情報漏洩対策、何から始める？SOHO・小規模事業者でもできる「公開入口」の減らし方

情報漏洩対策を、最初から完璧にするのは難しいでしょう。それでも、専任担当者がいないSOHOや個人事業主、数人規模の会社でも、外から接続できる入口とアクセス権の見直しから始められます。

この記事の要点は、三つです。

保守のために公開している入口を確認し、不要な直接公開を閉じる
外部業者の端末には、作業に必要なLANだけを許可する
作業が終わったら、ダッシュボードから接続権限を削除する

必要な仕事を続けながら、攻撃者が狙える入口を一つ減らす。そのための考え方と、HomeGrid VPNを使った構成・運用を整理します。

仕事のために開けた入口、そのままになっていませんか？

自宅兼事務所のNASへ外から接続する。小さな会社の業務サーバーを、外部業者に保守してもらう。そのために、VPNやリモートデスクトップなどの接続を用意していることがあります。

設定したときには必要だったものでも、仕事の環境や担当者が変わった後、そのまま残っているかもしれません。

以前の業者のアカウントが残っている。試験用に開けたポートを閉じていない。公開した装置の更新を、誰が担当するか分からない。

小規模な事業では、経営者や一人の担当者が、日々の仕事とこうした管理を兼ねていることもあるでしょう。大きな設備を導入する前に、まずは現在の接続を確認することも、具体的な情報漏洩対策になります。

VPNも、攻撃者の入口になることがある

VPNは、離れた場所から社内などのネットワークへ接続するための仕組みです。ただし、通信を暗号化することと、接続を受け付ける装置やアカウントが侵害されないことは別の問題です。

警察庁は、インターネットに露出したVPN機器などから、未修正の脆弱性、漏洩した認証情報、弱いパスワード、設定不備を悪用して侵入する手口を説明しています。侵入後にデータを盗み、公開を材料に恐喝する被害もあります。

参照：警察庁「ランサムウェア被害防止対策」

一方、事件をすべて「VPN装置の脆弱性が原因」と捉えてはいけません。

アスクルが2025年12月に公表した調査では、例外的に多要素認証を適用していなかった業務委託先の管理者アカウントが不正利用されています。同報告では、VPN機器の脆弱性を悪用した侵入の痕跡は確認されていません。

参照：アスクル「ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告」

大企業でも、委託先に付与したアカウントが入口になっています。規模や構成は違っても、「誰が接続できるか」「どこまで届くか」「使い終わった権限が残っていないか」は、小規模事業者にも共通する確認項目です。

最初は、保守用の接続を一つ選ぶ

ネットワーク全体を一度に調べようとすると、手が止まるかもしれません。まずは、外部業者が使っている接続を一つ選んでみてください。

確認すること	確認例
何のための接続か	NASの保守、業務サーバーの更新
誰が利用するか	自社の担当者、契約中の保守業者
どこから入るか	公開VPN、SSH、リモートデスクトップ
どこまで届くか	保守対象のLANだけか、ほかのLANにも届くか
いつまで必要か	今回の作業中だけか、継続して必要か
誰が管理するか	自社か、設定した業者か

分からない項目は、設定した業者に確認して構いません。使っていない入口は、業務への影響を確認して閉じます。

必要な入口については、機器の更新、認証、利用者の権限を確認します。そのうえで、次の問いを考えます。

その接続のために、自社側でインターネットからの着信を受け付ける必要はあるでしょうか。

自社で接続を受ける構成から、自社が接続する構成へ

自社側のVPN装置で外からの接続を受け付ける構成では、その入口の公開設定、更新、認証を管理します。この方法でも、適切に管理すれば運用できます。

別の考え方が、自社側の機器と担当者のPCが、それぞれクラウド上の中継点へ接続する構成です。

接続方式	自社側の機器がすること
自社で接続を受ける	外部からの接続を待ち受ける
中継点へ接続する	自社側から外向きに接続を開始する

後者なら、保守接続のために自社ルーターでポート開放をするなど、外から直接入れる入口を設ける必要を減らせます。

入口がなくなるわけではなく、自社側にあった接続の公開入口を中継点側へ集める設計です。 中継点の運用や可用性も、サービスを選ぶ際の評価対象になります。

このような構成は、自分で構築する方法や、管理型サービスを利用する方法があります。公開範囲に加え、設定・更新・接続権限の管理にどれくらいの手間がかかるかも比較します。

HomeGrid VPNで使う用語を整理する

HomeGrid VPNは、各拠点や端末がクラウド上の中継点へ接続する、Hub & Spoke型のVPNです。この記事では、次の意味で用語を使います。

用語	この記事での意味
Cloud Hub	拠点や端末のVPN経路をつなぐ、クラウド上の中継点
Grid	事務所などに置き、そのLANとVPNをつなぐ機器
Spoke	Cloud Hubへ接続する側。保守手順では、招待して登録した業者の端末を指す
LAN ACL	登録端末ごとに、どの宛先LANへアクセスできるかを設定する機能
Hub & Spoke	各拠点や端末が、中心となるHubへ接続する構成

自社側のGridからCloud Hubへ外向きに接続するため、原則として、自社ルーターのポート開放や、自社のグローバルIPアドレスへの直接接続を前提にしません。

接続後のVPN経路では双方向に通信します。そのため、外向きに接続する構成でも、接続先のアクセス制御は必要です。

公開入口と接続権限を、ダッシュボードから整理する

HomeGrid VPNでは、接続経路の変更と、担当者の登録・許可・削除を組み合わせて保守接続を管理できます。

次の表は、公開VPN装置などを設け、接続設定を個別に管理する構成との比較です。他のVPN製品すべてに、同様の機能がないという意味ではありません。

従来の構成・運用で起きやすい課題	HomeGrid VPNでの構成・運用
拠点ごとにVPN接続の入口を公開して管理する	各拠点からCloud Hubへ外向きに接続し、公開入口を集約する
保守のためにSSHやリモートデスクトップを直接公開する	VPN経由の接続へ移行し、不要になった直接公開を閉じる
接続設定を個別に配布する	ダッシュボードから招待リンクを発行し、担当者へ送る
業者が無関係なLANにも到達できる	業者の端末は許可するまでどのLANにもアクセスできない。デバイス×宛先LANのマトリクスで、必要な接続だけを許可する
作業終了後もVPN接続権限が残る	ダッシュボードからSpokeを削除し、反映後に既存の鍵による再接続を無効にする

LAN ACLは、どの端末からどのLANへの接続を許可するかを設定し、許可した接続の戻り通信も扱うステートフルな制御です。LAN ACLは既定で拒否です。業者の端末を招待しただけで業務LANへアクセスできる状態にはなりません。

招待してから、必要なLANだけを許可する。 この順番で接続を準備できます。

「招待する・許可する・削除する」を保守手順にする

保守業者への接続手配は、次の流れです。

ダッシュボードから招待リンクを発行する
LINE・Slack・メールなど、組織で認められた手段で担当者本人へ送る
担当者が招待の手順に沿って端末を登録する
ダッシュボードのLAN ACLで、業者端末から保守対象LANへのアクセスを許可する
設定の反映を確認し、保守対象へ接続できることと、許可していないLANへ接続できないことを確認する
保守作業を行う
作業終了後、ダッシュボードから保守用Spokeを削除する

招待リンクは24時間有効・1回限りです。有効なリンクを開いた人は誰でもその端末を登録できるため、公開チャンネルへ投稿せず、意図した担当者へ個別に送ります。

発行・共有・登録の手順は、別の人の端末を招待するを参照してください。

LAN ACLの変更は、反映まで最大5分かかることがあります。画面の「反映済み」を確認してから接続確認を行います。Spokeの削除も反映まで数分かかることがあるため、削除操作の直後に接続が無効になるとは考えず、反映後に接続できないことを確認します。

削除が反映されたSpokeの既存の鍵では、再接続できません。業者のPCから設定を消してもらうことだけに頼らず、管理者側で接続権限を取り消せます。

設定方法は、LAN ACLで端末ごとに行ける先を決めるを参照してください。

細かな操作管理より、まず接続範囲を整理する

開発や保守では、調査、設定変更、データ確認など、その場で必要な操作が変わります。すべての操作について細かな認可を設計し、維持するのは、小規模な事業では負担になることがあります。

だからこそ、まずはネットワーク側で整理できる範囲から始めます。

作業に必要なLANは許可する。無関係なLANには通さない。使い終わった接続権限は削除する。

LAN ACLは、業務システム内の操作権限を代替するものではありません。それでも、細かな認可設計を完成させるまで待たずに、接続範囲を見直すことはできます。

新しい接続を用意したら、古い入口を閉じる

HomeGrid VPNを追加しても、以前のVPN装置や公開SSH・リモートデスクトップが残っていれば、その入口は引き続き攻撃対象になります。

新しい経路で必要な業務ができることを確認したら、不要になった設定を閉じます。

使わなくなったポート開放・ポート転送
不要な外部からの受信ルール
古いVPN接続用アカウント
契約が終了した業者のアクセス権

作業を委託する場合も、「つながるようになった」で終わらせず、何を閉じたか、何が残っているかを確認してください。

自宅VPNの直接公開や回線条件を詳しく確認したい場合は、自宅VPNが外からつながらないとき、ポート開放の前に考えたい「家庭用IP」の話も参照できます。

残る対策を確認し、一つの接続から始める

公開入口と接続権限を整理しても、情報漏洩対策がすべて完了するわけではありません。Cloud Hubやダッシュボードの保護、端末とGridの更新、接続先の権限設定は引き続き必要です。

残す管理・業務アカウントには、対応するサービスで多要素認証を適用し、委託先だけ例外になっていないかも確認します。公開Webアプリの脆弱性対策や、バックアップの分離・復元確認も別に進めます。

そのうえで、次の保守作業を一つ選んでみてください。

誰の端末を、どのLANへ、いつまで接続させるか。

HomeGrid VPNで始める場合は、事務所側のLANに接続するGridを1台用意し、保守担当者の端末を登録する構成から検討できます。Gridには電源と、Cloud Hubへ接続できる回線が必要です。保守対象側の認証やFirewallも、接続できる構成になっているか確認します。

Gridの導入方法は、対応するLinux機へのインストールコマンド、NAS・Linux機や据え置きPCのDocker Desktopを使うDocker版、MiniPC・VMを使う仮想アプライアンスの3つから、機器と利用条件に合わせて選べます。

具体的な接続構成を確認したら、Gridを追加するガイドで登録方法へ進めます。導入前には、HomeGrid VPN公式サイトで料金と利用条件を確認してください。

導入だけで対策が完了するわけではありません。それでも、専任担当者がいないSOHO・小規模事業者でも、必要な接続を維持しながら、公開入口を減らすことから始められます。