会社のセキュリティ教科書 第4部 4-3
無線LANのセキュリティ｜WPA2・WPA3と社内Wi-Fiの分け方
公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太
こんなときに役立ちます
- 社内Wi-Fiの設定を見直すとき／来客用Wi-Fiを用意するとき
- Wi-Fiルーターを買い替えるときに、何を選べばよいか知りたいとき
- 取引先のチェックシートで、無線LANの設問に答えるとき
読み終えたあと、社内でこう言えます
「社内Wi-Fiと来客用を分け、暗号化方式も確認済みです」
結論：社内Wi-Fiは、暗号化方式をWPA2かWPA3にすることが出発点です。WEPは解読法が知られているため使いません。来客用Wi-Fiは業務用のネットワークと分け、利用者どうしの通信を遮断します。あわせて、管理画面のパスワード変更、ファームウェアの更新、サポート期限の確認を行います。総務省の手引き（2025年2月版）も同じ考え方です。
無線LANで起きること
無線LAN（Wi-Fi）は電波で通信するため、壁の外や隣の部屋にも届きます。ケーブルを差さなくても、電波が届く範囲なら誰でも近づけます。設定が甘いと、次のようなことが起きます。
| 起きること | 中身 |
|---|
| 盗み見 | 暗号化が弱いと、通信の中身を読み取られる。 |
| ただ乗り | 部外者が勝手につなぎ、犯罪の書き込みなどに悪用される。記録上は御社の回線から出たことになる。 |
| 社内への侵入 | つないだ機器から、社内のファイルサーバーや複合機に届いてしまう。 |
| 偽のアクセスポイント | 本物そっくりの名前（SSID）の電波を出し、社員をつながせる。 |
| 機器そのものの乗っ取り | 初期パスワードのままの管理画面や、古いファームウェアの弱点を突かれる。 |
IPAの「5分でできる！情報セキュリティ自社診断」にも、無線LANの暗号化方式を適切に設定しているかを問う項目があります。小さな会社でも、最初に確かめたい対策の1つです。
WEP・WPA2・WPA3の違い
Wi-Fiの暗号化方式には世代があります。ルーターの設定画面で「セキュリティ」や「暗号化」の欄に表示されます。
| 方式 | 今の扱い |
|---|
| WEP | 解読法が知られている。使わない。 |
| WPA（初代） | WEPの弱点を補った方式。一部に脆弱性があり、今は選ばない。 |
| WPA2 | 今も広く使われる基準。最低限ここ以上にする。 |
| WPA3 | 2018年6月に登場した新しい方式。対応機器なら有効にする。 |
WPA3は、Wi-Fiの業界団体Wi-Fi Allianceが2018年6月に発表しました。WPA3のパスワード方式は、SAEという鍵の決め方を使います。これにより、第三者がパスワードを推測する攻撃に強くなりました。また、通信を管理するための信号も保護します（PMF）。
WPA2を使う場合、暗号の種類で「TKIP」と「AES」を選べるなら「AES」を選びます。TKIPには脆弱性が見つかっています。また、1台のルーターが複数のSSIDを出していることがあります。使っていないSSIDに古い方式が残っていれば止めます。
パーソナルとエンタープライズ：鍵を共有するか、人ごとに分けるか
WPA2とWPA3には、それぞれ2つの使い方があります。違いは「つなぐときに何で確かめるか」です。
| 種類 | 確かめ方 | 向いている会社 |
|---|
| パーソナル（PSK） | 全員が同じパスワード（事前共有鍵）を入れる。 | 社員が少なく、出入りも少ない会社。 |
| エンタープライズ | IEEE 802.1Xで、人や端末ごとのIDで認証する。 | 社員が多い、退職者が多い、端末を管理したい会社。 |
パーソナルは手軽ですが、退職者もパスワードを知ったままになります。退職者が出たらパスワードを変える運用が必要です。エンタープライズは認証用のサーバーが必要ですが、1人分だけ止められます。端末とアクセスポイントが互いに確かめ合うため、偽のアクセスポイントにもつながりにくくなります。人ごとの認証の仕組みはネットワークを分けて守るの節でも扱います。
社内Wi-Fiの設定を見直す7項目
総務省の手引きとIPAのガイドラインをもとに、中小企業で見直したい項目をまとめます。ルーターの管理画面と、機器の箱やメーカーの案内を手元に置いて確かめます。
- 暗号化方式：WPA2かWPA3になっているか。WEPのSSIDが残っていないか。
- Wi-Fiのパスワード：初期値のまま、または短く推測しやすいものになっていないか。
- 管理画面のパスワード：初期値から変えているか。Wi-Fiのパスワードとは別物です。
- ファームウェア：最新か。自動更新の機能があれば有効にしているか。
- サポート期限：メーカーの更新が終わった機器を使い続けていないか。
- 使わない機能：外部からの管理画面の接続やUPnPなど、使わない機能を止めているか。
- パスワードを知る人：壁に貼っていないか。退職者が出たときに変えているか。
Wi-Fiルーターも、インターネットにつながる機器の1つです。古い機器の扱いはIoT機器のセキュリティの節も参考にしてください。
来客用Wi-Fiは業務用と分ける
来客にWi-Fiを貸すとき、社員と同じネットワークに入れてはいけません。来客の端末がウイルスに感染していれば、社内の機器に届いてしまうからです。総務省の提供者向けの手引きも、業務用のネットワークを来客用に使わず、分けるよう求めています。
| 設定 | やること |
|---|
| ネットワークを分ける | 来客用のSSIDを別に作り、社内LANに届かないようにする。ルーターの「ゲスト機能」や、VLAN（スイッチで仮想的に分ける仕組み）を使う。 |
| 利用者どうしを遮断 | 来客の端末どうしが通信できない機能を有効にする。プライバシーセパレータ、クライアントアイソレーションなどと呼ばれる。 |
| パスワードの扱い | 誰でも見られる場所に貼らない。必要な人に渡し、定期的に変える。 |
| 暗号化 | 来客用もWPA2かWPA3で暗号化する。対応機器ならWPA3を有効にする。 |
たとえば社員25人の会計事務所では（架空の例）
社員25人の会計事務所で、Wi-Fiが1つだけあるとします。社員も来客も同じSSIDにつなぎ、パスワードは応接室に貼ってあります。同じネットワークには、顧客の帳簿データを置いたファイルサーバーがあります。
この状態では、来客の端末からファイルサーバーが見えてしまうおそれがあります。見直しは次の順番です。まず業務用と来客用のSSIDを分け、来客用はゲスト機能で社内LANから切り離します。次に業務用のパスワードを変え、貼り紙をはがします。最後に、来客用のパスワードを月ごとに変える運用を決めます。ルーターがゲスト機能に対応していなければ、買い替えの時期です。
外出先のWi-Fiを使う社員へ伝えること
カフェや駅の公衆Wi-Fiは、会社が設定を決められません。社員には、次の3点を伝えておきます。総務省の利用者向けマニュアル（2025年2月版）とIPAの自社診断の内容に沿っています。
- つなぐ先を確かめる：お店が案内している正しいSSIDか。似た名前の偽物に注意する。
- HTTPSで使う：重要なやり取りは、HTTPSのサイトか会社のVPNを通して行う。
- 共有をオフにする：パソコンのファイル共有を切っておく。パスワードなしのWi-Fiでは秘密の情報を扱わない。
HTTPSの仕組みはTLS・HTTPS・SSHの節で、VPN機器の点検はVPN機器の点検の記事で説明しています。スマホのテザリングも、使わないときは切っておきます。
チェックシートではこう聞かれる
| よくある設問 | 答え方の例 |
|---|
| 社内の無線LANは安全な暗号化方式を使っていますか。 | はい。すべてのアクセスポイントでWPA2以上を使い、WEPは無効にしています。 |
| 来客用の無線LANは、業務用ネットワークと分離していますか。 | はい。来客用SSIDはゲスト機能で社内LANから分け、利用者どうしの通信も遮断しています。 |
| 無線LANのパスワードは定期的に、または退職時に変更していますか。 | いいえ。現在は変更の決まりがなく、〇月から退職者が出たときに変更する手順にします。 |
| 無線LAN機器のファームウェアを更新していますか。 | はい。自動更新を有効にし、半年に1回、管理画面で版とサポート期限を確認しています。 |
設問の言い回しは取引先によって違います。迷ったらチェックシートの回答の書き方も参考にしてください。
試験ではここが問われる
SG・SPREAD・支援士・Security+ 3・CISSP 4
- 方式の世代：WEPは短時間で解読される。WPA2ではTKIPでなくAESを選ぶ。WPA3はSAEでパスワード推測に強く、PMFが必須。
- PSKとエンタープライズ：PSKは全員が同じ鍵。エンタープライズはIEEE 802.1XとRADIUSなどで利用者ごとに認証します。
- Enhanced Open：パスワードなしの公衆Wi-Fiでも通信を暗号化する仕組み。認証はしない点に注意します。
- KRACKs：WPA2で見つかった脆弱性。各メーカーが配布したファームウェアに更新すれば対処できます。WPA3では解消されています。
- 分離の機能：来客用の分離（ゲストネットワーク、VLAN）と、端末どうしの遮断（プライバシーセパレータ）は別の機能です。
確認問題
問1 WPA3のパスワード方式（パーソナル）が、WPA2より強くなった点として最も適切なものはどれですか。
- ア SSIDが周りから見えなくなった
- イ SAEという鍵の決め方で、パスワードの推測に強くなった
- ウ パスワードが不要になった
- エ 来客用ネットワークが自動で分離されるようになった
答えと解説
正解：イ WPA3はSAEを使い、第三者によるパスワードの推測に強くなりました。SSIDは見えたままで、パスワードも必要です。来客用の分離は別の設定で行います。
問2 社員40人の物流会社（架空）で、社員が全員同じWi-Fiパスワードを使っています。毎月のように退職者が出ます。最も効果的な見直しはどれですか。
- ア SSIDを非表示にする
- イ パスワードを長くして、その後は変えない
- ウ 利用者ごとのIDで認証するエンタープライズ方式に移る
- エ 暗号化方式をWEPに戻して、古い端末もつなげるようにする
答えと解説
正解：ウ 人ごとに認証すれば、退職者の分だけ止められます。アは見つけにくくするだけで対策になりません。イでは退職者が使い続けられ、エは安全性を下げます。
問3 来客用Wi-Fiで「プライバシーセパレータ」を有効にすると、何が防げますか。
- ア 来客用Wi-Fiにつないだ端末どうしの通信
- イ インターネットからの攻撃のすべて
- ウ 電波が建物の外に漏れること
- エ 社員による業務用Wi-Fiの使用
答えと解説
正解：ア プライバシーセパレータは、同じアクセスポイントにつないだ端末どうしの通信を遮断します。インターネットからの攻撃や電波の届く範囲は、別の対策で扱います。
よくある質問
家庭用のWi-Fiルーターを会社で使ってもよいですか？
社員が数人の会社なら、使われていることは多いです。その場合も、WPA2以上、管理画面のパスワード変更、ファームウェアの更新、サポート期限の確認はそろえてください。来客用の分離が必要なら、ゲスト機能があるかを確かめます。
来客用Wi-Fiのパスワードは、なしでもよいですか？
パスワードなしでは、通信が暗号化されないことがあります。総務省の手引きは、WPA3やEnhanced Open（パスワードなしでも暗号化する仕組み）の採用を検討するよう勧めています。少なくとも業務用とは分け、利用者どうしの通信を遮断してください。
Wi-Fiのパスワードはどのくらいの長さにすればよいですか？
辞書に
ある単語を避け、文字数を増やすことが大事です。初期値が短い場合は長くします。社内での決め方はパスワードのルールの記事も参考にしてください。
参考にした資料
- 総務省「無線LAN（Wi-Fi）の安全な利用（セキュリティ確保）について」
- 総務省「安全な公衆Wi-Fiの提供に向けて セキュリティ対策の手引き（Wi-Fi提供者向け）」（2025年2月版）
- 総務省「自宅Wi-Fi利用者向け 簡易マニュアル」（2025年2月版）
- 総務省「公衆Wi-Fi利用者向け 簡易マニュアル」（2025年2月版）
- Wi-Fi Alliance「Wi-Fi Alliance introduces Wi-Fi CERTIFIED WPA3 security」（2018年6月）
- Wi-Fi Alliance「Wi-Fi security」
- IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）付録「5分でできる！情報セキュリティ自社診断」
- IEEE「IEEE 802.1X-2020 Port-Based Network Access Control」（2020年2月）
- IPA「情報処理安全確保支援士試験 シラバス 追補版（科目A-2）」Ver.4.0（2023年）