企業のホームページは、会社の顔であると同時に、お客様との重要な接点でもあります。しかし、「公開したまま数年間更新していない」「セキュリティ対策は制作会社に任せきり」という企業も少なくありません。近年では、ホームページを狙ったサイバー攻撃が増加しており、企業規模を問わず被害が発生しています。
ホームページの改ざんや個人情報の漏えい、不正アクセスなどは、企業の信用を大きく損なう原因となります。
そこで重要になるのが、定期的なホームページのセキュリティチェックです。本記事では、企業が確認しておきたいセキュリティチェック項目と、日頃から取り組みたい対策についてご紹介します。
目次
- なぜホームページのセキュリティチェックが必要なのか
- セキュリティチェックを怠ると起こるリスク
- ホームページのセキュリティチェック10項目
- こんな状態なら一度チェックをおすすめします
- セキュリティ対策は「公開後」が重要
なぜホームページのセキュリティチェックが必要なのか
「うちは小さな会社だから狙われない」そう考えている企業もありますが、実際には中小企業も多くの攻撃対象となっています。
攻撃者は、
- 更新されていないWordPress
- 古いCMS
- セキュリティ設定が甘いホームページ
を自動で探し、攻撃を仕掛けています。また、ホームページだけでなく、お問い合わせフォーム、管理画面、メールサーバーなども攻撃対象になります。定期的なチェックを行うことで、小さな問題を早期に発見し、大きな被害を防ぐことができます。
セキュリティチェックを怠ると起こるリスク
ホームページのセキュリティ対策は、「被害に遭ってから考える」のでは遅い場合があります。一度ホームページが攻撃を受けると、復旧に時間や費用がかかるだけでなく、企業の信用にも大きな影響を与えます。実際に発生しやすい被害には、次のようなものがあります。
ホームページの改ざん
企業ホームページが第三者に書き換えられ、意図しない広告や悪意のあるサイトへのリンクが表示されるケースがあります。利用者が不審なサイトへ誘導されるだけでなく、「管理が甘い会社」という印象を与えてしまう恐れがあります。
個人情報の漏えい
お問い合わせフォームなどを経由して取得した個人情報が漏えいすると、企業としての信用を大きく損ないます。取引先や顧客への報告、調査、再発防止策の実施など、多くの対応が必要になります。
検索結果から削除される可能性
ホームページがマルウェアに感染すると、検索エンジンから「このサイトは安全ではない可能性があります」という警告が表示されることがあります。この状態になるとアクセス数や問い合わせ数が大きく減少する可能性があります。
メールが送信できなくなる
ホームページだけでなく、メールサーバーが悪用されるケースもあります。なりすましメールの送信元として利用されると、自社ドメインの信用が低下し、取引先へメールが届かなくなることもあります。
ホームページのセキュリティチェック10項目
ホームページのセキュリティ対策というと、「専門知識がないと確認できない」と思われる方も多いかもしれません。しかし、企業のホームページを安全に運用するためには、まず基本的な項目を定期的に確認することが大切です。ここでは、中小企業のホームページ運営で特に確認しておきたい10のチェックポイントをご紹介します。一つひとつは難しい内容ではありませんので、自社サイトの状況を確認しながらご覧ください。これらを定期的に見直すことで、安全で信頼性の高いホームページ運営につながります。
1. SSL（https）に対応しているか
まず確認したいのがSSLです。ブラウザのアドレスバーに鍵マークが表示されているか確認しましょう。
SSLが設定されていない場合、通信内容の盗聴、個人情報漏えい、SEO評価への悪影響などが考えられます。現在では企業サイトにおいてSSLは必須と言えます。
2. WordPressやCMSが最新バージョンか
WordPressを利用している場合、本体、テーマ、プラグインが最新になっているか確認しましょう。古いバージョンは既知の脆弱性を悪用される危険があります。ホームページ改ざんの原因として非常に多い項目です。
3. 不要なプラグインやテーマが残っていないか
使っていないプラグインやテーマも放置しないようにしましょう。停止していても脆弱性の対象になることがあります。不要なものは削除することが重要です。
4. 管理画面のパスワードは安全か
以下のようなパスワードは危険です。
- company123
- password
- admin
長く複雑なパスワードを設定し、使い回しを避けましょう。可能であれば二要素認証も導入すると安心です。
5. 管理者アカウントを整理しているか
退職者のアカウントや使われていない管理者権限が残っていませんか。
不要なアカウントは不正アクセスの入口になる可能性があります。定期的に利用状況を確認しましょう。
6. バックアップは取得できているか
万が一ホームページが改ざんされた場合でも、バックアップがあれば復旧できます。
確認したいポイントは、
- 定期的に取得されているか
- データベースも対象か
- 復元できる状態か
です。「バックアップがある」と「復元できる」は別問題です。
7. お問い合わせフォームに対策をしているか
フォームは攻撃対象になりやすい箇所です。例えば、スパム送信、不正入力、ボット攻撃などがあります。reCAPTCHAや入力チェックなどの対策を行いましょう。
8. セキュリティヘッダを設定しているか
近年では脆弱性診断でも確認される項目です。代表的なものは以下のようなものです。
- HSTS
- X-Content-Type-Options
- X-Frame-Options
- Content-Security-Policy（CSP）
これらを設定することで攻撃リスクを軽減できます。
9. メール認証（SPF・DKIM・DMARC）が設定されているか
ホームページだけでなくメールのセキュリティも重要です。メール認証を設定することで、なりすましメール防止、メール到達率向上が期待できます。GoogleやMicrosoftでも設定が推奨されています。
10. 脆弱性診断を定期的に実施しているか
ホームページの状態を客観的に確認するには脆弱性診断がおすすめです。代表的にはSQLインジェクション、クロスサイトスクリプティング（XSS）、ディレクトリトラバーサル、セキュリティヘッダなどを確認できます。無料ツールでも基本的な診断は可能ですが、重要なホームページでは専門的な診断も検討すると安心です。
こんな状態なら一度チェックをおすすめします
次のようなホームページは、一度セキュリティチェックを行うことをおすすめします。
- ホームページ公開から5年以上経過している
- WordPressを長期間更新していない
- 制作会社と連絡が取れなくなった
- SSL以外の対策はよく分からない
- 管理画面に誰がログインできるか把握していない
- 脆弱性診断を受けたことがない
- お問い合わせフォームが古いままになっている
一つでも当てはまる場合は、現状を確認してみる価値があります。
セキュリティ対策は「公開後」が重要
ホームページは公開して終わりではありません。新しい脆弱性は日々発見されており、公開時に安全だったホームページでも、数年後にはリスクを抱えている場合があります。定期的な更新や点検を行うことで、安全な状態を維持できます。車に定期点検が必要なように、ホームページにも定期的なセキュリティチェックが必要なのです。
ファイコムでは、「デザイン＆セキュリティ」をコンセプトに、ホームページ制作だけでなく公開後の運用支援にも力を入れています。、IPA（情報処理推進機構）が推奨する基本的なセキュリティ対策も参考にしながら、お客様の運用状況に合わせた改善をご提案しています。「何から確認すればよいかわからない」「現在のホームページの状態を一度見てほしい」という場合も、お気軽にご相談ください。
K.M
