法人ホームページのセキュリティ対策は、SSLを有効にするだけでは不十分です。WordPressやプラグインの更新、管理者アカウント、バックアップ、WAF、外注先の権限、復旧手順まで含めて考える必要があります。
重要なのは「絶対に侵入されない状態」を目指すことではなく、侵入されにくくし、万一のときも被害を小さくして復旧できる状態を作ることです。
30秒でわかる結論
- WordPress本体・テーマ・プラグインは古いまま放置しない
- 管理者アカウントは必要最小限にし、二要素認証を使う
- SSL、WAF、ログイン保護は役割が違うため、どれか1つだけでは足りない
- バックアップは「あるか」ではなく「何日前まで戻せるか」「復元できるか」を確認する
- 外注先・退職者のアカウントを残さない
- 改ざんや障害を早く見つけるため、監視・ログも重要
- 法人サイトは「防ぐ・気づく・戻す・再発防止」の4段階で対策する
法人ホームページでセキュリティ対策が必要な理由
法人ホームページが攻撃されると、単にサイトが見られなくなるだけではありません。
- ページを書き換えられる
- 不正な広告やリンクを埋め込まれる
- 問い合わせ情報が漏れる
- 管理者アカウントを乗っ取られる
- 迷惑メールや攻撃の踏み台にされる
- 顧客や取引先からの信用を失う
ここで伝えたいポイント
法人サイトでは、セキュリティ事故の損失は「サーバー復旧費」だけではありません。問い合わせ停止、社内対応、取引先説明、信用低下まで含めて考える必要があります。
セキュリティ対策は4段階で考える
| 段階 | 目的 | 主な対策 |
|---|---|---|
| 防ぐ | 侵入されにくくする | 更新、WAF、強い認証 |
| 気づく | 異常を早く発見する | 監視、ログ、改ざん検知 |
| 戻す | 被害から復旧する | バックアップ、復元手順 |
| 再発防止 | 同じ事故を繰り返さない | 原因調査、権限見直し、更新 |
「攻撃を防ぐ」だけの対策では不十分
どんなサイトでもリスクをゼロにはできません。法人サイトでは、侵入防止だけでなく「異常を早く見つける」「正常な状態へ戻せる」仕組みまで揃えて初めて実用的な対策になります。
1．WordPress・テーマ・プラグインを更新する
WordPress公式では、WordPress本体・テーマ・プラグインを最新状態へ保つことを、重要なセキュリティ対策として案内しています。
脆弱性が公開された古いバージョンを放置すると、その情報を利用した攻撃を受ける可能性が高まります。
更新で確認すること
- WordPress本体が最新か
- 使用中テーマが更新されているか
- 使用中プラグインが更新されているか
- 使っていないプラグインを削除したか
- 更新前にバックアップがあるか
更新は「放置しない」と「いきなり本番で更新しない」を両立
セキュリティ更新を長期間放置するのは危険ですが、業務サイトで無確認の一括更新をすると表示崩れや不具合が起きることもあります。バックアップを確認し、重要サイトでは検証環境を使う運用が安全です。
2．管理者アカウントを必要最小限にする
管理者アカウントは、テーマ・プラグイン・ユーザー・設定まで変更できる強い権限を持っています。
そのため、記事を書く人まで全員を管理者にする必要はありません。
管理者10人 → 管理者2人 ＝ 強い権限を持つ入口を80％削減
実際のリスクは人数だけで決まりませんが、不要な管理者権限を減らす考え方は重要です。
プラグインやユーザー管理まで担当する人。
記事や固定ページの管理が中心なら、管理者まで必要ない場合があります。
記事作成だけなら、公開・設定変更の権限を渡さない運用が安全です。
3．管理者には二要素認証を使う
強いパスワードだけでも重要ですが、法人サイトの管理者には二要素認証を追加すると、パスワード流出時のリスクを下げられます。
WordPress公式のセキュリティガイドでも、強いパスワードに加えて二段階認証を利用することが推奨されています。
法人の管理者アカウントは二要素認証を標準にする
管理者がテーマやプラグインを変更できる以上、1つのアカウント乗っ取りがサイト全体へ影響します。少なくとも管理者アカウントには二要素認証を導入するのが現実的です。
4．SSLで通信を暗号化する
SSL化すると、ブラウザとサーバー間の通信をHTTPSで暗号化できます。
管理画面ログイン、問い合わせフォーム、Cookieなどを扱う法人サイトではHTTPS運用が基本です。
SSLだけで攻撃を防げるわけではない
SSLは通信を暗号化する仕組みです。脆弱なプラグインへの攻撃、パスワード総当たり、管理者の誤操作などを防ぐ機能ではありません。SSLと更新・認証・WAFは別の対策です。
5．WAFを利用する
WAF（Web Application Firewall）は、Webサイトへの通信内容を確認し、不正なリクエストを遮断する仕組みです。
WordPress公式のハードニング資料でも、Webサーバー上や外部サービスでWAFを利用する考え方が紹介されています。
| 対策 | 主な役割 |
|---|---|
| SSL | 通信を暗号化 |
| WAF | 不正なWebリクエストを検知・遮断 |
| 二要素認証 | アカウント乗っ取り対策 |
| 更新 | 既知の脆弱性を減らす |
| バックアップ | 被害後に戻す |
役割を重ねる
セキュリティ対策は1つの機能で完結しません。複数の対策を重ねて、1つが突破されても次の対策で被害を抑える考え方が重要です。
6．バックアップは「世代数」と「復元」を確認する
法人サイトでは、自動バックアップがあるだけでは不十分です。
確認したいのは次の4点です。
- 何日分保存されるか
- ファイルとデータベースの両方が対象か
- 自分で復元できるか
- サーバー障害時にも利用できる場所へ保存されているか
具体例
改ざんに10日間気づかなかった場合、7日分しかバックアップがなければ、改ざん前へ戻せない可能性があります。14日・30日など複数世代を保持できるかが重要になります。
発見まで10日 ＋ 保存7日 ＝ 正常時点のバックアップが残っていない可能性
法人サイトは「最低でも複数世代」＋「復元テスト」
バックアップを取っていても、復元方法が分からなければ事故時に使えません。少なくとも復元手順を確認し、重要サイトでは実際にテスト環境で復元できるか確認してください。
7．使っていないテーマ・プラグインを削除する
無効化しているだけのプラグインやテーマも、ファイル自体がサーバーに残っていれば管理対象になります。
WordPress公式でも、使用していないプラグインは削除することが推奨されています。
定期整理の対象
- 使っていないプラグイン
- 使っていないテーマ
- 退職者のユーザー
- テスト用アカウント
- 古いバックアップファイル
- 不要な管理者アカウント
8．外注先のアカウントを管理する
制作会社、保守会社、ライターなど外部の人へWordPressアカウントを渡す場合は、共通アカウントを共有せず、担当者ごとに発行する方が管理しやすくなります。
契約終了時には、その日のうちに不要な権限を停止します。
放置アカウントの考え方
制作会社・広告会社・ライターなど5社に管理者権限を渡したままなら、自社以外に5つの管理経路が残ることになります。
自社2管理者 ＋ 外部5管理者 ＝ 7個の強いアカウント
不要になったアカウントを停止するだけでも、管理対象を減らせます。
9．改ざん・停止を早く見つける
セキュリティ事故は、発生そのものだけでなく、長期間気づかないことが問題です。
法人サイトでは次のような監視を検討します。
- サイトが正常表示されているか
- 重要ページが改ざんされていないか
- 不審な管理者アカウントが追加されていないか
- ログイン失敗が急増していないか
- マルウェア検知がないか
WordPress公式も監視を重視
WordPress公式のハードニング資料では、ファイル整合性の監視や外部からのWebサイト監視も、侵害を発見する方法として紹介されています。
10．担当者PCも安全にする
WordPress側を強化しても、管理者が使うパソコンにマルウェアやキーロガーが入っていれば、ログイン情報を盗まれる可能性があります。
WordPress公式でも、管理に使うPCのOSやブラウザを最新状態に保つことが重要とされています。
管理PCの基本対策
- OSを更新する
- ブラウザを更新する
- 不審なソフトを入れない
- パスワードを使い回さない
- 共有PCで管理画面へログインしない
- 退職時に端末・認証情報を回収する
法人サイトで最低限やるべき対策
| 対策 | 最低ライン | 重要度 |
|---|---|---|
| HTTPS | 全ページSSL化 | ★★★★★ |
| WordPress更新 | 定期確認・放置しない | ★★★★★ |
| プラグイン更新 | 不要品削除・最新版管理 | ★★★★★ |
| 管理者 | 必要最小限 | ★★★★★ |
| 二要素認証 | 管理者は導入 | ★★★★★ |
| WAF | サーバー標準機能があれば利用 | ★★★★☆ |
| バックアップ | 自動＋複数世代 | ★★★★★ |
| 監視 | 死活・異常確認 | ★★★★☆ |
小規模法人はこれでOK
小規模な会社サイトなら、まず「SSL・自動更新または定期更新・二要素認証・管理者削減・WAF・自動バックアップ」の6点を揃えてください。そのうえで、サイト停止が業務へ直結するなら監視や外部保守を追加します。
自社管理と外注、どちらがいい？
更新・バックアップ・障害対応まで手順化できるなら自社管理も可能です。
本業の合間に管理しているなら、更新と監視だけでも保守会社へ任せる価値があります。
停止が売上に直結するため、監視・バックアップ・復旧体制まで明確にします。
高額な24時間監視までは不要なこともありますが、定期更新とバックアップは必要です。
セキュリティ事故の損失を数字で考える
法人サイトのセキュリティ費用は、事故時の損失と比較すると判断しやすくなります。
復旧対応の具体例
担当者2人が5時間ずつ復旧対応し、1時間あたりの人件費を4,000円と仮定します。
2人 × 5時間 × 4,000円 ＝ 4万円
これに制作会社の復旧費、問い合わせ停止、信用低下などが加わります。月数千円～数万円の保守費用は、事故時コストとの比較で判断してください。
セキュリティ対策の判断フロー
はい → 本体・テーマ・プラグイン更新を管理。
はい → 権限を整理し、二要素認証を導入。
いいえ → 最優先で用意。
はい → 監視・保守・復旧体制も追加。
はい → 外部保守を検討。
教科書判定｜小規模法人でも6項目は最低限
SSL・更新・二要素認証・権限管理・WAF・バックアップを基本セットにする
アクセスが少ない会社サイトでも、改ざんや乗っ取りのリスクがなくなるわけではありません。高額なセキュリティ製品を最初から導入する必要はありませんが、上記6項目は最低限確認してください。売上や予約に直結するサイトなら、さらに監視と復旧体制を追加します。
よくある質問
Q．SSL化していればセキュリティ対策は十分ですか？
十分ではありません。SSLは通信を暗号化する機能です。脆弱なプラグイン、パスワード攻撃、管理者権限の悪用などは別途対策が必要です。
Q．セキュリティプラグインを入れれば安心ですか？
1つのプラグインだけで安全を保証することはできません。更新、認証、WAF、バックアップ、権限管理など複数の対策を組み合わせてください。
Q．WordPressの自動更新は有効にすべきですか？
セキュリティ面では更新を放置しないことが重要です。一方、業務サイトでは更新後の不具合確認も必要です。重要度の高いサイトはバックアップや検証環境と組み合わせて運用してください。
Q．バックアップは何日分あれば十分ですか？
一律には決められません。改ざん発見まで時間がかかる可能性を考え、複数世代を保持してください。毎日更新するサイトほど、取得頻度と保存日数の両方が重要です。
Q．制作会社に全部任せれば自社は何もしなくていいですか？
いいえ。契約範囲、緊急連絡先、ドメイン・サーバーの名義、管理者アカウント、バックアップの場所などは自社でも把握しておく必要があります。
まとめ｜法人サイトは「防ぐ・気づく・戻す」まで考える
この記事の結論
- WordPress・テーマ・プラグインを更新する
- 管理者権限を必要最小限にする
- 管理者には二要素認証を導入する
- SSLとWAFの役割を分けて両方確認する
- 不要なテーマ・プラグイン・アカウントを削除する
- 複数世代のバックアップと復元方法を確認する
- 重要サイトでは監視・改ざん検知・外部保守も検討する
結局、法人ホームページのセキュリティは「侵入されないようにすること」だけでなく、「異常に気づき、正常な状態へ戻せること」まで含めて設計してください。小規模企業でも、SSL・更新・認証・権限・WAF・バックアップの6項目は最低限確認する価値があります。
次に読むなら
法人サイトの基本対策が分かったら、次は「法人サーバーで重要なセキュリティ機能」を確認し、WAF・バックアップ・監視・アクセス制限など、サーバー側でどこまで用意されているか比較すると選びやすくなります。