「自社のサイトも対策強化すべき?」Web上のリスクが高まっている昨今では、自社のセキュリティ対策は十分なのか不安な方も多いのではないでしょうか。この記事では、サイトの脆弱性のために取るべき3つの対策と、専門的な知識がなくてもすぐにできる8つの対策を紹介します。自社のサイトのセキュリティ状態をチェックできるサイトも紹介しています。対策強化にお役立てください。無料ダウンロードウェブサイトからリード獲得を強化する3ステップ無料ダウンロード目次1.WebサイトにおけるリスクWebサイトを運営する上で、さまざまなリスクは付きものです。セキュリティ対策が十分ではない場合、情報流出などが起きてしまう可能性が高まります。何らかの攻撃の被害だとしても、企業のイメージダウンは避けられません。どのようなリスクがあるのか知って、事前にできる限りの対策を取っておくことが重要です。サイバー攻撃オンライン上にサイトを公開している以上、サイバー攻撃のリスクがあります。サイトの規模にかかわらず、ネット上に存在する限り何らかの危険にさらされているといえます。セキュリティ対策に万全の体制をとっている大企業より、資金力や対策が十分ではない中小企業のサイトの方が、標的となってしまう確率は高いかもしれません。サイバー攻撃にはさまざまな種類があり、個人情報やクレジットカードの情報を抜き取る行為や不正アクセス、改ざんなど、いつどのような被害に遭うか分かりません。サイバーセキュリティ対策プロバイダーであるチェック・ポイント・ソフトウェア・テクノロジーズ株式会社によれば、2022年のサイバー攻撃数は日本において前年より29%も増加し、週平均970件発生しています。今後も攻撃は増え続けることが予想されているため、万が一攻撃されても大切な情報の被害に遭わないよう、万全の対策が求められています。脆弱性の脅威Webサイトを運営していると、脆弱性を完全に排除することはできません。SSLサーバー証明書の安全性の低下や、サイト内で動いているさまざまなプログラムの脆弱性、何らかの機能を悪用する手口やセキュリティ対策の穴など、さまざまなタイプの攻撃があります。サイバー攻撃を仕掛けてくる相手が常に穴を探していることを念頭に置いておき、どこかに脆弱性を見つけたらすぐに対策をとる必要があります。ヒューマンエラーWebサイトに限った話ではありませんが、ヒューマンエラーは起こる前提で考えておく必要があります。以下のような事例は簡単に想像ができます。・何らかのデータ送信先を間違える・SSL証明書の更新時期などを忘れてしまう・データの入ったPCやメモリを紛失するこのような何らかの操作ミスやデバイスの管理に関するリスクは複数の人が関わる組織では完全に排除することが難しいといえます。そのため、ミスが起こらないように確認手順やチェックリストを設けたり、更新時期は複数人で管理したりするなどの予防策を講じましょう。万が一の場合にもPCに遠隔ロックをかけられるようにしておいたり、データにはパスワードをかけておいて閲覧ができないようにしたりするなどのフォロー体制を整えておくことも大切です。2.脆弱性のために必要なセキュリティ対策3つ脆弱性を突かれないようにするために、必要な3つの対策について解説します。【1】SQLインジェクションへの対策SQLインジェクションとは、SQL言語をデータベースに注入することにより、悪意のある動作を起こすというサイバー攻撃の一種です。見た目には不審な変更がないため、気づかないうちに会員情報やパスワード、クレジットカード情報などの個人情報が抜き取られてしまいます。SQLインジェクションの被害を未然に防ぐためには、データベースへの対策が必要です。レンタルサーバーが備えているファイアウォール、IPS、WAF(Webアプリケーションファイアウォール)などの防御システムのうち、WAFが有効です。レンタルサーバーの共用サーバーには標準装備されている場合がほとんどですが、きちんと有効になっているか確認しましょう。専用サーバーの場合は有料のオプションになっている場合もあるため、自社のサーバーの状況を確認してみましょう。【2】XSS(クロスサイトスクリプティング)への対策XXSとはWebサイトに攻撃を仕掛ける手口で、不正なスクリプトを埋め込んでWebページの見せ方や動作が悪意あるプログラムによって作り替えられてしまうものです。サイトの訪問者を偽のページに誘導して、そこで個人情報やクレジットカード情報を抜き取るなどの手口があります。この方法が使われることで、企業の公式サイトで注文しているつもりが、気づかないうちに精巧に模倣された偽サイトに遷移させられていて、情報が抜き取られてしまうかもしれません。したXXSへの対策としては、プログラムと認識される文字の無害化(HTML特殊文字のサニタイジング・エスケープ)などが必要です。【3】ブルートフォースアタックへの対策ブルートフォースアタックとは総当たり攻撃のことで、何万通り、何億通りものパスワードを自動生成することによりログインを試行するタイプの攻撃です。近年では技術の進歩により、何億通りの組み合わせであっても解読にかかる時間が短くなっており、4桁や8桁程度のパスワードではすぐに解読されてしまいます。管理者権限のあるIDやパスワードを割りだされてしまうと、気づかないうちに内部の情報を抜き取られたり、なりすまし被害に遭ったり、ページを改ざんされたりする危険があります。組み合わせ、複雑にすることが重要です。パスワードマネージャーなどのアプリを活用して安全に管理し、さらに定期的に変更するなどして対策しましょう。3.担当者レベルですぐにできる対策8つでは次に、Webサイトの管理に関して特別な知識があるわけではない担当者レベルでも行える日ごろの対策8つを紹介します。過去に使っていたものや、デフォルトで入っていたものなど、不要なプログラムを放置したままだとリスクが高まる恐れがあります。プログラムなどサイト内で動いているものの数が多ければ多いほど、脆弱性の危険やセキュリティの穴を突かれる可能性が高まるため、不要なものは削除し、必要最低限のもののみを置いておくように気をつけましょう。使わないようなタイプのものは、一旦削除しておき、必要な時に再インストールするなどの対策を講じる必要があるかもしれません。何か不具合や攻撃された場合にもいち早く気づけるよう、何に使うのか不明なものや、アクティブではないものは削除しましょう。【2】こまめなアップデートシステムやプログラムは日々改修が繰り返され、脆弱性対策やセキュリティの強化が行われるため、アップデートはこまめにする必要があります。’WordPress(ワードプレス)を利用している場合、バージョンやテーマ、プラグインの更新などのお知らせがあればできるだけ早めに行っておきましょう。過去に在籍していた人のアカウントやテストアカウントなどを放置しないよう気をつけましょう。パスワードが短く解析されやすいものであると簡単に突破されてしまう可能性もあるため、アカウントについても使わなくなったら削除し、次に必要な時は再度新規で設定するようにして、使いまわしや共有は避けましょう。組み合わせた複雑なものにするのがベストです。サイト間での共有は避けましょう。AIや技術の進歩により、より短時間でパスワードを解析されてしまう恐れが高まっているため、短いパスワードやパスワードの共用は危険です。12文字以上のパスワードが推奨されていますが、長すぎて覚えられない場合はセキュリティソフトやパスワードマネージャーを活用する方法もあります。その際、社外に持ち出したPCの万が一の紛失リスクなども考慮し、PCやパスワードマネージャー本体のログインは生体認証を利用したり、パスワードはどこにも記載せず厳重に管理したりするなどの対策も必要です。【5】アカウントの権限は必要最小限にWebサイトにログインするアカウントは、1つのアカウントごとに権限を細かく設定しましょう。不必要に全員が管理者権限などとならないように気をつける必要があります。順にアクセスの範囲が制限され、使える機能が限られます。面倒だから、とすべてのメニューにアクセスできるアカウントを増やすとリスクを増やすことになってしまうためそれぞれのアカウントで必要な範囲の権限に絞ることが大切です。【6】サイトの常時SSL化サイトの常時SSL化によりすべての通信を暗号化し、サイト内で行われるあらゆる通信を保護しましょう。SSL化には有効なサーバー証明書が必要となり、有効期限があります。期間内に必要なサーバー証明書の更新をきちんと行いましょう。サイトをSSL化する方法については、こちらの記事で詳しく解説しています。問い合わせフォームやメールフォームなど、不特定多数から情報が送信できるシステムには、Googleが提供しているロボット対策ツール「reCAPTCHA」が有効です。reCAPTCHA公式HPこれまでのreCAPTCHAは、設置しておくとフォームの送信時に『私はロボットではありません』というチェック項目や、画像パネルの中から指定の画像のみを選択するタイプのテストが表示され、ある程度以上のスコアでないと先に進めないシステムになっていました。v3では、上記のようなチェックボックスはなくなり、ロボットか人間か自動で判断されるようになり、ユーザビリティが高まりました。すべてのロボットやスパムメールを完全に防げるわけではありませんが、ロボットからの攻撃の可能性を減らすため、設置しておくことをおすすめします。【8】定期的なログの取得・保管システムやサーバー、アプリケーションのログは定期的に取得し、保管しておきましょう。記録を保管しておき、比較することで不審な動きがあった場合にいち早く気づけます。不正アクセスの痕跡を発見した場合には、それがどの期間に起こったものか、その際にどのような通信が行われていたかなどの記録が原因究明や今後の対策に役立ちます。どのシステムやサーバー、アプリケーションのログをいつ取得するのか、また保管方法や取り扱い方法についても社内で決めておきましょう。各PC間でシステムの時刻がきちんと同期されているかも事前に確認が必要です。自社サイトのセキュリティレベルのチェックや、不正改ざんにいち早く気づくために役立つ無料のチェックツールを3つ紹介します。いずれもオンライン上でURLを入力するだけなため手軽に使えます。Mozilla」より英語のサイトですが、上記の画面はGoogleの自動翻訳機能を利用しています。「サイトをスキャンする」の下にある検索のような窓部分に、自社サイトのURLや調べたいサイトのURLを入力し、「スキャンミー」をクリックすれば数秒で調べられます。【2】VIRUSTOTALサービスサイト:「VIRUSTOTAL」よりウイルスに感染していないか無料で確認できるツールです。真ん中のURLタブを選択し、URLを入力すると、80以上のセキュリティベンダーによる解析結果が表示されます。VIRUSTOTALでは、URLだけでなく650MB以下のファイルを検査することもできます。英語のサイトですが、Googleの自動翻訳機能は利用可能です。【3】gredサービスサイト:「gred」より3つの中では唯一、日本語のまま利用できるチェックツールです。https://の部分にURLを入力し、CHECKボタンを押すと安全か危険があるのか表示されます。フィッシングや偽ソフト、不正改ざんやウイルス、ワームなどの危険があると判断されるとアイコンが表示されるので分かりやすくなっています。5.まとめWebサイトのセキュリティ対策について、どのようなリスクがあるのか、どのような攻撃に対策が必要なのか解説しました。Webの詳しい知識がなくてもすぐに実践できる8つの対策も参考に、自社のWebサイトのセキュリティ対策にお役立てください。記事の中で紹介した無料でできるセキュリティチェックなどを実施してみて、対策の必要な箇所がないか確認し、対策を強化しましょう。80%のマーケティングを最短で実現。本来のマーケター業務への注力をサポート【AIアナリストシリーズ】2022-11-11CTAとは?BtoBのサイトで成功させるポイントや効果測定の方法も解説webサイト分析・改善2022-11-08企業の資産になるWebサイトに。プロ集団による一気通貫のデジタル戦略サービス【マイクロウェーブ】2022-11-01新任マーケティング担当者が押さえておきたいサイト分析の基本webサイト分析・改善2022-06-21この記事を書いた人BeMARKE編集部BeMARKE(ビーマーケ)は、BtoBマーケティングの課題解決メディアです。BtoBマーケティングのあらゆる局面に新しい気づきを提供し、リアルで使える「ノウハウ」を発信します。【事例付き】メールで「インラインにて失礼いたします。新着記事2023-05-30Webコンテンツとは?特徴や求められるもの・種類・注意点をわかりやすく2023-05-302023-05-29ホワイトペーパーのデザイン作成のポイントを具体例で解説!【テンプレート・作成ツール紹介】2023-05-292023-05-29限られた社内リソースで失敗なくSFAを導入するには?2023-05-292023-05-26Webサイト運営とは?業務内容や求められるスキル・成果を出すための注意点までプロが解説!2023-05-262023-05-25ChatGPTをBtoBマーケにどう生かすのか?活用の3つの具体例と今後の展望2023-05-25BeMARKEナビゲーターが無料で相談にのります。利用規約お問い合わせ。