WAFが必要な場面

構成図「公開サイト / 社員限定 — WAF はどこで効く?」。ブロック6個、つながり4本。 枠: 誰でも来られる（公開サイト）（ブロック3個）、社員限定（前段認証で締める）（ブロック3個）。 【ブロック】 - 世界中から入口に届く: 善意も悪意も同じ道 - ログイン前の通信もアプリへ: アプリが全部受け止める - WAF＝入口の検問が効く: 攻撃の型を手前で遮断 - 入口で本人確認（前段認証）: 会社の認証基盤で締める - アプリには社員の通信だけ: 未認証は届かない - WAF なしも合理的: 浮いた費用は認証の強化へ 【図の符号】青の囲み枠=境界の囲み 【流れ】 - 公開サイトの世界: 世界中から入口に届く → ログイン前の通信もアプリへ → WAF＝入口の検問が効く - 社員限定＋前段認証の世界: 入口で本人確認（前段認証） → アプリには社員の通信だけ → WAF なしも合理的

業務フロー図「WAF を入れるかの判断フロー」。レーン3本、工程7個。 【レーン（担当）】（左から右） - システム: これから公開するもの - 判断: 3つの問い - 結論: 入れる / 入れない 【工程】（上から下へ。担当 → 工程名） ── フェーズ: 決まりごと（規定・契約） ── 1. システム: Web システムを公開する〔開始・終了〕（社外向け / 社内向け） 2. 判断: 規定・契約で WAF 必須?〔分岐〕（① 決まりごとの確認） 必須 → WAF を入れる 特に無い → 誰でも使える公開サービス? 3. 結論: WAF を入れる〔開始・終了〕（規定 / 公開サービス） ── フェーズ: 利用者の範囲（公開か限定か） ── 4. 判断: 誰でも使える公開サービス?〔分岐〕（② 利用者の範囲） はい（公開） → WAF を入れる 社員限定 → 入口の前段認証で締めている? ── フェーズ: 認証の場所（入口か中か） ── 5. 判断: 入口の前段認証で締めている?〔分岐〕（③ 認証の場所） はい → WAF なしで運用 いいえ → まず前段認証を検討 6. 結論: まず前段認証を検討〔開始・終了〕（WAF はその次） 7. 結論: WAF なしで運用〔開始・終了〕（浮いた費用は認証と鍵の管理へ）