Webサイトのセキュリティで最低限守るべき5つの基本

「うちみたいな小さい会社、狙われないでしょ?」というお声をいただきますが、これは大きな誤解です。中小企業のWebサイトこそ、セキュリティが甘く狙われやすい—これがサイバー攻撃の現実。今回は中小企業が最低限守るべき5つの基本をまとめました。

狙われる理由

個別の中小企業を狙う攻撃は実は少数派。大半は「自動化されたボット」が、世界中のサイトを総当たりで攻撃しています。WordPressの古いバージョン、デフォルトの管理URL、弱いパスワード—これらを見つけては乗っ取り、改ざんしていく。「狙われない」のではなく、「無差別爆撃の中にいる」状態です。

基本1:SSL証明書の常時HTTPS化

すべてのページをHTTPS化する。これは2020年代以降の必須項目。Let’s Encryptで無料で取得でき、Xserverやさくらサーバなら管理画面から1クリックで設定。HTTPS化されていないサイトは、Chromeで「危険」と表示され、ユーザーの信頼を失います。

基本2:WordPressコアとプラグインの更新

放置されたWordPressの脆弱性が、攻撃の最頻出経路です。1) WordPress本体:マイナーアップデートは自動で適用、メジャーは月1で手動確認。2) プラグイン:全プラグインを月1でまとめて更新。3) テーマ:更新があれば必ず適用。古いまま放置すると、半年以内に侵入される確率が80%以上(Sucuriの調査)。

基本3:管理画面の保護

WordPressの管理画面URL(/wp-admin/)は世界中の攻撃者が知っています。1) ログインURLを変更:WPS Hide LoginやSiteGuard WP Pluginで、デフォルトURLを変える。2) 強いパスワード:16文字以上、英数記号混在。パスワード管理ツール(1Password、Bitwarden)で管理。3) 2要素認証(2FA):Google AuthenticatorやAuthyを使う。これだけで侵入リスクの99%が消えます。

基本4:定期バックアップ

万が一改ざんされても、バックアップがあれば数時間で復元できます。頻度:更新の多いサイトは毎日、少ないサイトは週1。保存先:同じサーバ上ではなく、別の場所(Google Drive、Dropbox、別サーバ)に保存。復元テスト:四半期に1回、実際に復元してみる。「バックアップしている」のと「復元できる」は別物です。

基本5:セキュリティ監視プラグイン

侵入の予兆を検知するプラグインを入れます。Wordfence Security(無料あり):不正ログイン試行、マルウェア検知、ファイアウォール。Sucuri Security(無料あり):Wordfenceと並ぶ定番。iThemes Security:より総合的。1つは必ず導入し、月1回ログを確認。

侵入されたら…

もし改ざんが起きたら:1) サイトを一時停止(他の訪問者への被害拡大を防ぐ)、2) バックアップから復元、3) すべてのパスワード変更、4) Google Search Consoleで「セキュリティの問題」確認、5) 原因調査(プロに依頼)。最悪、ドメイン自体が検索結果から消えるケースも。事前対策のコストとは比較になりません。

運用コストの目安

セキュリティ運用は月1〜3時間、外部委託で月1〜2万円程度。「保険料」として考えると、トラブル時の復旧コスト(50〜200万円)と比べて圧倒的に安い投資です。

まとめ

セキュリティは「事故が起きてから」では遅い領域です。TANTOMAの月額保守プランでは、これら5項目を毎月実施し、お客様のサイトを守っています。