セキュリティ機器の営業から「UTMは義務化される」「導入しないと罰則がある」と言われ、本当だろうかと確かめたくなっていませんか。背景には、2022年4月に全面施行された改正個人情報保護法で、情報漏えい時の報告が義務づけられたことがあります。この法改正とサイバー攻撃の増加が結びつき、「UTMの義務化」という言葉が広まりました。
しかし、UTM（統合脅威管理：ファイアウォールやウイルス対策などを1台にまとめたネットワークセキュリティ機器）の導入そのものが法律で義務づけられているわけではありません。では、本当に義務なのは何で、自社は結局どこまで対応すればよいのでしょうか。
本記事では、UTMの導入が義務か・未導入に罰則があるかという結論をまず示します。そのうえで、法律で本当に義務になっていること、義務ではなくても対策が求められる場面、中小企業が実際に取り組むべきことを整理します。営業トークに流されず自社で判断するための材料としてご活用ください。
目次
一括ダウンロードする
UTMの導入を義務づける法律はない（未導入の罰則もない）
結論から述べます。現時点で、UTMの導入を企業に義務づける法律はありません。導入していないこと自体を理由に罰則が科されることもありません。
個人情報保護法（個人情報の保護に関する法律）は、個人データの安全管理のために「必要かつ適切な措置」を講じることを求めています（第23条）。ただし、ここで求められているのは安全を守るための「措置」であって、UTMという特定の機器を導入せよという条文はありません。何をもって適切な措置とするかは、扱う情報の量や性質、事業の規模に応じて各社が判断します。
「不正アクセス禁止法」の名前を挙げて義務を説明されることもありますが、これは不正アクセス行為を行う側を禁止・処罰する法律です。企業にセキュリティ機器の導入を課す法律ではないため、UTMの義務の根拠にはなりません。
では、なぜ「義務化される」という話が広まっているのでしょうか。その正体を次に整理します。
なぜ「UTMが義務化される」と言われるのか
ここでは、「UTMの義務化」という言葉が広まった背景を整理します。多くは、改正個人情報保護法で義務化された内容が、機器の導入義務と取り違えられたことに由来します。
改正個人情報保護法で義務化されたのは「漏えい等の報告・本人通知」
2022年4月に全面施行された改正個人情報保護法で義務化されたのは、個人データの漏えいなどが起きたときの、個人情報保護委員会への報告と、本人への通知です。改正前は努力義務でしたが、一定の事態では報告と通知が義務になりました。この義務は個人情報保護法第26条に定められています。
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。
出典：個人情報の保護に関する法律 第26条｜e-Gov法令検索
報告が必要になるのは、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的によるおそれがある場合、本人の数が1,000人を超える場合などです。これらに当たる漏えいが起きたときに、報告と本人通知の義務が生じます。
この「漏えい時の報告・本人通知が義務になった」という事実が、「セキュリティ対策が義務化された」という理解につながったと考えられます。さらに、その対策の代表格としてUTMの名前が挙げられ、「UTMが義務化される」という話として広まりました。
出典・参考資料（1件）
「漏えい報告の義務」と「UTM導入」は別物
ここで押さえておきたいのは、義務化されたのは「漏えいが起きたときに報告・通知すること」であって、「UTMを導入すること」ではない、という切り分けです。UTMにまつわる主な項目を、法律上の義務か・任意の対策かで整理すると次のようになります。
| 法律上の義務と任意の対策 | 漏えい等の報告・本人通知 | 個人データの安全管理措置 | UTMなど特定機器の導入 | SECURITY ACTION・セキュリティ対策評価制度 | サイバー対処能力強化法 |
|---|---|---|---|---|---|
| 区分 | 法律上の義務 | 法律上の義務 | 義務ではない | 任意 | 対象が限定 |
| 根拠・位置づけ | 個人情報保護法 第26条。一定の漏えい時に個人情報保護委員会への報告と本人への通知が必要 | 個人情報保護法 第23条。「必要かつ適切な措置」を求めるが、特定の機器は指定しない | 法律は機器を名指ししない。安全管理措置を満たす手段の一つ | 取引先要件などで参照されることはあるが、制度上は任意（後述） | 電力・ガス・金融などの基幹インフラ事業者等が対象。中小企業一般の義務ではない（後述） |
※2026年11月時点の法令・各制度の公開情報にもとづく整理です。詳細は後述します。
UTMは、法律が求める安全管理措置を実現する「手段の一つ」ではありますが、法律がUTMそのものを義務づけているわけではありません。この違いを押さえておくと、「義務だから」という説明をそのまま受け取らずに済みます。
法律で本当に義務なのは何か
ここからは、個人情報保護法で実際に義務になっている内容を、条文にもとづいて整理します。UTMの導入ではなく、これらが対応すべき範囲です。
漏えい等の報告・本人通知と、その期限
前述のとおり、一定の漏えい等が起きた場合は、個人情報保護委員会への報告と本人への通知が義務です。報告には期限があり、個人情報保護委員会は次のように案内しています。
出典：漏えい等の対応とお役立ち資料｜個人情報保護委員会
- まずは、速報（新規）発覚日から、3〜5日以内
- 次に、確報（続報）発覚日から、30日以内
- 不正な目的で行われたおそれがある場合は、発覚日から、60日以内
速報は発覚からおおむね3〜5日以内、確報は30日以内が原則で、不正の目的によるおそれがある漏えいでは確報の期限が60日以内となります。解説記事のなかには「確報は2カ月以内」と記載するものもありますが、正しくは上記のとおりです。
個人データの安全管理措置
漏えいが起きる前の平時についても、個人情報保護法は安全管理措置を義務づけています。第23条は、個人データの漏えい・滅失・毀損の防止などのために「必要かつ適切な措置」を講じなければならないと定めています。
この「必要かつ適切な措置」の具体例は、個人情報保護委員会のガイドライン（通則編）に示されています。技術的な措置の一つとして、次のように記載されています。
（3）外部からの不正アクセス等の防止
出典：個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会
個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない。
ここでも求められているのは「外部からの不正アクセス等から保護する仕組みを導入し、運用すること」という結果であり、UTMという特定の製品ではありません。UTMはこの仕組みを満たす手段の一つに当たります。自社にとって何が必要かつ適切かは、扱う情報や体制に応じて判断することになります。
出典・参考資料（1件）
違反した場合の命令と罰則
「違反すると最大1億円の罰金」という説明を見聞きすることがあります。これは事実に即した数字ですが、UTMを導入しないと1億円、あるいは漏えいしたら即1億円、という意味ではない点に注意が必要です。罰則に至るまでには、次の段階があります。
- 安全管理措置や報告などの義務に違反する状態がある。
- 個人情報保護委員会が勧告を行い、従わない場合に是正の命令を出す（第148条）。
- その命令に違反した場合に、罰則が科される（第178条）。
命令に違反した場合の罰則は、個人情報保護法第178条で「一年以下の拘禁刑又は百万円以下の罰金」と定められています。さらに、法人に対しては両罰規定（第184条第1項第1号）により「一億円以下の罰金刑」へ引き上げられます。この「1億円」は、委員会の命令に違反した法人に科される重い罰であって、UTMの未導入に対する罰ではありません。
出典・参考資料（1件）
義務ではなくても対策が求められる場面
法律でUTMが義務づけられていないとしても、実務では対策が求められる場面があります。ここでは、取引先からの要求、業種ごとのルール、基幹インフラ向けの新しい法律の3つを整理します。いずれも「中小企業一般にUTM導入を義務づけるもの」ではない点を押さえておくことが大切です。
取引先からセキュリティ対策を求められる
法律の義務とは別に、取引先からセキュリティ対策の実施状況を確認されることが増えています。サプライチェーンを狙った攻撃が広がっているためで、こうした確認の目安として国の制度が使われることがあります。
取引先を経由して本来の標的に侵入するサプライチェーン攻撃がどのような手口で行われ、取引関係のなかでどう備えればよいかは、以下の記事で手口・被害事例とともに解説しています。
一つは、IPA（情報処理推進機構）の「SECURITY ACTION」です。中小企業が自らセキュリティ対策に取り組むことを宣言する自己宣言制度で、一つ星・二つ星の2段階があります。法的な義務ではなく、取引や補助金申請の前提として参照されることがある任意の取り組みです。
もう一つは、経済産業省が整備を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」です。セキュリティ対策の度合いを段階（★3〜★5）で示す仕組みで、申請受付の開始は2026年度末ごろが予定されています。この制度も、事業者に規制や義務、罰則を課すものではなく任意の制度と説明されています。取引上どう扱うかは当事者間の合意によります。
出典・参考資料（3件）
業種によって所管官庁のルールがある
業種によっては、所管官庁や業界団体がセキュリティ対策の指針を定めている場合があります。たとえば医療機関や金融機関のように、取り扱う情報の重要性が高い業種では、所管官庁の指針で安全管理の対応が求められることがあります。こうした指針も特定の機器を名指しで義務づけるものではありませんが、自社が規制業種に当たる場合は、所管官庁の最新の指針を確認しておくと安心です。
サイバー対処能力強化法（基幹インフラ事業者向け）
2025年には、能動的サイバー防御に関する新しい法律が成立しました。正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」で、「サイバー対処能力強化法」と呼ばれます。令和7年（2025年）5月16日に成立し、同月23日に公布されました。施行は公布から段階的に進められます。
この法律が対象とするのは、電力・ガス・金融などの基幹インフラを担う事業者です。届出やインシデント報告などの枠組みを定めるもので、中小企業一般にUTMの導入を義務づける法律ではありません。「この法律で義務化される」という説明を受けた場合は、自社が対象に含まれるかをまず確認することをおすすめします。
出典・参考資料（1件）
総務省・当局の動向と「今後義務化されるのか」
「総務省が義務化を進めている」という説明もよく聞かれます。ここでは、当局の動向を事実と見通しに分けて整理します。
総務省や経済産業省は、企業のセキュリティ対策を後押しするガイドラインや支援制度を整備してきました。サプライチェーン全体での対策強化や、中小企業の取り組みを促す制度づくりが進んでいるのは事実です。一方で、これらは対策を促す枠組みであって、UTMという機器の導入を一般企業に義務づける段階にはありません。
前述のサイバー対処能力強化法のように、新しい法律や制度が整備されていく流れはあります。ただし現時点で、中小企業一般にUTM導入を義務づける法律の予定は確認できません。「いずれ義務化される」という見通しと、「すでに義務である」という事実は区別して受け止める必要があります。将来の制度変更に備えるなら、国の最新の発表を定期的に確認するのが現実的です。
「義務化されるから今すぐ契約を」という営業トークへの注意
ここまで見てきたとおり、UTMの導入は義務ではありません。そのため「義務化されるから今すぐ契約を」という勧め方には注意が必要です。必要性を自社で判断しないまま契約を急ぐと、不要な出費や、実態に合わない契約につながることがあります。
契約前に確認したい観点
UTMの導入を検討する場合は、契約を決める前に次の点を確認しておくと、後から想定外の負担が生じにくくなります。
- 契約期間と途中解約の可否：UTMはリースや複数年契約で提供されることがあります。契約期間、途中解約ができるか、その条件を確認します。
- 更新時の費用：機器本体の費用だけでなく、ライセンスやサポートの更新費用が継続して発生することがあります。総額で把握します。
- 複数社からの見積もり：1社の説明だけで判断せず、機能・料金・サポート内容を複数社で比べると、相場と自社に合う条件が見えてきます。
「義務だから」ではなく「自社にとって必要かどうか」を軸に判断すれば、営業トークに流されずに済みます。
中小企業は結局何をすべきか
義務ではないとわかったうえで、では自社は何をすればよいのでしょうか。ここでは、基本対策から必要性の判断、そして多層防御という選択肢までを順に整理します。
まずは基本対策から始める
高額な機器を導入する前に、費用をかけずにできる基本対策から着手するのが順当です。具体的には、次のような取り組みです。
- OSやソフトウェアを最新の状態に保つ
- 端末にウイルス対策ソフトを入れる
- 推測されにくいパスワードを設定し、使い回さない
- 重要なデータをバックアップする
- 不審なメールやサイトへの注意を従業員に教育する
これらは被害に遭う入り口を減らす効果が大きく、まず取り組む価値があります。
何から着手し、どの対策にどれくらいの費用をかけるべきか、優先順位と費用の目安まで具体的に知りたい場合は、以下の記事で一覧に整理しています。
必要性で判断する（中小企業が標的になっている実情）
基本対策の次を考えるうえで知っておきたいのが、中小企業が実際に攻撃の標的になっているという事実です。警察庁の調査によると、ランサムウェア攻撃の被害企業のうち、組織の規模別では中小企業が約6割を占めています。
「自社は小さいから狙われない」という前提は、統計上は当てはまりません。IPAが公表する「情報セキュリティ10大脅威 2026」でも、組織向けの脅威の1位はランサム攻撃による被害です。扱う個人情報や取引先の機密情報が多い企業ほど、基本対策に加えて、ネットワークや端末を守る仕組みの必要性が高まります。義務だからではなく、自社が抱えるリスクの大きさから必要性を判断するのが妥当です。
UTMを含む多層防御という選択肢
必要性が高いと判断した場合、対策を1つの手段に頼るのではなく、複数の層で守る「多層防御」の考え方が有効です。UTMはネットワークの入り口でまとめて脅威を防ぎますが、それだけで社内のすべてを守れるわけではありません。
この「入り口だけでは守りきれない」という点は、導入の現場でも課題として挙がっています。中小企業向けにネットワーク内部の脆弱性診断を提供する株式会社SYNCHROの北口氏は、相談で多い理由を次のように説明しています。
すでに対策をされている企業の場合は、UTM(ファイアウォール機能付きルーター)やアンチウイルスソフト、EDR、NDRなどが導入されています。ただ、それらが適切に機能しているかどうかは、やはりチェックしたくなるものです。すり抜けてきたウイルスの被害や、ファイアウォールが無効化されてエンドポイントに攻撃が届くような事例も増えていますので、現状の対策がどの程度機能しているかを客観的に診断したい、というニーズが多いです。
たとえば、社外に持ち出した端末や、従業員の操作ミス、不審なメールの開封といった経路は、ネットワークの入り口対策だけでは防ぎきれません。そのため、ネットワークを守るUTMに加えて、端末ごとのウイルス対策や不審な挙動の検知、従業員への訓練を組み合わせるのが実務的です。
国の支援制度（後述の「サイバーセキュリティお助け隊サービス」など）でも、ネットワークの監視だけでなく端末の監視を含めて選べるようになっており、入り口と端末の両面で守る考え方が後押しされています。
UTMを導入する際の注意点
UTMを導入すると決めた場合は、導入後の運用まで見据えて準備すると失敗が少なくなります。まず、検知した通信のログを誰がどう確認するか、何か起きたときの連絡体制をどうするかを、導入前に決めておきます。
次に、すべての機能を有効にすると通信速度に影響が出ることがあるため、自社の回線や業務への影響を確認します。そして前述のとおり、UTMだけでは端末や人の経路を守りきれないため、端末対策との組み合わせを前提に考えます。
費用の考え方と国の支援制度
UTMの費用は、対応する端末数や機能、契約形態によって幅があり、各社の見積もりで確認するのが基本です。導入時には、IT導入補助金のような国の補助制度や、中小企業向けの支援サービスを活用すると負担を抑えられます。
経済産業省とIPAが取りまとめる「サイバーセキュリティお助け隊サービス」は、中小企業向けの支援をまとめた制度です。
「サイバーセキュリティお助け隊サービス」は、中小企業に対するサイバー攻撃への対処として不可欠なサービスをワンパッケージにまとめた、民間の事業者から提供されるサービスです。
出典：サイバーセキュリティお助け隊サービス｜情報処理推進機構（IPA）
このサービスでは、見守り・駆け付け・保険などがまとまっており、監視の対象もネットワーク・端末・その両方から選べます。何から始めればよいか迷う場合は、こうした制度を入り口にするのも一つの方法です。
一括ダウンロードする
中小企業向けの多層防御パッケージ
ここまで整理した「ネットワーク・端末・人」への対策を1つにまとめて導入できるサービスもあります。義務だからではなく、基本対策を済ませたうえで必要性を判断し、具体的にどんな製品があるかを知りたい場合の参考として、一例を挙げます。導入を前提とするものではありません。
Eye“247” Safety Zone USAV Ⅵ（株式会社フーバーブレイン）
Eye“247” Safety Zone USAV Ⅵ は、株式会社フーバーブレインが提供する、ハードウェア同梱の統合セキュリティ製品です。Check Point製のUTM（ネットワーク防御）、端末の防御・検知を行うソフト、業務可視化の仕組み、標的型攻撃メール訓練を1つにまとめています。
特徴は、ネットワーク・端末・人への対策を1契約でまとめて導入できる点にあります。UTMで通信の入り口を守り、端末側ではウイルス対策と不審な挙動の検知を行い、標的型攻撃メール訓練が年2回標準で付帯します。
専任の担当者を置きにくい企業でも、個別に製品を組み合わせる手間をかけずに多層防御を整えやすい構成です。クライアント数10〜200台規模の構成を想定しており、導入は販売代理店を通じた個別見積もりによります。
停電やソフトウェアの不具合でUTMが停止した場合に通信を迂回させる「FONIC」というバイパス機能を備え、機器の障害時に社内のネットワークが止まるリスクを下げる設計になっています。
ここで紹介したのは多層防御を1契約でまとめられるパッケージの一例です。ネットワーク・端末・ログなど守る対象ごとにどんなタイプのサービスがあり、何を基準に選べばよいかを比較して検討したい場合は、以下の記事が参考になります。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
UTMの導入を義務づける法律はなく、導入していないこと自体への罰則もありません。「義務化」という言葉は、改正個人情報保護法で漏えい時の報告・本人通知が義務になったことが、機器の導入義務と取り違えられて広まったものです。
法律で本当に義務なのは、漏えい等の報告・本人通知と、平時の安全管理措置です。安全管理措置は「外部からの不正アクセス等から保護する仕組みの導入・運用」を求めており、UTMはそれを満たす手段の一つに当たります。取引先の要求や業種別の指針、基幹インフラ向けの新しい法律など、義務でなくても対策が求められる場面もありますが、いずれも中小企業一般にUTMを義務づけるものではありません。
大切なのは、「義務だから」ではなく「自社にとって必要かどうか」で判断することです。基本対策から始め、自社が抱えるリスクの大きさに応じて、UTMと端末対策を組み合わせた多層防御を検討するのが現実的な進め方です。
一括ダウンロードする
よくある質問（FAQ）
Q. UTMとは何ですか？
A. UTM（統合脅威管理）とは、ファイアウォール・ウイルス対策・不正侵入防止・Webフィルタリングなど複数のセキュリティ機能を1台にまとめたネットワークセキュリティ機器です。個別に製品をそろえる手間をかけずに、ネットワークの入り口でまとめて脅威を防げるため、IT専任者を置きにくい中小企業でも導入・運用の負担を抑えやすい構成です。
Q. UTMの導入は法律で義務ですか？
A. UTMの導入は、法律で義務づけられていません。個人情報保護法は個人データの安全管理のために「必要かつ適切な措置」を求めていますが（第23条）、UTMという特定の機器を導入せよという条文はなく、何をもって適切な措置とするかは各社が判断します。「不正アクセス禁止法」も不正アクセスを行う側を処罰する法律で、企業に機器の導入を課すものではありません。
出典・参考資料（1件）
Q. UTMを導入していないと罰則はありますか？
A. UTMを導入していないこと自体を理由に罰則が科されることはありません。よく挙げられる「最大1億円」は、UTMの未導入ではなく、個人情報保護委員会の是正命令に違反した法人に科される罰です（命令違反の罰則＝第178条、法人への重科＝第184条）。漏えい報告や命令への違反といった義務違反がない限り、機器の有無で罰を受けることはありません。
出典・参考資料（1件）
Q. 総務省はUTMの導入を義務化しようとしているのですか？
A. 現時点で、総務省をはじめとする当局が中小企業一般にUTMの導入を義務づける予定は確認できません。総務省や経済産業省はセキュリティ対策を促すガイドラインや支援制度を整備していますが、これらは対策を後押しする枠組みであって、UTMという機器の導入を義務づけるものではありません。「いずれ義務化される」という見通しと「すでに義務である」という事実は、分けて受け止める必要があります。
Q. 中小企業にUTMは必要ですか？
A. 中小企業にUTMが必要かどうかは、義務の有無ではなく自社が抱えるリスクの大きさで判断するのが妥当です。「小さいから狙われない」は統計上は当てはまらず、警察庁の調査ではランサムウェア被害企業の約6割を中小企業が占めています。
扱う個人情報や取引先の機密情報が多い企業ほど必要性は高まりますが、まずはOS更新やウイルス対策などの基本対策から始め、そのうえで多層防御の一手段としてUTMを検討する順序が現実的です。
出典・参考資料（1件）
Q. UTMの導入費用はどれくらいですか？
A. UTMの費用は、対応する端末数・有効にする機能・契約形態によって幅があり、各社の見積もりで確認するのが基本です。機器本体だけでなくライセンスやサポートの更新費用が継続して発生するため、総額で把握することが大切です。導入時には、IT導入補助金のような国の補助制度や、中小企業向けの「サイバーセキュリティお助け隊サービス」を活用すると負担を抑えられます。
Q. セキュリティ対策は何から始めればよいですか？
A. セキュリティ対策は、費用をかけずにできる基本対策から始めるのが順当です。具体的には、OSやソフトの更新、ウイルス対策、推測されにくいパスワードの利用、重要データのバックアップ、従業員教育などです。
これらで被害の入り口を減らしたうえで、必要性に応じてUTMや端末対策を組み合わせた多層防御を検討します。
社内セキュリティ対策の料金・資料を一括チェック
MCB FinTechカタログでは、UTMや端末対策など中小企業向けの社内セキュリティソリューションの最新資料を無料で一括請求できます。機能・料金・サポート内容をまとめて見比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
