株式会社グローバルゲート公式ブログ
こんにちは、株式会社グローバルゲートのモーリーです。
本格的な梅雨シーズン到来ということで、私が勤めている大阪本社でも雨の日やゲリラ豪雨に見舞われる日が多くなってきました。
自宅では除湿機や布団乾燥機で少しでも快適な梅雨ライフを過ごそうと心がけています。
夏風邪も流行していますので、皆様もご自愛ください。
さて、本日の記事ではWebサイトの管理にCMSを導入した際のセキュリティ対策についてご紹介したいと思います。
Webサイトの管理と運営に欠かせないCMSですが、そのCMSの脆弱性をついてWebサイトの改ざんや情報の盗み出しという事件が年々増えています。大企業や官公庁だけでなく、個人が趣味で作成しているようなWebサイトまで狙われることもあります。
そんな中でWebサイト運営者は何ができるのか、どう対策したらいいかを考えてみたいと思います。
CMSのセキュリティ対策がなぜ重要なのか
そもそもCMSのセキュリティ対策を怠るとどのような問題が発生するのでしょうか。
具体的には以下のようなリスクが考えられます。
Webサイトの改ざん
CMSにもし第三者が自由にログインできるような不具合があった場合、その他者の思い通りにWebサイトを書き換えることができます。
Webサイトの情報をでたらめなものに書き換えられることも問題ですが、近年では他のWebサイトに転送される（リダイレクトされる）プログラムを書き込むというものが増えています。
その転送先のWebサイトを元のWebサイトそっくりに作って情報を入力させたり、脅迫文のようなメッセージを表示させて金銭を要求したりと、Webサイトにアクセスした人に対して攻撃を行います。Webサイト運営者ではなくWebサイトの閲覧者、つまり顧客に被害を与えることになりますので単なるWebサイトの書き換えよりも被害は甚大です。
リダイレクトを仕込む手法はWebサイトの見た目は変わらないため、運営者であっても気づくのが遅れてしまうという問題もあります。
データ漏洩
近年は顧客情報や商品データベースなど、重要な情報をインターネット上に置くケースも増えています。AmazonやGoogleを代表とするクラウドサーバーが多機能化しているため、きちんとした管理を行っているのであれば機密情報をインターネット上に置くこと自体は問題ではありません。
ですがシステムの脆弱性を突かれてファイルを盗み見られる、アクセス権限や公開状態の人為的な設定ミスなどで機密情報が外部から閲覧できる状態になっていた、といったトラブルも多くなっています。
サービス停止
Webサイトが機能しなくなった場合、オンラインショッピングでは商品の販売ができなくなります。商品情報の提供をしている場合はその情報提供ができなくなり、ユーザーに迷惑をかけることになるでしょう。
更に深刻な例で近年は病院をターゲットにした攻撃が増えており、カルテの閲覧ができなくなって休診を余儀なくされたという事件も複数発生しています。これは人命に関わるもので決して許される行為ではありませんが、重要な情報をWebサーバー上に置く場合はサイバー攻撃の可能性を考えたより堅牢なサーバー設計などが必要となるでしょう。
イメージダウン・信用の毀損
Webサイトの改ざんや情報漏洩が一度でも発生してしまうと、その印象が長年に渡り残ってしまいます。
たとえばショッピングサイトで情報漏洩が発生した場合、そのショッピングサイトの利用をためらう顧客も出てくるでしょう。
悪い印象というのは長く残ってしまうため、イメージ回復には長い年月を要することもあります。
CMSのセキュリティ対策の具体的な実践方法
このようにCMSのセキュリティリスクは自社のビジネスに大きな悪影響を及ぼします。
では具体的にどうすればいいのでしょうか。代表的な対策をご紹介します。
定期的なアップデート
CMS開発メーカーは不具合や脆弱性が発見された場合、迅速に対策を行い、新しいバージョンをリリースします。
近年は自動的に新バージョンを適用する自動アップデート機能を備えたCMSがほとんどですので、その自動アップデート機能を有効にしておけば常に最新のバージョンを使用できます。
もし自動アップデート機能がなかったり無効にしている場合、脆弱性についての情報収集や手動でのアップデートなどを欠かすことはできません。
脆弱性についてのアップデートは急を要するものですので、場合によっては保守管理契約などを委託することを考えてもいいでしょう。
当社のWebChangerは自動アップデート機能を搭載していますので、常に最新の機能をお使いいただけます。脆弱性の対策に加え、新機能の追加も積極的に行っています。
強固なパスワードの使用
設定しているパスワードが生年月日などのような推測されやすいもの、短い桁数のものだったために第三者にログインされてしまったというトラブルも頻繁に発生しています。過去には芸能人などのSNSでパスワードを生年月日にしていたため容易に推測され、本人が意図しない攻撃的な内容を投稿されたというトラブルもありました。
複雑なパスワードを使用することはもちろんですが、CMSに機能が搭載されているのであれば2段階認証やIPなどによるログイン制限を併用するとより強固になるでしょう。
なお、「パスワードを定期的に変更しましょう」という対策が推奨されることもありますが、これはあまり効果がありません。「定期的に」ではなく、「流出時に速やかに変更する」という対策が推奨されています。
安全なパスワード管理｜社員・職員全般の情報セキュリティ対策｜企業・組織の対策｜国民のための情報セキュリティサイト
当社のWebChangerはワンタイムパスワード機能・IPによるログイン制限機能を搭載しています。パスワードが万が一流出したとしても第三者からのログインを防止することができます。
ユーザー権限の設定
ユーザー機能があるCMSの場合、何でもできる管理者と必要な作業しかできない一般ユーザーなどユーザーの種類を設定することができます。
すべてのユーザーを管理者にしたり、管理者権限が必要でない作業を管理者ユーザーで行ったりしていると、そのアカウントが乗っ取られたときの被害が甚大になります。
基本的には管理者アカウントは使用せず、制限がある一般ユーザーアカウントをメインで使用するといった運用をするといいでしょう。
当社のWebChangerではユーザーごとにできること・できないことを細かく設定することができます。セキュリティ対策として使用するほか、Webページの更新→承認→公開という運営フローにも利用できる機能です。
バックアップの定期的な作成
Webサイトのバックアップは非常に重要でまず第一にはじめていただきたいことです。
バックアップデータがあればWebサイトの改ざんやデータの破壊が行われた際にも、復元することで元に戻すことが出来ます。
CMSはWebサイトの内容をデータベース内に保存していますので、Webサーバ内のデータと合わせてデータベースのバックアップも取る必要があります。
CMSの機能としてバックアップ機能を備えていることも多いですが、そうでない場合はデータベースにアクセスしてバックアップを取っておきましょう。
当社のWebChangerでは現在のデータを丸ごと保存するスナップショット機能を用意しています。スナップショットから復元すればそのときの状態に戻すことができます。
HTTPSの使用
WebサーバーにはHTTPS（常時SSL）を使用しましょう。
HTTPSはWebサイトの通信を暗号化する規格で、メールフォームなどのWebサイト経由で送受信される情報を暗号化する技術です。
仮に通信を傍受されたとしても内容を復号することはできません。
また、HTTPSはセキュリティ面だけでなく
・ブラウザによる警告が表示されないため閲覧ユーザーに悪い印象を与えない
・Googleの検索結果順位に有利にはたらく
・通信速度が早くなる
といったメリットもありますので、あえてHTTP（非SSL）を選択する理由は現在ではほぼありません。
当社が提供するWebサーバーではHTTPSを標準仕様としており、特別な理由がない限りはHTTPSの使用をお勧めします。
関係者のセキュリティ意識向上と教育
以上はCMSやWebサーバーの設定によってセキュリティ対策を行うものでした。
ですがセキュリティインシデントはサーバーやソフトウェアの脆弱性を突かれるもの以上に、人的ミスによって発生するケースが多くあります。過去の大規模な情報漏洩も、関係者のケアレスミスが原因となったものが多数あります。
関係者のセキュリティ意識の向上もセキュリティ対策の大切な一要素と言えるでしょう。
以下は一例ですが、Webサイトに関わる関係者全員がセキュリティについての最低限のリテラシーを持つ必要があります。
スタッフ教育とトレーニング
情報漏えいは一人のちょっとした不注意やミスでも発生します。
たとえば、顧客情報が入ったUSBメモリを居酒屋に置き忘れた、カフェで仕事をしていて社内専用データベースの画面を開いたままトイレに立った、会社のメールに届いた不審なメールのリンクをクリックした、などの行動は日常でよくある光景かもしれません。
ですがセキュリティの知識が少しでもある方、IT・通信関連の仕事をしている方なら決して取らない行動です。
Webサイト運営に関わる人はもちろん、従業員すべてがセキュリティに関する最低限の知識や意識を持つことが大切です。
セキュリティ関連ニュースや事例の共有
サイバー攻撃は多様化し年々巧妙になっているため、攻撃だと気づかないものも多数あります。
たとえば、私のもとに以下のようなメールが届きました。これは正規の広告メールでしょうか？それとも詐欺メールでしょうか？
利用したことがないネットショップからのメールなら怪しいと疑いますが、過去に利用したことがあるネットショップを模したメールの場合はそのまま信じてしまう人も多いと思います。
このメールは「差出人のメールアドレス」「商品のリンク先」が不自然であるため、詐欺メールであると判断が付きました。
このような巧妙な攻撃の場合でも、「差出人のメールアドレスを確認する」「メール本文内のリンク先URLを確認する」ということを知っていれば被害を未然に防ぐことが出来ます。
そしてその確認方法を従業員全員が知っておくことで、不正なメールをきっかけとした被害を防止することができます。
IT関連ニュースやセキュリティ専門サイトの購読などで情報収集し、その知識を全従業員への周知や共有を行うことも大切です。
セキュリティインシデントへの対応計画の策定
このように様々な対策を取ったとしても、セキュリティインシデントが発生する確率は0にはできません。
セキュリティ対策で最も重要なことは「セキュリティインシデント発生時にどうするか」ということです。
あらかじめ発生しうる問題を想定し、そのときにどうするかを考えておくといいでしょう。
・使用しているCMSやソフトウェアに脆弱性が見つかったときはどうするか
・Webサイトが改竄されたときはどうするか
・USBメモリやスマホ、PCを紛失したときはどうするか
など、事前に決めておけば対応が遅れて被害を拡大させてしまうような事態を避けることが出来ます。
脆弱性がないCMS・ソフトウェアは「存在しない」
1ヶ月ほど前に著名な料理研究家のWebサイトが改ざんされ、不正なサイトにリダイレクトされるという問題が起きました。
このWebサイトがWordPressで作成されていましたが、この料理研究家が「WordPressのセキュリティが低い」と解釈できる発言を行ったためにWordPress利用者が反発してひと悶着あったようです。
WordPressは低セキュリティ？ “バズレシピ”リュウジ氏のBASE移転で議論に
WordPressがセキュリティ面で弱いかどうかは管理方法によりますが、どれだけ鉄壁な運用をしても脆弱性を0にすることはできません。
WordPressに限らずCMS・Webサービス・ソフトウェアすべてに必ず脆弱性は存在すると考えたほうがいいでしょう。
その前提で、脆弱性を突かれた攻撃があった際に迅速で適切な対応をすること、致命的な脆弱性は迅速に防ぐこと、といった備えがセキュリティ対策には最も重要です。
まとめ
ということで、今回はCMSのセキュリティ対策について解説しました。
あわせて当社のWebChangerでのセキュリティの取組みもご紹介しました。
Webサイトの改ざんや乗っ取りは決してあってはならないことですので、私達も可能な限りの対策を取って開発を行っています。
現在使用しているCMSの脆弱性が心配だったり過去にWebサイトの改ざん被害に合われたなど、不安な点がございましたらお気軽にご相談ください。
【関連記事】
