セキュリティ機能から見るオフィス複合機とプリンターの選び方

複合機の入れ替えを検討するとき、比較表に並ぶのは印刷速度と月間印刷量、ランニングコストです。セキュリティ機能の欄は「対応」とだけ書かれ、何がどこまでできるのかは読み取れません。ところがこの機器は、社内のあらゆる文書が通過し、その一部を内部ストレージに残し、ネットワークに常時つながっています。サーバと同じ扱いをすべき条件がそろっています。

日本では、この機器を選ぶための公的な物差しが用意されています。経済産業省の「IT製品の調達におけるセキュリティ要件リスト」は、対象となる11の製品分野の先頭にデジタル複合機を置き、想定される脅威と、それに対抗する国際標準ベースの要件を示しています。この記事は、その要件を出発点に、オフィスの複合機とプリンターを選び直す情報システム担当に向けて確認すべき実装項目を整理します。なお本記事はアフィリエイトリンクを含みます。紹介する製品の適合性を保証するものではなく、購入判断はご自身と設置環境に照らしてお願いします。詳細は広告およびアフィリエイトについてをご覧ください。

複合機が内部への足場になる筋道#

複合機が狙われる理由は、機器の性質から説明できます。第一に、印刷とコピーとFAXで扱う文書データが、内部のHDDやSSDに一時的または継続的に保存されます。第二に、機器が管理用のWeb画面とSNMPとIPPとFAXモデムを同時に持ち、外から触れる面が広くなります。第三に、資産管理の対象から外れやすく、ファームウェアが数年更新されないまま置かれます。

初期パスワードの問題は、抽象論ではありません。Rapid7がJPCERT/CCと調整のうえ2025年6月に公開した一連の脆弱性のうち、CVE-2024-51978は、機器のシリアル番号から初期管理者パスワードを生成できるというものでした。NVDに登録された値はCVSS v3.1基本値9.8、CWE-1391（脆弱な認証情報の使用）です。シリアル番号自体もCVE-2024-51977によりHTTPやHTTPS、IPP経由で、あるいはPJLリクエストやSNMPリクエストで取得できました。Rapid7は、8件のいずれかが影響する機種としてBrother製689機種に加え、FUJIFILM Business Innovation製46機種、リコー製5機種、東芝テック製2機種、コニカミノルタ製6機種の合計748機種を挙げ、このうちCVE-2024-51978の影響を受けるのは695機種としています。Rapid7は、この脆弱性がファームウェアでは完全に修正できず、対象機種すべての製造工程の変更が必要になったと記しています。ブラザーの日本語サポートページも、対応として管理者パスワードを初期値から変更するよう案内しています。

Rapid7の公開資料は、8件の脆弱性が5社748機種に影響すると述べ、CVE-2024-51978についてBrotherがファームウェアでは完全に修正できないと示し、対象機種すべての製造工程の変更を要したと記しています。開示はJPCERT/CCとの調整のもとで13か月をかけて行われました。

侵入経路になる例もあります。JVN#32082029として2026年7月23日に公開されたリコー製プリンターと複合機の脆弱性（CVE-2026-63226）は、SSH通信機能がポートフォワーディング先を制限していないというものです。CVSS v3.0の基本値は5.8ですが、スコープが変更（S:C）と評価されており、機器そのものの被害より、機器を経由して他のネットワークへ抜けられる点が問題になります。JVNは想定される影響として、SSH接続の設定をしている場合に当該機器経由で内部ネットワークの他ノードへアクセスされる可能性を挙げています。複合機は業務ネットワークの内側に置かれるため、踏み台にされたときの到達範囲は、その機器から通信できる先がどこまで許されているかで決まります。

任意コード実行に至る例もあります。JVNVU#93455283として2025年1月28日に公開されたキヤノン製スモールオフィス向け複合機とレーザービームプリンターの境界外書き込みの脆弱性は、CVSS v3.0基本値9.8で、遠隔の第三者による任意のコード実行やサービス運用妨害の可能性が示されました。回避策として挙げられたのは、ファームウェアの更新に加えて、ファイアウォールで保護された環境やプライベートIPアドレスでの使用です。

メーカー側の案内も同じ方向を向いています。ブラザーは複合機とプリンターをインターネットに直接接続することを推奨せず、企業ではファイアウォール経由、家庭ではルーター経由での接続とプライベートIPアドレスの使用を求めています。リコーは社内LANなどのローカルエリアネットワーク環境での運用によりインターネットからの不正なアクセスを防ぐと説明しています。IPAも2016年11月の呼びかけで、IoT機器は利用前に必ず初期パスワードを変更するよう求めています。

選ぶ前に決める三つの前提#

機種の比較に入る前に、決めておく前提が三つあります。

一つめは設置場所と台数です。cPP HCDは、運用環境が物理的にも論理的にも保護されており、典型的には機器への物理アクセスを制限し、公衆インターネットから守られたLANに接続されることを前提としています。来客が通る受付脇に置く1台と、施錠された執務室に置く5台では、必要な機能が変わります。出力紙の放置が起きる場所なら、認証プリントの優先度が上がります。

二つめは扱う文書の機密度です。個人データを含む文書を日常的にスキャンして共有フォルダへ送るのか、社内向けの資料を印刷するだけなのか。前者ならストレージの暗号化と通信路の保護、監査ログの保全が要求水準に入ります。個人情報保護法第22条は、利用する必要がなくなったときは当該個人データを遅滞なく消去するよう努めなければならないと定めており、機器内に残る文書データもこの考え方の対象になります。

三つめは運用できる人がいるかどうかです。ファームウェアの更新、機器証明書の期限管理、監査ログの確認は、機能があるだけでは価値になりません。担当者が一人もいない環境で802.1XやIPsecを要件に入れると、設定できずに機能を切ることになります。運用の手が足りないなら、機器側の高度な機能より、ネットワーク側での分離とベンダーの保守契約に予算を寄せる判断が現実的です。

国際標準の要件を物差しにする#

セキュリティ機能の比較で困るのは、カタログの用語が各社ばらばらな点です。ここで役に立つのが、ISO/IEC 15408（Common Criteria）に基づくプロテクションプロファイルです。

経済産業省の要件リスト第2.1版は、デジタル複合機の分野について、Protection Profile for Hardcopy Devices（Version 1.0以上）またはcollaborative Protection Profile for Hardcopy Devices（Version 1.0以上）への適合を「国際標準に基づくセキュリティ要件」として示し、この要件がソフトウェアの更新を安全に行う機能も要求していると備考で補っています。対象はプリント機能に加えてスキャン、FAX、コピーのいずれか2つ以上を持ち、ネットワーク通信と管理機能を備えたオフィス用大型複合機です。

前者のHCD-PPは、IPAと米国のNIAPが日米のベンダや評価機関と協力して策定したもので、版はVersion 1.0（2015年9月10日）、Errata #1が2017年6月です。後者のcPP HCDはHCD-iTCという国際的な作業部会が策定しており、IPAのデジタル複合機分野のページはVersion 1.0e（2024年3月4日）をCCRA加盟国共通のプロテクションプロファイルとして掲載しています。HCD-iTCのサイトでは、その後にVersion 1.1（2025年12月29日）、Version 1.1e（2026年7月11日）、Version 2.0（2026年7月31日）が公開されており、認証済みの版と最新の版が一致しない時期がある点は押さえておきます。

cPP HCD v1.0eが挙げる主要なセキュリティ機能は9つあります。識別認証と認可、アクセス制御、暗号化、信頼できる通信、管理者ロール、監査、信頼できる動作の7つが並び、8番目にPSTNファクスとネットワークの分離（ファクス機能を持つ場合の条件付き）、9番目にデータの消去と完全消去（任意）が置かれています。中身を具体的な設定項目に翻訳すると次のようになります。

監査ログについては、機器内に保存するだけでなく、外部のIT機器へ安全に送信できることが必須とされています。一方、印刷ジョブ終了後の残存画像データの上書きと、機器を手放すときの全データ消去は任意の機能として位置づけられています。カタログに書いていなければ載っていない可能性がある、と読むのが安全です。

cPP HCD v1.0eは、印刷のユースケースについて、利用者の文書を機器への転送中、機器内の一時保存中、そして印刷出力が利用者に引き渡される前まで、不正な開示や改変から保護する能力をHCDが持つと記述しています。この「引き渡される前まで」が、認証プリント（プリントリリース）の根拠になります。

IEEE 2600は文脈が変わっています。IEEE 2600-2008は複合機を含むハードコピー機器のセキュリティ要件を定めた標準ですが、IEEE SAのページでは2019年11月7日にInactive-Reservedとなったと記載されています。運用環境Aのプロテクションプロファイルである IEEE 2600.1-2009も2020年3月5日にInactive-Reservedです。古い製品資料でこの番号を見かけても、現行の調達要件として使うものではありません。

認証取得の有無は型番単位で確認します。ただし経済産業省の要件リストは脚注で、既に認証を取得している機器でも構成要素（FAXオプションの有無など）が異なると認証取得製品とみなせない場合があると注意しています。同じシリーズだから同じ、とは言えません。

NISTの統制と日々の設定の対応#

国際標準のプロテクションプロファイルは製品の設計を評価するものです。買ったあとの設定は別の基準で見ます。NIST SP 800-171 Rev.3が分かりやすい対応表になります。同文書は、米国政府の管理された非機密情報（CUI）を扱う非連邦組織に対し、契約などを通じて適用される要求事項です。日本の一般的なオフィスに直接効力が及ぶものではありませんが、設定の点検項目としてはそのまま使えます。

03.05.12（認証子の管理）は、初期の認証子を初回使用時に変更することを求めています。解説部分には、開発者が初期設置と設定のために工場出荷時の認証情報を付けて出荷することがあり、そうした初期認証情報はよく知られていて容易に発見でき、大きなリスクになると書かれています。CVE-2024-51978が示したのは、この記述そのものの実例でした。

03.04.06（最小機能）は、不要または安全でない機能、ポート、プロトコル、接続、サービスを禁止または制限し、定期的に見直し、無効化または削除することを求めています。解説ではFTPが排除や制限を検討すべきプロトコルの例として挙げられています。複合機では、Telnet、FTP、LPD、生ポート9100、WSD、SNMPv1が候補になります。SNMPについてはRFC 3410が、SNMPv1がコミュニティ文字列に基づく簡易な認証しか持たないことを既知の根本的な弱点として記述し、SNMPv3がデータの完全性と送信元の真正性と機密性を提供すると説明しています。印刷プロトコルの側では、RFC 7472がIPP over HTTPSの転送バインディングとippsのURIスキームを定義しており、IPPをTLSで包む選択肢が標準化されています。

03.08.03（媒体のサニタイズ）は、廃棄、組織の管理外への移転、再利用の前に媒体をサニタイズすることを求めています。解説の例示には、スキャナ、コピー機、プリンタ内のデジタル媒体が明記されています。この3つの要求は、それぞれSP 800-53のIA-05、CM-07、MP-06を元にした統制です。

リコーの公式ページに並ぶ推奨設定も、この枠に収まります。機器管理者とスーパーバイザーのパスワード変更、ICカードやパスワードによる利用者の識別認証、蓄積文書パスワードの設定、SMBはv3.0以上、HDDの暗号化、利用しないネットワークポートを閉じること、SSL/TLSとIPsecによる通信の保護、SNMPのコミュニティ名変更またはSNMPv3の利用が挙げられています。

選定チェックリスト#

価格帯で変わる落としどころ#

数万円のA4複合機と、リース契約のA3カラー複合機では、載っている機能が違います。無理に同じ要件を当てはめると選定が止まります。

家庭とSOHOの帯では、管理者パスワードの変更、管理画面のHTTPS、ファームウェアの自動更新、不要プロトコルの停止までが現実的な線です。IPsecや802.1X、認証プリントは載らないことが多く、ここはルーターのファイアウォールと、機器をインターネットに公開しない運用で補います。ブラザーとリコーの公式案内が示すとおり、プライベートIPアドレスで社内側に置くことが前提になります。ただしこの運用で下げられるのは外部からの到達性までで、社内LAN上での通信の盗聴、許可していない機器の接続、出力紙の放置は残ります。設置場所の管理と印刷の運用ルールで別に扱う範囲です。

A4モノクロレーザー複合機（有線LAN対応）

広告

価格の目安: 3万円台から(執筆時点の目安)

数人から十数人の事務所で使う帯です。無線を使わない運用にできるなら、有線LAN専用にしたほうが管理する面が減ります。購入前に、管理画面がHTTPSに対応するか、管理者パスワードの初期値が機器ごとに異なるか、使わないプロトコルを個別に停止できるか、ファームウェアの提供期間がどれくらいかを各販売ページとメーカーのサポート情報で確認してください。

Amazonで見る楽天で見るYahoo!ショッピングで見る

※価格・在庫は変動します。最新の情報は各販売サイトでご確認ください。

小規模から中規模オフィスの帯に入ると、SNMPv3、IPフィルタ、TLS、機器証明書、監査ログといった項目が選択肢に現れます。複数台を同じ設定でそろえるなら、設定のバックアップと一括配布ができるかどうかが運用負荷を左右します。A3対応やフィニッシャーを求める段階になると、多くは販売店経由のリース契約になり、カタログではなくセキュリティ設定ガイドとST（セキュリティターゲット）を取り寄せて読むことになります。

ビジネス向けA3複合機（有線LAN対応）

広告

価格の目安: 10万円前後から(執筆時点の目安)

A3対応と両面同時読み取りが必要な部署向けの帯です。買い切りで導入する場合は、保守と消耗品の調達経路を先に決めておきます。購入前に、IPsecと802.1Xへの対応可否、内部ストレージの有無と暗号化の可否、監査ログの外部転送に対応するか、ファームウェア更新の提供体制がどうなっているかをメーカーの仕様書で確認してください。

Amazonで見る楽天で見るYahoo!ショッピングで見る

※価格・在庫は変動します。最新の情報は各販売サイトでご確認ください。

出力紙の放置を止めたいなら、認証プリントの導入を検討します。機器側が対応していれば、ICカードをかざすまで印刷が始まらない運用にできます。カードの種類は社員証に合わせる必要があるため、FeliCaかMIFAREかを先に確認します。

ICカードリーダー（FeliCaとMIFARE対応のUSB接続型）

広告

価格の目安: 5千円前後から(執筆時点の目安)

認証プリントや利用者認証で社員証をかざすための機器です。複合機に接続できるリーダーは機種ごとに指定されていることが多く、汎用品が使えるとは限りません。購入前に、複合機メーカーの動作確認リストに載っているか、社員証のカード方式（FeliCaかMIFARE）と一致するか、印刷管理ソフト側が対応するかを確認してください。

Amazonで見る楽天で見るYahoo!ショッピングで見る

※価格・在庫は変動します。最新の情報は各販売サイトでご確認ください。

機器側の機能が足りない場合でも、ネットワーク側で守れる範囲はあります。複合機をVLANで分け、通信を業務セグメントとの間で必要な方向だけに限る構成にすると、機器の脆弱性が内部への足場になる余地を狭められます。前述のSSHポートフォワーディングの事例のような、機器を経由した横移動に効きます。

VLAN対応スマートスイッチ（ギガビット、8ポート前後）

広告

価格の目安: 1万円前後から(執筆時点の目安)

複合機とプリンターを業務セグメントから分けるための機器です。タグVLANに対応する製品を選ぶと、既存のスイッチと組み合わせて段階的に移行できます。購入前に、802.1Q（タグVLAN）に対応するか、管理画面がHTTPSに対応するか、802.1Xの認証者として動作するか、ファームウェア更新が継続提供されているかを各販売ページとメーカーのサポート情報で確認してください。

Amazonで見る楽天で見るYahoo!ショッピングで見る

※価格・在庫は変動します。最新の情報は各販売サイトでご確認ください。

導入後に必ずやる設定#

機器が届いてから最初の1時間で決まる部分があります。設置業者に任せきりにせず、次の順で確認します。

廃棄とリース返却で残るもの#

複合機の入れ替えで最後に残る問題が、外す機器の中身です。経済産業省の要件リストは、この点を独立した脅威として挙げています。プリントやコピー、FAX機能で扱われる文書データは記憶媒体に一時的または継続的に保存される場合があり、暗号化されていないか物理的に消去されていない場合、表面的にはアクセスできない状態でも復元される可能性がある、という整理です。

NIST SP 800-88 Rev.2（2025年9月）は、情報記憶媒体の例にオフィス機器を含めたうえで、上書きに対応しない機器では工場出荷時の状態に戻す操作しかClearの手段がない場合があると述べています。つまり「初期化しました」という報告だけでは、どの水準の消去が行われたのかが決まりません。選定の段階で、暗号化を有効にして鍵を破棄する方式なのか、上書きによる方式なのか、媒体を物理的に破壊する方式なのかを契約に書き込んでおきます。方式の選び方は媒体に左右されます。同文書は、予備セルを持ちウェアレベリングを行うフラッシュメモリでは、通常の読み書きインタフェース経由の上書きで過去のデータをすべて消すことは利用者には現実的でないと述べ、可能な場合はClearではなくPurgeを用いるべきだとしています。Purgeの手段としては、媒体固有のサニタイズコマンドによる上書きやブロック消去、暗号化消去が挙げられています。SSDを積む機種では、上書きの回数を指定するより、どの手段でどう検証するかを取り決めておくほうが実効性があります。cPP HCDも、不揮発性記憶装置を機器から取り外す場面に備えて、暗号鍵を破棄して以後は復号できない状態にする能力を挙げています。

リース返却では、機器の所有権がリース会社にあるため、消去作業を誰がいつ行うのかが曖昧になりがちです。契約前に、消去の方式、立ち会いの可否、消去証明書の発行、記憶媒体を返却せず引き取る選択肢があるかを確認します。費用が発生する項目なので、見積の段階で入れておかないと後から調整が難しくなります。

出力紙の側も同じ扱いが要ります。SP 800-88 Rev.2はハードコピー媒体についても、印刷物を生み出す供給物が最も管理されていないことが多いと指摘しています。誤出力や試し刷りをそのままごみ箱に入れる運用は、機器の暗号化を有効にした意味を打ち消します。

業務用シュレッダー（マイクロカット対応）

広告

価格の目安: 2万円台から(執筆時点の目安)

複合機の近くに置いて、誤出力と不要になった書類をその場で処理するための機器です。細断片の大きさが小さいほど復元は難しくなりますが、そのぶん処理速度と連続使用時間の制約が強くなります。購入前に、細断片の寸法、一度に処理できる枚数、連続使用時間、ダストボックスの容量が業務量に見合うかを各販売ページで確認してください。

Amazonで見る楽天で見るYahoo!ショッピングで見る

※価格・在庫は変動します。最新の情報は各販売サイトでご確認ください。

選定を決める三つの問い#

複合機とプリンターの選定は、最後は三つの問いに収束します。この機器を通る文書はどれくらい機微か、機器をネットワークのどこに置くか、更新と消去を誰が続けるか。

一つめの答えが「個人データを含む」なら、HCD-PPまたはcPP HCDに基づく認証の有無を購入する構成の型番で確認し、ストレージの暗号化と認証プリント、監査ログの外部転送を要件に入れます。二つめの答えが決まれば、IPフィルタとVLANの設計が決まり、802.1XやIPsecが必要かどうかも決まります。三つめの答えが「担当者がいない」なら、機器側の高度な機能を積むより、保守契約とネットワーク側の分離に予算を寄せるほうが実際の防御に効きます。

初期パスワードの変更と不要プロトコルの停止という古典的な二つは、NIST SP 800-171 Rev.3が今も統制として掲げ、5社748機種に影響した2025年の事例が実効性を示しました。高度な機能を検討する前に、この二つを終えているかを確認するところから始めると、投資の順序を間違えずに済みます。