パソコン5～6台の小企業ですが、FortiGateなどのUTMって必要だと思いますか？　結構高いのですが。

その５～６台のパソコンで、国家機密を扱っているのなら、UTM だけでは不十分です。

... というのはともかく、一般的には、UTM は不要で、ご家庭用ブロードバンドルータ程度で十分です。

むしろ、

• きちんとソフトウェアをアップデートする。もちろん、XP や Office 2003 以前は使わない。
• セキュリティソフトをインストールして、きちんと更新する。
• パスワードをきちんと設定し、異なるサイトに同じパスワードを使いまわすような事はしない。
• 特に、ルータのパスワードはデフォルトから変更する事を忘れずに。
• 「これでポート開放！」といった類の話に踊らされない。

といった、個人利用でも重要な対策をきちんと実施することです。

もう少しパソコンの数が増えたら必要になると思います。
今のうちから対策を立てておくのも良いかもしれません。

機密情報屋個人情報を扱っているサーバがネットに接続する可能性があるなら、UTMは導入する必要があります。

そういった情報を扱っているサーバは、インターネットに接続させないようにするのがいいです。物理的にLANを接続しないか、下記のようなDMZを作ってネットにアクセスするPCを限定した方がいいでしょう。
http://lan-pc.pc-beginner.net/bb_router/bb_router_dmz.html

公的機関との取引や機密情報を扱う場合はあったほうが良いでしょう。
取引やデータの扱いに関してそういったセキュリティを条件にしている場合もあります。
また個人情報を扱っている場合（法令では5000人以上のデータ）は対策を行っておいた方が良いでしょう。

しかし、数台で一人でカバーできる範囲であれば個々のPCのセキュリティー設定や
ネットワークの経路をシンプルにして明瞭にすること、アンチウィルスソフトのパターンを常に最新にするなどでも対応は可能かと思います。

何かあった際に何もわからない状況というのを避けるのは必須だと思いますので
UTMが高額ということであればネットワークの履歴を収集しておくという簡単な内容のものでも設置をしておいたほうが良いかもしれません。
またセキュリティー要因として一番多いのは内部のデータを扱う人間のミスや慣れであることも多いです。
5分でも10分でも構いませんので社員にセキュリティーに関しての簡単な説明や講習を行っておくのも効果的なセキュリティー対策かと思います。

UTMについての知識を深めることも必要ではないでしょうか。

第10回　七つの疑問に答える（7）：UTMの価格はどうやって決まるの？
http://itpro.nikkeibp.co.jp/article/COLUMN/20071126/287935/?ST=security

UTMが必要かどうかは扱っている情報によるところがあります。
ネットワークセキュリティを幾ら上げても完璧にはなりません。
そこはコストとの兼ね合いですね。
一番安全なのはそのPCをスタンドアロンにしてしまうことです。
内部セキュリティの問題もありますが、外部からの攻撃に備えるには、その情報を失った時の損失とUTMに掛かる費用を比べてみてください。