「小さな会社だから攻撃されない」とは限りません。公開中のホームページは自動化された探索の対象になり、更新されていないWordPress、弱いパスワード、放置アカウントなどが狙われます。
改ざん、情報漏えい、迷惑メール送信、取引先への影響を防ぐには、製品を一つ入れるだけでなく、経営・技術・運用を組み合わせる必要があります。中小企業が優先して行う対策を解説します。
セキュリティは経営課題
ホームページ停止や情報漏えいは、問い合わせ、受注、採用、信用、取引先に影響します。復旧費用だけでなく、調査、説明、再発防止、法的対応が必要になることもあります。
IPAの中小企業向けガイドラインも、経営者が認識・実施すべき指針と実務手順の両方を示しています。
1. 管理対象を把握する
守る対象が分からなければ対策できません。次を台帳化します。
- ドメイン・DNS
- サーバー・クラウド
- WordPress・テーマ・プラグイン
- 管理者・外部委託先
- SSL・CDN・WAF
- フォーム・予約・決済
- GA4・GTM・Search Console
- バックアップ・監視
- 有料ライセンス
- 会社メール・外部サービス
契約名義、責任者、期限、連絡先を記録します。
2. WordPressと関連ソフトを更新する
WordPress本体、テーマ、プラグイン、PHP、サーバー環境を対応バージョンへ保ちます。重大な脆弱性は定例日を待たず対応します。
更新前にバックアップし、検証環境で確認してから本番へ反映します。
3. 不要なものを削除する
使っていないプラグイン、テーマ、テストページ、古い管理者、停止した外部連携を整理します。無効プラグインもファイルが残るため、不要なら安全な手順で削除します。
機能と入口を減らすと、更新・監視対象も減ります。
4. パスワードと二要素認証
サービスごとに長く推測されにくい固有パスワードを使い、パスワード管理ツールで保管します。WordPress、サーバー、ドメイン、Google、メールの管理者には二要素認証を設定します。
復旧コードは担当者個人だけでなく、会社の緊急手順に沿って安全に保管します。
5. 権限を最小化する
記事更新者へ管理者権限を渡さず、役割に合う権限を付与します。制作会社や外部ライターにも、必要な期間と範囲だけ発行します。
共有IDを避け、退職・契約終了日にアカウントを停止します。
6. HTTPSを全ページへ適用する
SSL証明書を設定し、HTTPからHTTPSへ301リダイレクトします。混在コンテンツと証明書期限を監視します。
HTTPSだけでサイト全体が安全になるわけではありませんが、通信保護の基本です。
7. WAFとアクセス制御
WAFは不審なリクエストを遮断する助けになります。サーバーやCDNの機能を確認し、正規フォームや管理画面を誤遮断しないかテストします。
管理画面のURL変更だけに頼らず、二要素認証、回数制限、必要に応じた接続元制御を組み合わせます。
8. フォームを安全にする
入力検証、ボット対策、送信回数制限、ファイル添付制限、通知メール認証を設定します。必要以上の個人情報を集めず、保存場所と保持期間を決めます。
送信内容がWordPressデータベースとバックアップに残るか確認します。
9. バックアップを分離する
ファイルとデータベースを複数世代保存し、本番サーバーとは別の場所にも置きます。バックアップ自体を暗号化し、アクセス権を限定します。
定期的に検証環境へ復元し、実際に使えることを確認します。
10. 稼働・改ざん・ログを監視する
サイト停止、証明書期限、ファイル変更、不正ログイン、サーバー容量、マルウェアを監視します。通知先と対応時間を決めます。
ログは調査に必要な期間を安全に保管し、普段の状態を記録します。
11. サーバー・ドメインを自社で管理する
制作会社へ運用を委託しても、自社名義・自社管理の権限を持ちます。更新期限、請求、DNS、緊急連絡先を台帳化します。
制作会社と連絡不能でも、別会社へ復旧を依頼できる状態を作ります。
12. 委託先の対策を確認する
保守会社、サーバー、フォーム、予約、決済など外部サービスもサイトの安全性に関係します。契約前に次を確認します。
- 責任範囲
- 更新・監視・バックアップ
- アクセス権管理
- 再委託
- 障害・事故時の連絡
- ログと報告
- 解約時のデータ返却・削除
「任せているから安全」ではなく、実施内容を確認します。
13. 変更管理を行う
誰が、いつ、何を、なぜ変更したかを記録します。テーマ、プラグイン、DNS、GTMなど重要設定は、承認・バックアップ・検証後に変更します。
複数変更を同時に行わず、問題時に戻せるようにします。
14. 事故対応計画を作る
平時に次を決めます。
- 事故判断者
- 制作会社・サーバー会社・専門家の連絡先
- サイト停止・隔離の判断
- バックアップ保全
- 影響調査
- 顧客・取引先への連絡
- 公的機関・専門窓口への相談
- 復旧と再発防止
会社メールが使えない場合の連絡手段も用意します。
15. 従業員教育
管理者を狙うフィッシング、偽の更新通知、添付、パスワード共有に注意します。技術担当だけでなく、記事更新者、経理、経営者も基本手順を理解します。
不審な状況を報告しやすくし、個人判断で隠さない文化を作ります。
最低限の月次チェック
- WordPress・テーマ・プラグイン更新
- バックアップ成功
- フォーム送受信
- 不審ユーザー・ログイン
- 改ざん・マルウェア警告
- サーバー容量・エラー
- SSL・ドメイン期限
- GA4・Search Consoleの異常
- 権限変更
- 公開情報の正確性
重大通知は月次を待たず対応します。
改ざんが疑われるとき
見覚えのない転送、広告、管理者、ファイル、検索結果を見つけたら、通常更新を止め、証拠とログを保全します。感染中のバックアップを正常版へ上書きしないよう注意します。
単に見える箇所を直すだけでなく、侵入経路、影響範囲、認証情報、再発防止を調査します。
安価な対策から始める
まず、資産台帳、更新、不要アカウント削除、二要素認証、バックアップ、緊急連絡先から着手します。その後、WAF、監視、専門支援をリスクに応じて追加します。
対策費と、停止・漏えい・信用失墜の影響を比較します。
制作会社へ確認する質問
- どのソフトを誰が更新するか
- 脆弱性情報をどう確認するか
- 管理者と二要素認証をどう管理するか
- WAF・監視・ログの範囲は何か
- バックアップは別環境へ保存されるか
- 復元テストを行うか
- 事故時の初動・報告時間は何か
- 保守対象外と追加費用は何か
- 解約時にデータと権限を返却するか
公的情報の活用
IPAの中小企業の情報セキュリティ対策ガイドラインは、経営者編と実践編で段階的な対策を示しています。自社診断や中小企業向け支援情報も活用できます。
まとめ
中小企業のホームページセキュリティは、更新、不要機能削除、二要素認証、最小権限、HTTPS、WAF、フォーム対策、バックアップ、監視を組み合わせます。
経営者が責任者と予算を決め、制作会社の実施内容を確認し、事故対応まで準備しましょう。完璧を待たず、資産把握と基本対策から段階的に継続することが重要です。