>
>
公開日
最終更新日
Wi-Fiのセキュリティは、通信の暗号化と利用者・端末の認証で、盗聴や不正接続を防ぐ仕組みです。社内無線LANでは、対応端末がそろうならWPA3、既存端末との互換性が必要ならWPA2-AES（認証方式はPSKまたはEnterprise、暗号スイートはCCMP/AES）を基準に選びます。
現在の方式は、Windows・Androidでは接続中ネットワークの詳細、MacではWi-Fiの詳細情報で確認します。iPhoneでは警告表示を確認し、詳しい方式はルーターや無線LAN管理画面のSSID設定と照合します。
個人・小規模事業者の方は「今使っているWi-Fiは安全か確認する方法」で端末別の確認手順と警告表示への対処を、情シス担当者は「企業Wi-Fiセキュリティの設定と対策手順」で共通パスワード運用からの移行、証明書認証、ネットワーク分離を読み進められます。
Wi-Fiセキュリティとは？
Wi-Fiセキュリティとは、無線LANの通信内容を暗号化し、接続を許可する端末やユーザーを認証する仕組みです。
本記事のポイント
WEPやWPAは既知の脆弱性により業務利用には適さず、最低ラインはWPA2-AES、端末とアクセスポイントが対応する環境ではWPA3を選択肢にします
Wi-Fi 7全般では、利用帯域、認証プログラム、製品実装ごとに対応条件を確認します
企業では共通パスワードの継続利用を減らし、WPA3-EnterpriseまたはWPA2-EnterpriseとEAP-TLS（証明書認証）の組み合わせを移行先の候補にします。
サポート終了ルーターは通信速度の問題だけでなく、侵入やボット化の入口になり得ます
Wi-Fiは電波が壁の外まで届くため、有線LANよりも「誰が近くで盗聴・接続を試みているか」を把握しにくい通信手段です。暗号化が弱い場合、通信内容の傍受、社内ネットワークへの不正侵入、なりすましアクセスポイントへの誘導が発生します。
Wi-Fi CERTIFIED 7（Wi-Fi Alliance公式）は、Wi-Fi 7対応機器の相互接続性を確認する認証プログラムで、企業がアクセスポイントを更新する際の選定材料の一つになります。ただし、Wi-Fi 7対応であること自体が全帯域・全構成で同じ認証要件を意味するわけではありません。古い端末を残したまま最新APだけを導入する場合は、端末の対応状況によってSSID分離や移行モードの利用期間を決めます。
総務省の無線LAN（Wi-Fi）のセキュリティに関するガイドラインについて、令和6年版 情報通信白書は、2024年（令和6年）3月に利用者向けの簡易マニュアルを「自宅Wi-Fi利用者向け」と「公衆Wi-Fi利用者向け」に分けたと説明しています。2026年10月時点の掲載ページでは、両マニュアルの令和7年2月版を公開しています。自宅Wi-Fi利用者向け簡易マニュアルでは、サポート期限内のWi-Fiルーターの利用とファームウェアの最新化をポイントに挙げています。地方公共団体向け情報セキュリティポリシーガイドラインは地方公共団体を対象とする文書です。無線LANの認証要件やクライアント証明書の扱いは、対象となるネットワーク区分・利用形態で記載が異なるため、民間企業の設計へそのまま必須要件として転用せず、原文の該当章と自社の認証要件を照合します。
読者別の到達点
対象 | まず満たすべき基準 | 次の一手 |
|---|---|---|
個人・テレワーカー | WPA2-AES以上、古いフリーWi-Fiを避ける | OSでセキュリティ表示を確認し、警告が出るSSIDへ接続しない |
50名未満の企業 | 家庭用ルーター流用の有無とサポート期限を把握し、WPA3対応機器への更新可否を判断する | ゲストSSID分離とファームウェア自動更新を設定する |
50〜300名の企業 | 共通パスワード運用を段階的に廃止する | MDMとクラウドRADIUSで証明書認証を導入する |
300名超・多拠点企業 | Wi-Fiを社内だから安全な領域と扱わない | WPA3-EnterpriseまたはWPA2-Enterprise、VLAN、ZTNAを組み合わせる |
Wi-Fi設定の棚卸しでは、管理外APと私物ルーターを別項目として記録します。
▶ 関連記事: WLANとは？Wi-Fiとの違いや法人向け選定ポイントを徹底解説
今使っているWi-Fiは安全か確認する方法
Wi-Fiの安全性チェックでは、接続中の端末でセキュリティの種類を確認し、WPA2-AESまたはWPA3以外なら利用目的と端末互換性に応じて接続先を見直します。
Wi-Fiの安全性を確認する際、最初に見るべき項目はSSID名ではなく「セキュリティの種類」です。オープン、WEP、WPA、TKIPと表示されるネットワークは業務利用に適しません。
Windows 11・Windows 10
タスクバーのWi-Fiアイコンを選び、接続中のネットワークを開く
Windows 11は「プロパティ」または「ハードウェアのプロパティ」を開く
Windows 10は「ネットワークとインターネットの設定」から接続中SSIDのプロパティを開く
「セキュリティの種類」にWPA2-Personal、WPA3-Personal、WPA2-Enterpriseなどが表示される場合がある
Windowsの画面では、OSのバージョンや無線LANドライバーによって暗号スイートまで表示されない場合があります。その場合はコマンドプロンプトでnetsh wlan show interfacesおよびnetsh wlan show driversを実行するか、無線LANコントローラー、ルーター、MDMのSSID設定画面を参照します。端末側と設定側の表示が、WPA2-AES以上（認証方式がPSKまたはEnterprise、暗号スイートがCCMP/AES）で一致したSSIDだけを業務利用の候補にします。不一致または確認不能なら、設定台帳で照合が済むまで業務用SSIDへの接続を保留します。
Mac
メニューバーのWi-FiアイコンをOptionキーを押しながらクリックする
接続中SSIDの詳細情報を表示する
「セキュリティ」欄でWPA2、WPA3、Enterpriseなどを確認する
macOSのバージョンによっては「システム設定」からWi-Fiの詳細を開く方が確認しやすい場合があります。警告表示が出るSSIDは、暗号化方式かルーター設定が古い可能性があります。端末画面で方式を特定できない場合は、MDMで配布したWi-FiプロファイルまたはアクセスポイントのSSID設定を確認し、端末とネットワーク側の表示が一致するかで判断します。
iPhone・iPad
「設定」から「Wi-Fi」を開く
接続中SSIDの右側にある情報アイコンを選ぶ
「安全性の低いセキュリティ」などの警告がないか確認する
iOSは詳細なWPA種別を常に表示するわけではありません。警告が出る場合はルーター側でWPA2-AESまたはWPA3へ変更し、企業端末ではMDMプロファイルで接続先SSIDを制御します。MDMのWi-Fiペイロードまたは無線LAN管理画面で設定方式を確認できれば、端末上の警告が出ない理由も追跡できます。
Android
「設定」から「ネットワークとインターネット」または「接続」を開く
接続中のWi-Fiを選び、歯車アイコンや詳細情報を開く
「セキュリティ」欄でWPA2、WPA3、なし等を確認する
Androidはメーカーにより表示名が異なります。「なし」「WEP」「WPA/WPA2 TKIP」と表示される場合、その接続上でのログイン操作、認証情報の入力、機密情報や個人情報の送受信は避けます。業務システム、クラウドストレージ、メール、生成AIツールへのアクセスも同様です。方式が表示されない機種では、ルーターまたはMDMのSSID設定を確認し、WPA2-AES以上と判明したSSIDだけを業務用プロファイルに登録します。
Wi-Fiセキュリティの種類と選び方
Wi-Fiセキュリティの種類は、端末互換性と利用目的を分けて選びます。WPA3-Onlyは対応端末をそろえられる業務用SSIDの候補であり、非対応端末を残す場合は別SSIDとVLANで扱う構成が判断しやすくなります。
Wi-Fiのセキュリティ設定で利用者が迷いやすい点は、OSの画面上で暗号化方式と認証方式が混在して表示されることです。以下の表では、家庭・法人の判断に必要な単位で整理します。
表示される種類 | 安全性 | 現在の扱い | 推奨判断 |
|---|---|---|---|
オープン、暗号化なし | 危険 | 通信が暗号化されない。ただしOWE（Enhanced Open／Wi-Fi CERTIFIED Enhanced Open）を使うアクセスポイントでは接続ごとに鍵を交換して通信を暗号化するため、同一表示でも認証なし平文とは異なる。AP設定画面で「OWE」「Enhanced Open」と表示されているか確認し、表示がなければ平文オープンとして扱う | OWEと確認できない場合は個人情報や業務利用で接続しない |
WEP | 危険 | RC4を使う旧規格で短時間に解読される | 停止時期を決め、機器更新を進める |
WPA、WPA-TKIP | 非推奨 | WEPの暫定後継で脆弱性が多い | 代替SSIDまたは機器更新へ移行する |
WPA2-Personal AES | 標準 | 家庭や小規模環境で広く利用 | 最低ライン。強いパスワードが前提 |
WPA2-Enterprise | 高い | RADIUSでユーザーまたは端末を個別認証 | 既存の認証基盤と端末対応が整う法人で現実的な選択肢 |
WPA3-Personal | 高い | SAEにより辞書攻撃耐性を強化 | 個人・小規模で対応端末を確認して選ぶ |
WPA3-Enterprise | 高い | RADIUSで個別認証 | 認証基盤・端末・APの対応状況を確認した企業の移行先候補 |
WPA3-Onlyは端末の対応状況を確認して選ぶ
WPA2/WPA3混在のTransition Modeは、古い端末を残した移行期には便利です。ただし、恒久設定として扱うかは端末更新計画と脆弱性対応状況で判断します。重要な業務PC用SSIDでWPA3-Onlyを採用できるなら、プリンターやIoTなどのレガシー端末はWPA2専用SSIDに分け、VLANとファイアウォールで社内本番環境から切り離します。WPA3-Only化の前には、旧型スマートフォン、プリンター、スキャナー、IoT機器、古い無線LANアダプターを台帳化し、接続試験で非対応機器を特定します。
AP更新時は利用帯域と端末の対応状況を照合する
AP更新計画では、利用予定の帯域、アクセスポイントの設定画面、クライアント端末のWPA3対応状況を照合します。6GHzで接続できた対応端末は業務用SSIDへ移し、それ以外は既存帯域での分離運用を続けます。
▲ 利用環境と端末の対応状況に応じたWi-Fiセキュリティ規格の選び方フローです。
SSIDとネットワークセキュリティキーの正しい管理
SSIDは表札、ネットワークセキュリティキーは鍵であり、鍵を全員で共有する運用は企業規模が大きくなるほど変更・失効の手間を増やします。
SSIDはWi-Fiネットワークの名前です。ネットワークセキュリティキーは接続時に入力するパスワードで、暗号化にも使われます。SSID名を工夫しても、キーが弱い、または退職者や来訪者に共有されたままなら安全性は下がります。
初期SSID・初期キーの放置を避ける
ルーター本体のラベルに印字された初期キーは、来訪者や委託業者の目に入る可能性があります。SOHOや小規模拠点では、初期管理者パスワードとWi-Fiキーを導入時に変更し、管理画面へのリモートログインを無効化します。パスワードは短い単語ではなく、十分に長いランダム文字列を使います。
SSIDステルスは安全対策として採用しない
SSIDを非表示にすると、端末側が過去に接続したSSIDを探すための信号を周囲へ出し続ける場合があります。攻撃者が同名のなりすましAPを用意すると、端末を誘導しやすくなります。SSIDステルスは管理の手間を増やす割に防御効果が低く、企業では証明書認証と接続先制御で対処します。AppleもWi-Fiルーターとアクセスポイントの推奨設定で、ネットワーク名を非表示にしても不正アクセスから保護されるわけではないとして、非表示ネットワークを無効にする設定を推奨しています。
公衆Wi-FiではOpenRoamingも選択肢になる
カフェや駅のフリーWi-Fiでは、正規SSIDと似た名前のエビルツインに接続してしまう事故が起きます。Wireless Broadband Allianceが推進するOpenRoamingは、事前登録したIDや証明書で対応スポットへ自動接続する仕組みです。対応エリア、利用できるIDプロバイダー、端末の対応状況は地域やサービスで異なります。出張・サテライトオフィスで利用する場合は、利用予定地点の提供状況と端末のプロファイル配布可否を確認し、対応が確認できれば管理済み接続先の一つとして運用方針に加えます。
Wi-Fiを狙う最新脅威と2026年の注意点
2026年のWi-Fiリスクは盗聴だけでなく、古いルーターのボット化、なりすましAP、シャドーITによる管理外通信まで含めて評価します。
公衆Wi-Fiへの不安は利用者側にも広がっている
総務省は令和7年版 情報通信白書で、公衆無線LANを利用していない理由とセキュリティ上の不安に関する調査項目を掲載しています。同白書によると、総務省が2024年11月に実施した意識調査では、公衆無線LANを利用していない最多の理由として6割程度が「セキュリティ上の不安がある」と回答し、公衆無線LAN利用者の9割弱がセキュリティ上の不安を感じています。リモートワーク端末を公衆Wi-Fiへ自由に接続させる運用では、従業員の不安と企業の漏洩リスクの両方を考慮します。
古いルーターは踏み台化される
サポート終了後のルーターは脆弱性修正が提供されないため、既知の弱点が残ったまま運用されることになります。CISAはサポート終了SOHOルーターを悪用した、中国の国家支援を受けたサイバー攻撃グループVolt Typhoonの活動について、2024年2月に注意喚起（AA24-038A）を発行しています。デジタルライフ推進協会（DLPA）は2026年2月にDLPA推奨ルーター2を策定し、Web設定画面の初期パスワード強固化やSSID・暗号化キーの機器固有化を要件として掲げています。
エビルツインとセッションハイジャック
HTTPSは、ブラウザが証明書を正しく検証できる場合に通信内容の復号を困難にしますが、偽APへ接続した端末には別の経路でリスクが生じます。第一に、攻撃者がSSL/TLS証明書の警告を無視させるフィッシングページへ誘導する場合、利用者が警告を見落とすと認証情報を入力してしまいます。第二に、証明書の検証を省略するアプリや、警告を承諾して接続を続ける設定では中間者攻撃が成立し、証明書ピニングは検証に加えて接続先を限定する追加対策にあたります。第三に、CookieにSecure属性がなくHSTSも未設定のサイトでは、利用者がHTTPのURLへ接続した時点でCookieが平文送信されるおそれがあり、HttpOnlyやSameSiteは盗聴対策ではなく、スクリプトからの読み取りや他サイト経由の送信を抑える属性です。Secure属性が付いたCookieはHTTP接続では送信されないため、HTTPSだけで通信しているサイトでは、この経路でCookieが平文化することはありません。攻撃者は正規SSIDに似た名称を使い、これらの経路を組み合わせてログイン画面の偽装やCookie窃取を試みます。企業端末では、許可SSIDの配布、VPNまたはZTNA経由の接続、危険SSIDへの自動接続禁止を組み合わせます。
企業・情シスが陥りやすい失敗パターン
Wi-Fiセキュリティで避けたい運用は、共通パスワードへの依存、Transition Modeの恒久利用、MACアドレス制限を認証の代替として扱うことです。
失敗①：PSKの共有変更で乗り切ろうとする
WPA2-PersonalやWPA3-Personalは、1つのパスワードを全員で共有するPSK方式です。共有PSKでは端末単位で失効できないため、退職者が出た場合や端末の紛失・漏えい疑義が生じた際に、端末ロックやMDM遠隔消去の状況によっては全端末のパスワード変更が必要になり得ます。端末台数が増えるほどPSK再設定の作業コストは増大するため、運用体制・既存端末のEAP対応状況・予算を確認したうえで、証明書単位で失効できるEAP-TLSへの移行を検討します。まず端末台帳とMDMの配布対象を突き合わせ、一致した端末群で限定検証を始めます。台帳が整わない間は、SSID分離とPSK変更手順の整備を先行させます。
失敗②：WPA2/WPA3移行モードを安全だと誤解する
Dragonbloodを報告した研究者は公開資料（Dragonblood）で、Transition Modeでは攻撃者が用意したWPA2専用の偽ネットワークへWPA3対応端末を接続させ、取得したハンドシェイクからパスワードの総当たり・辞書攻撃を試みる手口を示しています。JVNは2019年4月、WPA3の鍵交換（SAE）などに存在し、パスワード情報の取得やサービス運用妨害につながる「Dragonblood」と呼ばれる複数の脆弱性をJVN脆弱性情報（JVNVU#94228755）で公表しており、ファームウェア版数の確認は、この脆弱性への修正が適用済みかを見る作業になります。AP・クライアントのファームウェア版数とWPA3対応状況を確認したうえで移行モードには期限を設け、業務用SSIDでWPA3-Onlyを採用できる端末群から移行します。
失敗③：ゲストSSIDを作っただけで分離したつもりになる
マルチSSIDを作成しても、VLANやアクセス制御リストの設定が誤っていれば、来訪者端末から社内ファイルサーバーが見える状態になります。ゲストネットワークはインターネット出口のみ許可し、社内アドレス帯への到達を実機で確認します。疎通テストで社内アドレス帯に到達できたSSIDは、VLAN、ルーティング、ACLのいずれかを修正してから公開し、到達できなかったものだけを運用へ入れます。
失敗④：MACアドレス制限とSSIDステルスに頼る
MACアドレスは傍受と偽装が可能で、さらにiOSやAndroid、Windowsではプライベートアドレス機能が標準化しています。MACアドレス制限は棚卸し補助にはなっても、認証の代替にはなりません。接続可否は端末証明書、ユーザーID、デバイス準拠状態で判断します。
失敗⑤：家庭用ルーターをオフィスで使い続ける
バッファローの家庭用Wi-Fiルーター業務利用調査（バッファロー公式プレスリリース）は、2023年3月に従業員50名未満の企業の経営者・役員106名を対象にしたインターネット調査で、家庭用Wi-Fiルーターを使用している（業務用との併用を含む）企業が72.7%だったと公表しています。ただし、この調査結果を2026年時点の利用実態を示す数値として扱うことはできません。オフィスの無線LANは、同時接続数、管理機能、認証方式、ログ保全、サポート期限を自社の端末台数と業務要件に照らして確認します。管理画面から更新履歴と監査ログを取得できない機器は、法人向け管理機能を持つ機種への更改候補として扱います。
企業Wi-Fiセキュリティの設定と対策手順
企業のWi-Fiセキュリティ対策は、棚卸し、暗号化方式の更新、証明書認証、ゼロトラスト接続の順に進めると端末互換性の問題を切り分けやすくなりますが、EAP-TLS・ZTNA・SASEはMDMやRADIUSの運用負荷を伴うため、50名未満の組織はサポート期間内のAP、WPA2のCCMP以上、管理者パスワードの変更、更新担当者の決定、ゲストSSID分離を先に整え、共通パスワードの失効作業が実際に負担になった段階で導入を判断します。
フェーズ別の実行計画
時期 | 実施内容 | 完了条件 |
|---|---|---|
1週目 | 全APのメーカー、型番、設置場所、SSID、暗号化方式、EOL日を台帳化 | 管理外APがゼロになる |
2〜4週目 | WEP、WPA、TKIP、オープンSSIDを停止 | 最低でもWPA2-AESへ統一 |
1〜3カ月 | 業務用SSIDをWPA3-OnlyまたはWPA2/WPA3-Enterpriseへ移行 | PSK共有を主要端末から廃止 |
3〜6カ月 | MDM、クラウドPKI、RADIUSを連携しEAP-TLSを展開 | 紛失端末は証明書失効だけで遮断可能な構成を検証する |
6カ月以降 | ZTNA、SASE、VLANでアクセス先を最小化 | 社内Wi-Fi接続だけでは重要システムへ入れない |
WPA3-EnterpriseとEAP-TLSを導入する
地方公共団体向け情報セキュリティポリシーガイドラインの無線LANに関する記載は、対象となる地方公共団体のネットワーク区分と運用を前提にしています。民間企業では、退職者や私物端末を個別に排除する必要があり、端末管理と認証基盤を連携できる場合にEAP-TLSが有効な選択肢になります。Microsoft Intune、Jamf ProなどのMDMからWi-Fiプロファイルと証明書を配布し、RADIUS側で証明書の有効性を検証します。段階展開の判断材料は、MDMの証明書配布履歴、RADIUSの認証ログ、失効後の再接続試験の3点です。いずれかが取れない間は検証用SSIDを維持し、PSKからの全面移行は見送ります。
社内Wi-Fiを信頼済み領域にしない
従来のVPNは端末全体の通信をトンネルで包み、社内ネットワークへのルーティングを確立します。一方、ゼロトラスト・ネットワーク・アクセス（ZTNA）は接続元が社内Wi-Fiであっても無条件に信頼せず、特定のアプリケーションやリソースへのアクセスを都度評価する設計です。ZTNAでは端末証明書、ユーザー認証、端末の準拠状態、アクセス先アプリの権限を評価し、許可された通信のみを通します。端末全通信をまとめて保護したい場合はVPN、アプリ単位でアクセス制御したい場合はZTNAと、保護対象範囲と管理粒度で使い分けを判断します。ファイルサーバー、会計、人事、開発環境はネットワーク到達性だけで入れない設計にします。
情シス向けチェックリスト
全APのEOL日を管理台帳に記録した
WEP、WPA、TKIP、暗号化なしSSIDを停止した
業務用SSIDをWPA3-OnlyまたはEnterpriseへ移行した
レガシー端末用SSIDをVLANで隔離した
ゲストSSIDから社内アドレス帯へ到達できないことを確認した
MDMで許可SSIDと証明書を自動配布している
ファームウェア自動更新または定期更新の責任者を決めた
公衆Wi-Fi利用時のVPN、ZTNA、OpenRoaming方針を文書化した
▲ 企業のWi-Fiセキュリティ対策を段階的に強化する5つのフェーズです。
導入事例で見る証明書認証とゼロトラスト移行
公開事例では、Wi-Fi単独の更改ではなく、MDM、証明書、クラウドセキュリティを組み合わせて運用する構成が紹介されています。事例ごとに対象範囲、導入構成、効果測定の条件が異なるため、自社計画へ転用する際は分けて読み取ります。
証明書自動配布の構成例：Jamf ProとSecureW2（ベンダー公開手順）
業種・規模：ベンダーが公開する設定手順（導入企業の事例ではありません）。導入時期：記載なし。課題：数百〜数千台のMacBookやiPhoneへ、Wi-Fi接続用証明書を手動インポートする運用は現実的ではありません。施策：SecureW2はJamf Pro向けの設定ガイドで、自社PKIのSCEPゲートウェイとJamf Proを連携し、macOS・iOS端末へクライアント証明書とEAP-TLSのWi-Fiプロファイルを配布する手順を公開しており、Microsoft Intuneなど他のMDMにも対応するとしています。成果：証明書認証では、ユーザーが共有パスワードを入力せずに接続する設計や、端末単位での証明書失効を目指せます。実装可否はMDM、PKI、RADIUSそれぞれの連携仕様と失効後の認証ログで変わるため、SCEP配布履歴と失効試験の結果から限定展開の範囲を決め、手動配布が残る端末は暫定運用の工数を別に見積もります。
キングランリニューアル株式会社：クラウド無線LANで運用負荷を削減
業種・規模：建設業。施策：キングランリニューアル株式会社のHypersonix導入事例（網屋公式）では、クラウド管理型無線LANにより設定更新と障害対応を外部運用と組み合わせました。成果：障害時もクラウド経由で遠隔対応でき、情シスの業務負担軽減にもつながったと紹介しており、地方支店の無線LANの切り替えも検討中とされています。自社で同様の運用を検討する場合は、設定変更の権限分担、ログの保管先、障害時の連絡経路を契約条件と管理画面で確認します。
▲ MDM・クラウドPKI・RADIUSを連携した証明書認証（EAP-TLS）の通信構成です。
よくある質問
Wi-Fiセキュリティの疑問は、暗号化方式、確認方法、企業利用時の認証方式に分けると判断しやすくなります。
Q：Wi-Fiセキュリティとは何ですか？
A：Wi-Fiセキュリティとは、無線LAN通信を暗号化し、許可された端末やユーザーだけを接続させる仕組みです。最低ラインはWPA2-AESで、企業の移行先は証明書認証を組み合わせたEnterprise方式です。
Q：Wi-Fiのセキュリティ確認方法は？
A：WindowsやAndroidでは接続中Wi-Fiの詳細画面で「セキュリティの種類」を確認できる場合があります。MacはWi-Fi詳細情報、iPhoneは「安全性の低いセキュリティ」などの警告表示を確認します。方式が表示されない場合は、ルーターやMDMのSSID設定で照合します。
Q：Wi-Fiセキュリティの種類はどれが良いですか？
A：個人利用では、対応端末がそろうならWPA3-Personal、非対応端末が残るならWPA2-AESを選びます。企業利用では共通パスワード方式への依存を減らし、WPA3-EnterpriseまたはWPA2-EnterpriseでEAP-TLSを使う構成を、認証基盤と端末管理の状況に応じて検討します。
Q：公衆Wi-FiはHTTPSなら安全ですか？
A：HTTPSは通信内容の保護に有効ですが、偽APへの誘導やセッションハイジャックのリスクは残ります。業務端末では許可SSID、VPNまたはZTNA、必要に応じてOpenRoamingを組み合わせます。
Q：WPA2/WPA3移行モードを使い続けても問題ありませんか？
A：移行モードは古い端末を残すための暫定設定として扱います。重要な業務用SSIDでWPA3-Onlyを採用できるかは、端末、プリンター、IoT、無線LANアダプターの接続試験で判断します。非対応端末が確認された場合は、別SSIDとVLANで分離して更新時期を決めます。
まとめ
Wi-Fiセキュリティの最初の一歩は、今接続しているSSIDの暗号化方式を確認し、WEP、WPA、TKIP、暗号化なしを業務利用から外すことです。企業では次に、全アクセスポイントの型番とEOL日を台帳化し、端末・AP・認証基盤の対応状況に応じてWPA3-EnterpriseまたはWPA2-Enterpriseと証明書認証へ移行します。
着手時は、以下のアクションを台帳と設定画面の記録を残しながら進めます。
✅ 社内APの暗号化方式とファームウェアバージョンを確認する
✅ WEP・WPA・TKIP・暗号化なしのSSIDを停止する
✅ 全APの型番・設置場所・EOL日を台帳に記録する
✅ ゲストSSIDから社内アドレス帯へ到達できないことを実機で確認する
✅ 管理者パスワードと自動更新の担当者を決める
台帳、端末互換性の検証結果、認証ログを突き合わせると、古いルーターのリプレース、PSK共有の廃止、ZTNA連携の優先順位が見えてきます。証明書認証は端末・MDM・RADIUSの記録が揃った環境から限定導入し、記録を取れない拠点ではSSID分離と更新管理を先行させます。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
