「UTMを導入しているので、認証まわりの対策は不要です」「ウイルス対策ソフトを全端末に入れているから大丈夫」というお話をよくいただきます。
結論からお伝えすると、UTM・エンドポイント対策と、多要素認証（2要素認証）は、そもそも守っている「場所」が違います。どちらか一方があれば他方が不要になる、という関係ではありません。この記事では、それぞれが実際に守っている領域を整理し、なぜ認証の対策が別途必要なのかを解説します。
先に結論：3つの対策は「守る場所」が違う
- UTM（統合脅威管理）：社内ネットワークと外部（インターネット）との境界を守る
- エンドポイント対策（ウイルス対策ソフト）：PCやサーバーという端末上での不正なプログラムの実行を防ぐ
- 認証（多要素認証・2要素認証）：「今ログインしようとしているのが本人かどうか」を確認する
この3つは、それぞれ異なる攻撃の入口に対応しています。1つを強化しても、他の入口はそのまま空いています。
UTMが守っているもの
UTM（Unified Threat Management：統合脅威管理）は、ファイアウォール・不正侵入検知・Webフィルタリングなど複数の機能を1台にまとめ、社内ネットワークとインターネットの境界で通信を監視・遮断する仕組みです。
たとえるなら、建物の「入口の警備員」にあたります。不審な訪問者や、明らかに怪しい荷物を検知して入口で止める役割です。
UTMが防げないもの
UTMは通信の内容やパターンを見て不審なものを検知しますが、「正規のID・パスワードを使った、正規の手順によるログイン」は、そもそも不審な通信には見えません。攻撃者が盗んだID・パスワードでVPN経由やリモートデスクトップ経由にログインしてきた場合、その通信は「いつもの社員が、いつもの方法でアクセスしている」ように見えてしまいます。
つまり、境界を突破する手口が「正面から鍵を開けて入ってくる」形である場合、境界の警備だけでは気づけません。
エンドポイント対策（ウイルス対策）が守っているもの
ウイルス対策ソフトやEPP（Endpoint Protection Platform）は、PC・サーバーという端末上で、不正なプログラムが実行されるのを検知・阻止する仕組みです。
たとえるなら、建物の中に入られた後の「不審物検査」にあたります。持ち込まれた不審なファイルや、実行されようとしている不正なプログラムを検知します。「不正アクセス検知システム」「IDS/IPS」といった、通信やログの異常を検知する製品も同様に、「侵入されたこと・侵入されようとしていること」を検知する仕組みであり、認証（本人確認）とは役割が異なります。
エンドポイント対策が防げないもの
攻撃者が盗んだID・パスワードで正規にログインしてきた場合、ウイルスファイルを一切使わずに、正規のツール（リモートデスクトップ、管理者権限での操作等）だけで作業を進めることができます。この場合、実行されているのは「正規のプログラム」であるため、ウイルス対策ソフトの検知対象にはなりません。
近年のランサムウェア被害の多くが、まさにこのパターンです。ウイルスファイルの実行を伴わず、盗まれた認証情報による「正規ログイン」だけで侵入から暗号化までが完了するケースが繰り返し報告されています。具体的な事例は ID・パスワード漏洩の実例と対策で紹介しています。
認証（多要素認証）が守っているもの
多要素認証（2要素認証）は、ログインしようとしている人が、本当に本人かどうかを確認する仕組みです。
たとえるなら、建物の中の「重要な部屋の鍵」にあたります。入口の警備をすり抜けて建物の中に入られても、鍵がなければ重要な部屋には入れません。
ID・パスワードだけの認証では、そのパスワードさえ知っていれば誰でも「本人」として扱われてしまいます。多要素認証を導入していれば、パスワードが漏洩しても、それだけではログインできません。攻撃者は「本人が持っているもの」（スマートフォンや専用デバイス）まで用意する必要があるためです。詳しくは 多要素認証（MFA）とは？で解説しています。
なぜ「UTM・EPPがあるから認証は不要」という誤解が生まれるのか
この誤解が生まれる背景には、次のような事情があると考えられます。
- 「攻撃＝ウイルス」というイメージが強い — 実際には、ウイルスを使わない「正規ログイン型」の侵入が増えています
- セキュリティ対策済み＝境界とエンドポイントの対策済み、という認識で止まっている — 認証は「便利機能」であって「セキュリティ対策」だと認識されにくい
- 導入コスト・運用の手間を避けたい — 追加の対策は後回しにされがちです
しかし、境界とエンドポイントを固めるほど、攻撃者は正規のログインを狙う方向にシフトします。UTM・EPPの対策が進んでいる企業ほど、実は「盗まれた認証情報による正規ログイン」への対策が相対的に手薄になりやすいという逆説があります。
ゼロトラストの考え方との関係
近年提唱されている「ゼロトラスト」は、「社内ネットワークの内側だから安全」という前提を置かない考え方です。境界を守るだけでなく、ユーザーが本人かどうか、その都度確認することが前提になります。
UTMによる境界防御は、この前提のもとでは「最初の壁」の一つに過ぎません。境界の内側であっても、ログインのたびに本人確認を行う仕組み（認証）が組み合わさって初めて、実質的な防御になります。
3つの対策の関係を一覧で整理
- UTM：外部からの不審な通信・侵入を境界で検知・遮断する ／ 正規のログインには反応しない
- エンドポイント対策：端末上での不正なプログラムの実行を検知・阻止する ／ 正規ログイン後の正規ツールでの操作は検知できない
- 認証（多要素認証）：ログインしてきた相手が本人かどうかを確認する ／ 通信内容やプログラムの善悪は判断しない
3つとも、互いの弱点を補完する関係にあり、どれか1つで他を代替することはできません。ランサムウェア対策全体としての位置づけは ランサムウェア対策は「入口対策」だけでは不十分な理由もあわせてご覧ください。
特にOSログイン（Windows PC・サーバー）が見落とされやすい
UTM・EPPを導入している企業でも、Windows PCやWindows ServerへのOSログインそのものは、ID・パスワードのみというケースが非常に多く見られます。クラウドサービスの認証は強化されていても、社内サーバーの入口が手薄なままになっているのです。
しかし、実際に会計データ・顧客情報・共有ファイルが保管されているのは、まさにそのサーバーです。導入方法は Windows OSログインの2要素認証とは？で解説しています。
よくある質問
Q. UTMを導入していれば、不正アクセスはブロックされませんか？
A. 通信内容から見て明らかに不審なものは検知できますが、盗まれた正規のID・パスワードによるログインは「正規の通信」に見えるため、UTMだけでは検知が困難です。
Q. 全端末にウイルス対策ソフトを入れています。それでも足りませんか？
A. ウイルス対策ソフトは「不正なプログラムの実行」を検知するものです。攻撃者が正規のツールだけを使って操作する場合、検知の対象になりません。認証は、この隙間を埋める別のレイヤーの対策です。
Q. どちらか一方に投資を集中させるべきですか？
A. いいえ。境界・端末・認証は互いに守備範囲が異なるため、どれか一つに集中させると、他の領域が手薄になります。特に認証は、他の対策と比べて比較的低コスト・短期間で導入できるため、優先度の高い投資先になり得ます。
Q. 何から確認すればよいですか？
A. まずは自社のサーバー・重要PCへのログインが、ID・パスワードのみに依存していないかを把握することから始めるのが確実です。
自社の状況を確認する
UTM・エンドポイント対策を導入済みの企業様こそ、認証まわりが手薄になっていないかを確認する価値があります。applippliの無料診断では、約3分の質問に回答するだけで、自社のWindows PC・サーバーのログインがID・パスワードのみに依存していないかを判定し、 SCS評価制度への対応状況もあわせてPDFレポートでお届けします。