自社サイトのセキュリティ、どこまで確認できますか？非エンジニア向けチェックリスト7項目

httpsで始まっているか（常時SSL化）

確認方法

ブラウザで自社サイトを開き、アドレスバーを確認します。URLが「https://」で始まり、鍵のマークが表示されていればSSL化（通信の暗号化）されています。「http://」のまま、あるいは「保護されていません」と出るサイトは、未対策です。

なぜ問題か

お問い合わせフォームに入力された顧客の氏名やメールアドレスが、暗号化されないままインターネット上を流れます。加えて、Chromeなどの主要ブラウザでは「保護されていません」と表示され、訪問者に不安を与えます。これは営業上のマイナスでもあります。

NGだったら

サーバーに無料で使えるSSL証明書の導入は今や標準です。制作会社やサーバー管理者に依頼すれば短期間で対応できます。

そのサイトは何で作られているか（CMSか、静的サイトか）

確認方法

世界中のWebサイトで最も多く使われているCMS（コンテンツ・マネジメント・システム）がWordPressです。自社のサイトがWordPressかどうかを確認するためにはブラウザの「ソースを表示」利用するのがかんたんです。

自社サイトを開いた状態で右クリック→「ページのソースを表示」（またはキーボードの Ctrl+U）を選ぶとソースコードが表示されます。表示されたコードの中で「wp-」を検索します（Ctrl+Fで「wp-」と入力）。「wp-content」や「wp-includes」といった「wp-」で始まる文字列が見つかれば、そのサイトはWordPressである可能性が高いと言えます。

参考として、URLの末尾に「/wp-admin」を付けてWordPressの管理ログイン画面が開くか確認する方法もあります。ただし、セキュリティ強化のためにログインURLを変更しているWordPressサイトも多いため、「開かないからWordPressではない」とは言い切れません。WordPressかどうかの判定は、ソース表示での「wp-」検索のほうが確率は高いです。

それでも見つからない場合は、WordPress以外のCMSか、HTMLで作られた静的サイトの可能性があります。サイトを制作した会社や担当者に「何のシステムで作ったのか」を確認するのが確実です。

なぜ問題か

サイトの「正体」がわからないと、以降のチェックがすべてできません。CMSか静的サイトかで、守り方が変わるからです。CMS（WordPressなど）は管理画面を持つ分、侵入経路も増えます。静的サイトは構造が単純なぶんリスクは小さいものの、制作した人が手を離れた「放置静的サイト」は、古い仕組みのまま誰も修正できない状態になりがちです。

わからなかったら

それ自体が一つのリスク表示です。サイトの資産なのに、誰も構造を把握していない状態です。ここはチェックを終えたら、一度プロに構造の確認を依頼することをおすすめします。

自社サイトがWordPressだった場合、本体・追加機能を更新しているか

確認方法

ステップ1：そもそもログインできるか

自社サイトのログインURLにアクセスして、ID・パスワードを入力してログインします。

ここで「ID・パスワードがわからない」となるケースが、放置サイトでは非常によくあります。まず、代表者・経営者の方が手持ちの情報でログインできるか確認してください。ログイン情報が不明の場合、それ自体が重大な問題です（第5項目と関連します）。

ステップ2：管理者権限で入れているか

ログインできたら、管理画面の左側メニューを確認します。「更新」「ユーザー」「設定」「ツール」といった項目が見えれば管理者権限ありです。
見えない場合（投稿・固定ページ・コメントなどしか表示されない）、編集者などの限られた権限でログインしている可能性が高く、次のステップの更新通知がそもそも表示されません。

ステップ3：更新通知を確認する

管理者権限でログインできたら、左メニューの「更新」ページを開きます。「WordPressの最新版があります」「プラグインの更新が◯件あります」といった表示があれば、更新が滞っています。逆に「最新のバージョンをお使いです」と出ていれば、本体・プラグインの更新はおおむね行き届いています。

なぜ問題か

ここが一番のポイントです。WordPressの安全は「本体・プラグイン・テーマ（デザイン）」という複数の部品の組み合わせで保たれており、それぞれに脆弱性（セキュリティの穴）が日々発見され、修正版が配られています。更新を怠ることは、鍵のかけ直しをしない家に住むのと同じです。詳細な解説は、次回第3回「脆弱性スキャンで見えた小規模サイトの実態──WordPressを安全に保つ運用とは」で行います。

わからなかったら

確認方法のステップ1～3でわからなかった場合は、運営を任せている会社が管理しているはずなので問い合わせてみましょう。

自社で管理している場合、更新は基本的に必須ですが、自分で押して壊してしまう（画面が崩れる、機能が止まる）リスクもあります。バックアップを取ってから更新するのが原則です。「担当者が変わってしまって分からない」という場合は、プロに依頼しましょう。

最後に更新したのはいつか（コンテンツの鮮度）

確認方法

サイト上の新着情報・お知らせの日付を見ます。また、サイト内の「営業時間」「価格」「代表者名」に古い情報が残っていないかを確認します。

なぜ問題か

更新の止まったサイトには2つの意味があります。1つは営業面。新着情報が3年前のままのサイトは、訪問者に「まだ営業しているのかな」という不安を与えます。もう1つはセキュリティ面。コンテンツの更新が止まっているサイトは、多くの場合、システムの更新も止まっています。「人が通らなくなった家に泥棒が入りやすい」のと同じで、鮮度の低下とリスクの増大は連動しやすいのです。

わからなかったら

単なる日付更新でも構いません。月1回、何かを更新する習慣をつけるようにしましょう。お知らせ、コラム記事の作成など、コンテンツ更新を仕組み化する（外注する）ことをおすすめします。確認方法のステップ1～3でわからなかった場合は、運営を任せている会社が管理しているはずなので問い合わせてみましょう。

管理画面のログイン情報を、誰が知っていますか

確認方法

WordPressの管理者ID・パスワードを、現在知っているのは誰か。代表者だけか、元従業員もいるか、サイトを作った制作会社はどこの会社だったか。紙のメモに書いたままではないか。

なぜ問題か

サイトへの不正ログインは、外部の攻撃だけでなく、人（元従業員、退職した担当者、関係のなくなった協力者）から起きることもあります。

また、作った制作会社が分からなかったり、連絡不能になると、管理者情報がないサイトは「誰もいじれない城」になります。

NGだったら

パスワードを強固なものに変更し、知っている人を最小限に絞ります。退職者がいれば、その時点で変更済みかを確認します。

問い合わせフォームの情報は、どこに届いていますか

確認方法

フォームから送信された内容が、①担当者のメールソフトに届いている、②サーバーのデータベースに蓄積されている、③上記の両方　のどれかを把握します。テスト送信をして、実際にどこに届くかを見るのが確実です。

なぜ問題か

お問い合わせフォームは、名前・メールアドレス・電話番号——いわゆる個人情報が集まる場所です。この情報が「どこに保存され、誰が見られるか」を把握していないと、漏えいのときに影響範囲すらわかりません。しかもこの保管先（担当者のスマホ、共有フォルダのExcel）には、Webサイトのセキュリティとは別の、社内の情報管理の問題が潜んでいます。こちらは第4回「顧客の個人情報、どこで管理していますか？」で詳しく扱います。

NGだったら

まず「どこに何が蓄積されているか」の一覧を作るところから始めてください。第4回の「情報の棚卸し」で使えます。

ドメイン・サーバーの契約は、有効で、誰の名義か

確認方法

ドメイン（example.jpのような住所）とサーバーの契約が有効か、更新日はいつか、契約者の名義は誰か（代表者個人名義か、法人名義か）を確認します。更新通知のメールが担当者個人のアドレスに届いていないかもチェックします。

なぜ問題か

更新忘れでドメインが失効すると、サイトが消えるだけでなく、失効したドメインを第三者が取得（ハイジャック）し、偽サイトやスパムに利用されるリスクがあります。個人情報を入力する公式サイトのURLを、他人に取られる事態は経営の重大リスクです。

NGだったら

契約情報を法人名義に整理し、更新日をカレンダーで管理します。支払いも代表者個人のクレジットカードで完結している場合は、引き継ぎと明確化を図ってください。