01
「うちは小さいから大丈夫」は通用しない
攻撃の多くは、会社を選ばず、弱点のあるサイトを自動で探すところから始まります。相手は規模や知名度を見ておらず、弱点があるかどうかだけで値踏みします。だからこそ、特別な専門知識がなくても効く「弱点をつくらない基本の対策」が、いちばんの近道です。
ここでは、効果が大きく着手しやすい5つを、「なにが危ないか・やること・自分で確認する方法」までセットで紹介します。
63.3%
66.3%
02
まず見直す5つ
- 01
通信をすべて暗号化する（HTTPS）
なにが危ない？暗号化されていない通信は、同じネットワーク上で盗み見・書き換えが可能です。ログイン情報や問い合わせ内容が漏れる恐れがあります。
- http:// から https:// へ常に転送（1回のリダイレクト）
- TLS は 1.2 以上。古い方式（TLS1.0/1.1）は無効化
- HSTS を設定し、常に暗号化接続を使わせる
自分で確認：ブラウザのアドレス欄に鍵マークが出るか。http:// で開いても https:// に切り替わるか。
- 02
ソフトウェアを最新に保つ
なにが危ない？CMS・プラグイン・サーバーソフトの弱点（脆弱性）は日々公開されます。更新が止まったサイトは、その一覧と照合されるだけで侵入口になります。
- CMS（WordPress 等）とプラグインを最新に
- 使っていないプラグイン・テーマは削除
- サーバー・VPN機器のファームウェアも更新
自分で確認：管理画面に「更新があります」の通知が溜まっていないか。制作会社に最終更新日を確認。
- 03
なりすましメールを防ぐ（SPF・DKIM・DMARC）
なにが危ない？送信ドメイン認証が無いと、自社ドメインを名乗る偽メールを受信側が見分けにくくなります。取引先への被害や信用低下につながります。
- SPF と DKIM を設定
- DMARC を p=quarantine 以上にして偽装メールを弾く
- 対応状況をメール管理者・制作会社に確認
自分で確認：自社ドメインの DNS に SPF・DMARC レコードがあるか（診断で自動確認できます）。
- 04
ブラウザ側の防御を有効にする（セキュリティヘッダー）
なにが危ない？画面の見た目では分かりませんが、ヘッダーの設定不足は、クリックジャッキングや中身のすり替えなどの入口になります。
- X-Frame-Options / CSP の frame-ancestors で枠内表示を制限
- X-Content-Type-Options: nosniff を設定
- 可能なら CSP（コンテンツの読み込み元の制限）も
自分で確認：ヘッダーは画面に出ないため、診断ツールでの確認が確実です。
- 05
公開しなくてよいものを閉じる
なにが危ない？バックアップ・設定ファイル・ログイン画面・ディレクトリ一覧が誰でも開ける状態だと、侵入の足がかりになります。
- バックアップ/設定ファイル（.env・.bak 等）を公開領域に置かない
- 管理画面はアクセス制限（IP制限・多要素認証）
- ディレクトリ一覧表示をオフに
自分で確認：「サイトURL/.env」「/backup」などが開けてしまわないか。公開情報の棚卸しは診断で確認できます。
03
どれから手をつける？
5つを一度にやる必要はありません。効果が大きく、すぐできるものから順に。目安として、優先度を並べました。
04
取り組みを「宣言」する ― SECURITY ACTION
SECURITY ACTION（セキュリティアクション）は、IPA（情報処理推進機構）が運営する、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度です。第三者による認証ではなく、費用もかかりません。宣言するとロゴマークが使え、取引先や採用の場で「対策に取り組んでいる会社」であることを示せます。
IPA の「情報セキュリティ5か条」に取り組むことを宣言します。
「5分でできる！情報セキュリティ自社診断」で現状を把握し、「情報セキュリティ基本方針」を定めて外部に公開したことを宣言します。
二つ星では、まず自社の現状を把握することが求められます。本サービスの診断は、Webサイト側のリスクを把握する材料としてお使いいただけます。
できることから。まず現状を知る
5つすべてを一度にやる必要はありません。多くは、通信の暗号化やソフトの更新といったすぐ着手できるものから始められます。まずは今の状態を把握することが、いちばんの近道です。
まずは、今の状態を知ることから
ドメインを入力するだけで、上記の5項目を含むリスクを無料で診断します。