こんにちは！relationの野菜です！
企業のWebサイトは、会社やサービスを知ってもらうための窓口です。
問い合わせや資料請求、採用エントリーなど、ユーザーから情報を受け取る場として使われることもあります。
その一方で、気をつけたいのが不正アクセスや情報漏えいといったセキュリティ上のリスクです。
「制作会社に任せたままだけど大丈夫？」
「自社でどこまで対応すればいい？」
「そもそも、何から始めればいいのか分からない」
こうした疑問を抱えながら、自社サイトを運用している担当者もいるでしょう。
Webセキュリティは、特定の製品を一つ導入すれば終わりというものではありません。
どのような脅威があるのかを知り、自社の状況に合った対策を考えることが第一歩です。
こんな方におすすめ
・自社サイトのセキュリティ対策が十分なのか分からない方
・不正アクセスや情報漏えいに不安を感じている方
・Web担当者として何をチェックすればよいのか知りたい方
・自社で対応する範囲と、専門家へ相談する範囲を整理したい方
この記事では、Webサイトで注意したい主なリスクから、日頃の運用で取り入れたい対策、自社でチェックできるポイントまで順番に紹介します。
Webサイトのセキュリティ対策が必要な理由
企業サイトには、問い合わせフォームや管理画面、CMSなど、さまざまな機能やシステムが使われています。
こうした仕組みに脆弱性や設定ミスがあると、攻撃のきっかけになることがあります。
たとえば、第三者に管理画面へ不正ログインされると、ページを書き換えられたり、保存されている情報を閲覧されたりするおそれがあります。
状況によってはサイトを停止し、原因の調査や復旧作業が必要になるケースも考えられます。
問題が起きてから対応するのではなく、普段から自社サイトの状態を把握できる運用体制を整えておくことが欠かせません。
特に、「誰が管理しているのか分からない」「数年前に作ってからほとんど触っていない」という場合は、現在の管理状況を一度整理してみるとよいでしょう。
Webサイトで注意したい主なセキュリティリスク
Webサイトへの攻撃にはさまざまな手口があります。
ここでは、Web担当者が知っておきたい代表的な3つのリスクを取り上げます。
不正ログイン・アカウントの乗っ取り
まず挙げられるのが、管理画面への不正ログインです。
推測されやすいパスワードを使用していると、不正ログインを試みる攻撃に悪用されるおそれがあります。また、ほかのサービスと同じパスワードを使い回している場合、一方のサービスで認証情報が漏えいすると、自社サイトへの不正ログインにもつながる可能性があります。
また、認証方法だけでなくアカウントの管理も見落とせません。
たとえば、すでに担当を外れた人のアカウントが残っていたり、更新作業しか行わない担当者に管理者権限が付与されていたりするケースです。
「誰がログインできるのか」
「それぞれにどこまで操作を許可しているのか」
この2点を整理し、不要なアカウントや権限を残さない運用が求められます。
CMSやソフトウェアの脆弱性を狙った攻撃
WordPressをはじめとするCMSでは、本体だけでなく、プラグインやテーマなど複数のソフトウェアが使われています。
これらに脆弱性が見つかると、問題を修正した新しいバージョンが提供されることがあります。
古い状態のまま放置すると、すでに知られている弱点を攻撃に利用されるおそれがあります。
また、現在は使用していないプラグインが残っていないかも見直してみてください。
管理対象が増えるほど、更新漏れにも気づきにくくなります。
不要なものを整理し、管理しやすい状態にしておくこともセキュリティ対策の一つです。
Webアプリケーションの不備を悪用した攻撃
問い合わせフォームや検索、ログインなど、ユーザーから入力を受け付ける機能が攻撃の対象になる場合もあります。
代表的なものが、SQLインジェクションやクロスサイト・スクリプティング（XSS）です。
SQLインジェクションは、Webアプリケーションの不備を悪用し、データベースへの命令を不正に操作する攻撃です。
情報の閲覧や改ざんなどにつながるおそれがあります。
XSSは、Webサイトの脆弱性を悪用し、不正なスクリプトをページの閲覧者のブラウザ上で実行させる攻撃です。偽の情報を表示させたり、利用者の情報を盗み取ったりする被害につながるおそれがあります。
こうした脆弱性は、管理画面を見ただけでは判断しにくい領域です。
Webサイトを制作・改修する段階から、安全性を考慮した設計や実装が求められます。
Webサイトで実施したい基本的なセキュリティ対策
ここからは、Webサイトを運用するうえで押さえておきたい基本的な対策を紹介します。
すべての対策を一度に実施するのは難しい場合もあるため、現在の対応状況を確認し、リスクや緊急性に応じて優先順位を決めましょう。
ただし、悪用が確認されている脆弱性など、緊急性の高い問題が見つかった場合は、速やかな対応が必要です。
HTTPS（SSL/TLS）で通信を暗号化する
URLが「https://」から始まっているサイトでは、ブラウザとWebサーバー間の通信が暗号化されています。
問い合わせフォームなどから送信される情報の盗聴や改ざんといったリスクを抑えるためにも、HTTPSへの対応は基本となります。
ただし、「HTTPSだから安全」と判断するのは禁物です。
暗号化されるのはあくまで通信部分です。
CMSに脆弱性が残っていたり、管理画面の認証情報が漏れていたりすれば、別の経路から被害を受けることがあります。
HTTPSだけに頼らず、ほかの対策と組み合わせて考えましょう。
CMS・プラグイン・ソフトウェアを適切に更新する
CMSやプラグインの更新情報を定期的にチェックし、必要なアップデートを行います。
ただし、本番環境ですぐに更新すると、既存の機能やデザインに影響が出るケースもあります。
更新前にバックアップを取り、必要に応じてテスト環境で動作を確かめてから反映すると安心です。
WordPressを利用している場合は、セキュリティ対策に役立つプラグインの機能や選び方も確認しておきましょう。詳しくは下記の記事をご覧ください。
管理画面の認証とアクセス権限を適切に管理する
管理画面への侵入を防ぐため、パスワードは推測されにくく、十分な長さのものを設定します。
利用できる環境であれば、多要素認証を取り入れるのも有効です。
あわせて、アカウントと権限も定期的に見直します。
退職者や以前の担当者のアカウントは残っていないか、必要以上の管理権限を付与していないかをチェックしましょう。
担当変更のタイミングで見直すルールを設けておくと、アカウントの削除漏れや権限の変更忘れを防ぎやすくなります。
WAFなどを活用して不正なアクセスへの対策を行う
Webアプリケーションへの攻撃に備える方法の一つとして、WAF（Web Application Firewall）があります。
WAFはWebサイトへの通信をチェックし、攻撃と判断される通信を検知・遮断する仕組みです。
サービスによっては、サーバーやクラウドの機能として利用できる場合もあります。
ただし、WAFを導入すれば、すべての攻撃を防げるわけではありません。
プログラムに脆弱性が見つかった場合は、その部分を修正することが基本です。
WAFは、こうした取り組みを補助する仕組みとして活用します。
バックアップとログの確認・監視体制を整える
攻撃を防ぐ取り組みとあわせて、問題が発生した場合の備えも考えておきます。
まずはバックアップです。
サイトのファイルやデータベースを定期的に保存し、万が一のときに復元できる状態にしておきます。
バックアップは取得するだけでなく、必要なデータを復元できるか確認しておくとトラブル発生時にも対応しやすくなります。
アクセスログやログイン履歴などを確認できる環境を整えておくことも、異常を早期に発見する手がかりになります。
さらに決めておきたいのが、トラブル発生後の対応です。
「異常を見つけた場合は誰に連絡するのか」
「制作会社と社内担当者のどちらが対応するのか」
こうした役割や連絡先をあらかじめ整理しておけば、緊急時にも動きやすくなります。
自社Webサイトのセキュリティ状況を確認する方法
ここまで紹介した内容を踏まえて、自社サイトの現在の対応状況を整理してみましょう。
専門的な診断を行わなくても、Web担当者が確認できる項目があります。自社で確認できない内容については、制作会社や保守担当者に確認しながら、現在の対応状況を整理してみましょう。
自社サイトで確認しておきたいポイント
・サイト全体がHTTPSになっているか
・CMSやプラグインが古いバージョンのまま放置されていないか
・退職者など、不要なアカウントが残っていないか
・パスワードが適切に管理され、多要素認証が設定されているか
・必要以上の管理権限を与えていないか
・バックアップを定期的に取得し、復元できる状態になっているか
・不審なアクセスや異常を把握できる環境が整っているか
・更新やトラブル対応を行う担当者が決まっているか
・問題が起きた場合の連絡先や対応手順が決まっているか
一つずつ見ていくと、「対応できている部分」と「確認が必要な部分」を切り分けやすくなります。
制作会社に管理を任せている場合は、CMSの更新やバックアップ、障害発生時の対応などが契約に含まれているかも確認しておきたいポイントです。
一方、サーバーの設定やWebアプリケーション内部の脆弱性など、Web担当者だけでは判断しにくい領域もあります。
また、このチェック項目をすべて満たしていても、安全性が保証されるわけではありません。
扱う情報やサイトの規模、機能などに応じて、専門家への相談や脆弱性診断を検討する方法もあります。
Webサイトのセキュリティ対策・保守のご相談はrelationへ
Webサイトのセキュリティ対策は公開時の設定だけでなく、ソフトウェアの更新や管理体制の確認など、運用中も継続して取り組む必要があります。
「自社サイトの管理状況を把握できていない」「Webサイトの制作や保守・運用体制を見直したい」という場合は、外部の専門家への相談も選択肢の一つです。
株式会社relationでは、Webサイト制作や公開後の運営サポート、システムの保守・運用に関するサービスを提供しています。
Webサイトの制作・運用を見直したい方は、Webサイト制作サービスをご覧ください。
まとめ
Webサイトには、不正ログインやソフトウェアの脆弱性、Webアプリケーションへの攻撃など、さまざまなリスクがあります。
一つの製品や仕組みだけですべてを防ごうとせず、複数の対策を組み合わせることがポイントです。
HTTPSによる通信の暗号化、CMSの更新、アカウント・権限管理、WAF、バックアップ、ログの監視など、自社の環境に合わせて取り入れていきましょう。
まずは、この記事で紹介したチェック項目をもとに、自社サイトの現状を整理してみてください。
