公開後の対策が必要な理由
ウェブサイトの脆弱性や運用管理の不備は、改ざん、情報漏えい、サービス停止につながる可能性があります。IPAも、アプリケーション・サーバー・運用の各面で定期的に対策を確認するよう案内しています。IPA：安全なウェブサイトの運用管理に向けての20ヶ条
重要なのは、専門作業をすべて内製することではなく、誰が何を管理し、異常時に誰へ連絡するかを明確にすることです。
最初に確認する6項目
1. 管理情報と契約名義
ドメイン、サーバー、CMS、メール、解析ツールの契約者とログイン情報を一覧にします。退職者や前の委託先しか管理できない状態は避けましょう。
2. ソフトウェア更新
CMS本体、テーマ、プラグイン、サーバーの更新情報を確認します。更新前のバックアップと、更新後の表示・フォーム確認をセットで行います。
3. バックアップと復旧
頻度・保存先・保持期間だけでなく、復旧を誰が行うかまで決めます。取得していても復元できなければ十分ではありません。
4. アカウントと権限
管理者権限は必要な人に限定し、不要になったアカウントは無効化します。共用アカウントを避け、認証情報を使い回さないことも基本です。
5. フォームと個人情報
受け取る個人情報を必要最小限にし、送信先・保存先・閲覧者を確認します。公開すべきでないファイルを公開領域に置かないようにします。
6. 緊急時の連絡先
改ざん、表示不良、フォーム不達などが起きたときの連絡先と初動を整理します。
WordPress運用での注意点
WordPressは、本体だけでなくテーマ・プラグインも安全性と動作に影響します。使用していないものを放置せず、更新情報と必要性を定期的に確認しましょう。IPAは2026年にもWordPressの脆弱性について注意喚起し、影響を受けるサイトでの更新を推奨しています。IPAの注意喚起
月次チェックリスト
- バックアップが予定どおり取得されている
- 更新情報と更新後の動作を確認した
- サイト表示、フォーム、主要リンクに異常がない
- 不要な管理者アカウントが残っていない
- ドメイン・SSL・サーバーの期限を確認した
異常時の初動
不審な画面、検索結果の異常、身に覚えのない管理者、フォーム不達に気づいたら、画面キャプチャ・発生日時・対象URL・直前の変更を記録し、保守会社またはサーバー会社へ連絡します。自己判断で大量の変更や削除をすると、調査・復旧が難しくなる場合があります。
保守の範囲と移管時の確認事項は、WordPress保守の内容・費用もご覧ください。
よくある質問
SSL化していれば安全ですか？
HTTPSは重要ですが、それだけで更新・権限・バックアップ・脆弱性の問題まで解決するものではありません。
小規模サイトにも保守は必要ですか？
CMSやフォームを使うなら管理すべき項目があります。自社対応と外注の範囲を決め、続けられる体制を作りましょう。
まとめ
セキュリティ対策は、情報を把握し、更新・バックアップ・権限・連絡体制を定期的に確認することから始まります。