DMZとは？でぃーえむぜっと
DMZとは、外部へ公開するサーバを、インターネットからも社内LANからも切り離した中間の区画に置くネットワーク設計。DMZ（DeMilitarized Zone、非武装地帯）と読む。ファイアウォールでDMZから内部への通信を絞り、公開サーバが乗っ取られても内部へ一気に到達されない構造を作ることが目的である。
最終更新：2026-10-07
この語が出る過去問を解く →背景
公開サーバを社内LANへ直接置けば、そのサーバが破られた時点で内部の資産に手が届く。かといって管理外の場所へ出せば運用も監視もできない。攻撃者は外から見える口を最初に狙うという前提に立ち、「いつかは破られる」ものとして被害の届く範囲をあらかじめ区切るために生まれた設計である。境界防御の基礎であり、専門がネットワーク以外の受験者にも問われる。
具体例
FortinetのFortiGateやシスコのファイアウォール製品には、内部・外部とは別にDMZ用のインタフェースが用意されている。ここにWebサーバ、外部向けDNS、メール中継を収容し、DMZから内部の業務データベースへは特定のポートだけを許可する形が定石になる。
試験での引っ掛け
DMZの狙いは公開サーバ自体を守ることではなく、公開サーバが陥落した後の波及を止めることにある。したがってDMZから内部への通信を無条件に許可すれば、区画を分けた意味は残らない。またDMZはネットワークの層で区切る仕組みであり、サーバ上の脆弱性そのものを減らす対策ではない。
関連用語
出た過去問
出典：平成30年度 秋期 高度試験 午前Ⅰ 問12（IPA）
インターネットに接続された利用者のPCから、DMZ上の公開Webサイトにアクセスし、利用者の個人情報を入力すると、その個人情報が内部ネットワークのデータベース（…
正解：PCとWebサーバ間の通信データを暗号化するとともに、利用者を認証することができるようになる。
要点：クライアント証明書によるTLSは通信暗号化＋利用者認証
この構成でTLSが張られるのは、利用者のPCとDMZ上の公開Webサーバとの間である。内部のDBサーバとPCが直接TLS通信するわけではない。さらに利用者個人のディジタル証明書を用いるクライアント認証を行うことで、サーバ側が接続してきた利用者が本人であることを確認できるようになる。
出典：平成30年度 春期 高度試験 午前Ⅰ 問13（IPA）
内部ネットワークのPCからインターネット上のWebサイトを参照するときにDMZ上に用意したVDI（Virtual Desktop Infrastructure）…
正解：Webサイトからの受信データを処理してVDIサーバで生成したデスクトップ画面の画像データだけをPCに送信する。
要点：VDIは画面の画像だけを転送するのでマルウェアが届かない
VDIによる画面転送型のインターネット分離では、Webサイトとの通信やコンテンツの解釈はすべてDMZ上のVDIサーバ側で行われ、PCへ渡されるのは描画済みのデスクトップ画面の画像データと、PCから送る操作情報だけである。マルウェアの実体そのものがPCに届かないため、未知のマルウェアであってもPCの感染を防げる。
出典：令和4年度 春期 高度試験 午前Ⅰ 問14（IPA）
内部ネットワークのPCからインターネット上のWebサイトを参照するときに、DMZに設置したVDI（Virtual Desktop Infrastructure）…
正解：Webサイトからの受信データを受信処理した後、生成したデスクトップ画面の画像データだけをPCに送信する。
要点：VDIは画面転送だけを行いコンテンツをPCに届けない
VDIでは、Webブラウザの実行そのものをDMZ上の仮想デスクトップで行い、PCへ渡すのは描画された画面の画像と操作情報だけにする。実際のコンテンツやプログラムは内部のPCに到達しないため、未知のマルウェアであっても検知に頼らずPCへの感染を防げる。この考え方をWeb分離（インターネット分離）と呼ぶ。
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。