「来客用のWi-Fiは作ってあるけど、社内とちゃんと分かれているのか分からない」
「業者に『SSIDを分けておきました』と言われたが、それで安全なのか？」
待合室や会議室で来客にWi-Fiを貸す会社は多くあります。ところが、SSID（Wi-Fiの名前）を2つ作っただけでは、社内のネットワークと分かれていないことがよくあります。
この記事では、中小企業でよく使う分け方の基本形と、設計の5つのポイント、手持ちの機器で実現できるかの確認方法をまとめます。来客用Wi-Fiの危険性そのものは「ゲストWi-Fi」の安易な提供が危険な理由で解説しています。
※今の機器のままで分けられる場合は、その方法をお伝えします。
SSIDを分けただけでは「分離」にならない理由
SSIDは、Wi-Fiの「入口の看板」です。看板を2枚掛けても、入った先が同じ部屋なら、来客も社員も同じ場所にいることになります。社内の共有フォルダやNAS（社内のデータ保管庫）、複合機に、来客の端末から手が届く状態です。
総務省の手引きは、この点について次のように書いています。
回線や機器を丸ごと別にする「物理分離」は確実ですが、費用がかかります。中小企業で現実的なのは、1組の機器の中にVLANで間仕切りを作る「論理分離」です。看板（SSID）ごとに別の部屋（VLAN）を用意し、部屋の間のドアに鍵をかける（ルーターやUTMで通信を止める）イメージです。
マルチSSID設計の基本形
1台のアクセスポイント（Wi-Fiの電波を出す機器）から複数のSSIDを出すことを「マルチSSID」と呼びます。中小企業でよく使う分け方は次のとおりです。
| SSID（用途） | つながる先（VLAN） | 社内の共有フォルダ・NASへ | 端末同士の通信 | 暗号化 |
|---|---|---|---|---|
| 社内用（社員のパソコン・スマホ） | 社内用VLAN | 許可 | 業務に必要な範囲で許可 | WPA2またはWPA3 |
| 来客用（ゲスト） | 来客用VLAN | 遮断（インターネットのみ） | 遮断 | WPA2またはWPA3 |
| 機器用（防犯カメラ・複合機など、必要な場合） | 機器用VLAN | 必要な機器との通信だけ許可 | 必要な範囲だけ | WPA2またはWPA3（有線で接続できるなら有線） |
※出典：総務省「安全な公衆Wi-Fiの提供に向けて セキュリティ対策の手引き」令和7年2月版（https://www.soumu.go.jp/main_content/000990289.pdf）の分離・暗号化・端末間通信の項目をもとに、編集部が中小企業向けに整理。2026年11月7日時点。
飲食店や小売店でPOSレジ（会計の端末）を使っている場合は、レジを来客用と同じ部屋に置かないことが特に大切です。具体的な構成はPOSレジを守るネットワーク構成と客用Wi-Fiの分け方で解説しています。クリニックの待合室Wi-Fiについてはクリニックの電子カルテとWi-Fi分離の現実的なやり方をご覧ください。
設計の5つのポイント
1. SSIDごとにVLANを割り当て、ルーターやUTMで通信を止める
ヤマハが公開している設定例では、アクセスポイントのSSIDごとに別々のVLANを割り当て、アクセスポイントとルーターの間をタグVLAN（1本のケーブルで複数のVLANを運ぶ方式）でつないでいます。そのうえで、ルーターのフィルター機能で異なるネットワーク間の通信を禁止しています。
ポイントは最後の「通信を禁止する設定」です。VLANで部屋を分けても、ルーターが部屋の間を自由に通していれば意味がありません。「来客用から社内用へは通さない」というルールが入っているかを必ず確認してください。VLANには3種類あり、何を分けたいかで選ぶものが変わります。違いと選ぶ基準はVLANの種類と使い分け｜ポートVLAN・タグVLAN・マルチプルVLANの違いで解説しています。私物スマホ（BYOD）を踏まえた設計は私物スマホの侵入を防ぐVLAN設計にあります。
※出典：ヤマハ「ゲスト用の無線ネットワークを設定（ルーター＋無線LANアクセスポイント Web GUI設定）」（https://network.yamaha.com/setting/wireless_lan/airlink/guest_access_wlx_rtx_gui ）。2026年11月7日時点。対象機種と必要なファームウェアのリビジョンは同ページでご確認ください。
2. 来客の端末同士の通信を遮断する
来客用の中でも、来客Aさんのスマホから来客Bさんのパソコンに手が届く状態は避けます。総務省の手引きは、一般的なWi-Fi機器には端末同士の相互通信を禁止する機能があるとして、利用目的に応じて適切に設定するよう求めています。機器によって「プライバシーセパレーター」などの名前で呼ばれます。
3. 暗号化はWPA2かWPA3。パスワードを貼り出さない
総務省の手引きは、暗号化を行う場合はWPA2またはWPA3を設定するよう求めています。また、暗号化キー（パスワード）を掲示して誰もが知りうる状態にするのは望ましくないとも書いています。待合室の壁に貼り出すのではなく、受付で渡す、カードで配るといった運用にしてください。
あわせて、同じ手引きは使っていないSSIDに古い暗号化方式が設定されている場合があるので、使わないなら停止するよう呼びかけています。マルチSSIDを設定したら、不要なSSIDが残っていないかも確認しましょう。
4. 利用時間を区切り、記録は必要最小限にする
総務省の手引きは、接続1回あたりの利用時間を制限することも有効としています。来客が帰った後も端末がつながり続ける状態を減らせます。また、利用者を把握できるようにすることを勧める一方で、アクセスログ（通信の記録）は目的に照らして必要最小限にとどめるよう求めています。
5. 機器の初期パスワード変更とファームウェア更新
どれだけ丁寧に分けても、機器そのものの管理画面に入られては台無しです。総務省の手引きは、機器の初期パスワードを推測されにくいものに速やかに変更し、最新のファームウェア（機器の基本ソフト）に更新するよう求めています。
手持ちの機器で分けられるか：3つの確認
マルチSSIDとVLANで分けるには、アクセスポイント・スイッチ（LANを分岐させる機器）・ルーター（またはUTM）の3つがそろって対応している必要があります。仕様書で次の項目を確認してください。
- アクセスポイント：複数のSSIDを出せるか（マルチSSID）、SSIDごとにVLANを割り当てられるか（タグVLAN対応）
- スイッチ：タグVLANに対応しているか（対応していないと、途中でVLANの区別が消える）
- ルーター／UTM：VLANを扱え、VLAN間の通信をフィルターで止められるか
たとえばヤマハのアクセスポイントWLX222は、仕様上SSIDを5GHz帯・2.4GHz帯それぞれ最大8個（合計16個）設定でき、タグVLAN（IEEE 802.1Q）に対応しています。ヤマハの設定例では、ルーターとしてRTX1300やRTX840などが対象機種に挙げられています。各機種の詳細は製品DBのRTX1300・RTX840をご覧ください。
※出典：WLX222の仕様はヤマハ公式製品ページ（https://network.yamaha.com/products/wireless_lan/wlx222/spec ）。2026年11月7日時点。
※特定のメーカー・販売店を前提にした診断ではありません。
よくある質問
Q. SSIDを分けるだけで、社内と来客用は分かれますか？
分かれません。SSIDは入口の名前にすぎず、その先が同じネットワークなら来客の端末から社内の機器に手が届きます。SSIDごとにVLANを割り当て、ルーターやUTMで来客用から社内用への通信を止める設定まで入れて、はじめて分離といえます。
Q. 来客用Wi-Fiにもパスワードは必要ですか？
総務省の手引きは、暗号化を行う場合はWPA2またはWPA3を設定するよう求めています。あわせて、パスワードを掲示して誰もが知っている状態にするのは望ましくないとしています。受付で渡すなど、来客にだけ伝わる方法で運用してください。
Q. 家庭用ルーターの「ゲスト機能」で足りますか？
機種によってできることが違うため、来客用と社内用のネットワークが本当に分かれるか、来客の端末同士の通信を止められるか、機器の更新が続いているかの3点を確認してください。社内に共有フォルダやNASがある会社は、法人向けの機器でVLANを使って分ける方が確実です。
Q. 防犯カメラや複合機は、社内用と来客用のどちらにつなぐべきですか？
どちらでもない「機器用」のネットワークを別に作るのがおすすめです。来客用につなぐと来客から機器に手が届き、社内用につなぐと機器が乗っ取られたときに社内のパソコンまで影響が広がるおそれがあります。必要な通信だけを許可するよう、ルーターやUTMで設定します。
Q. 来客用Wi-Fiの利用記録は残すべきですか？
総務省の手引きは、利用者を把握できるようにすることを勧める一方で、アクセスログはトラブル時の状況把握など目的に照らして必要最小限にとどめるよう求めています。何のために、どの範囲を、どのくらいの期間残すかを先に決めておきましょう。
まとめ
覚えておくべきことは3つです。
- SSIDを分けるだけでは分離にならない。SSID→VLAN→ルーター／UTMでの通信制限の3段階で分ける
- 来客用は「インターネットだけ」「端末同士も遮断」。暗号化はWPA2かWPA3で、パスワードは貼り出さない
- アクセスポイント・スイッチ・ルーターの3つがVLANに対応しているかを確認する。非対応の機器だけを替えればよいこともある
来客用Wi-Fiでどんな被害が起こりうるかは、「ゲストWi-Fi」の安易な提供が危険な理由もあわせてお読みください。
あわせて読みたい
