# DMZとは？仕組みと2つの構成、クラウド時代にも要るかを解説

- URL: https://www.waltsu.co.jp/magazine/security/what-is-dmz/
- カテゴリ: セキュリティ > 脆弱性対策
- 執筆: 藤井 俊輔（代表取締役）
- 公開日: 2026-10-28 / 最終更新日: 2026-10-29
- 発行: waltsu株式会社（waltsu MAGAZINE）

## こんな人におすすめ

- ルーターや提案書で見たDMZの意味を知りたい
- 自社のネットワークにDMZが要るか判断したい
- クラウドやレンタルサーバーでの考え方を知りたい

ネットワーク機器の設定画面やベンダーの構成図に、「DMZ」という区画が出てくることがあります。名前は聞くものの、何を守る仕組みなのか、自社に要るのかは分かりにくい言葉です。 DMZは、インターネットと社内ネットワークの間に置く区画で、外に公開するサーバーをここに分けて置きます。守っているのは公開サーバーではなく、その奥の社内ネットワークです。本記事では、通信のルール、2つの構成、置くもの、クラウドやゼロトラストとの関係を整理します。

**この記事のゴール（読了目安 約7分）**：DMZの仕組みと限界を理解し、自社の構成でDMZが要るか、代わりに何を点検するかを判断できるようになる。

## この記事の結論

- DMZはインターネットと社内の間に置く区画で、公開サーバーを分けて置く
- 要はDMZから社内への通信を止めることで、台数より規則を保てるかが大事
- レンタルサーバーやクラウドなら、自社でDMZを作らなくてよいこともある
- 侵入口の6割以上はVPN機器。外に面した機器の更新を先に確かめる

## DMZとは

ファイアウォールで区切ったネットワークの一区画で、外から接続される機器を社内ネットワークと分けて置きます。名前は非武装地帯にちなみます。

### 外と社内の間に置く区画

DMZはファイアウォールで区切ったネットワークの一区画です。Webサーバーやメールサーバーのように、外から接続される機器をここに置き、社員のパソコンや業務データのある社内ネットワークとは分けます。

### 名前は非武装地帯から

DMZは「DeMilitarized Zone」の略で、対立する国の間に置かれる非武装地帯にちなむ名前です。[米国の標準技術研究所（NIST）の指針](https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-41r1.pdf)は、ファイアウォールのDMZに**単一の技術的な定義は無い**としています。

## 分ける理由

公開するサーバーは、誰からの接続も受け付けるため、攻撃を受けやすい場所にあります。社内ネットワークに直接置くと、乗っ取られたサーバーから社内の機器へそのまま進まれます。

DMZに分けておけば、公開サーバーが乗っ取られても、**社内へ進むにはもう一度ファイアウォールを越える必要**があります。DMZと社内の間の通信もファイアウォールを通るので、そこで止められます。

公開サーバーには堅く設定した機器を置き、外からの接続を広めに受け、社内への通信は絞る。この扱いの差をつけるために区画を分けます。

## 通信のルール

DMZは、通信の向きごとに許可と禁止を決めることで働きます。一般的な決め方は次のとおりです。

| 通信の向き | 扱い |
|---|---|
| インターネット → DMZ | 公開に要るものだけ許可 |
| 社内 → DMZ | 更新や管理に要るものを許可 |
| DMZ → 社内 | 原則として止める |
| DMZ → インターネット | 要るものだけ許可 |

肝心なのは3行目です。**DMZから社内への通信を止めること**が、区画を分ける意味になります。

![インターネット、DMZ、社内ネットワークの3つの区画を並べ、それぞれに許可する通信と止める通信を書いた図](https://www.waltsu.co.jp/wp-content/uploads/2026/10/what-is-dmz01.png)  
*外からはDMZまでを許し、DMZから社内への通信は原則として止めます。*

## 2つの構成

作り方は、ファイアウォールの台数で2つに分かれます。

| 構成 | 仕組み | 注意すること |
|---|---|---|
| 1台で分ける | 1台に外・DMZ・社内の3つの口を持たせる | 1台の設定にすべてが集まる |
| 2台で分ける | 外側と内側に1台ずつ置き、間をDMZにする | 機器と設定が2倍になる |

国内の解説では2台を安全側とすることが多いものの、NISTの指針は、ファイアウォールを重ねる構成は一般に扱いにくくなりうると書いています。**台数より、通信のルールを保ち続けられるか**で選んでください。

![左にファイアウォール1台で分ける構成（3つの口を持たせる・設定が1台に集まる）、右に2台で分ける構成（外側と内側に1台ずつ・機器と設定が2倍）を並べた比較の図](https://www.waltsu.co.jp/wp-content/uploads/2026/10/what-is-dmz02.png)  
*台数より、通信のルールを保ち続けられる構成を選びます。*

## DMZに置くもの・置かないもの

DMZに置くのは、外から接続される機器です。

- **Webサーバー**: 会社のサイトや公開する資料
- **メールサーバー**: 外部とのメールの受け渡し
- **DNSサーバー**: 外向けのドメイン名の案内

一方、顧客情報を持つデータベースやファイルサーバーは社内側に置きます。DMZの機器は乗っ取られる前提で考えるため、なくなって困るデータを置かないのが原則です。Webサーバーが顧客情報を使う場合も、**データは社内側に置き、要る通信だけを通します。**

## DMZで守れないこと

DMZは、公開サーバーそのものを守る仕組みではありません。Webサーバーのソフトに穴があれば、DMZの中で乗っ取られます。

Webアプリケーションの弱点を狙う攻撃には、[WAF](https://www.ipa.go.jp/security/vuln/waf.html)と呼ばれる専用の防御と、ソフトの更新で備えます。WordPressのサイトで、プラグインをどう選び、更新を続けるかは別記事で解説しています。

【関連記事】[WordPressのセキュリティは危ない？脆弱性の9割はプラグイン、選び方と対策を解説](https://www.waltsu.co.jp/magazine/security/wordpress-security/)

社員がメールの添付ファイルからウイルスに感染する経路も、DMZでは防げません。社内の端末から始まる攻撃には、端末の更新やウイルス対策ソフトで備えます。

## クラウドとレンタルサーバーの場合

自社のサイトをレンタルサーバーやCDNに置いているなら、公開サーバーは最初から社内ネットワークの外にあります。**自社でDMZを作る必要が無いこともあります。**

クラウドでは、同じ分け方をサブネットで作ります。AWSの場合、[インターネットへの直接の経路を持つ公開用のサブネット](https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/configure-subnets.html)と、持たない非公開のサブネットを分け、[データベースは非公開側に置きます](https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/vpc-example-web-database-servers.html)。

どちらの場合も、サイトの管理画面やサーバーへのログインは外から届きます。パスワードと2段階認証、接続元の制限で守る範囲は残ります。

![社内にサーバーを置く場合はDMZで分ける、クラウドでは公開用と非公開のサブネットで分ける、レンタルサーバーやCDNでは公開サーバーが最初から社外にある、の3つを並べた図](https://www.waltsu.co.jp/wp-content/uploads/2026/10/what-is-dmz03.png)  
*サーバーをどこに置くかで、分ける場所が変わります。*

## ゼロトラストとの関係

ゼロトラストは、ネットワークのどこにいるかだけを根拠に信頼しない考え方です。[NISTのゼロトラストの指針](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf)は、守りの焦点を固定したネットワークの境界から、利用者や機器、データなどへ移すと説明しています。

DMZは、場所で信頼の度合いを分ける仕組みです。ゼロトラストを取り入れても**公開する機器を分ける意味は残ります**。分けた上で、社内からの接続も毎回確かめる、という組み合わせになります。社内にいるから安全という前提を外すのが、ゼロトラストの側の役目です。

## 【プロの視点】入口は境界の機器

DMZの解説は、ファイアウォールを1台にするか2台にするかで終わりがちです。ただ、実際の侵入口はその手前にあります。

[警察庁の令和7年の情勢報告](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf)では、ランサムウェアの被害組織への調査で、**侵入経路の6割以上がVPN機器**でした。攻撃者は、未修正の脆弱性、漏れた認証情報、簡単なパスワード、設定の不備を使って入ります。DMZをどう組んでも、外に面した機器が古いままなら入られます。

NISTの指針も、DMZがあるなら、どのサービスをDMZで動かし、どれを社内に残すかを検討するよう勧めています。区画の形を整える話より、外に出す機器を減らす方向の話です。

見るべきは、外から届く機器がいくつあり、それぞれが更新されているかです。警察庁が中小企業を主な対象に周知している対策には、VPN機器などの脆弱性対策、認証情報の管理、バックアップとログの取得、被害時の速やかな通報があります。

![VPN機器などの脆弱性対策、認証情報の管理、バックアップとログの取得、被害時の速やかな通報の4つを順に並べた図](https://www.waltsu.co.jp/wp-content/uploads/2026/10/what-is-dmz04.png)  
*警察庁が中小企業に向けて周知している対策から、4つを並べました。*

## 【waltsu視点】公開と管理を分ける

セキュリティの規定が厳しい発注元の新しいサイトで、会員登録とログインの機能を外したことがあります。会員登録や入力フォームを設けると、社内の申請で重いWebアプリケーション診断の対象になる可能性があったためです。構成は[ヘッドレスCMS](https://www.waltsu.co.jp/magazine/website/headless-cms/)とCDNの組み合わせにし、管理画面には接続元のIPアドレスの制限をかける想定にしました。

今のサイトづくりでは、DMZの考え方は**外に見せる範囲を小さくし、管理する所を外から隠す**形に引き継がれています。機能を足すほど、外から届く場所が増え、守る範囲と審査の対象も広がります。作れるかより先に、その機能がどの審査にかかるかを確かめるほうが日程を守りやすい、というのがこの案件で得た見方です。

明日できることは、社外から開ける管理画面と、外に面した機器を書き出すことです。数が分かれば、更新を確かめる順番が決まります。外からの見え方は、[ドメインを入れて調べる無料の簡易診断](https://www.waltsu.co.jp/magazine/security/horie-cyber-police/)でも確かめられます。

## まとめ

DMZは、外に公開するサーバーを社内ネットワークから分けて置く区画です。公開サーバーが乗っ取られても、社内へ進ませないために使います。

ただし公開サーバーそのものは守りません。今の侵入口の多くは、外に面した機器です。自社の構成にDMZが要るか、どの機器から点検するかに迷ったら、waltsuがサイトと管理画面の公開範囲の見直しからご支援します。

## よくある質問

**Q. 家庭のルーターのDMZとは違う？**  
A. 家庭用ルーターの「DMZ」は、指定した1台への通信をすべて通す機能を指すことが多く、区画を分けるものとは別物です。使うと、その機器はインターネットに直接つないだのに近い状態になり、外にさらされます。

**Q. 小さな会社にもDMZは要る？**  
A. 社内に公開サーバーを置いていなければ、要らないことが多いです。サイトやメールを外部のサービスに任せているなら、VPN機器やルーターなど、外に面した機器の更新を優先してください。

**Q. ファイアウォールとの違いは？**  
A. ファイアウォールは通信を通すか止めるかを決める機器で、DMZはその機器で作る区画です。DMZはファイアウォールが無いと作れません。

**Q. VPN機器はどこに置く？**  
A. 製品や構成によって違い、DMZや境界に置く例が多くあります。どこに置いても外から届く機器なので、更新と認証の管理が欠かせません。Tailscaleのように、外から届く入口を開けずにつなぐ方式もあります。

**Q. DMZがあれば安全？**  
A. 安全にはなりません。社内への広がりを抑える仕組みで、公開サーバーの穴や社員の端末の感染は、別の対策で防ぎます。

## 執筆者

**藤井 俊輔**（代表取締役）ベンチャー企業の外部CMOや水族館のマーケティング担当などに従事。オンライン/オフライン問わず集客を中心としたマーケティング施策に強み。

プロフィール: https://www.waltsu.co.jp/magazine/supervisor/shunsuke-fujii/

この記事は waltsu 公式ブログの記事（https://www.waltsu.co.jp/blog/what-is-dmz/）をもとに再編集したものです。