「セキュリティ対策」と聞くと、大企業が専門チームを置いてやるような、難しくてお金のかかる話に聞こえます。
私も、どこかでそんなイメージを持っていました。
でも、今日読んだWebセキュリティの専門家へのインタビュー記事で、その見方が少し変わりました。
ここがポイント
Webサイトのサイバー被害は、4つの基本対策を徹底することで、大きく減らせると紹介されています。
しかも特別なシステムを導入する前に確認できる、ごく基本的な内容です。
セキュリティの専門家が挙げた「4つの基本」
読んだのは、Web担当者Forumに掲載されたWebセキュリティの専門家へのインタビュー記事です。
記事では、Webサイトのサイバー被害を減らすための基本として、次の4つが紹介されていました。
step
1
信頼できるレンタルサーバーを使う
step
2
WordPressなどの更新を止めない
step
3
長くて使い回さないパスワードを使い、管理ツールを活用する
step
4
管理に使うパソコンのOSを最新に保つ
参考：Web担当者Forum「Webサイトのサイバー被害を80%減らす『4つのセキュリティ対策』とは？」
攻撃の手口は変わっても、基本的に狙われやすい弱点は大きく変わらない。
だからこそ、まず基本を外さないことが大事だという話です。
私にも思い当たることがありました
少し前、AIでアプリを作りながらセキュリティを学ぶ1日講座に参加しました。
自分でAIに指示を出して、社内SNSのようなアプリを作ったときのことです。
鍵アカウントの投稿は、画面上ではきちんと「非公開」になっていて見ることはできませんでした。
ところが、ハッキングで使うような特殊なコードで投稿のURLを直接開いてみると！
ログアウトの状態なのに、非公開のはずの鍵アカの投稿内容が表示されてしまったのです。
正面玄関には鍵がかかっている。
でも、裏口は開いていた。
そんな状態でした。
このとき、「動いている」と「安全に動いている」は別の確認が必要なのだと実感しました。
この体験については、ハッキング体験記！自分でバイブコーディングしたアプリの脆弱性を自分でチェックする方法に詳しく書いています。
4つの対策を、個人事業主の言葉に置き換えてみる
専門家の話を、日々ホームページを運用している個人事業主の立場で読み直してみました。
1. 信頼できるレンタルサーバーを使う
サーバーの設定や保守を自分だけで管理するのは、思っている以上に負担がかかります。
「自分でやったほうが安そう」と選んだ環境でも、更新・監視・障害対応まで自分で抱えることになる場合があります。
専門知識がない場合は、保守やセキュリティ対策が整ったサービスを選ぶこと自体が、ひとつの対策です。
2. WordPressなどの更新を止めない
WordPressを使っていると、
「更新したら表示が崩れそう」
と不安になることがあるそうです。
その気持ちはよく分かります。
でも、更新を止めたままにすると、古い脆弱性が残り続ける可能性があります。
つい最近も「wp2shell」という深刻な脆弱性が報告され、最新のバージョンにアップデートしていないWordPressサイトが狙われる事例が報告されていました。
大切なのは、「更新しない」ではなく、「更新できる状態を保つ」ことです。
使っていないプラグインや古いテーマが残っていないかも、あわせて確認しておくと安心です。
3. パスワードは長く、使い回さない
パスワードは、自分で覚えやすい短い文字列を使うより、十分な長さを持たせて、サービスごとに別のものを使う方が安全です。
全部を覚える必要はありません。
パスワード管理ツールを使い、ランダムな文字列を生成・保存する方法もあります。
「覚えられないから短くする」ではなく、覚えなくていい仕組みにするという考え方の方が安全です。
4. 管理用パソコンのOSを最新に保つ
ホームページの管理画面に入るパソコン自体が古い状態なら、サイト側だけを守っても十分ではありません。
OSやブラウザの更新通知を後回しにしていないか、まず、ここを確認してみてください。
特別な対策を考える前に、普段使っている端末を最新の状態に保つことも基本のひとつです。
「作る側」だけではなく、「使う側」にもセキュリティはある
自分でアプリを作って見つけた脆弱性は、いわば「作る側」の話でした。
今回の4つは、それとは少し違います。
日々、ホームページやWebサービスを使い続ける側のセキュリティです。
自分でプログラムを書かなくても関係があります。
WordPressを更新する。
パスワードを管理する。
パソコンを最新にする。
どれも、運用している人の仕事です。
セキュリティ対策は「サイトを作ったとき」で終わるものではなく、「使い続けている間ずっと続く運用」です。
私はここが、今回いちばん腑に落ちたところでした。
今日、まず4つだけ確認してみる
セキュリティ対策というと、いきなり専門的な診断や高額なサービスを考えがちです。
でも、その前に確認できることがあります。
step
1
いま使っているレンタルサーバーの管理・更新体制を確認する
step
2
WordPress本体・テーマ・プラグインが古いままになっていないか確認する
step
3
管理画面のパスワードを使い回していないか確認する
step
4
ホームページ管理に使うパソコンやブラウザが最新か確認する
まずはこの4つです。
「セキュリティに詳しくないから何もできない」ではなく、詳しくなくても確認できるところから始める。
そこが第一歩だと思います。
まとめ｜セキュリティ対策は、まず基本を外さないこと
この記事のポイント
- Webサイトのサイバー被害を減らすために、4つの基本対策が紹介されている
- 信頼できるサーバー、更新、パスワード、管理端末の4つが基本
- 自分でアプリを作って見つけた脆弱性は「作る側」の話
- 今回の4つは、ホームページを日々使う「運用側」の話
- 専門的な対策の前に、自分で確認できる基本がある
Mikkeでは、ホームページやSNSを含めた集客導線の設計・運用の中で、こうした基本的な確認ポイントを整理するお手伝いもしています。
専門的な脆弱性診断やセキュリティ診断そのものは対象外ですが、専門家をご紹介することは可能です。
こんな段階からご相談いただけます
「WordPressを長く使っているけれど、何を確認すればいいか分からない」
「更新を止めたままになっている」
「ホームページの運用全体を、一度整理したい」
そんな段階からでも大丈夫です。
よくある質問
Q. この4つをやれば、絶対に安全ですか？
いいえ。絶対に安全とは言い切れません。
4つはあくまで基本対策です。
個人情報や決済情報など、重要な情報を扱うサイトでは、必要に応じて専門家による診断も検討してください。
Q. WordPressの更新で表示が崩れるのが怖いです。
表示が崩れる可能性はゼロではありません。
だからといって、更新を長期間止めるほうがリスクがあります。
バックアップを取り、不要なプラグインを減らし、更新できる状態を保つことを意識してみてください。
Q. パスワードを覚えられません。
すべて覚える必要はありません。
パスワード管理ツールを使えば、サービスごとに違う長いパスワードを保存できます。
「覚えやすさ」より「使い回さない仕組み」を作ることが大切です。
Q. 自分で作ったアプリをすでに公開しています。
今回の4つは、主にWebサイトを日常的に運用する側の基本対策です。
自作アプリについては、それに加えて、ログアウト状態や別アカウントからのアクセス、認証・認可など、別の確認も必要になります。
重要な情報を扱うサービスを公開している場合は、必要に応じて専門家へ相談してください。
