企業ホームページの安全対策は、SSL設定やセキュリティプラグインだけでは完結しません。担当者が優先して確認したい10項目を、対策の理由と確認方法に分けて整理します。
最初に確認したい10項目
- 管理責任者と連絡先：制作会社、社内担当、サーバー管理者のうち、緊急連絡を受ける人と最終判断者を明確にします。
- ドメイン・サーバーの契約情報：契約名義、管理画面、更新期限、請求先を把握し、退職者や前任者のみに依存しないようにします。
- ソフトウェアの更新：CMS、プラグイン、テーマ、PHP、サーバーソフトウェアの利用状況とサポート期限を確認します。
- 管理画面のアカウント：使っていないアカウントを整理し、管理者権限を必要な人だけに付与します。共有アカウントはできる限り避けます。
- ログイン対策：使い回さない強固なパスワードと、対応する管理サービスでの多要素認証を設定します。
- HTTPS：証明書の有効性、HTTPからHTTPSへの転送、フォーム送信時の通信を確認します。
- 不要な公開物：古いテストサイト、バックアップファイル、設定情報、使わないプラグインが外部から参照できないか確認します。
- バックアップと復元：データベースだけでなくファイルも保存し、別の保管先と実際に復元できる手順を用意します。
- 検知と記録：アクセスログ、変更履歴、監視通知、Search Consoleの「セキュリティの問題」などを確認できるようにします。
- 事故時の対応：誰がサイト停止・調査・顧客連絡を判断するか、外部専門家への連絡先も決めておきます。
これは「10項目を実施すれば安全を保証できる」という意味ではありません。サイトの機能や保存する情報、運用形態に応じて追加対策が必要です。
優先順位は「被害の大きさ」と「今すぐ直せるか」で決める
最初の点検で、すべてを一度に実施する必要はありません。たとえば、退職者の管理者アカウントが残っている、バックアップの保存先が不明、サポートが終了した拡張機能を使っている場合は優先度が高くなります。対策ごとに担当者・期限・確認結果を残し、完了できないものは暫定対応も記録しましょう。
公開フォームから個人情報を受け取っているサイトでは、メールの送信先、保存場所、閲覧できる人、保存期間も確認します。
外注していても自社が確認すべきこと
制作会社が管理しているからといって、運営企業が何も把握しなくてよいわけではありません。契約書や保守範囲で、更新、バックアップ、障害対応、セキュリティ事故時の調査が誰の担当なのかを確認します。保守契約があっても、24時間監視や損害補償が自動で含まれるとは限りません。
「更新は誰が行うか」「最後に復元テストを行った日はいつか」「緊急連絡はどこにするか」を、制作会社へ尋ねてみると具体的に確認できます。
定期点検の進め方
- 毎月：更新状況、不要アカウント、バックアップ結果、フォーム受信状況を確認する。
- 重要な変更時：機能追加、担当者交代、サーバー移転の前後で権限と復元手順を確認する。
- 年に一度：契約・運用体制、リスク、緊急連絡先を見直す。
点検頻度は目安です。深刻な脆弱性が公表された場合などは、月次点検を待たずに判断する必要があります。