第5章ネットワークとインフラの基礎運用

🎯 この章で学ぶこと

ネットワーク構成図を描いて「つながり」を把握する
ルーター・スイッチ・アクセスポイントなど最低限のネットワーク知識
Wi-Fiのセキュリティと、社内・ゲストの分離
死活監視・容量監視で「落ちる前に気づく」仕組みを作る

5.1 まず「つながり」を把握する

ネットワークが厄介なのは、目に見えないことです。電波も、機器同士のつながりも、頭の中だけでは絡まってしまいます。だから最初にやるべきは、対策でも機器の入れ替えでもなく、ネットワーク構成図を描くことです。第2章の棚卸しの「つながり版」だと思ってください。

構成図といっても、美しい図面は要りません。紙やホワイトボードに、四角と線で「何が、何につながっているか」を描くだけで十分です。まずは次の順で追いかけます。

インターネットの入口 — 回線(光回線など)がどこから来て、最初にどの機器(多くはルーター)に入っているか
そこから先の枝分かれ — ルーターからスイッチへ、スイッチから各部屋・各PCへ、どう分かれているか
Wi-Fiのアクセスポイント — どこに何台あり、どのネットワークを飛ばしているか
サーバーや重要機器 — ファイルサーバー、複合機、監視カメラなどがどこにつながっているか

💡 構成図は「トラブル時の地図」になる

構成図の本当の価値は、平時ではなくトラブルのときに出ます。「2階だけネットが落ちた」というとき、図があれば「2階に配っているスイッチが怪しい」と当たりをつけられます。図がなければ、手探りで機器を1つずつ疑うしかありません。第2章と同じく、この図もあなたの頭の中だけに置かず、共有し、機器を入れ替えたら更新する——属人化させない運用が大切です。

5.2 最低限のネットワーク知識

深い知識は不要ですが、登場人物の役割は押さえておくと、業者との会話もトラブル対応も格段に楽になります。家の水道に例えると分かりやすいです。

機器	役割(ざっくり)	水道の例え
ルーター	社内ネットワークとインターネットをつなぐ玄関口・交通整理役。多くはファイアウォール機能も持つ	家に水を引き込む元栓と、外との境目
スイッチ(ハブ)	社内で機器同士を有線でつなぐ分岐点	家の中で水道管を各部屋に分ける分岐
アクセスポイント(AP)	Wi-Fiの電波を飛ばし、無線でつなぐ機器	蛇口を通さず霧で水を届けるイメージ
ファイアウォール	外部からの不正な通信をブロックする門番	元栓のところにある逆流防止・フィルター

有線とWi-Fi、社内とゲストの分離

実務で特に大事なのが「ネットワークを分ける」という発想です。すべての端末を1つの大きなネットワークにつなぐと、来客のスマホも、社員のPCも、重要なサーバーも、全員が同じ部屋にいる状態になります。これは便利ですが危険です。基本の分け方は次の通りです。

社内ネットワークとゲスト(来客用)を分ける — 来客のスマホやPCは、社内のファイルサーバーやPCと同じ空間に入れない。ゲストにはインターネット接続だけを提供する。
可能なら用途でも分ける — 監視カメラや複合機など「ネットにつながるが素性の管理が難しい機器(IoT機器)」を、社員のPCと別のネットワークに置く。1台が乗っ取られても被害を閉じ込めるためです。

5.3 Wi-Fiのセキュリティ

Wi-Fiは便利な反面、電波が壁を越えて外へ漏れるため、設定を誤ると「駐車場から会社のネットワークに入られる」ことすら起こり得ます。最低限、次の3点は必ず確認してください。

暗号化はWPA2以上、できればWPA3 — Wi-Fiの暗号化方式です。古いWEPやパスワードなしの運用は論外。今はWPA2が最低ライン、対応機器ならWPA3が望ましいです。
ゲストネットワークを分離する — 5.2の通り、来客用SSIDは社内と切り離します。多くの業務用APには「ゲスト用」の機能があり、社内へアクセスさせずインターネットだけ使わせられます。
機器の初期パスワードを必ず変更する — ルーターやAPの管理画面のパスワード(Wi-Fi接続用とは別物)が、出荷時のまま(admin/password等)になっていないかを確認します。初期パスワードは公開情報同然で、最も狙われます。

⚠️ 一番怖いのは「初期パスワードのままの機器」

ルーター・AP・NAS(ネットワーク上の保存装置)・監視カメラなどは、買ってきて「つながったから完了」で放置されがちです。しかし管理画面のIDとパスワードが初期値のままだと、そこから設定を乗っ取られ、通信の盗み見や踏み台化に使われます。第2章の棚卸しで機器の一覧を作り、1台ずつ管理パスワードを変更し、ファームウェア(機器のソフト)も更新する——これは地味ですが効果の大きい対策です。Wi-Fi接続用のパスワードも、推測されにくい長いものにしましょう。

5.4 監視 — 落ちる前に気づく

一人情シスの理想は、「社員に言われる前に、自分が先に異常に気づいている」状態です。そのための仕組みが監視です。人手で四六時中見張るのは不可能なので、機械に見張らせて、異常があったときだけ知らせてもらいます。まず押さえたい監視は2種類です。

監視の種類	見るもの	気づけること
死活(しかつ)監視	機器やサーバーが「生きているか」を定期的に確認	サーバーやネットワークの停止を、社員より先に検知
リソース監視	ディスク容量、CPU、メモリの使用状況	「ディスクが満杯で止まる」を事前に予測して回避

死活監視のいちばん素朴な形は、対象に定期的に「生きてる?」と問い合わせるpingというコマンドです。手元で試すだけでも感覚がつかめます。

$ ping fileserver.local
64 bytes from 192.168.1.10: icmp_seq=1 ttl=64 time=0.42 ms
64 bytes from 192.168.1.10: icmp_seq=2 ttl=64 time=0.39 ms
# 応答が返れば「生きている」。返らなくなったら異常のサイン

もちろん、これを一日中手で打つわけにはいきません。実務では監視ツールに任せます。無料・低コストで始められるものも多く、「サーバーが落ちたらメールやチャットに通知」「ディスクが8割を超えたら警告」といった設定ができます。まずは一番止まると困るもの(基幹サーバー、回線、ファイルサーバー)だけを監視対象にし、通知が来る状態を作るところから始めましょう。

✅ 監視は「全部」より「要所」から

最初から全機器を完璧に監視しようとすると、設定に疲れて挫折します。狙いは「止まったら業務が止まる要所」を、確実に検知することです。ディスク容量の監視は特に費用対効果が高く、「ある朝サーバーがディスク満杯で止まっていた」という典型的な事故を、数日前の警告で防げます。第2章のマトリクスでいう「重要だが緊急でない」対策を、監視で先回りするイメージです。

5.5 サーバー・オンプレの運用

社内に置いたサーバー(オンプレミス、略してオンプレ)がある場合、それは端末以上に「止まると全社が困る」存在です。日々の運用で押さえるべき点を整理します。

更新(パッチ)を当てる — サーバーのOSやソフトも、端末と同じく脆弱性修正の更新が必要です(第4章)。むしろサーバーは狙われたときの被害が大きいぶん、更新の重要度は高いです。ただし、いきなり本番で更新して止まると困るので、影響とタイミングを見極めて計画的に行います。
電源・空調・UPS — 物理サーバーは「環境」に弱いです。停電で不意に落ちるとデータが壊れることがあるため、UPS(無停電電源装置)で瞬断や短時間の停電をしのげるようにします。熱にも弱いので、サーバーを置く部屋の空調・換気にも気を配ります。
クラウド移行の検討 — 物理サーバーの管理(故障対応、電源、空調、更新)は一人情シスに重くのしかかります。更新時期や故障を機に、クラウド(SaaSやクラウドサーバー)への移行を検討する価値があります。ハードの面倒を事業者に任せられ、災害時にもオフィスの被災に左右されにくくなります。移行やSaaS管理の考え方は第7章で扱います。

5.6 記録と冗長化

最後に、ネットワーク・インフラを「属人化させず、止まりにくくする」ための2つの考え方です。

構成の文書化 — 構成図(5.1)に加え、機器の型番・設置場所・管理パスワードの在り処(パスワードそのものはマネージャで別管理)・回線やプロバイダの契約情報・保守の連絡先を、一箇所にまとめます。これがあれば、あなたが不在でも他の人や業者が状況を把握できます。
保守契約 — 重要な機器・回線には、故障時にすぐ駆けつけ・交換してもらえる保守契約があると安心です。一人ですべてを直そうとせず、「頼れる外部」を用意しておくのも運用の一部です(第1章の「味方を作る」)。
単一障害点(SPOF)を減らす — 「そこが1つ壊れると全体が止まる」箇所を単一障害点(Single Point of Failure)と呼びます。回線が1本しかない、スイッチが1台しかない、といった急所を洗い出し、優先度に応じて予備を用意します。すべてを二重化するのは非現実的なので、「止まったとき一番困る急所」から手当てします。

💡 完璧な冗長化より「壊れても復旧できる」

中小企業で、あらゆる機器を二重化するのはコスト的に無理があります。現実的なのは、①最重要の急所だけ二重化し、②それ以外は「壊れたら、いつまでに、どう復旧するか」の手順と予備の当てを用意しておくことです。データそのものの守りは第6章(バックアップと事業継続)の主題です。ネットワーク機器は、設定さえ記録してあれば買い直して復旧できます——だからこそ5.6の「記録」が効いてきます。

🛡️ セキュリティの視点 — ネットワーク分離は多層防御の一つ

セキュリティは「一枚の壁で完全に防ぐ」ものではなく、複数の壁を重ねて、一つ破られても次で止める——多層防御(たそうぼうぎょ)という考え方が基本です。ネットワークの分離は、その重要な一枚です。もし社内が1つの大きなネットワークで、1台のPCがランサムウェアに感染したら、被害は瞬く間に全社のPCとサーバーに広がります。ゲスト・IoT機器・重要サーバーをネットワークで分けておけば、感染を一区画に閉じ込め、全社停止という最悪の事態を避けられます。第4章の端末の守り(暗号化・EDR)と、この章のネットワーク分離を組み合わせることで、「1台の事故を全社の事故にしない」防御が形になります。ネットワーク防御をさらに深く学びたい場合は、セキュリティ中級・上級コース第6章(ネットワーク防御とTLSの深掘り)が参考になります。

まとめ

目に見えないネットワークは、まず構成図を描いて「つながり」を見える化する
ルーター・スイッチ・APの役割を押さえ、社内とゲスト(来客用)を分離する
Wi-FiはWPA2以上、ゲスト分離、そして機器の初期パスワードとファームウェアを必ず更新
死活監視・容量監視で「落ちる前に気づく」。要所から、無料ツールでも始められる
オンプレは更新・UPS・空調に注意。更新や故障を機にクラウド移行も検討
構成を文書化し、保守契約と単一障害点対策で「止まりにくく・復旧できる」状態に

演習(自社の点検)

問題 5-1

紙かホワイトボードで、自社のネットワーク構成図をざっくり描いてみてください。回線の入口 → ルーター → スイッチ → PC/Wi-Fi/サーバー、という流れを追えますか? 途中で「これは何の機器?」と分からないものは出てきましたか?

考え方

実際に描いてみると、「この配線の先に何があるのか分からない機器」や「誰も設定を把握していないルーター」が見つかることがよくあります。それこそが最大の収穫です。正体不明の機器は、初期パスワードのまま放置された危険な機器かもしれず、優先的に調べるべき対象です。図は美しさより「トラブル時に自分と他人が読めるか」が大事です。完成させることより、まず描き始めて「見えていなかった部分」をあぶり出すことに価値があります。描いた図は共有フォルダに保存し、機器を変えたら更新する運用にしましょう。

問題 5-2

自社のWi-Fiについて、①暗号化方式はWPA2以上か、②来客用と社内用は分かれているか、③ルーターやアクセスポイントの管理画面のパスワードは初期値から変えてあるか——を確認してください。1つでも「怪しい」ものがあれば、どう直しますか?

考え方

この3点は、費用をかけずに今日確認・改善できる項目です。特に③の「管理画面のパスワードが初期値のまま」は非常に多く、かつ危険度が高いので最優先です(Wi-Fi接続用パスワードとは別物である点に注意)。来客用と社内用が分かれていない場合、来客のスマホから社内サーバーが見える状態かもしれません。多くの業務用APはゲスト用SSID機能を持っているので、設定を有効にするだけで分離できることが多いです。すべてを一度に完璧にする必要はなく、「初期パスワードの変更 → ゲスト分離 → 暗号化方式の確認」の順に、危険度の高いものから手をつけるのが現実的です。

問題 5-3

自社で「これが止まると業務が止まる」インフラ(ファイルサーバー、基幹システム、回線など)を1つ挙げてください。それが今止まったら、あなたはどうやって気づきますか? 「社員に言われて初めて気づく」状態なら、どんな監視を入れれば先に気づけるでしょうか。

考え方

多くの場合、答えは正直に言えば「社員に『つながらない』と言われて気づく」です。それは事後対応であり、一人情シスが目指したい「先回り」の逆です。改善の第一歩は、その1つの要所に死活監視をかけ、停止時にチャットやメールへ通知が来るようにすることです。無料・低コストの監視ツールでも十分始められます。あわせてディスク容量の監視を入れておくと、「容量満杯でサーバーが止まる」という典型事故を数日前に防げます。全機器の監視は要りません。「一番止まると困るもの1つ」から始めれば、投資対効果が最も高い形で監視の恩恵を実感できます。