ウェブサイトセキュリティの基本は、問題が起きてから振り返って対応する企業が少なくありません。より負担を減らす方法は、日常チェックの段階で確認対象、担当者、記録場所をあらかじめ決めておくことです。そうすれば、後の保守で担当者が変わっても同じ手順で確認でき、「管理画面のパスワードはどこか」「前回何を変更したか」を毎回確認し直す必要がなくなります。
まずセキュリティの基本と日常のコンテンツ更新を分けて考える
日常のサイトチェックでは、二つのことを混同しがちです。一つはコンテンツに誤りがないか、リンクが開けるかという確認。もう一つはアカウント、入り口、更新、バックアップに問題が残っていないかという確認です。前者は運用チェック、後者がセキュリティの基本です。計画時にはこの二つの線を分けておけば、後の保守で一度のコンテンツ変更によってセキュリティ項目が漏れることを防げます。
以下のような対象ごとに分けると整理しやすくなります。
- アカウントと権限：管理画面にいくつのアカウントがあり、それぞれどの役割で、誰がまだ使用中で、誰が退職済みか。
- 管理画面とサーバーへの入り口：ドメイン、管理画面のパス、サーバーログイン方法をそれぞれ誰が把握しているか。
- プログラムとプラグインの更新：どのコンポーネントを更新する必要があり、更新前に誰が確認するか。
- バックアップと復元：バックアップはどこにあり、どのくらいの頻度で復元可能か確認するか。
- 異常監視：ページが改ざんされたり、アクセス異常が起きたとき、誰が最初に通知を受けるか。
これらすべてを毎日行う必要はありませんが、確認頻度と担当者を明確にしておく必要があります。計画の価値はここにあります。「思い出したときに見る」から「時間が来たら何を見るか分かる」に変えることです。
アカウントと権限の計画：少なく明確に、多く混乱するより保守しやすく
アカウントはセキュリティの基本の中で最も過去の問題が残りやすい部分です。企業サイトでは、構築時に複数の管理者アカウントを作成し、その後担当者が変わってアカウントは残っているが誰のものか分からない、ということがよくあります。後の保守では、このようなアカウントは削除もできず、使用もできない状態になります。
計画時には次の三つの動作で整理できます。
- 各管理画面アカウントに使用者と用途を記載する。例：「運用-コンテンツ公開」「技術-プラグイン更新」。
- 権限を役割ごとに分け、コンテンツ編集者にサーバーやプラグイン管理権限を与えない。
- 退職や異動の際は、まずアカウントを停止し、その後コンテンツの帰属を移すか判断する。
判断基準は簡単です。あるアカウントが誰のものか説明できなければ、そのまま残すのではなく対応待ちリストに入れるべきです。日常チェックで毎回数分アカウント一覧を確認する方が、後から追跡するよりはるかに楽です。
管理画面の入り口とログイン方法：チェックに決まった手順を
管理画面の入り口が頻繁に変わり、誰も記録していないと、後の保守は非常に受け身になります。計画時には、入り口情報を社内で確認できる場所（内部ドキュメントや引き継ぎリストなど）にまとめ、管理画面のアドレス、ログイン方法、パスワード再発行の手順を誰が担当するか明記します。
日常チェックでは、管理画面に正常にログインできるか、ログイン後に異常なアカウントがないか、最近見覚えのないログイン記録がないか（管理画面がその情報を提供する場合）、管理画面のアドレスが勝手に変更されていないか、といった点を確認します。ここでは具体的なセキュリティルールをでっち上げる必要はなく、チェック動作に決まった入り口があることが重要です。
また、管理画面の入り口と公開ページは別々に管理します。公開ページのコンテンツ更新は運用担当、管理画面の入り口やサーバーレベルの調整は技術担当またはサービス提供者が行うなど、役割を明確にしておけば、問題発生時に誰に連絡すべきか分かります。
更新、バックアップ、監視：チェック頻度を日常業務に組み込む
プログラム、プラグイン、テーマの更新、およびバックアップが使用可能かどうかは、決まったリズムで確認する項目です。計画時には「定期的に更新」とだけ書くのではなく、誰がいつ確認し、問題発見時に誰に通知するかを明確にします。
以下のように安排できます。
- 更新前：現在のバージョンとバックアップ状態を確認し、今回更新するコンポーネントを記録する。
- 更新後：トップページ、カテゴリページ、フォームページを開き、正常に表示されるか、送信機能に異常がないか確認する。
- バックアップ確認：バックアップファイルの有無だけでなく、特定の時点に対応したバックアップがあるか、復元手順を誰が実行するか確認する。
- 異常監視：ページ改ざん、見知らぬリンク、アクセス異常が発生した場合、まず現場を保存し、入り口、アカウント、更新の順に確認する。
これらの動作は複雑な制度にする必要はありませんが、具体的な担当者と時間に落とし込む必要があります。後の保守が楽かどうかは、これらの記録が継続しているかどうかにかかっています。
チェックリストで計画を定着させる
毎回何を確認するか考えたくない場合は、簡単なセキュリティ基本チェックリストを維持し、対象ごとに項目を列挙し、チェック後に日付と結果を記録します。表にはあまり多くを書く必要はなく、「前回誰が見て、何を見て、未対応項目があるか」が答えられれば十分です。
例えば、ある企業サイトを運用担当者が管理画面も兼務している場合、チェックリストは次のように分けられます。アカウント権限は毎月確認、管理画面の入り口とログイン方法は四半期ごとに確認、更新とバックアップは実際の更新リズムに合わせて確認、異常監視は日常のサイト巡回時に併せて確認する。このような安排は複雑さを求めず、責任と頻度を固定し、担当者変更時にすぐ引き継げることを重視します。
まだこのチェックリストがない場合は、まずアカウント一覧と管理画面の入り口情報から整理を始めましょう。この二つを明確にすれば、日常のサイトセキュリティ基本チェックの出発点ができ、その後、更新、バックアップ、監視の記録を徐々に追加していけます。
