ウェブサイトを公開する際、多くの企業はページの見た目やコンテンツの充実度に注目しがちで、セキュリティ対策は後回しになりがちです。しかし、公開後のウェブサイトは常にインターネット上の脅威にさらされています。基本的なセキュリティ設定が不十分だと、その後の運用で頻繁に問題が発生する可能性があります。ここでは、企業ウェブサイト向けのセキュリティ基本チェックリストを、準備・実行・再確認の3つの段階に分けて紹介します。
1. 準備段階：資産と権限の整理
チェックを始める前に、ウェブサイトにどのようなアクセス経路やアカウントが存在するかを明確にします。一般的には、ウェブサイトの管理画面、サーバー管理パネル、データベース管理ツール、FTPやSSHログインなどが含まれます。各アクセス経路のURL、ログイン方法、現在の権限を一覧表にまとめ、項目ごとにチェックできるようにします。
アカウント権限については、管理者、編集者、アップロード担当者などの役割を区別し、各担当者には必要最小限の権限のみを付与します。例えば、一般の編集者にサーバー管理権限は不要ですし、カスタマーサポート担当者にデータベース操作権限は必要ありません。退職した従業員や外部委託業者がシステムにアクセスしていた場合は、公開前にそのアカウントを削除またはリセットします。
2. 実行段階：主要なセキュリティ項目のチェック
2.1 管理画面のURLとログイン保護
管理画面のURLはデフォルトのパス（例：/admin）を使用せず、推測されにくいパスに変更します。また、ログイン時に認証コードや二要素認証が有効になっているか確認し、ブルートフォース攻撃（総当たり攻撃）を防ぎます。ウェブサイトのプログラムが対応している場合は、ログイン失敗回数を制限し、一定回数以上失敗した場合にIPアドレスを一時的にブロックすることを推奨します。
2.2 ファイルアップロードとディレクトリ権限
アップロードディレクトリでスクリプトの実行が禁止されているか確認します。例えば、画像アップロード用のディレクトリは読み取り専用に設定し、PHPやASPなどのプログラムが実行できないようにします。ウェブサイトにファイル管理機能がある場合は、一般ユーザーがシステム設定ファイルにアクセスできないことを確認します。
2.3 データベースとバックアップ戦略
データベースのアカウントにはrootやadminを使用せず、十分に複雑なパスワードを設定します。また、データベースのバックアップ計画を確認します。自動バックアップは設定されていますか？バックアップファイルはウェブサイトのディレクトリ外に保存されていますか？少なくとも直近7日分のバックアップを保持し、定期的に復元手順をテストすることを推奨します。
2.4 一般的な脆弱性の確認
ウェブサイトで使用しているプラグインやコンポーネントに既知の脆弱性がないか確認します。特に、WordPressやDedeCMSなどのオープンソースCMSを使用している場合は注意が必要です。最新バージョンに更新し、使用していないプラグインやテーマは削除します。また、SQLインジェクションやXSS（クロスサイトスクリプティング）の脆弱性がないか、フォームに特殊文字を入力してテストします。ただし、本番データに影響を与えないよう注意してください。
2.5 HTTPSと機密情報の保護
ウェブサイト全体でHTTPSが有効になっていることを確認します。特に、ログインページや決済ページでは必須です。管理画面へのログインがHTTPSを強制しているか確認し、パスワードが平文で送信されないようにします。また、ウェブサイトのソースコードにデータベース接続情報やAPIキーなどの機密情報が含まれていないか確認します。
3. 再確認段階：チェックとバックアップの有効性確認
チェックが完了したら、実際にテストを行います。例えば、管理者以外のアカウントで管理画面にログインし、権限範囲内の機能のみにアクセスできることを確認します。管理画面のURLにアクセスしてみて、ブロックされるか認証が必要であることを確認します。さらに、バックアップからの復元を一度手動で実行し、バックアップファイルが有効で、復元手順が明確であることを確認します。
セキュリティは一度きりの作業ではありません。公開後も定期的に再確認が必要です。四半期ごとにアカウント権限とバックアップ状況を確認し、ウェブサイトのプログラムを更新した後は、ファイル権限と脆弱性を再チェックすることを推奨します。ウェブサイトがユーザーデータや取引を扱う場合は、より高度なセキュリティ対策が必要です。必要に応じて、専門のセキュリティチームによるペネトレーションテストを検討してください。
上記のチェックリストは、ほとんどの企業の展示用ウェブサイトに適用できます。オンライン取引やユーザーの個人情報を収集するウェブサイトの場合は、等級保護（等保）などのより厳格なコンプライアンス要件も考慮する必要があります。これについては、実際の状況に応じて専門のサービスプロバイダーに相談してください。
