企業にとってファイアウォールは当たり前となったが、ついにUTMも当たり前となる時代が目の前に来ている。セキュリティ対策の重要性が年々増す一方で、その多様性は情シス担当者が追い付けないレベルで広がりを見せている。

UTMはそういった多様なセキュリティ対策をある程度ひとまとめにしてくれている点で優秀だが、製品は世の中にいくつも存在するため、これまた情シスを惑わせている。どのUTMが自社に合っているのか、頭を悩ませている情シスがここにもひとり―――

UTMとは「Unified Threat Management（統合脅威管理）」の略語で、ファイアウォールやIPS/IDS、アンチウイルス、Webフィルタリングなど複数のセキュリティ機能をひとつに統合した製品だ。

UTMを導入すれば、1台の機器でさまざまなセキュリティ対策が可能となる。

UTMを導入していない企業がまだまだ多いなか、既に「UTMは必要ない」「UTMは古い」という声も上がっている。結論、UTMは必要であるが、「UTMだけでは不十分になりつつある」と言った方が正しいかもしれない。

クラウドサービスの利用増やサイバー攻撃の巧妙化、リモートワークの普及を背景に、ファイアウォールやUTMといった境界型セキュリティよりもゼロトラストセキュリティが注目されるようになった。ゼロトラストセキュリティは境界型セキュリティをある種否定する形で生まれた考え方のため、転じて「UTMは必要ない」「UTMは古い」という言説が広まったのかもしれない。

しかし、オフィスを持つ企業であれば少なからず「社内」「社外」という物理的な境界は存在するため、まだまだUTMは活躍してくれるだろう。一方で、「クラウドサービスの利用が多い」「リモートワーク主体である」「ネットワークが複雑で運用管理が困難である」とった企業はUTMでは不十分な可能性が高いため、ゼロトラストセキュリティにシフトすべきかもしれない。

UTMにはさまざまなメーカーや提供会社が存在する。ここではその一部を紹介する。

いずれもさらに細分化された製品があり、機器や契約ライセンス、プランによって利用できるセキュリティ機能やスペックが異なることを認識しておこう。

UTMについておさらいできたら、次は以下に気を付けて情報収集してみよう。

UTMには推奨ユーザー数が定められている。それを超えると通信が不安定になったり遅くなったりする可能性がある。将来的な拡張性も見据え、製品を選定することが重要だ。

また、管理機能やリモートVPNなど、ユーザー（クライアント）数が制限されているケースもある。機器自体の推奨ユーザー数（快適な通信が行える人数）が1,000名でも、リモートVPNの契約ユーザー数が100名であればリモートワーク主体の企業にとっては実質100名しか利用できない、といったこともあり得るだろう。

製品カタログは細かいところまで要チェックだ。

UTMにはメーカーや提供会社ごとに多様な製品・ライセンス・プランが用意されているが、カタログを見てもどの情報を参考にすれば良いか分からないことが多い。

基本的には「スループット」や「インターフェース」に注目しよう。スループットとは単位時間あたりの処理能力を示しており、これが十分でないと通信遅延が起こり、業務に支障をきたす。インターフェースとは外部との接続部分を指し、接続するインターネット回線やLANケーブルに対して十分でないと通信が制限されてしまう。

特にスループットにおいて注意しなければならないのは、

ということだ。

例えば、ファイアウォール機能の最大スループットが10Gbps、IPS機能の最大スループットが1Gbpsだった場合、そのUTM製品でどちらの機能も使用した際の最大スループットは1Gbpsになってしまう。UTMでファイアウォールのみを使うということは少ないため、カタログ上では低い方のスループットを参考にしたほうが良いだろう。

費用を比較する際、一見安価に見えるUTMには注意が必要だ。UTMはセキュリティ機能によってライセンスやプランが分かれているケースも多いため、求める機能が標準では備わっておらずオプション契約が必要だった、なんてこともあるだろう。

UTM製品を比べるときは、同価格帯だとどういった機能を使えるのか、という見方を頭に入れておこう。

実際、先に挙げた主要なUTM製品群は、費用を考慮しなければセキュリティ機能に大きな差はない。最終的には機能ごとの費用対効果や管理画面の使いやすさなどで判断することになるだろう。

UTMは導入して終わりではなく、しっかりと運用を行っていくことが重要だ。

UTMの運用には広範なセキュリティ知識を要するほか、有事に対応できるリソースも必要になる。そのような人材がいない、あるいは少ない場合は、メーカー・提供会社のサポート体制を確認しておこう。

何かがあった際の通知・問い合わせ方法や、その対応時間・方法はマストでチェックしておきたい。なかには故障時にオンサイトで交換対応を行ってくれるサービスや、設定変更を代行してくれるサービスもある。

UTMはメーカー・提供会社や製品が多岐にわたるため、自社に適したサイジングが非常に重要だ。まずは大企業向けのUTMを紹介しよう。

いわゆるエンタープライズに類する大企業や、10GBASEのネットワークを構築しているような企業には、やはり王道の FortiGate がおすすめだ。なかでも「FortiGate 400F」以上の製品を採用するとなお良いだろう。

FortiGate の製品名には「60F」「400F」「900G」といった具合に、数字＋アルファベットが付いている。数字は処理能力を表し、アルファベットは世代を示している。数字が大きくなればなるほど処理能力は高くなり、アルファベットが進むほど新しい世代ということになる。

いくつかの製品のスペックを見てみよう。

^{※NGFW：ファイアウォール、IPSおよびアプリケーション制御が有効な状態
※脅威保護：ファイアウォール、IPS、アプリケーション制御、およびマルウェアに対する保護が有効な状態}

^{参照：Fortinet}

「FortiGate 400F」以降の製品であれば、すべてのセキュリティ機能をオンにした状態でも9Gbps以上^※のスループットを出すことができるため、申し分ないと言えるだろう。逆に中小企業でも FortiGate を利用したいということであれば、「80F」や「100F」をおすすめする。

^{※カタログスペック}

次に中小企業向けのUTMを紹介しよう。特殊なインターネット利用や大容量通信を行っていない限りは、以下をチェックしてほしい。

中小企業には Meraki MX がおすすめだ。スペックは FortiGate などに比べてやや劣るが、管理機能の利便性が高く、専門的な知識がそこまでなくても導入しやすい。スペックが劣ると言っても、自社に適切な製品を採用できれば問題ないだろう。

Meraki MX は「MX68」「MX250」といった形で数字が振られており、大きいほど処理能力が高くなる。

いくつかの製品のスペックを見てみよう。

^{※アドバンスドセキュリティサービス：IPS/IDP、高度なマルウェア防御（AMP）、セキュアマルウェア分析を有効にした状態}

^{参照：Cisco Systems}

たとえば1Gbpsのインターネット回線を利用している100名程度規模の企業であれば「MX85」、2.5Gbpsの回線を使うようなインターネット通信の多い企業は「MX95」などがおすすめだ。逆に大企業で Meraki MX を使いたい場合は、「MX450」「MX250」といった大きめの型番の製品を採用すると良いだろう。

「USEN GATE 02 ビジネスセキュリティ」も中小企業におすすめのUTMだ。特に「UTMを導入したいが小難しいと感じてる」「UTMの運用者がいない」「必要なセキュリティ機能のみを使いたい」といった企業に適している。

「USEN GATE 02 ビジネスセキュリティ」はフルマネージドのUTMで、一般的な「機器・ライセンス購入＋保守契約」という形式ではなく、サブスクリプション（月額）型のサービスである。セキュリティ機能ごとに月額費用が定められているため、必要な機能だけを契約すればコストを抑えることもできる。あとあとほかの機能も必要になった場合は追加契約することも可能だ。

また、フルマネージドなだけに24時間365日の運用サポート・オンサイト保守に対応していたり、設定代行をしてくれたりと、導入・運用の負荷を最小限に抑えられる。

プランには「VSR n200」「VSR n1000」といった具体にアルファベット＋数字が与えられており、アルファベットは世代、数字は推奨ユーザー数を示している。いくつかのプランを見てみよう。

^{※10G対応機種利用時}

中小企業には「VSR n200」「VSR n400」あたりがおすすめだが、「VSR n1000」「VSR n2000」のように大規模利用に耐えられる機種も用意されている。