社内Wi-Fiを安全に使うために、次の5点を確認しましょう。
- 暗号化方式をWPA3またはWPA2にする
- ルーターの管理者パスワードを初期値から変更する
- ファームウェアを最新版へ更新する
- 社員用Wi-Fiとゲスト用Wi-Fiを分ける
- ゲストWi-Fiから社内機器へ接続できないことを確認する
これらの設定ができていれば、この記事は読まなくて大丈夫です。
最初にやることは、社内で使用しているルーターのメーカー名と型番を確認し、管理画面へログインできる人を特定することです。
設定内容が分からない場合でも、いきなりルーターを初期化してはいけません。インターネット接続や電話、VPNなどの設定が消えてしまう可能性があります。
社員用Wi-Fiを来客へ教えてはいけない理由
社員用Wi-Fiへ接続した端末は、設定によっては次のような社内機器と通信できます。
- 社員が使用しているパソコン
- ファイルサーバーやNAS
- 複合機やプリンター
- ネットワークカメラ
- 社内システム用のサーバー
- 会議室のディスプレイや周辺機器
来客に悪意がなくても、その人のスマートフォンやパソコンがマルウェアに感染している可能性はあります。
また、Wi-Fiのパスワードは接続した端末に保存されることがあります。一度でも社員用Wi-Fiを来客へ教えると、誰が接続情報を持っているのか分からなくなるおそれがあります。
そのため、来客へWi-Fiを提供する場合は、社員用とは別のゲスト用ネットワークを用意しましょう。
社員用Wi-Fiを、そのまま来客用として使わないことが大切です
ゲスト用ネットワークとは
ゲスト用ネットワークとは、来客や一時利用者へインターネット接続だけを提供するためのWi-Fiです。
社員用ネットワークとは分離し、ゲスト側から次のような社内機器へ接続できない状態にします。
製品によって、機能の名称が異なるので注意しましょう。
- ゲストネットワーク
- ゲストWi-Fi
- 来訪者用ネットワーク
- ネットワーク分離
- APアイソレーション
- クライアント分離
似た名称でも、実際の機能は製品ごとに異なります。
「ゲスト用」という名前だけで判断せず、公式マニュアルで「ゲスト側から社内LANへの通信を遮断できるか」を確認しましょう。
10分で確認する社内Wi-Fiのセキュリティ設定
設定を変更すると、Wi-Fiが一時的に停止する場合があります。
業務への影響が少ない時間帯に作業し、変更前の設定画面をスクリーンショットで保存しておきましょう。
手順1 ルーターのメーカー名と型番を確認する
ルーター本体の背面や底面にあるラベルを確認します。
次の情報を記録しておきましょう。
- メーカー名
- 型番
- 製造番号
- 設置場所
- 管理会社
- 導入時期
メーカーの公式サイトで型番を検索し、マニュアルやサポート情報を確認できれば完了です。
通信会社やIT業者から借りているレンタル機器の場合は、自分で初期化せず、契約先へ確認してください。
手順2 管理画面へログインする
メーカーの公式マニュアルに従って、ルーターの管理画面を開きます。
ブラウザへ管理画面のアドレスを入力する方法や、メーカー専用アプリを使用する方法などがあります。
管理者情報が分からなくても初期化しない
管理者IDやパスワードが不明な場合でも、すぐに初期化してはいけません。
初期化すると、次の設定が消える可能性があります。
- インターネット接続
- 固定電話
- VPN
- 固定IPアドレス
- 社内システムとの接続
- 他拠点とのネットワーク接続リスト
外部のIT業者が管理している場合は、次のように確認しましょう。
自社で変更してよい設定と、変更してはいけない設定を教えてください。
手順3 管理者パスワードを変更する
ルーターには、通常2種類のパスワードがあります。
- Wi-Fiへ接続するためのパスワード
- ルーターの管理画面へ入るための管理者パスワード
この2つは、別の文字列にしてください。
管理者パスワードが初期値のままになっている場合は、推測されにくいものへ変更します。
次のようなパスワードは避けましょう。
- admin
- password
- 会社名
- 電話番号
- 郵便番号
- 住所
- Wi-Fi接続用と同じパスワード
変更後は、次の情報を社内の管理台帳などへ記録します。
- 変更日
- 担当者
- 対象機器
- パスワードの保管場所
- 次回確認日
パスワードそのものを、誰でも見られるファイルや付箋へ記録するのは避けてください。
手順4 暗号化方式をWPA3またはWPA2にする
管理画面の「無線設定」「Wi-Fi設定」「セキュリティ」などの項目を開き、現在の暗号化方式を確認します。
次の設定になっている場合は、見直しが必要です。
- WEP
- WPA
- 暗号化なし
- Open
対応端末に問題がなければ、WPA3-Personalを利用します。
古いパソコンやプリンターなどがWPA3に対応していない場合は、端末の対応状況を確認したうえで、次の方式を検討してください。
- WPA2/WPA3混在モード
- WPA2-Personal（AES）
暗号化方式の判断目安
| 表示される方式 | 対応の考え方 |
|---|---|
| WPA3-Personal | 対応端末に問題がなければ利用候補 |
| WPA2/WPA3混在 | 古い端末との互換性が必要な場合の候補 |
| WPA2-Personal（AES） | WPA3へ移行できない環境での現実的な候補 |
| WPA | 古い方式のため、機器更新を含めて見直す |
| WEP | 使用を中止し、設定変更または機器更新を検討する |
| 暗号化なし・Open | 社員用Wi-Fiでは使用しない |
古い端末のために安全性の低い方式を使い続けている場合は、その端末やルーター自体の交換も検討しましょう。
手順5 ファームウェアを更新する
ルーターの管理画面で、次のような項目を探します。
- ファームウェア更新
- ソフトウェア更新
- オンライン更新
- 自動更新
現在のバージョンがメーカー提供の最新版と一致しているか確認します。
自動更新機能がある場合は、有効になっているかも確認しましょう。
更新中に電源を切ると、ルーターが正常に動作しなくなる可能性があります。必ずメーカーの公式手順に従ってください。
手順6 ゲスト用ネットワークを有効にする
管理画面で、ゲストネットワークに関する設定を開きます。
社員用とは別のSSIDとパスワードを設定してください。
ゲストWi-Fiの設定例
| 設定項目 | 設定例 |
|---|---|
| 社員用SSID | MIDORI-OFFICE |
| ゲスト用SSID | MIDORI-GUEST |
| 暗号化方式 | WPA3またはWPA2 |
| ゲスト用パスワード | 社員用とは異なる文字列 |
| 社内LANへのアクセス | 許可しない |
| ゲスト端末間の通信 | 必要がなければ許可しない |
| 利用時間 | 設定できる場合は来客対応時間に限定 |
設定画面に次の項目がある場合は、社内側への通信を許可しない設定にします。
- LANへのアクセス
- イントラネットへのアクセス
- 社内ネットワークへのアクセス
- ローカルネットワークへのアクセス
必要がなければ、ゲスト端末同士の通信も無効にしましょう。
手順7 社内機器へ接続できないことをテストする
ゲスト用SSIDを作成しただけでは、設定が正しいか分かりません。
スマートフォンやパソコンをゲストWi-Fiへ接続し、実際に通信をテストします。
確認すること
接続できること
- Webサイトを閲覧できる
- 必要なインターネットサービスを利用できる
接続できないこと
- 社内の共有フォルダ
- NASやファイルサーバー
- 複合機やプリンター
- ルーターの管理画面
- 社内システム
- ネットワークカメラ
設定画面に「分離」と表示されていても、それだけで完了と判断してはいけません。
実際に社内機器へ接続できないことを確認できたら、設定完了です。
社長「ゲスト用というボタンを有効にすれば終わりか？」
担当者「インターネットへつながるだけでなく、社内の機器へつながらないことまで確認します」
「ゲストWi-Fi機能」がない場合
次のような環境では、ゲストネットワーク機能が表示されないことがあります。
- 古いルーターを使用している
- レンタル機器の設定が制限されている
- Wi-Fiとルーターを別々の機器で管理している
- 法人向けの複雑なネットワーク構成になっている
このような場合は、VLANやファイアウォールを使った分離が必要になることがあります。
設定を誤ると、インターネットや社内システムへ接続できなくなる可能性があるため、無理に自社で対応せず、外部のIT業者へ相談してください。
外部IT業者への質問例
次の項目をそのまま質問リストとして使えます。
- 現在の機器にゲストネットワーク機能はありますか
- ゲスト側から社内LANへの通信を遮断できますか
- ゲスト端末同士の通信を遮断できますか
- 暗号化方式はWPA2またはWPA3ですか
- ファームウェアは最新版ですか
- 管理者パスワードは初期値から変更されていますか
- 設定後にNASや複合機へ接続できないことをテストできますか
- 設定内容とテスト結果を資料として残せますか
作業を依頼するときは、「ゲストWi-Fiを作ってください」だけではなく、「ゲスト側から社内機器へ接続できないことまで確認してください」と伝えましょう。
社内Wi-Fiでよくある失敗
社員用とゲスト用でSSIDだけを分けている
Wi-Fiの名前が別でも、内部では同じネットワークにつながっている場合があります。
ゲスト用SSIDを作成した後は、ゲスト側からNAS、複合機、ルーターの管理画面などへ接続できないことを確認してください。
接続用と管理用のパスワードが同じ
Wi-Fi接続用パスワードと、ルーター管理画面用のパスワードを同じにすると、接続用パスワードを知っている人が管理画面へ入れる可能性があります。
2つのパスワードは別の文字列にしましょう。
ゲスト用パスワードを長期間変更していない
ゲスト用パスワードを長く使い続けると、誰が知っているのか分からなくなります。
誰に伝えたか把握できない場合や、外部へ漏れた可能性がある場合は変更してください。
設定後の接続テストをしていない
管理画面に「分離」「アクセス禁止」と表示されていても、設定が正しく反映されているとは限りません。
ゲストWi-Fiへ実際に接続し、社内機器へアクセスできないことをテストしましょう。
サポートが終了した機器を使い続けている
メーカーからファームウェア更新が提供されなくなった機器は、新しい問題が見つかっても修正されない可能性があります。
メーカーのサポート情報を確認し、更新が提供されていない場合は機器の交換を検討してください。
管理情報が分からないため初期化する
管理者パスワードが分からないからといって、すぐに初期化してはいけません。
インターネット接続、電話、VPNなどの設定が消える可能性があります。初期化する前に、契約先や管理会社へ確認しましょう。
よくある質問
ゲストWi-Fiは小さな会社でも必要ですか？
来客へWi-Fi接続を提供する場合は、会社の規模にかかわらず、社員用とゲスト用を分けることをおすすめします。
来客が少ない会社では、必要なときだけゲストWi-Fiを有効にする運用も考えられます。
ゲストWi-Fiを作れば安全ですか？
作るだけでは十分ではありません。
ゲスト側から社内LANへのアクセスを遮断し、NAS、複合機、ルーターの管理画面などへ接続できないことを実際にテストしてください。
ゲスト用パスワードは毎回変更する必要がありますか？
来客のたびに必ず変更しなければならないわけではありません。
ただし、誰が知っているか分からない場合や、外部へ漏れた可能性がある場合は変更しましょう。
利用時間を設定できる製品であれば、来客対応時間だけゲストWi-Fiを有効にする方法もあります。
社員の私物スマートフォンはどちらへ接続しますか？
会社が管理していない私物端末は、原則としてゲスト側へ接続する方が社内ネットワークと分離しやすくなります。
業務上、社員用ネットワークへの接続が必要な場合は、社内ルールを決めたうえで管理してください。
SSIDを非表示にすれば安全になりますか？
SSIDを非表示にするだけでは十分ではありません。
次の対策を優先しましょう。
- WPA3またはWPA2による暗号化
- 推測されにくいパスワードの設定
- ファームウェアの更新
- 社員用とゲスト用ネットワークの分離
- 設定後の接続テスト
外部IT業者へ任せていれば、自社で確認する必要はありませんか？
設定作業を外部へ任せることはできますが、すべてを業者任せにしないことが大切です。
少なくとも、次の情報は自社でも把握しておきましょう。
- 使用しているルーターのメーカー名と型番
- 現在の暗号化方式
- 社員用とゲスト用が分離されているか
- ファームウェアの更新方法
- 管理会社の連絡先
- 障害発生時の緊急連絡先
まとめ
社内Wi-Fiを安全に使用するために、次の5点を確認しましょう。
- 暗号化方式をWPA3またはWPA2にする
- 管理者パスワードを初期値から変更する
- ファームウェアを最新版へ更新する
- 社員用Wi-Fiとゲスト用Wi-Fiを分ける
- ゲスト側から社内機器へ接続できないことをテストする
ゲスト用SSIDを作っただけで、設定を完了させてはいけません。
ゲストWi-Fiへ実際に接続し、インターネットは利用できる一方で、NAS、複合機、共有フォルダ、ルーターの管理画面などへ接続できないことを確認してください。
まずは今日、ルーター本体のラベルを見て、メーカー名と型番を記録しましょう。あわせて、管理画面へログインできる人と、困ったときの連絡先も確認しておくと安心です。
