セキュリティー対策商品のソフトとハードの違いについて教えてください。

FortiGate は UTM アプライアンスです。

Symantec AntiVirus はウイルス対策のみですが、UTM ならそれだけでなくファイアウォール・IPS (IDP)、コンテンツフィルタリング、spam 対策を1台でまとめて行えます。

上記のような付加価値に魅力を感じるのであれば (たとえば機密性の高い情報を格納したサーバをインターネットに対して公開しているとか、社員に怪しいサイトを閲覧させたくないとか、spam に悩まされているとか)、導入する意味があるかと思います。

FortiGate - Wikipedia

統合脅威管理 - Wikipedia

ソフト・ハードの違いよりアプローチの違いのほうが大きいような。

「悪意ある侵入行為を検知し、その悪影響を修復し、全社規模に渡るシステムの稼動時間を最大化します。」

というように、「外からの攻撃」に対してはアプライアンス等の導入は高い効果を発揮するでしょう。

しかしこれは、

- USB メモリで持ち込んだファイルがウィルスに感染していた

- 私物ＰＣを社内に持ち込み不正行為を働いた

等の内部からの攻撃には無力です。

こういった例にはクライアントにインストールするタイプの方が有効です。

両方併用が望ましいんでしょうけど、台数だけ見ていると今のままでもそんなに問題ないような気もします。

サーバー機を外部に公開しているかどうかにもよって代わってきますけど。

企業向け統合セキュリティソフト「Symantec Endpoint Protection」登場によれば、

Endopoint Protection 11.0は (中略) 従来のウイルス対策/スパイウェア対策に加え、別製品で提供されてたファイアウォール機能、ホスト/ネットワーク単位の侵入防止ソリューション(IPS)、アプリケーション制御およびデバイス制御の機能をすべて統合し、単一のクライアントソリューションで一通りの防御がすべて実現できるようになった点が最大の特徴。

とのとですので、最新版の Symantec Endpoint Protection であれば UTM に近い機能を備えているようですが、旧版の Symantec AntiVirus はあくまでウイルス対策・スパイウェア対策のみだと思います。

また、仮に Symantec AntiVirus や Endpoint Protection が UTM 同様の機能を備えていたとしても、クライアント側での対策 (Symantec の場合は Endpoint Protection)・ゲートウェイ側での対策 (FortiGate や、Symantec の場合は Gateway Security)、両方行うことに意味はあると思いますよ。

特に端末・サーバ数が多くなると、それら全てで完璧な対策を採り続けられるとは限らないからです。(もっとも今回は「サーバー１台＋クライアント４台」とのことなのであまり該当しないとは思いますが)

また、ゲートウェイ側とクライアント側で異なるメーカーの製品を使用することで、それぞれの弱い部分を補完できる可能性もありますね。

ただ、その分コストが余計にかかりますから、99点でよしとするか、追加のコストをかけてでも99.9点にしなければならないか、で判断の分かれるところだと思います。