中小企業がVPN・リモートアクセス設定を定期見直しする際のセキュリティ基準と経営者の判断軸

「テレワーク導入時に設定したVPNが、そのまま3年間手つかずだ」という中小企業は少なくありません。VPNやリモートアクセスの設定は、一度構築すると日常業務に溶け込み、見直しの優先度が後回しになりがちです。しかし、最初は安全だった設定も、利用者の入退社・パスワードの使い回し・ソフトウェアのバージョン放置によって、時間の経過とともに深刻なセキュリティリスクへと変化します。

この記事では、VPN・リモートアクセスの設定を定期的に見直す際の具体的なセキュリティ基準と、経営者が判断する際の軸を解説します。技術担当者に丸投げするのではなく、経営者自身が「何をチェックさせるか」「どの頻度で実施するか」を判断できるようになることを目的としています。

VPN・リモートアクセスの「設定のまま放置」がなぜ危険なのか

リモートアクセス設備は一度導入すると、表面上は毎日問題なく動き続けます。社員は自分のPCから会社ネットワークに接続し、業務を完了させる。この日常が続く限り、誰も見直しの必要性を感じません。

しかし、ここに落とし穴があります。VPNやリモートアクセスの設定は「動く」と「安全」は別物です。以下のような状況が積み重なると、外部からの不正侵入の入口になります。

・退職者のアカウントが残存している：人事異動や退職時にVPNアカウントの削除が漏れると、外部から元社員の認証情報を使って侵入される可能性があります。調査によれば、侵害を受けた組織の約30%で退職者アカウントが悪用されています。
・パスワードが変更されずに流用されている：「VPN用パスワードを社内で共有している」「初期設定のまま運用している」ケースは中小企業に多く見られます。この状態では、一人の端末から認証情報が漏れると全員のアクセスが危険にさらされます。
・ソフトウェアが古いバージョンのまま：VPN製品には毎年数十件の脆弱性が報告されています。パッチを当てないまま運用を続けると、公知の手法で侵入できる状態が継続します。2024年以降、国内の中小企業を標的にしたVPN脆弱性を悪用した攻撃事例が複数報告されています。
・接続元IPアドレスに制限がない：設定時に利便性を優先して「どこからでも接続可能」にした場合、攻撃者が世界中から試行できる状態になっています。
・接続ログが記録・保全されていない：不正アクセスが発生しても、ログがなければ侵入経路も被害範囲も事後に特定できません。調査・報告義務を果たせないリスクも生じます。

経営者が「うちはVPNを使っているから安全だ」と考えているとすれば、それは導入時点での安全性であり、現時点の安全性ではありません。セキュリティは静的な状態ではなく、継続的な管理活動によって維持されるものです。

情報処理推進機構（IPA）が毎年公表する「情報セキュリティ10大脅威」では、2022年以降「ランサムウェアによる被害」が法人向けで1位を続けています。その多くの侵入経路がVPNやリモートデスクトップの脆弱性です。経営者がリモートアクセスの定期見直しを経営課題として位置づけることが、最初の一歩です。

中小企業でランサムウェア被害が発生した場合、システムの復旧費用・業務停止期間中の機会損失・取引先への対応コストを合計すると数百万円から数千万円に達するケースも報告されています。年数回の設定点検にかかるコストと比較すれば、見直しへの投資対効果は明確です。

定期見直しの頻度と実施タイミングの基準

「定期的に見直す」といっても、具体的にいつ・何を見直すのかが不明確では実行できません。以下に頻度と実施タイミングの基準を示します。

1. 四半期ごとの定期点検（最低ライン）

3ヶ月に1回、以下の3項目を最低限確認します。VPN・リモートアクセスの利用者リストを人事情報と照合し、不要なアカウントを削除すること。VPN製品のファームウェアやクライアントソフトのバージョンを確認し、最新の推奨バージョンとの乖離を把握すること。接続ログに不審なアクセス（深夜・海外IP・短時間での大量アクセス試行）がないか目視確認すること。

所要時間は熟練担当者で1～2時間程度です。情シスがいない会社でも、IT業者に依頼すれば月額保守契約の範囲で対応可能なケースが多くあります。四半期点検を「カレンダーに固定されたイベント」として組み込むことで、担当者の記憶に依存しない仕組みを作ることが重要です。

2. イベント発生時の即時対応

以下のイベントが発生したタイミングでは、通常の定期点検を待たず即座に見直しを実施します。

・退職・異動が発生したとき：退職日当日にVPNアカウントを無効化・削除します。1週間後ではなく、退職当日が原則です。人事部門とIT部門（または委託業者）の間に連絡フローを整備しておくことが必要です。
・セキュリティ情報が公表されたとき：使用しているVPN製品に脆弱性情報（CVE）が公表された場合、72時間以内にパッチ適用の可否を確認し、適用できない場合は代替の緩和策を講じます。メーカーのサポート情報やIPAの注意喚起を定期的にチェックする体制が必要です。
・社員のPCが紛失・盗難にあったとき：そのPCに保存されていたVPN認証情報（証明書・パスワード）を即座に無効化します。紛失から無効化まで時間が開くほど、不正アクセスのリスクが高まります。
・不審な接続ログが確認されたとき：調査が完了するまでリモートアクセスを一時的に停止するか、接続元IPを一時的に制限します。「おかしいと思ったが様子見にした」結果として被害が拡大した事例が多く報告されています。

3. 年1回の総点検

年に1回は、設定全体を俯瞰する総点検を実施します。四半期点検では確認しない項目、たとえば接続ポリシー全体の妥当性・認証方式の強度・接続許可端末リストの棚卸しなどを行います。外部のセキュリティ専門業者にペネトレーションテスト（侵入テスト）を依頼することも選択肢の一つです。費用は規模にもよりますが、中小企業向けに15万～50万円程度で提供している業者があります（2026年8月時点）。年1回の総点検を「経営会議の議題」として取り上げることで、経営者自身がセキュリティ管理の状況を把握する機会を作れます。

アクセス制御の見直し4観点と設定比較

VPN・リモートアクセスの設定見直しで最も重要なのが「アクセス制御」です。誰が・どのデバイスから・どのシステムに・どんな条件で接続できるかを正確に把握し、必要最小限に絞ることがセキュリティの核心です。

観点	よくある旧来の設定（危険）	推奨される設定
認証方式	パスワードのみ（共有パスワードも多い）	多要素認証（パスワード＋スマートフォン認証アプリ等）
接続元制限	世界中どこからでも接続可能	国内IPまたは社員が利用する固定IPに制限・海外IPは原則ブロック
アクセス範囲	VPN接続後は社内ネットワーク全体にアクセス可能	職種・役割ごとに必要なサーバー・フォルダのみアクセス許可
セッション管理	一度接続したら無期限（切断操作しない限り接続し続ける）	一定時間無操作で自動切断（30分～1時間を推奨）
端末管理	どの端末でも接続可能（個人のスマートフォンでも）	会社が管理・認証した端末のみ接続許可（端末証明書発行）
ログ保全	ログを取っていない・30日以内に自動削除	接続ログを最低90日、推奨1年以上保存

1. 認証方式の強化

パスワードだけの認証は、フィッシングメール1通で突破されるリスクがあります。多要素認証（MFA）を導入することで、パスワードが漏洩しても、スマートフォンアプリで生成されるワンタイムパスコードがなければ侵入できなくなります。主要なVPN製品は多要素認証に対応しており、追加費用なしで設定できるものも多くあります。初期設定に数時間かかりますが、導入後の運用負担は限定的です。Before：パスワードのみで月に1件の不審ログイン試行を放置 → After：多要素認証導入後は不正ログイン成功ゼロ、というBefore/Afterが現実に多く報告されています。

2. 最小権限の原則

「VPNに接続したら社内の何でも見られる」という設計は、内部不正・端末紛失・アカウント乗っ取りが発生した際の被害を最大化します。代わりに「経理担当者は会計システムだけ」「営業担当者はSFAと共有フォルダだけ」というように、職種・役割ごとにアクセスできる範囲を限定します。この設計変更は、既存のVPN製品の設定変更だけで対応できる場合と、ネットワーク構成の変更が必要な場合があります。まず現状の接続設計を書き出し、IT業者に実現可能性を確認させることが第一歩です。

3. 接続元IPの絞り込み

社員が通常接続するのが「自宅のWi-Fi」「会社のオフィス」に限られるなら、それ以外の接続を原則ブロックする設定が有効です。ただし、出張や外出時に使うモバイル回線はIPが固定されないため、全社員の接続元を固定IPに限定するのは現実的ではないことも多くあります。この場合は「海外IPからの接続をブロック」または「深夜0時～6時の接続を制限」といった部分的な制限でも、リスク低減に一定の効果があります。海外IPブロックだけで、自動化された総当たり攻撃の大半を弾ける場合があります。

4. ログの取得と保全

「誰が・いつ・どこから・どのシステムに接続したか」のログが記録されていないと、不正アクセスが発生しても事後調査ができません。ログは最低90日分、できれば1年分を保全する設定にします。大量のログがディスク容量を圧迫する場合は、外部のログ管理クラウドサービス（月額数千円から）への転送も選択肢です。個人情報保護法上の事故報告や、取引先へのセキュリティ確認への対応にもログ保全は必要になります。

見直し作業を外注するか内製するかの経営判断基準

VPNの設定見直しを「IT業者に依頼するか」「自社で対応するか」は、多くの中小企業で判断に迷うポイントです。以下の3つの軸で判断します。

1. 自社に設定変更の権限と知識を持つ人材がいるか

VPN機器の設定変更には、機器固有の管理画面への操作スキルが必要です。機器のメーカーやモデルによって操作方法は異なり、誤った設定変更は全社員のリモートアクセスを遮断するリスクがあります。「できそうな気がする」レベルで自社対応すると、設定ミスによる業務停止という予期せぬコストが発生します。確実に操作できる担当者がいない場合は外注が適切です。

2. 見直し対象の規模と複雑さ

利用者が5人以下・接続先システムが1～2種類程度のシンプルな構成であれば、マニュアルを整備すれば自社対応の範囲に収まる可能性があります。一方、利用者が20名以上・部門ごとにアクセス制御を設計する必要がある・複数拠点をVPNで接続している場合は、設計から見直しをIT業者に委ねる方が結果的にコストが低くなります。複雑な構成ほど「見落とし」のリスクが高まり、自社対応の限界が早く来ます。

3. 年間コストの比較と費用対効果

外注する場合の一般的な費用感は、月額保守契約で月1万～5万円、スポット依頼（四半期点検のみ）で1回2万～10万円程度です（2026年8月時点）。自社対応の場合は担当者の工数（時給換算3,000円×2時間×4回＝年間2.4万円相当）が主なコストですが、知識習得やトラブル対応の時間は別途発生します。

重要な視点は、「どちらが安いか」よりも「設定ミスや見落としが発生した際の被害コストと比較してどちらが合理的か」という点です。ランサムウェア被害の平均復旧コストは日本の中小企業で数百万円から数千万円に上ることがあります。年間10万円の保守費用との比較で考えれば、外注の費用対効果は明確です。また、IT業者を選ぶ際には「VPN製品の実績があるか」「レスポンス速度（脆弱性公表から72時間以内に対応可能か）」を確認することを推奨します。

よくある質問

Q1. VPNを使っていれば、他のセキュリティ対策は不要ですか？

VPNは通信の暗号化を提供しますが、それ自体は「誰でも使える暗号化トンネル」です。アカウントが盗まれれば、暗号化されたトンネルを使って攻撃者も接続できます。エンドポイントのウイルス対策・多要素認証・ログ監視など、複数の層で守る多層防御の考え方が必要です。VPNはその一部に過ぎません。

Q2. クラウドサービスに移行すればVPNは不要になりますか？

業務システムをすべてクラウドサービスに移行した場合、社内ネットワークへのVPN接続が不要になるケースはあります。ただし、クラウドサービスへのアクセス管理（IDとパスワードの管理・多要素認証・アクセスポリシー）が新たなセキュリティ課題になります。VPNがなくなれば管理対象が消えるのではなく、管理の場所がVPN機器からクラウドの管理コンソールに移るイメージです。

Q3. 多要素認証の導入は中小企業でも現実的ですか？

現実的です。スマートフォンのアプリ（Google AuthenticatorやMicrosoft Authenticator）を使う方式であれば、追加ライセンス費用は不要です。設定作業は初回に数時間かかりますが、社員への導入後の操作負担はごく小さくなります。対応していないVPN機器も存在するため、まず使用している機器のメーカーサイトで対応状況を確認することから始めてください。

Q4. テレワークを廃止すればリモートアクセスのリスクはなくなりますか？

テレワークを廃止してもリモートアクセス設定が残っていれば、リスクは消えません。廃止の際には必ずVPN設定自体を無効化・削除し、アカウントも同時に削除します。「使っていないからいい」ではなく、「使っていないなら削除する」が原則です。不要な機能を残すことはそれ自体が攻撃の入口になります。

Q5. VPN設定の見直しはどこに相談すればよいですか？

まず現在のVPN機器を保守しているIT業者か、機器のメーカーサポートに相談します。業者がいない場合は、IPA（情報処理推進機構）の「中小企業向けセキュリティ支援施策」を参照するか、都道府県の中小企業支援センターが紹介するIT専門家派遣制度を活用する方法もあります。当社でも現状のリモートアクセス設定のヒアリングと見直し優先順位の整理を承っています。

VPN・リモートアクセス定期点検チェックリスト

以下のチェックリストを四半期ごとの定期点検に活用してください。すべての項目が「済」になることが理想ですが、まず「未対応」を可視化することが最初のステップです。担当者が変わっても同じ品質で点検できるよう、このリストを社内手順書に組み込むことを推奨します。

・利用者リスト照合：VPN・リモートアクセスの登録アカウント一覧を人事の在籍情報と照合し、退職・異動者のアカウントが残っていないか確認する
・パスワード確認：デフォルトパスワードまたは3年以上変更していないパスワードが存在しないか確認し、対象者に変更を指示する
・多要素認証の状態確認：全利用者に多要素認証が設定されているか確認し、未設定者がいれば期限を設けて設定させる
・ファームウェア・バージョン確認：VPN機器のファームウェアバージョンを確認し、メーカーが推奨する最新バージョンとの差分を記録する
・接続ログ確認：直近3ヶ月の接続ログを確認し、深夜帯・海外IP・異常な接続回数など不審な記録がないか確認する
・未使用アカウントの削除：90日以上接続実績のないアカウントを洗い出し、業務上不要なものを削除または無効化する
・接続元制限の確認：海外IPからの接続を許可している場合、その必要性を再確認し、不要なら遮断設定を入れる
・端末管理の確認：接続可能な端末に私物が含まれていないか確認し、会社管理外の端末は接続を制限する
・セッション自動切断の設定確認：一定時間無操作でセッションが自動切断される設定になっているか確認する（推奨30分～1時間）
・ログ保全期間の確認：接続ログが最低90日分保存される設定になっているか確認し、容量不足の場合は保存先を増設または外部転送を設定する
・アクセス範囲の妥当性確認：各アカウントのアクセス許可範囲が現在の業務内容と一致しているか確認し、不要な権限を削除する
・インシデント対応フローの確認：不正アクセスを検知した場合の連絡先・手順・責任者が明確になっているか確認する

まとめ

VPN・リモートアクセスの設定見直しは、毎日の業務に影響しないため後回しになりがちですが、経営者が最優先で管理すべきセキュリティ課題の一つです。本記事のポイントを整理します。

・「動いている」と「安全」は別：導入時に安全だった設定も、退職者アカウントの残存・パスワードの固定化・ソフトウェアの放置によってリスクに変わります。現在の設定が最初に構築されたときから一度も見直されていないなら、今すぐ点検のスケジュールを入れることを推奨します。
・四半期ごとの定期点検を最低ラインに：3ヶ月に1回の点検でアカウント照合・バージョン確認・ログ確認の3点を実施します。退職・インシデント発生時はスケジュールを待たず即座に対応します。
・アクセス制御の4観点を組み合わせる：多要素認証・最小権限・接続元制限・ログ保全を組み合わせることで、侵入を防ぐだけでなく、侵入された場合の被害を最小化できます。
・外注と内製は担当者スキルと規模で判断する：スキル不足なら外注が合理的です。年間数万円のIT保守費用を「ランサムウェア被害数百万円」と比較して判断してください。

設定見直しの優先度がわからない・どこから手をつければよいかわからないという場合は、お気軽にご相談ください。現状のリモートアクセス設定のヒアリングから見直しの優先順位づけまで、経営者の視点でサポートします。

VPN・リモートアクセスのセキュリティ見直しについて相談する