ネットワークのセキュリティ製品の用語には、「ファイアウォール」「DMZ」「プロキシ」のように、名前は聞いたことがあっても違いを説明しにくいものが並びます。試験勉強では、この3つが同じ図の中に出てくることも多く、役割が混ざりやすいところです。
この記事では、3つの違いを 何をするものか・どこに置くか・誰を守るか の3点で整理します。総務省の用語集とIPA（独立行政法人 情報処理推進機構）のシラバスで確認した内容にもとづいています。
IPAの情報セキュリティマネジメント試験シラバス（Ver.3.2）には、用語例として「ファイアウォール」「DMZ（非武装地帯）」「パケットフィルタリング」「リバースプロキシ」などが挙がっています。（2026年10月18日確認）
結論：「門番」「緩衝地帯」「中継役」で覚える
3つを一言で言うと、次のようになります。
- ファイアウォール：ネットワークの境目で、通信を通すか止めるかを決める「門番」
- DMZ：外部向けのサーバを置くための、外と内の間の区域（緩衝地帯）
- プロキシ：内部のコンピュータに代わって外とつなぐ「中継役」
ここで大事なのは、3つが同じ種類のものではないことです。ファイアウォールとプロキシは機器や機能、DMZは**場所（区域）**です。ファイアウォールがDMZという区域を作り、そこにサーバやプロキシを置く、という関係で一つの図になります。
ファイアウォールとは：境界で通信を選別する
総務省の用語集では、ファイアウォールは「外部のネットワークと内部のネットワークを結ぶ箇所に導入することで、外部からの不正な侵入を防ぐことができるシステム」と説明されています。名前の由来は「防火壁」で、火災の被害を食い止める壁になぞらえたものです。
何を見て判断するのか
基本になる方式が パケットフィルタリング です。通信はパケットという小さな単位に分かれて流れ、それぞれにヘッダ情報が付いています。ヘッダには相手のコンピュータを識別するIPアドレスなどが含まれます（総務省の用語集の「パケット」の説明）。
ファイアウォールは、このヘッダの情報をあらかじめ決めたルールと照らし合わせます。代表的な判断材料は次の5つです。
| 判断材料 | 意味 |
|---|---|
| 送信元IPアドレス | どこから来た通信か |
| 宛先IPアドレス | どこへ向かう通信か |
| 送信元ポート番号 | 送る側のどのアプリか |
| 宛先ポート番号 | 相手のどのサービス宛か |
| プロトコル | TCPかUDPかなど、通信の種類 |
ポート番号は、IPアドレスとともに指定される補助用の番号で、プロトコルに応じて割り当てられています（総務省の用語集の「ポート」）。たとえばWebの閲覧に使うHTTPSは443番、というように、番号を見ればどのサービス宛かがおおよそ分かります。
パケットフィルタリングは、基本的に荷札（ヘッダ）を見て仕分ける方式です。通信の中身まで調べて悪意を見つける仕組みは、IDS・IPS・WAFなど別の製品の役割です。
許可リストと拒否リスト
ルールの作り方には2つの考え方があり、シラバスにも「許可リスト（パスリスト）」「拒否リスト（ブロックリスト）」として挙がっています。
| 項目 | 許可リスト | 拒否リスト |
|---|---|---|
| 原則 | すべて拒否し、許可したものだけ通す | すべて許可し、拒否したものだけ止める |
| 知らない通信 | 止まる | 通ってしまう |
| 安全性 | 高い（設定は手間がかかる） | 穴が残りやすい（設定は楽） |
守りを固めたい境界では、許可リストの考え方が基本になります。
DMZとは：外に見せるサーバを置く区域
DMZは「DeMilitarized Zone（非武装地帯）」の略です。総務省の資料の用語集では、DMZは「インターネットのような攻撃の危険を伴う外部ネットワークと、内部ネットワークの中間に置かれる領域」で、外部向けのWebサーバなどを配置する、と説明されています。
なぜDMZを作るのか
外部に公開するサーバは、誰でもアクセスできるぶん、攻撃を受けやすい場所です。そこで、公開サーバを内部ネットワークとは別の区域に置き、ファイアウォールで両者の通信を制限します。こうすると、万一公開サーバが乗っ取られても、内部ネットワークの機器まで一気に被害が広がるのを防ぎやすくなります。
置き場所の判断は、次の一点に集約できます。
| 置く場所 | 置くもの（例） | 判断の基準 |
|---|---|---|
| DMZ | 公開Webサーバ、外部とやり取りするメールサーバ など | 外部から使われる |
| 内部ネットワーク | 顧客情報などを持つデータベース、ファイルサーバ、社員のPC など | 社内だけで使う |
「外から呼ばれるものはDMZ、呼ばれないものは内部ネットワーク」と考えると、置き場所の問題で迷いにくくなります。実際の構成は組織ごとに設計が異なるため、試験では問題文の条件に合わせて判断します。
プロキシとは：内部の代わりに外へつなぐ中継役
総務省の資料の用語集では、プロキシは「クライアントとサーバの間に存在し、情報元のサーバに対してはクライアントの情報を受け取る、クライアントに対してはサーバの働きをするもの」とされています。国民のためのサイバーセキュリティサイトの用語集では、プロキシサーバを、直接インターネットに接続できない内部ネットワークのコンピュータに代わって、代理としてインターネットとの接続を行うコンピュータ（またはソフトウェア）と説明しています。
つまり、社員のPCがWebサイトを見るとき、PCは直接外へ出ず、まずプロキシに要求を渡します。プロキシが代わりに外のサイトへ接続し、結果をPCに返します。この仕組みがあると、通信の記録を残したり、見せたくないサイトへのアクセスを制限したりといった管理がしやすくなります。
リバースプロキシは向きが逆
シラバスには「リバースプロキシ」も用語例として挙がっています。名前のとおり、代理する向きが逆になった使い方です。
| 項目 | プロキシ（フォワードプロキシ） | リバースプロキシ |
|---|---|---|
| 通信の向き | 内部から外部へ | 外部から内部へ |
| 代理する相手 | 社内のPCなどの利用者 | 公開しているサーバ |
| 外から見えるもの | プロキシ（社内のPCは見えにくい） | リバースプロキシ（本当のサーバは見えにくい） |
| 主なねらい | 利用者の通信の管理・制限 | 公開サーバを直接さらさない |
「内から外がプロキシ、外から内がリバースプロキシ」と覚えておけば、向きを問われても整理できます。リバースプロキシは外からの要求を受ける立場なので、公開サーバと同じく外部向けの区域に置く構成がよく使われます。
3つの違いを一つの表にまとめる
| 項目 | ファイアウォール | DMZ | プロキシ |
|---|---|---|---|
| 種類 | 機器・機能 | 場所（区域） | 機器・機能 |
| 主な役割 | 通信を通す・止めるを決める | 公開サーバを内部と分けて置く | 通信を代行する |
| 判断の材料 | IPアドレス・ポート番号など | 外から使われるかどうか | 代行する通信の向き |
| 守る対象 | ネットワーク全体 | 内部ネットワーク（被害の拡大防止） | 利用者（または公開サーバ） |
試験での問われ方と考え方
情報セキュリティマネジメント試験は、CBT方式で、試験時間は120分、全60問に解答する形式です（IPA「試験要綱」、2026年10月18日確認）。科目Bでは、ある組織の状況を読んで、どう対応するかを選ぶ問題が出ます。この論点では、次の順に考えると整理しやすくなります。
- 外から使わせるものは何かを探す。それはDMZ側に置く候補になる
- 社内だけで使うもの（顧客情報のデータベースなど）は内部ネットワークに置く
- 区域の間の通信は、必要なものだけを許可する（許可リストの考え方）
- 通信の代行が話題になったら、内から外か、外から内かで、プロキシかリバースプロキシかを分ける
ファイアウォールを置けば安全、という意味ではありません。許可した通信（たとえばWebアプリへのアクセス）の中に紛れた攻撃は、ファイアウォールだけでは防げません。そのため、Webアプリの弱点を突く攻撃には、別の対策が必要です。たとえば XSSとCSRFの違い の記事で触れた、Webアプリ側の対策があります。
講座での学び方
3つの用語は、図でそろえて覚えると定着しやすい論点です。情報セキュリティマネジメント講座では、ネットワークセキュリティの授業の中で、ファイアウォール・DMZ・プロキシの関係を順に学べます。講座ページから、授業の一覧と料金を確認できます。
まとめ
- ファイアウォールは、ネットワークの境目で通信を選別する。基本の判断材料はIPアドレス・ポート番号・プロトコル
- DMZは、外部向けのサーバを置く区域。内部ネットワークとはファイアウォールで分ける
- プロキシは内部の代わりに外へつなぐ。向きが逆になるのがリバースプロキシ
- 迷ったら「外から使われるか」で置き場所を決め、通信は必要なものだけ許可する
試験の出題範囲や用語は、IPAの最新の公式情報で確認してください。