法人向けサーバーのセキュリティは、「WAFがあるから安心」「SSL対応だから安全」と1機能だけで判断できません。重要なのは、侵入を防ぐ・被害を広げない・異常に気づく・元に戻すという4段階で対策がそろっているかです。
30秒でわかる結論
- 法人サイトでは、SSL、WAF、マルウェア対策、バックアップ、二要素認証、権限管理を優先して確認します。
- SSLだけでは不正アクセスやWordPressの脆弱性対策にはなりません。
- WAFはWeb攻撃対策に有効ですが、すべての攻撃を完全に防ぐものではありません。
- バックアップは「取得しているか」だけでなく、保持日数・復元方法・復元時間まで確認します。
- 複数人で管理する会社では、共有IDを避け、担当者ごとに権限を分けることが重要です。
- 小規模な会社サイトでも、最低限「SSL＋WAF＋自動バックアップ＋二要素認証」を基準にすると判断しやすいです。
法人サーバーのセキュリティで重要な考え方
法人サイトでは、サーバー停止や情報漏えいが、売上・信用・業務継続に直接影響することがあります。そのため、個人サイトよりも「問題が起きた後」のことまで考えて選ぶ必要があります。
ここで伝えたいポイント
セキュリティは、1つの機能で完成するものではありません。防御・検知・制限・復旧を組み合わせて考えることが重要です。
| 段階 | 主な対策 | 目的 |
|---|---|---|
| 防御 | SSL、WAF、ファイアウォール | 攻撃や盗聴のリスクを減らす |
| 検知 | ログ、マルウェア検知、通知 | 異常を早く見つける |
| 制限 | 二要素認証、IP制限、権限管理 | 不正ログインや被害拡大を防ぐ |
| 復旧 | 自動バックアップ、スナップショット | 被害後に正常状態へ戻す |
まず確認したい7つのセキュリティ機能
1．SSL・HTTPS
SSLは、ブラウザとWebサーバー間の通信を暗号化する仕組みです。お問い合わせフォームやログイン画面など、入力情報を第三者に盗み見られるリスクを下げます。
注意
SSLは通信を暗号化する機能であり、WordPressの脆弱性、不正ログイン、マルウェア感染などを防ぐ機能ではありません。「HTTPSだから安全」と考えるのは不十分です。
2．WAF
WAFはWeb Application Firewallの略で、Webアプリケーションへの不正な通信を検知・遮断する仕組みです。
WordPressやお問い合わせフォームなど、Webアプリを公開している法人サイトでは確認したい機能です。
3．ファイアウォール
ファイアウォールは、不要な通信を制限するための基本的なセキュリティ機能です。
VPSや専用サーバーでは、利用するポートだけを開放し、不要なポートを閉じることが重要です。
4．マルウェア検知
不正なプログラムや改ざんファイルを検知する仕組みです。サーバー会社によっては自動スキャンや通知機能を提供しています。
5．自動バックアップ
攻撃や操作ミスでデータが壊れたとき、正常な状態へ戻すために必要です。
6．二要素認証
パスワードだけでなく、認証アプリやワンタイムコードなどを組み合わせてログインする仕組みです。
7．権限管理
複数人で運営する法人では、全員が管理者権限を持つのではなく、必要な範囲だけ権限を与える考え方が重要です。
WAFは法人サイトに必要？
WordPressやCMS、お問い合わせフォームを利用する法人サイトでは、WAFは優先度の高い機能です。
フォームやCMSが少なくても、公開Webサイトである以上、WAFが利用できるなら有効にしておく価値があります。
CMSへの攻撃や不正なリクエストを受ける可能性があるため、WAFを優先して確認します。
売上や顧客情報に直結するため、WAFだけでなく監視・バックアップ・アクセス制御も組み合わせます。
WordPressを公開する法人サイトなら、WAFは「あると便利」ではなく優先確認項目
ただし、WAFを有効にすれば更新不要になるわけではありません。WordPress本体・テーマ・プラグインの更新とセットで考えます。
バックアップは何日分あればいい？
バックアップは、取得頻度と保持日数の両方を見ます。
たとえば毎日バックアップを取得していても、保持期間が1日だけでは、数日前から続いていた改ざんに気づいたときに戻せない可能性があります。
具体例
月曜日に不正改ざんされ、金曜日に気づいた場合、前日分しか残っていなければ改ざん後のバックアップしかない可能性があります。14日分程度残っていれば、改ざん前へ戻せる選択肢が増えます。
| 保持期間 | 判断の目安 |
|---|---|
| 1〜3日 | 短く、発見が遅れた障害には弱い |
| 7日程度 | 小規模サイトでは最低限の候補 |
| 14日程度 | 一般的な法人サイトで使いやすい目安 |
| 30日以上 | 変更履歴を長く残したい用途向け |
バックアップの見方
保持日数だけでなく、復元が無料か、管理画面から戻せるか、問い合わせが必要かまで確認してください。
二要素認証はどこまで必要？
法人では、サーバー管理画面、WordPress管理画面、クラウド管理画面など、重要な管理画面に二要素認証を設定することを推奨します。
パスワードが漏えいしても、追加認証がなければログインできないため、不正アクセスのリスクを下げられます。
パスワードだけ ＝ 1つの情報が漏れると突破される可能性
パスワード ＋ 二要素認証 ＝ 2つ目の確認が必要
初心者はこれでOK
法人で使う管理画面に二要素認証が用意されているなら、基本的に有効化してください。設定の手間より、不正ログインを防ぐ効果を優先する価値があります。
複数人で管理するなら共有IDを避ける
「admin」という1つのアカウントを社内全員で共有すると、誰が何を変更したのか分かりにくくなります。
退職者や外部制作会社との契約終了時にも、共有パスワード変更が必要になります。
| 管理方法 | 問題点・利点 |
|---|---|
| 1つのIDを共有 | 操作履歴の特定が難しく、パスワード管理も複雑 |
| 担当者ごとにID発行 | 誰が操作したか把握しやすい |
| 権限を分ける | 不要な設定変更や誤操作の範囲を小さくできる |
3人以上で管理するなら、共有アカウントより個別ID＋権限分けを優先
人数が増えるほど、パスワード共有より「誰が、どの権限で、何を操作できるか」を管理するほうが安全です。
VPS・専用サーバーでは利用者側の責任が増える
共用レンタルサーバーでは、OSやサーバーソフトの管理を事業者側が行う範囲が広いのが一般的です。
一方、VPSや専用サーバーでは、OSアップデート、SSH設定、ファイアウォール、不要サービス停止などを利用者側で行うケースが増えます。
| 項目 | 共用サーバー | VPS・専用サーバー |
|---|---|---|
| OS管理 | 事業者側が中心 | 利用者側が担当することが多い |
| ファイアウォール設定 | 基本設定済みが多い | 利用者が設定する場面が多い |
| SSH管理 | 制限されることがある | 利用者側で厳格に管理 |
| ミドルウェア更新 | 事業者管理が多い | 利用者側管理が多い |
注意
自由度が高いサーバーほど、セキュリティ設定も自分で行う範囲が増えます。「専用だから安全」「VPSだから安全」とは限りません。
セキュリティ機能の優先順位
すべての機能を同じ重さで見る必要はありません。一般的な法人Webサイトなら、まず次の順で確認すると整理しやすくなります。
無料または有料SSLに対応しているか確認
WordPressやフォームを公開するなら優先
保持日数と復元方法まで確認
複数人管理では重要度が上がる
サイト停止を損失に置き換える
セキュリティ対策へいくらかけるべきか迷ったら、事故が起きたときの損失を考えます。
具体例
1件の問い合わせから平均3万円の利益があり、1日10件の問い合わせがあるサイトで、攻撃により丸1日フォームが使えなかったとします。
3万円 × 10件 ＝ 30万円
実際の損失は成約率などで変わりますが、月額数千円のサーバー料金差より、停止・改ざんによる影響のほうが大きくなるケースがあります。
法人サーバー選びでよくある誤解
SSLがあればセキュリティは十分？
十分ではありません。SSLは通信暗号化が中心で、サーバー侵入、WordPressの脆弱性、不正ログインへの対策は別途必要です。
WAFがあれば更新しなくていい？
いいえ。WAFは攻撃を防ぐ補助機能です。WordPress、テーマ、プラグイン、OSなどの更新は継続して必要です。
バックアップがあれば被害はゼロ？
バックアップは復旧手段です。情報漏えいそのものを防ぐ機能ではありません。防御策と組み合わせる必要があります。
教科書判定｜法人サーバーはこの4点を最低基準にする
SSL＋WAF＋自動バックアップ＋二要素認証を最低ラインとして確認
一般的な法人サイトなら、この4点をまず確認します。そのうえで、EC・予約・顧客情報を扱うサイトは、権限管理、ログ、マルウェア検知、IP制限、復旧体制まで確認するのが安全です。
よくある質問
法人サイトなら有料SSLを選ぶべきですか？
必ずしも有料である必要はありません。重要なのはHTTPS通信を正しく利用できることです。証明書の種類や組織認証が必要な場合は、用途に応じて有料証明書を検討します。
WAFを有効にするとサイトが遅くなりますか？
処理が追加されるため影響がゼロとは言えませんが、一般的な法人サイトでは、表示速度だけを理由にWAFを無効化するよりセキュリティを優先するほうが合理的です。
バックアップは自社でも取るべきですか？
重要な法人サイトでは、サーバー会社の自動バックアップだけに依存せず、別の場所にも保管する方法を検討すると安全性が高まります。
小さな会社でも二要素認証は必要ですか？
はい。会社規模に関係なく、管理画面への不正ログイン対策として有効です。対応している管理画面では、基本的に有効化することを推奨します。
まとめ
この記事の結論
- 法人サーバーのセキュリティは1機能ではなく多層で考える
- SSLだけでは不正アクセス対策にならない
- WordPressサイトではWAFの重要度が高い
- バックアップは保持日数・復元方法まで確認する
- 複数人管理では二要素認証と権限分けを重視する
- VPS・専用サーバーは利用者側の管理責任も大きい
結局、「侵入させない」だけでなく「侵入されても被害を広げず、異常を見つけ、元に戻せるか」まで確認することが、法人サーバー選びの基本です。
次に読むなら
セキュリティ機能を確認したら、次は「法人サーバーで重要なバックアップ体制とは？」を確認すると、障害や改ざんからどこまで復旧できる環境を選ぶべきか判断しやすくなります。