社内Wi-Fiと来客用Wi-Fiを分ける理由

来客から
「Wi-Fiを使わせてもらえますか」
と聞かれることがあります。

打ち合わせ中に資料を確認したい。

オンライン会議へ参加したい。

携帯電話の電波が弱い。

そのような場面でWi-Fiを案内すること自体は、特別なことではありません。

ただし、社員が使用している社内Wi-Fiのパスワードを、そのまま伝える運用は見直すべきです。

来客を疑うためではありません。

会社が管理している端末と、管理できない端末の接続先を分けるためです。

社内Wi-Fiの先には業務機器がある

社内ネットワークへ接続されているのは、パソコンだけではありません。

• 複合機やプリンター
• NASや共有フォルダー
• 監視カメラ
• IP電話機
• ルーターやアクセスポイント
• 業務用タブレットや各種IoT機器

来客の端末を同じネットワークへ接続すると、設定によっては、これらの機器へ通信できる可能性があります。

すぐに情報が盗まれるという意味ではありません。

しかし、インターネットだけを使ってもらえばよい端末に、社内機器へ到達できる経路を用意する必要もありません。

従業員の私物スマートフォンも管理外端末

従業員の私物スマートフォンも、原則として社内Wi-Fiへ接続させない方が安全です。

会社側では、次の状態を完全には確認できません。

• OSが最新か
• 不審なアプリが入っていないか
• 家族と共用していないか
• 適切な画面ロックが設定されているか
• マルウェアへ感染していないか

本人に悪意がなくても、会社が管理できない端末であることに変わりはありません。

そのため、私物スマートフォンで個人的な通信を行う場合は、来客用Wi-Fiへ接続させる運用が現実的です。

整理すると、次のようになります。

社内Wi-Fi

• 会社支給パソコン
• 会社支給スマートフォン
• 業務用タブレット
• 複合機
• NAS
• その他、会社が管理している機器

来客用Wi-Fi

• 来客のスマートフォンやパソコン
• 従業員の私物スマートフォン
• 従業員の私物タブレット
• 外部業者が一時的に持ち込む端末

来客用Wi-Fiからは、インターネットだけを利用できる状態にします。

Wi-Fi名を分けるだけでは不十分

例えば、次の二つのWi-Fi名を用意したとします。

• Office-Staff
• Office-Guest

見た目は別のWi-Fiですが、その先が同じネットワークにつながっていれば、十分な分離とはいえません。

重要なのは、Wi-Fi名を分けることではなく、通信経路を分けることです。

来客用Wi-Fiからは、次の通信を遮断します。

• 社内パソコンへの通信
• 複合機やNASへの通信
• 監視カメラへの通信
• ルーターの管理画面への通信
• 来客端末同士の通信

機器によっては、ゲストネットワーク、VLAN、ネットワーク分離、プライバシーセパレーターなどの機能を使用します。

小規模事業所なら二つに分ければよい

ネットワークを細かく分けるほど、管理は複雑になります。

小規模事業所であれば、まずは次の二つで十分です。

1. 会社管理端末用の社内ネットワーク
2. 来客と私物端末用のインターネット専用ネットワーク

私物スマートフォンを業務では使わず、休憩時間のWeb閲覧などに限るのであれば、来客用Wi-Fiへ接続させる方法で問題ありません。

一方、私物端末で業務メール、クラウドストレージ、社内チャットなどを利用させる場合は、Wi-Fiの分離だけでは不足します。

次の内容も別途決める必要があります。

• 使用できるアプリ
• 保存してよいデータ
• 個人アプリへのコピー可否
• 紛失時の報告方法
• 退職時のデータ削除
• 私物端末を使わない場合の代替手段

社内ネットワークへ接続する必要がある業務は、会社が管理する端末で行う方が明確です。

来客用Wi-Fiで確認すべき設定

来客用Wi-Fiを設定する際は、次の点を確認します。

• 社内LANへのアクセスを禁止する
• 来客端末同士の通信を遮断する
• 社内用とは異なるパスワードを設定する
• WPA2またはWPA3を使用する
• ルーターやアクセスポイントを最新状態に保つ
• 管理画面の初期パスワードを変更する
• 必要に応じて通信速度や利用時間を制限する

設定後は、実際にスマートフォンを来客用Wi-Fiへ接続して確認します。

インターネットへ接続できることだけでなく、複合機、NAS、監視カメラ、ルーターの管理画面へ接続できないことも確認します。

来客用Wi-Fiを提供しない判断もある

来客用Wi-Fiは、必ず用意しなければならないものではありません。

利用頻度が低い場合は、来客自身の携帯回線や、必要なときだけ貸し出すモバイルルーターで対応する方法もあります。

大切なのは、運用を曖昧にしないことです。

提供するのであれば、安全に提供できる構成を用意する。

提供しないのであれば、社員がその場の判断で社内Wi-Fiのパスワードを伝えないよう周知する。

このルールだけでも、不要なリスクを減らせます。

TrusKiteが支援できること

TrusKiteでは、現在使用しているルーターやアクセスポイントを確認し、必要以上に複雑にせず、社内用と管理外端末用のネットワークを分離します。

主な支援内容は次のとおりです。

• 現在のネットワーク構成確認
• 社内用と来客用Wi-Fiの設計
• VLANやゲストネットワークの設定
• 社内LANへの通信遮断
• 来客端末同士の通信遮断
• ルーターやアクセスポイントの選定
• Yamaha機器を使用した構成設計
• 構成図や管理情報の整理
• 導入後の遠隔保守

既存機器で対応できる場合もあれば、対応機器への変更が必要な場合もあります。

まずは現在の構成を把握し、守るべき機器と、接続させる必要のない端末を分けることが重要です。

人を疑うのではなく、端末を分ける

来客も従業員も、自分の端末が完全に安全であると証明することはできません。

会社側も、私物端末や来客端末の状態を管理できません。

だから、最初から接続先を分けます。

会社が管理する端末は社内Wi-Fiへ。

来客端末と従業員の私物端末は、インターネット専用のWi-Fiへ。

この境界があれば、社員も接続先に迷いません。

来客にも安心してWi-Fiを案内できます。

便利さをなくすのではなく、安全に使える形へ整える。

それが、社内Wi-Fiと来客用Wi-Fiを分ける理由です。

※ネットワーク分離の方法や利用できる機能は、ルーター、スイッチ、無線LANアクセスポイントの機種によって異なります。

※来客用Wi-Fiを分離しても、すべての不正アクセス、マルウェア感染、情報漏えいまたは通信障害を防止できるものではありません。