企業サイトのセキュリティ：最低限整えておきたい基本対策

企業サイトは、会社案内のページだけではありません。製品データ、見込み客からの問い合わせ、そしてサイトの内容をいつでも書き換えられるCMSへのアクセスが含まれています。Webサイトが乗っ取られると、ページの改ざん、スパムリンクの埋め込み、ブラウザーでの危険警告が起こり、最終的には見込み客からの信頼を失うことになりかねません。

幸い、リスクの大部分は基本的な対策を継続して行うことで減らせます。この記事では、すべての企業サイトが備えておくべき防御の層と、Webサイト制作会社に確認すべき点を解説します。

なぜ企業サイトが狙われるのか？

「うちのサイトは小さいから、わざわざ攻撃する人はいない」と考える経営者は少なくありません。しかし実際には、攻撃の多くは自動化されています。攻撃用のプログラムが何千ものWebサイトを巡回し、更新されていないソフトウェア、弱いパスワード、保護されていないフォームといったよくある弱点を探します。狙われる理由は規模ではなく、弱点があるかどうかです。

そのため、セキュリティは大企業だけの問題ではありません。インターネットにつながっているWebサイトには、すべて基本的な保護が必要です。

HTTPSとSSL証明書

HTTPSは、訪問者のブラウザーとWebサイトの間でやり取りされるデータ（見積もり依頼フォームの内容など）を暗号化します。ブラウザーはHTTPSに対応していないWebサイトを「保護されていない通信」と表示するため、見込み客が問い合わせをためらう原因になります。

一部のページだけでなく、すべてのページでHTTPSを使い、「http://」で始まる古いアドレスが「https://」版へ自動的に転送されるようにしましょう。SSL証明書も期限内に更新する必要があります。最近は自動更新に対応したホスティングが多いものの、念のため確認しておく価値があります。

ソフトウェアの定期的な更新

Webサイトは、CMS、プラグイン、テーマ、サーバー上のソフトウェアなど、多くの要素で構成されています。どの要素にもセキュリティ上の欠陥が見つかることがあり、それは更新によって修正されます。一度も更新されていないWebサイトには、すでに公になっている欠陥がたまっていきます。

追加プラグインの多いCMSを使っている場合、プラグインが増えるたびに保守すべき要素が増えます。本当に必要なプラグインだけを使い、使っていないものは削除しましょう。更新を担当する人を明確にしておくことも大切です。

強力なパスワードと2段階認証

CMSへのアクセスは、Webサイトの玄関です。管理者のパスワードが漏えいしたり推測しやすかったりすれば、攻撃者は技術的な弱点を探す必要すらありません。

ユーザーごとに長く固有のパスワードを使い、他のサービスで使い回さないでください。
パスワードはメモやチャットグループではなく、パスワード管理ツールで保管しましょう。
CMSが対応していれば、2段階認証（2FA）を有効にしましょう。2FAがあれば、パスワードだけではログインできません。
1つのアカウントを複数人で共有しないでください。一人ひとりが自分のアカウントを持つべきです。

役割に応じたアクセス権限

チーム全員にすべての権限が必要なわけではありません。記事を書くマーケティング担当者には、ページを削除したりサイト設定を変更したりする権限は不要です。役割に応じて権限を分けておけば、操作ミスやアカウントの漏えいがWebサイト全体に影響することを防げます。

CMSのユーザー一覧は定期的に見直しましょう。社員が異動や退職をしたら、すぐにアカウントを無効にするか権限を調整します。放置された古いアカウントは、見落とされがちな弱点です。

あわせて読みたい：CMSとは何か、その仕組み

確実に復元できるバックアップ

バックアップは最後の安全網です。攻撃、編集ミス、サーバーの不具合でWebサイトが壊れても、バックアップがあれば以前の状態に戻せます。

良いバックアップとは、自動的かつ定期的に取得され、本番のWebサイトとは別の場所に保管され、実際に復元テストが済んでいるものです。一度も復元したことのないバックアップは、いざというときに役に立たないかもしれません。

スパムとボットへの対策

お問い合わせフォームや見積もり依頼フォームは、大量のスパムを送りつけるボットの標的になりがちです。迷惑なだけでなく、見込み客からの大切なメッセージがスパムに埋もれてしまうおそれもあります。

一般的な対策としては、フォームでのボット判定、同じ送信元からの送信回数の制限、不審な通信をWebサイトに届く前に遮断するWebアプリケーションファイアウォール（WAF）などがあります。本物の訪問者の妨げにならない対策を選びましょう。

よくある失敗

全員で1つの管理者アカウントを共有している：誰が何を変更したか分からず、パスワードが多くの人の間で出回ります。
何年も更新せずに放置している：セキュリティ上の欠陥がたまり続けます。
プラグインが多すぎる：追加するたびに保守すべき要素が増えます。
バックアップを同じサーバーに保管している：サーバーが故障すると、バックアップも一緒に失われます。
退職者のアクセス権を取り消していない：古いアカウントが管理されないまま有効になっています。

Webサイト制作会社に確認すべき質問

Webサイト全体がHTTPSに対応していますか？証明書の更新は誰が担当しますか？
セキュリティ更新は誰が、どのくらいの頻度で行いますか？
CMSは2段階認証と、ユーザーごとの異なる権限設定に対応していますか？
バックアップの頻度、保管場所、復元方法を教えてください。
フォームはスパムやボットからどのように保護されていますか？
セキュリティ事故が起きた場合、どう対応しますか？

あわせて読みたい：協業を始める前に確認したい質問をまとめたWebサイト制作会社の選び方。実際の攻撃にどこまで耐えられるかを知りたい場合は、ペネトレーションテストについても聞いてみましょう。

よくある質問

HTTPSだけでWebサイトは安全ですか？

いいえ。HTTPSは通信中のデータを守りますが、弱いパスワードや古いソフトウェアを突いた攻撃は防げません。HTTPSは、必要な防御の層の一つにすぎません。

ネットショップのない会社案内サイトにもセキュリティ対策は必要ですか？

はい、必要です。会社案内サイトにもCMSへのアクセスやお問い合わせフォームがあり、会社の評判がかかっています。乗っ取られたWebサイトには有害なコンテンツが埋め込まれ、ブラウザーや検索エンジンから安全でないサイトと判定されるおそれがあります。

すでにWebサイトが乗っ取られた場合はどうすればよいですか？

すぐにWebサイト制作会社またはホスティングの管理者に連絡し、全ユーザーのパスワードを変更して、問題のないバックアップからWebサイトを復元してください。そのうえで、どの弱点が悪用されたのかを突き止め、同じことが起きないようにします。詳しい手順はWebサイトが不正アクセスを受けたら：最初の24時間でやることをご覧ください。

Webサイトのセキュリティは一度きりの作業ではなく、習慣です。常に更新し、アクセスを絞り、必ずバックアップを用意しておきましょう。

手間をかけずに、保守とセキュリティ対策の行き届いた企業サイトを持ちたいとお考えですか？Webサイト制作サービスをご覧いただくか、Webホスティングとは何か、その選び方もお読みください。