まず見直す基本対策5つ

セキュリティ対策というと、むずかしく高価なものを想像するかもしれません。けれども、実際に被害の入口になりやすいのは、基本的な設定の抜けや更新の遅れです。ここでは、効果が大きく、始めやすいものを5つ紹介します。

1. 通信をすべて暗号化する（HTTPS）

何が危ない？ 暗号化されていない通信は、途中で盗み見られたり、書き換えられたりするおそれがあります。お問い合わせフォームに入力された内容が漏れることもあります。

やること

• http:// でアクセスされても、自動で https:// に転送する
• 古い暗号方式（TLS 1.0 / 1.1）を無効にし、TLS 1.2 以上を使う
• HSTS を設定して、ブラウザに常に暗号化接続を使わせる
• 証明書の期限切れを防ぐため、自動更新を設定する

自分で確かめる： アドレス欄に鍵のマークが出るか、http:// で開いても https:// に切り替わるかを確認しましょう。

2. ソフトウェアを最新に保つ

何が危ない？ CMS（WordPress など）やプラグイン、サーバーのソフトウェアの弱点は、日々公開されています。更新が止まったサイトは、公開済みの弱点の一覧と照らし合わされるだけで侵入口になりえます。

やること

• CMS 本体・プラグイン・テーマを最新にする
• 使っていないプラグインやテーマは削除する
• サポートが終了した版（PHP の古い版など）を使い続けない
• VPN 機器やルーターのファームウェアも忘れずに更新する

自分で確かめる： 管理画面に「更新があります」の通知が溜まっていないか。制作会社に、最後に更新した日を聞いてみましょう。

3. 公開しなくてよいものを閉じる

何が危ない？ バックアップファイルや設定ファイル（.env など）、開発用のフォルダ（.git など）が誰でも開ける場所に残っていると、パスワードや内部の情報が丸見えになることがあります。

やること

• バックアップや設定ファイルを、公開フォルダに置かない
• 管理画面には IP アドレスの制限や多要素認証をかける
• ディレクトリの一覧表示をオフにする

自分で確かめる： 自社サイトの URL の後ろに /.env や /backup.zip を付けて開き、中身が表示されないことを確認します（表示されたら、すぐに制作会社へ連絡してください）。

4. なりすましメールを防ぐ（SPF・DKIM・DMARC）

何が危ない？ 送信ドメイン認証が設定されていないと、自社のドメインを名乗った偽のメールを、受け取った側が見分けにくくなります。取引先がだまされれば、信用にも関わります。

やること

• SPF と DKIM を設定する
• DMARC を設定し、様子を見ながら p=quarantine 以上に強める

くわしくは「SPF・DKIM・DMARC入門」で解説しています。

5. ブラウザ側の守りを有効にする（セキュリティヘッダー）

何が危ない？ 画面の見た目では分かりませんが、応答ヘッダーの設定が足りないと、サイトを別のページに埋め込んで操作をだます「クリックジャッキング」などの入口になります。

やること

• X-Frame-Options または CSP の frame-ancestors で、埋め込み表示を制限する
• X-Content-Type-Options: nosniff を設定する
• できれば Content-Security-Policy（読み込み元の制限）も設定する

自分で確かめる： ヘッダーは画面に表示されないため、診断ツールを使うのが確実です。

どれから始める？

5つを一度にやる必要はありません。目安としては次の順番がおすすめです。

順番	対策	手間
1	通信をすべて HTTPS に	すぐできる
2	不要な公開物を閉じる	すぐできる
3	ソフトウェアを最新に	定期的に
4	なりすましメール対策	設定が必要
5	セキュリティヘッダー	設定が必要

取り組みを外に示したい場合は、IPA の「SECURITY ACTION」で、自社の取り組みを宣言することもできます。詳しくは IPA のサイトをご覧ください。