この記事の結論
会社の Wi-Fi は、暗号化を WPA2（AES）以上にし、機器が対応していれば WPA3 を選びます。そのうえで、社員用・来客用・機器用のネットワークを分け、来客用から社内の機器に届かない状態にします。
- WEP と WPA は使いません。古い方式の SSID が残っていないかも確かめます
- 来客用のパスワードは貼り出さず、定期的に変えます。社員用は、知っている人が辞めたときに変えます
- サポート期限の切れた家庭用のルーターは、業務用の機器に入れ替えます
お客さんにも、社員と同じ Wi-Fi のパスワードを教えている。まずいか？
暗号化は WPA2（AES）以上にし、対応していれば WPA3 を選びます
Wi-Fi の暗号化の方式は、WEP・WPA・WPA2・WPA3 の順に強くなってきました。総務省は、いまは WPA2 か WPA3 を選び、WEP は使わないよう案内しています。
暗号を短時間で解読する方法が知られ、いまは容易に解読されます
WEP の弱点を補った方式ですが、一部に脆弱性があり、いまは推奨されません
いまの主流です。暗号は TKIP でなく AES を選び、ファームウェアの更新を続けます
2018年に発表された方式です。鍵の交換の仕組みが強くなり、WPA2 で報告された脆弱性も解消されています
WPA3 で大きく変わったのは、パスワードの守り方です。SAE という仕組みで、鍵の情報を通信に流さずに鍵を交換するため、パスワードが単純でも、通信を盗聴されていても、鍵を盗まれるおそれが下がります。
業界団体の Wi-Fi Alliance は、パスワードの候補を次々に試す攻撃に強いこと、あとでパスワードが漏れても、それより前の通信は守られることを挙げています。
この記事は、会社の Wi-Fi を決める側の話です。社員が外出先の公衆 Wi-Fi を使うときの注意は、2021年の記事無線LAN（Wi-Fi）を安全に使うための3つのポイントにまとめています。
新しい機器は、WPA3 が前提になっています
Wi-Fi Alliance は、2020年から、新しく認証する機器に WPA3 への対応を求めています。Wi-Fi 6E と Wi-Fi 7 の機器が使える 6GHz 帯では、WPA3 が必須です。
同じ団体の導入ガイドは、2027年12月31日より後に新しく作るネットワークでは、すべての帯域で WPA3 だけにする設定を推奨の既定としています。いま機器を買い替えるなら、WPA3 に対応したものを選びます。
社員の多い会社は、1人ずつ認証する方式も候補です
ここまでの WPA2・WPA3 は、全員が同じパスワードを使うパーソナルの方式です。総務省は、企業向けの方式として、WPA2 エンタープライズ・WPA3 エンタープライズを挙げています。
エンタープライズの方式は、利用者ごとに ID を設定し、接続のたびに端末と親機が互いに認証します。端末の側からも親機を確かめるので、偽の親機につながる心配もありません。
1人ずつの ID なので、退職した人の分だけ止めれば済み、全員のパスワードを変える必要がありません。その代わり、ID を確かめる認証サーバー（RADIUS）が要ります。
方式の仕組みは、サポートサイトの記事WPA2とは？無線LAN（Wi-Fi）の暗号化とセキュリティ規格の選び方で説明しています。
社員用・来客用・機器用で、ネットワークを分けます
総務省の公衆 Wi-Fi の提供者向けの手引きに、ホテルの例があります。業務用のネットワークで宿泊者に Wi-Fi を出したところ、事務室のコピー機に保存されたファイルが、宿泊者のパソコンから見える状態になっていました。
会社の来客用の Wi-Fi も同じです。手引きは、業務用と来客用を、配線から別にするか、VLAN で論理的に分けるよう求めています。インターネットの回線を共用するなら、フィルタやファイアウォールで行き来を確実に止めます。
インターネット
ルーターネットワークの間の通信を止める
無線の親機SSID を3つ出し、VLAN で分ける社員用
会社のパソコン・スマホ
届く先インターネットと、社内の NAS・複合機など
来客用
お客様や取引先の端末
届く先インターネットだけ。社内の機器にも、ほかの来客の端末にも届かない
機器用
無線でつなぐ複合機や電話機、WPA3 に対応しない古い端末
届く先決めた相手だけ。社員用からの印刷など、使う分だけ通す
来客用では、同じ Wi-Fi につないだ端末どうしの通信も止めます。一般的な親機には、プライバシーセパレーターやクライアントアイソレーションなどの名前で、この機能があります。
機器用を分けるのは、古い方式でしかつながらない機器や、更新の止まりやすい機器を、社員のパソコンと同じネットワークに置かないためです。1台の弱い機器から、社内のすべてに届く状態を避けます。
親機の台数や置き場所など、Wi-Fi の速さの話は社内ネットワークが遅い原因と調べる順番に書きました。
パスワードは、知っている人・渡し方・変える時期をネットワークごとに決めます
Wi-Fi には2種類のパスワードがあります。端末をつなぐための Wi-Fi のパスワード（総務省の資料では暗号化キー）と、親機やルーターの設定を変える管理画面のパスワードです。
どちらも、長いランダムな英数字にし、SSID から類推できるものにしません。SSID は電波の届く範囲の誰にでも見えるため、似たパスワードは推測されやすくなります。
| 決めること | 社員用の Wi-Fi | 来客用の Wi-Fi | 管理画面 |
|---|---|---|---|
| 知っている人 | 社員か、設定をする担当だけ | 来客（社外の人で、人数が多い） | 管理を任された人と委託先だけ |
| 渡し方 | 担当が端末に入力すれば、社員に教えずに済む | 必要な人に紙で個別に渡す。壁に貼らない | 鍵のかかる場所か、パスワード管理ツールに保管する |
| 変える時期 | 知っている人が辞めたとき、漏れたおそれがあるとき | 定期的に（たとえば毎月1日） | 初期設定から必ず変える。担当や委託先が替わったとき |
人のパスワードと、Wi-Fi のパスワードは考え方が違う
総務省は、人ごとのアカウントのパスワードは、漏れた事実がなければ定期的に変えなくてよいとしています。Wi-Fi のパスワードは全員で共有するものです。手引きは来客用について、定期的に変えて、知っている人を少なくするよう勧めています。
知っている人が多いと危うい理由もあります。WPA2 のパーソナルの方式では、パスワードを知っている人は、条件が整えば他人の通信を比較的容易に解読できます。同じ名前とパスワードで、偽の Wi-Fi を置くこともできます。
来客用を新しく設けるなら、Wi-Fi Enhanced Open という方式も候補です。パスワードなしでつながり、通信は端末ごとの鍵で暗号化されます。配るパスワードが無いので、貼り出しの問題も起きません。親機と端末の対応は先に確かめます。
家庭用のルーターと古い機器が、会社の Wi-Fi の穴になります
家庭用のルーターや親機を、会社で何年も使い続けると、次の4つの穴が出ます。
サポート期限が過ぎると、更新が止まる
期限を過ぎた機器には、脆弱性が見つかってもファームウェアの更新が出ません。総務省と警察庁は、サポートの切れたルーターの買い替えを勧めています。
管理画面のパスワードが初期のまま
初期の管理画面のパスワードは、同じ機種で共通だったり、規則性があって推測できたりする場合があります。買ったときのまま使っていないかを確かめます。
外から設定を書き換えられる
警察庁は2023年、家庭用ルーターが外から操作されて VPN などの機能を有効にされ、サイバー攻撃に悪用されたと注意を呼びかけました。一度変えられると、パスワードの変更や更新だけでは元に戻りません。
ネットワークを分ける設定に限りがある
来客用を VLAN で分ける、ネットワークどうしの行き来を止める、といった設定のできる範囲は機器によって違います。前の節の分け方ができるかで、機器を選びます。
WPA3 に対応しない古い機器は、別の SSID に分けて残します
社内のすべての端末が WPA3 に対応しているとは限りません。WPA3 には、WPA3 と WPA2 の端末が同じ SSID につながれる移行用の設定があります。
ただし、古い端末がこの設定でうまくつながらない例を把握している、と Wi-Fi Alliance は説明しています。代わりに同団体が挙げるのが、SSID を2つに分け、WPA3 と WPA2 で別のパスワードにする構成です。
前の節の機器用のネットワークを、この WPA2（AES）の側にします。古い端末には WPA2 として見せる互換モードも用意されましたが、使うには親機の更新が要ります。
総務省は、親機に古い方式の SSID が残っている場合があるとして、使わないものは止めるよう案内しています。古い端末は台帳に書き、入れ替えの時期を決めておきます。
確かめる順番は、機器の一覧から始めます
次の6つを、上から順に進めます。途中で止まっても、そこまでの結果が次の判断の材料になります。
- 機器を書き出すルーター・無線の親機・中継機の型番、置き場所、買った時期を一覧にし、サポート期限をメーカーのページで確かめます
- 方式を見る管理画面で、SSID ごとの暗号化の方式（WPA3 か WPA2 か、AES か TKIP か）を確かめ、使っていない SSID は止めます
- 見覚えのない設定を探す外から管理画面に入る設定、VPN、DDNS、UPnP が、見覚えのないまま有効になっていないかを見ます
- 更新するファームウェアを最新にし、自動更新があれば有効にします。初期のままの管理画面のパスワードを変えます
- 分かれているか試す来客用につないだスマホから、社内の NAS や複合機の画面が開けないことを、実際に確かめます
- 書き残すパスワードを変えた日、次に変える時期、管理する人を1枚にまとめます
3番目で見覚えのない設定があれば、警察庁は、ルーターを初期化し、ファームウェアを最新にしてから、パスワードを複雑なものに変えるよう案内しています。
パソコンの側が WPA3 に対応しているかは、Windows ならコマンドで確かめられます。
「インフラストラクチャ モードでサポートされている認証と暗号」に WPA3 Personal があれば、WPA3 でつなげます。
IPA の中小企業の情報セキュリティ対策ガイドライン（第4.0版）の付録にある情報セキュリティ自社診断でも、25項目の1つが無線LANの暗号化です。対策例には、WPA3 などの強固な方式を選ぶことが挙がっています。
インフィニティにできること
インフィニティは名古屋・丸の内の会社で、サポート契約は280社強です。ネットワークの構築と見直しでは、ネットワークの担当チームが、調査から機器の選定、設置、図づくりまで行います。
家庭用のルーターを何年もそのまま使っている、というご相談も、このサービスでお受けしています。現地の調査で機器・配線・回線の契約を確かめ、必要な機器を理由と一緒にお出しします。要らないものは入れません。
機器は YAMAHA の業務用のルーター・スイッチ・無線の親機を中心に、会社の大きさに合わせて選びます。切り替えの工事は休日か夜間に行い、構成図と機器の一覧をお渡しします。図と一覧は貴社のものです。
そのあとは ITサポートと合わせて、機器の見守りと故障の対応を行います。訪問は愛知・岐阜・三重と大阪、遠隔は全国で対応しています。
機器と配線、回線の契約を、現地で確かめるところから始めます
家庭用のままの Wi-Fi を、業務用の機器に入れ替えます
ご相談は無料です。いまのルーターや無線の親機の名前が分からなくてもかまいません。来客用を分けたい、古い機器が残っている、など分かる範囲でお知らせください。2営業日以内にご連絡します。
無料で相談する参考
- 総務省「公衆Wi-Fi提供者向け セキュリティ対策の手引き」（令和7年2月版）
- 総務省「自宅Wi-Fi利用者向け 簡易マニュアル」（令和7年2月版）
- 総務省「無線LANの安全な利用について」
- 総務省 国民のためのサイバーセキュリティサイト「安全な無線LANの利用」
- 総務省 国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」
- 警察庁「家庭用ルーターの不正利用に関する注意喚起について」（2023年3月28日）
- IPA「中小企業の情報セキュリティ対策ガイドライン」
- IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 付録3 情報セキュリティ自社診断
- Wi-Fi Alliance「Security」
- Wi-Fi Alliance「WPA3 deployment options」
- Wi-Fi Alliance「WPA3 and Wi-Fi Enhanced Open Deployment and Implementation Guide」v1.1
- Microsoft サポート「Windows でのより高速で安全な Wi-Fi」