃で、境界を突破された後の被害が深刻

ゼロトラストの発想

ゼロトラスト（Zero Trust）は、「すべてのアクセスを信頼せず、毎回検証する」設計思想です。

「ネットワークの内側／外側」で区別しない
ユーザー・デバイス・コンテキストを毎回検証
最小権限を徹底
継続的な監視

「ゼロトラスト製品を導入する」だけでは実現しない

ゼロトラストは「特定の製品を入れて完成」ではなく、組織の設計思想の転換です。製品はその一部を支援するに過ぎません。

📝 補足 ゼロトラストの詳しい話は、別のコース（「ゼロトラストセキュリティ入門」など）に譲ります。本コースでは「境界防御の限界と、ゼロトラストという発想転換が起きている」ことを認識すれば十分です。

講師の現場メモ：「VPN 装置の脆弱性 1 件で半月の業務停止」

私（関口）が CSIRT リーダーだった頃、ある関連会社で起きたインシデントです。攻撃者が VPN 装置の既知の脆弱性を悪用して侵入し、内部で 3 週間潜伏した後、ランサムウェアを展開しました。

調査でわかったのは、

VPN 装置のメーカーが脆弱性を公表し、パッチを配布したのは事件の 8 か月前
その会社の IT 担当者は「テレワーク利用中にアップデートで止めるわけにいかない」と判断、パッチを後回しにしていた
攻撃者は公開された脆弱性スキャンツールで、この装置を発見していた
侵入後、内部で Active Directory 管理者権限を奪取、3 週間かけて準備、土曜深夜に一斉暗号化

被害は深刻でした。

業務システム全体が停止、復旧まで 2 週間
関連会社全体での損失は数億円規模
親会社のサプライチェーンにも影響が波及

復旧の支援に入った私が驚いたのは、IT 担当者の罪悪感の深さでした。「自分がパッチを当てていれば」と何度も繰り返していました。確かにパッチ未適用は直接の原因ですが、組織として責められるべきは個人ではなく、仕組みでした。

「テレワークの稼働率を落とすわけにいかない」というプレッシャー
パッチ適用の優先順位を判断する仕組みがない
緊急パッチ適用の臨時シフト体制がない
経営層が「セキュリティ投資 < 業務継続」と判断しがち

私たちはその関連会社で、次のように仕組みを再構築しました。

緊急度別のパッチ適用基準：「CVSS スコア 9 以上＋公開された exploit あり」は 24 時間以内
メンテナンスウィンドウの確保：月 1 回の計画的停止時間を業務側と合意
CISO 直下の専任担当者：パッチ判断を専任で持つ
取締役会への定期報告：パッチ未適用件数を経営指標として可視化

このときに学んだのが、「VPN は便利だが、装置の脆弱性は組織全体を 1 撃で止める力を持つ」ということです。本コースで「VPN は万能ではない」「パッチ適用は最優先」と強調するのは、この 2 週間の業務停止の記憶が背景にあります。

まとめ

このレッスンでは、以下のことを学びました。

暗号化は通信路の信頼ができないと仮定する前提技術
共通鍵暗号と公開鍵暗号を組み合わせるハイブリッド方式が標準
TLS／HTTPS の「鍵マーク」は通信路の安全を示すだけで、サイト自体の安全性ではない
ブラウザの証明書警告は無視せず、立ち止まる
VPN はテレワーク・拠点接続の標準だが、VPN 装置の脆弱性が増加。パッチ適用が必須
公衆 Wi-Fi は HTTPS のみ・VPN・テザリングなどで使い分ける
ファイアウォールは境界の守り。エンドポイント保護と組み合わせる多層防御
境界防御の前提が崩れ、ゼロトラスト（毎回検証する設計思想）への転換が進行中

次のレッスンでは、データ保護と個人情報——個人情報保護法・データ分類・バックアップ・廃棄——という、毎日触れる情報を守るルールを扱います。

確認クイズ

このレッスンの理解度をチェックしましょう。