セキュリティアップデート

ホームページのセキュリティアップデートはどのくらいの頻度で必要？

セキュリティアップデートは、決めた周期（例：月に1回）で継続して行い、深刻な弱点が公表されたら周期を待たずにすぐ適用するのが基本です。定期点検と緊急対応を分けて考えるということです。

緊急の弱点は、開発元のお知らせやKISA インターネット保護ナラ（韓国）のセキュリティ情報で知らされます。管理を任せている会社があるなら、こうしたお知らせを誰が確認して判断するのかを決めておきましょう。

アップデートの周期は、ホームページが何で作られているかによっても変わります。プラグインをたくさん付けたホームページは、アップデートする部品が多いぶん、よりこまめに確認する必要があります。

自動アップデートをオンにしておく方法もあります。小さなセキュリティ修正は自動で受け取り、大きなバージョン変更は確認してから適用するように分ければ、すき間と画面崩れのリスクを両方減らせます。

ホームページでアップデートが必要なものは？

アップデートの対象は、サーバーから画面に付けたウィジェットまで、いくつもの層に分かれます。そのうちどの層を誰が担当するかを決めておかないと、お互いに「向こうがやるだろう」と思っているうちにすき間が生まれます。

独自に作ったホームページはプラグインがないので安全だと思われがちです。しかし、中で使われている公開部品（ライブラリ）も、弱点が見つかればアップデートが出ます。開発した会社がこうした部品のセキュリティ通知を受け取っているか聞いてみてください。

どんな部品が使われているかを知らなければ、アップデートもできません。管理会社から「自社ホームページで使われているプログラムと部品の一覧」を受け取っておけば、セキュリティ情報が出たときに自分のホームページが該当するかすぐ判断できます。

セキュリティアップデートを安全に進める手順は？

安全なアップデートのポイントは、「戻せる準備を先にして、適用後に自分で確認する」ことです。アップデートそのものより、アップデート後に誰も確認せず、崩れた画面が何日も放置されるほうがよくある問題です。

長く先延ばしにしたアップデートをまとめて一度に行うと、問題が起きたときにどれが原因なのか突き止めにくくなります。たまったアップデートが多いなら、いくつかずつ分けて適用し、そのたびに画面を確認してください。

1. 01まず全体のバックアップを取ります。
2. 02アップデートの案内を読み、セキュリティ修正なのか大きなバージョン変更なのかを確認します。
3. 03可能なら、運用中のホームページとまったく同じテスト環境で先に適用してみます。
4. 04お客様の少ない時間帯に、実際のホームページへ適用します。
5. 05トップページ・お問い合わせフォーム・予約・決済を、スマホとパソコンで実際に操作してみます。
6. 06何をいつアップデートしたかを記録します。
7. 07問題が起きたらバックアップで戻し、原因を確認してから適用し直します。

セキュリティアップデートを先延ばしにすると、実際に何が起きる？

アップデートを先延ばしにしたホームページは、既知の弱点を探し回る自動プログラムの標的になります。攻撃する側は特定のお店を狙うのではなく、弱点が残っている場所を機械でしらみつぶしに調べ、引っかかったところに侵入してきます。

侵入されると、お客様の目に触れない場所に広告・ギャンブルのページがこっそり作られたり、お客様を別のサイトへ飛ばすコードが仕込まれたりすることがあります。こうした状態が検索エンジンに見つかると、検索結果やブラウザに危険の警告が表示されることがあります。

お問い合わせフォームや会員情報からお客様の個人情報が漏れると、問題はさらに大きくなります。お客様への通知や関係機関への届出の義務が生じることがあり、アップデートを先延ばしにして節約した時間よりはるかに大きなコストがかかります。

ハッキングの痕跡は、オーナー様が先に気づくのは難しいものです。検索結果に自分のホームページ名で見覚えのない記事が出ていたり、お客様から「開いたら別のところに飛ばされた」と言われたりしたら、すぐに管理会社に知らせてください。Google Search Consoleを接続しておけば、Googleがセキュリティの問題を見つけたときに通知を受け取れます。

アップデート以外に、あわせて身につけたいセキュリティ習慣は？

アップデートをきちんとしていても、管理者パスワードが弱ければドアが開いているのと同じです。アップデートとアカウント管理をセットで気にかけるのがおすすめです。

1つの管理者アカウントを複数のスタッフで共有するのも、よくあるリスクです。誰が何を変えたのかわからず、スタッフが辞めてもパスワードを変えにくくなります。できれば人ごとにアカウントを分け、本当に必要な権限だけを与えてください。

Googleもサイト運営者に、最新のアップデートの適用とあわせて、強いパスワードを使うよう案内しています。次の習慣は費用がほとんどかからないのに、効果は大きいです。

• 管理者パスワードを長くし、ほかのサイトと使い回さない
• ドメイン・ホスティング・管理者アカウントで2段階認証をオンにする
• 辞めたスタッフ・以前の制作会社のアカウントはすぐに削除する
• 使っていないプラグインとテーマは、無効化で済ませず削除する
• お店の共用パソコンに管理者ログインを残したままにしない

セキュリティ管理を任せるとき、何を聞くべき？

「セキュリティ管理をします」という言葉だけでは、何をしてくれるのかわかりません。周期、緊急対応、記録の共有、事故のときの連絡方法を具体的に聞き、契約書や見積書に残しておきましょう。

すでにハッキングが疑われるなら、まず管理会社に知らせ、韓国ではKISA インターネット保護ナラのハッキング・スパム・個人情報侵害の相談電話118でも助けを得られます。ISSYMOの保守管理のサブスクリプションでは、毎月セキュリティアップデートを適用し、バックアップを残します。

• 定期アップデートはどのくらいの頻度で行いますか？
• 緊急のセキュリティ情報が出たら、何日以内に適用しますか？
• アップデートの履歴を記録として受け取れますか？
• アップデート後に画面が崩れた場合、復旧費用は別にかかりますか？
• ハッキングが疑われるとき、誰にどうやって連絡すればいいですか？