自社で公開・運用している Web サイトは、改ざんや情報漏えい、不正アクセスの標的になり得ます。被害が起きればサイトの停止や顧客対応に追われ、事業そのものに影響が及びます。
とはいえ、何を・どこまで対策すればよいのか、全体像をつかめていない担当者は少なくありません。対策は通信の暗号化やソフトの更新、脆弱性診断など複数の領域にまたがり、自分の手で対応できるものと、専門の業者に頼むべきものが混在します。
本記事では、Web サイトを守るためにやるべき対策を領域別の一覧で示したうえで、主な脅威の種類、各対策の中身、どこから着手すべきかの優先順位、そして自前と外注の切り分けまでを整理します。自社サイトの抜けを洗い出す材料としてご活用ください。
目次
一括ダウンロードする
Webサイトを守るためにやるべき対策の一覧（領域別）
はじめに、Webサイトのセキュリティ対策の全体像を領域別に一覧で確認します。IPA（独立行政法人 情報処理推進機構）は、安全なウェブサイトの運用管理には「ウェブアプリケーション」「ウェブサーバ」「ネットワーク」「その他」の各領域で対策が必要だとしています。下の表は、その領域をもとに、主な対策と防げる脅威、自分でできるか業者に頼むべきかを整理したものです。
| 対策 | 通信の暗号化（常時SSL化／HTTPS化） | CMS・アプリケーションの更新（ソフト・プラグイン・パスワード） | Webサーバー・アクセス管理（不要機能の停止・権限・ログ） | ネットワーク対策（ファイアウォール・WAF・IDS／IPS） | 改ざん検知・復旧 | 脆弱性診断 |
|---|---|---|---|---|---|---|
| 主に防ぐ脅威・被害 | 通信の盗聴・改ざん・なりすまし | 既知の脆弱性の悪用、不正ログイン | 不正アクセス、非公開ファイルの閲覧 | 不正な通信、脆弱性を突いた攻撃 | 改ざんの見逃し・復旧の遅れ | 対策漏れ・未知の弱点の放置 |
| 自分でできる／外注 | 自分でできる（SSLサーバー証明書の導入・設定） | 自分でできる（更新・設定の運用） | 自分でできる（サーバー運用担当がいる場合） | 一部は自前、WAFは外注・クラウド型の利用が現実的 | ログ監視は自前、検知ツール・保守は外注が有力 | 公開前・定期の本格診断は外注が有力 |
※領域区分は「安全なウェブサイトの運用管理に向けての20ヶ条」（IPA）をもとに整理。各対策の詳細は本文で解説します。
これらは、どれか一つをやれば十分というものではありません。IPA も、対象ごとに適切な対策を実施することが必要で「どれが欠けても、ウェブサイトの安全性は確保できません」と述べています。次の章から、それぞれの中身を順に見ていきます。
Webサイトが狙われる主な脅威と被害
ここでは、なぜ上記の対策が必要なのか、Webサイトが受ける被害と、その入り口になる攻撃手法を整理します。どの攻撃にどの対策が効くかは、前章の一覧表の「主に防ぐ脅威・被害」の列と照らし合わせてご確認ください。
代表的な被害（改ざん・情報漏えい・不正アクセス）
Webサイトで起きる代表的な被害は、ページの改ざん、顧客情報などの情報漏えい、サーバーへの不正アクセスです。IPA に寄せられた2024年の不正アクセス届出は166件で、このうち実被害があったものは132件（全体の約79.5%）でした。最も多かった手口は、前年と同様に「ファイル／データ窃取、改ざん等」です。
この件数は IPA への届出を集計したもので、国内の被害総数ではありません。それでも、改ざんや情報の窃取が現実の脅威として起き続けていることを示しています。
出典・参考資料（1件）
- 出典：コンピュータウイルス・不正アクセスの届出状況［2024年（1月～12月）］｜IPA（独立行政法人 情報処理推進機構）
主な攻撃手法（SQLインジェクション・XSS・CSRF など）
こうした被害の入り口になるのが、Webアプリケーションの脆弱性を突く攻撃です。IPA の「安全なウェブサイトの作り方」は、SQLインジェクション、クロスサイト・スクリプティング、クロスサイト・リクエスト・フォージェリ（CSRF）など、代表的な11種の脆弱性を挙げています。ここでは特に多い3つを押さえます。
SQLインジェクションは、データベースと連携する入力欄を悪用し、不正な命令文を送り込む攻撃です。IPA は次のように説明しています。
データベースと連携したウェブアプリケーションの多くは、利用者からの入力情報を基にSQL文（データベースへの命令文）を組み立てています。ここで、SQL文の組み立て方法に問題がある場合、攻撃によってデータベースの不正利用をまねく可能性があります。
出典：安全なウェブサイトの作り方 1.1 SQLインジェクション｜IPA（独立行政法人 情報処理推進機構）
クロスサイト・スクリプティング（XSS）は、入力内容をそのままページに出力してしまう不備を突き、他の利用者のブラウザーで悪意あるスクリプトを動かす攻撃です。CSRF（クロスサイト・リクエスト・フォージェリ）は、ログイン中の利用者になりすまし、本人が意図しない操作を実行させる攻撃を指します。
いずれも、Webアプリケーションが利用者からの入力やブラウザーからのデータを正しく検証していないことが原因になります。
ウェブサイトのセキュリティについて学ぶことができる最も重要な教訓は、ブラウザーからのデータを決して信用しないことです。…すべての受信データを常にチェックしてサニタイズしてください。常に最悪の事態を想定してください。
出典：ウェブサイトのセキュリティ｜MDN Web Docs（Mozilla）
残りの脆弱性を含めた一覧と個別の解説は、IPA「安全なウェブサイトの作り方」で確認できます。
出典・参考資料（1件）
- 参考資料：安全なウェブサイトの作り方｜IPA（独立行政法人 情報処理推進機構）
これらの攻撃への備えは、対策の種類ごとに分かれます。CMS やソフトの脆弱性を突く攻撃は、本体やプラグインの更新で解消できます。
入力の処理の不備を突く SQLインジェクションやクロスサイト・スクリプティングは、Webアプリケーション側で入力・出力を適切に扱うこと（セキュアコーディング）が根本の対策です。CMS やフレームワークを使う場合は、その更新や制作・開発側の実装が担います。
修正が間に合わない間の影響を抑えるのが WAF、対策の抜けを見つけるのが脆弱性診断です。
領域別の対策の中身を掘り下げる
ここからは、一覧で挙げた対策を領域ごとに掘り下げます。自分の手で着手できるものから、専門業者に頼むのが現実的なものまで、順に見ていきます。
常時SSL化（通信の暗号化）
常時SSL化とは、サイトのすべてのページを HTTPS 化し、ブラウザーとサーバー間の通信を暗号化する運用です。暗号化されていない通信は、盗聴や改ざん、なりすましの対象になります。IPA は通信内容の暗号化について次のように述べています。
ウェブアプリケーションと利用者の間で交わされる通信は、盗聴や改ざん、なりすましなどの被害を受ける恐れがあります。しかし、通信内容を暗号化（HTTPS化）すれば、仮に盗聴などの被害を受けても重要情報が不正に取得されることを防止できます。
出典：安全なウェブサイトの運用管理に向けての20ヶ条｜IPA（独立行政法人 情報処理推進機構）
SSLサーバー証明書の導入と設定は、自社やサイト制作会社の手で対応できる範囲です。問い合わせフォームやログイン画面など、個人情報を扱うページだけでなく、サイト全体を HTTPS 化しておくのが基本となります。
CMS・アプリケーションの対策（ソフト更新・プラグイン・パスワード）
WordPress などの CMS でサイトを構築している場合、本体やプラグイン、テーマに脆弱性が見つかることがあります。IPA は、Webアプリケーションを構成するソフトウェアやフレームワーク、CMS に脆弱性が発見された際は、適宜バージョンアップなどの対策が必要だとしています。自社サイトがどのようなソフトウェアで作られているかを把握し、更新を続けることが前提になります。
あわせて、使っていないプラグインやテーマは削除し、管理画面のログインには推測されにくいパスワードと多要素認証を設定します。総務省も、基本の対策として「ソフトウェアを最新に保とう」「強固なパスワードの設定と多要素認証を活用しよう」を挙げています。
出典・参考資料（2件）
- 出典：安全なウェブサイトの運用管理に向けての20ヶ条｜IPA（独立行政法人 情報処理推進機構）
- 出典：サイバーセキュリティ初心者のための三原則｜総務省（国民のためのサイバーセキュリティサイト）
Webサーバー・アクセス管理（不要機能の停止・権限・ログ）
Webサーバー側では、不要なサービスやアカウントを残さず、ファイルやディレクトリへのアクセス制御を適切に設定します。アクセス制御が甘いと、非公開のファイルを第三者に見られたり、プログラムを実行されたりする恐れがあります。
あわせて、各種ログを保管し、定期的に確認する運用も欠かせません。ログは、不審な動きや不正アクセスに気づくきっかけになり、万一の際に原因を追う手がかりにもなります。これらはサーバー運用の担当者がいれば自前で対応できますが、体制がなければ保守を委託する選択肢もあります。
出典・参考資料（1件）
- 出典：安全なウェブサイトの運用管理に向けての20ヶ条｜IPA（独立行政法人 情報処理推進機構）
ネットワーク対策（WAF・ファイアウォール・IDS／IPS）
ネットワークの境界では、ファイアウォールで不要な通信を遮断し、WAF（Web Application Firewall）や IDS／IPS で不正な通信を検知・遮断します。IPA は、これらを次のように位置づけています。
IDS（Intrusion Detection System）やIPS（Intrusion Prevention System）およびWAF（Web Application Firewall）は、ウェブサイトと利用者の間の通信を検査し、不正な通信を自動的に検知または遮断するソフトウェア、もしくはハードウェアです。 ウェブサイトに脆弱性が発見された場合、ウェブアプリケーションを速やかに修正できないことがあります。修正されるまでの間、攻撃による影響を低減する対策としてIDSやIPSおよびWAFを導入してウェブアプリケーションを保護することは有効な手段の一つです。
出典：安全なウェブサイトの運用管理に向けての20ヶ条｜IPA（独立行政法人 情報処理推進機構）
WAF は、脆弱性を修正しきれない間も攻撃の影響を抑える「保険的な対策」として有効です。自社で機器を用意する方法のほか、クラウド型の WAF サービスなら自社で機器を持たずに導入できます。個別製品の比較検討は専門的になるため、各サービスの資料で対応範囲や費用を確認するとよいでしょう。
改ざん検知・復旧
改ざんは、Webサイトで多く見られる被害の一つです。被害に早く気づくには、前述のログ監視に加え、ファイルの改ざんを検知する仕組みを持っておくことが有効です。検知が遅れるほど、閲覧者への被害拡大や復旧の負担が大きくなります。
改ざん検知の仕組みには、サーバーに常駐させて監視する方式や、外部から定期的にチェックする方式があります。常駐型は検知の速さ、外部巡回型は導入の手軽さに強みがあります。自社での監視が難しい場合は、改ざん検知や復旧に対応した保守サービスの利用を検討するとよいでしょう。
脆弱性診断で弱点を洗い出す
ここまでの対策を実施しても、設定の抜けや見落としは残り得ます。そこで有効なのが、Webサイトやサーバーを検査して弱点を洗い出す脆弱性診断です。IPA は、組織内部で対策を実施したうえで、外部の組織による脆弱性検査やセキュリティ監査を受けることは、対策漏れを洗い出すために効果的だとしています。
組織内部で上記のセキュリティ対策を実施しているか確認した上で、外部の組織によるサーバやネットワーク機器、ウェブアプリケーションに対する脆弱性検査（診断）やセキュリティ監査を受けることは、対策漏れなどを洗い出すために効果的な手段です。公開、運用後において、定期的な検査（診断）、監査を継続することが重要です。
出典：安全なウェブサイトの運用管理に向けての20ヶ条｜IPA（独立行政法人 情報処理推進機構）
無料のチェックツールもありますが、検査項目を絞った簡易なものが中心です。IPA も、簡易な診断で脆弱性が見つからなくても安全宣言にはつながらないとして、より詳細な診断を受けることを勧めています。本格的な診断の選び方と費用感は、後述の「自前で対策する範囲と、外注すべき範囲」で整理します。
出典・参考資料（1件）
- 出典：安全なウェブサイトの作り方（概要）｜IPA（独立行政法人 情報処理推進機構）
一括ダウンロードする
どこまでやるべきか（自社の規模・体制に応じた優先順位）
対策の全体像が見えると、次に気になるのは「自社はどこまでやれば十分か」です。前提として、IPA は各領域の対策について「どれが欠けても、ウェブサイトの安全性は確保できません」と述べており、特定の領域だけを固めれば済むものではありません。
一方で、着手する順序に唯一の正解があるわけではありません。IPA は、脆弱性ごとの項番について次のように述べ、優先順位は各サイトの状況に合わせて検討すべきだとしています。
なお、項番については、脆弱性の深刻度や攻撃による影響、届出状況を考慮して割り当てており、対策の優先順位を示すものではありません。優先順位は運営するウェブサイトの状況に合わせてご検討ください。
出典：安全なウェブサイトの作り方（概要）｜IPA（独立行政法人 情報処理推進機構）
そのうえで、自分の手で着手しやすく効果も大きいのは、通信の暗号化（常時SSL化）、CMS やソフトの更新、強固なパスワードと多要素認証の設定です。総務省の三原則とも重なる、まず押さえたい基本といえます。これらは専門の機器や外注を必要とせず、運用の見直しで対応できます。
次の段階として、サーバーのアクセス制御やログ監視を整え、脆弱性を突いた攻撃への備えとして WAF の導入を検討します。そして、設定の抜けや見落としを客観的に確かめる脆弱性診断は、専任の担当者を置きにくい場合ほど外部の力を借りる価値があります。自社の体制で手が回らない領域から外注を検討する、という順序が現実的です。
専任のセキュリティ担当を置きにくい小規模なサイトでも、通信の暗号化とソフトの更新、強固なパスワードと多要素認証までは最低ラインとして押さえておきたいところです。そのうえで、手の回らない診断などを外部に頼る切り分けが無理のない進め方になります。
出典・参考資料（2件）
- 出典：安全なウェブサイトの運用管理に向けての20ヶ条｜IPA（独立行政法人 情報処理推進機構）
- 出典：サイバーセキュリティ初心者のための三原則｜総務省（国民のためのサイバーセキュリティサイト）
自社サイトのセキュリティ自己診断チェックリスト
自社サイトの抜けを確認するために、IPA「安全なウェブサイトの運用管理に向けての20ヶ条」の項目をもとにした自己診断チェックリストを用意しました。領域ごとに、できていない項目がないかを確認してみてください。
ウェブアプリケーション
- 公開すべきでないファイルを公開していないか
- 不要になったページやWebサイトをそのままにしていないか
- 「安全なウェブサイトの作り方」で挙げられている脆弱性への対策をしているか
- Webアプリを構成するソフトウェア（CMS・プラグイン等）の脆弱性対策を定期的にしているか
- Webアプリのログを保管し、定期的に確認しているか
- 通信内容の暗号化（HTTPS化）ができているか
- 不正ログインの対策ができているか
ウェブサーバー
- OS・サーバソフトウェア・ミドルウェアをバージョンアップしているか
- 不要なサービス・アプリケーション、不要なアカウントが残っていないか
- 推測されやすい単純なパスワードを使っていないか
- ファイル・ディレクトリへの適切なアクセス制御をしているか
- Webサーバーのログを保管し、定期的に確認しているか
ネットワーク・その他
- ネットワークの境界で不要な通信を遮断しているか
- ファイアウォールで適切に通信をフィルタリングしているか
- Webサーバー（またはWebアプリ）への不正な通信を検知または遮断しているか
- ネットワーク機器のログを保管し、定期的に確認しているか
- クラウド利用時に、自組織の責任範囲を把握して必要な対策をしているか
- 定期的にセキュリティ検査（診断）・監査を実施しているか
IPA は、同じ20項目をまとめたチェックリスト（Excel形式）も配布しています。チェックがつかない項目が、まず着手すべき対策の候補です。自社だけで判断が難しい項目は、後述の脆弱性診断で客観的に確かめる方法もあります。
出典・参考資料（1件）
- 出典：安全なウェブサイトの運用管理に向けての20ヶ条｜IPA（独立行政法人 情報処理推進機構）
自前で対策する範囲と、外注すべき範囲（脆弱性診断サービスの選び方と費用感）
ここからは、自前で対応する範囲と、外注を検討したい範囲の切り分けを整理します。通信の暗号化、ソフトの更新、パスワードや権限の設定といった運用は、自社やサイト制作会社の手で進められます。
一方、公開前・運用中の本格的な脆弱性診断は、専門のサービスに任せるのが確実です。WAF の運用や改ざん検知・復旧も外部サービスを利用できますが、本記事ではまず、自社サイトの弱点を客観的に洗い出す脆弱性診断サービスを紹介します。
脆弱性診断には、ソースコードを解析する静的診断、稼働中のサイトに疑似的な攻撃を送って調べる動的診断、実際の攻撃者の視点で侵入を試みるペネトレーションテストなどの方式があります。料金やかかる期間は、サービスや対象範囲によって幅があります。
選ぶときは、自社の体制と目的から絞り込むのが近道です。社内で手軽に繰り返したいなら、ブラウザ操作中心のクラウド型の自動診断が向いています。開発の工程に組み込みたいなら CI（継続的インテグレーション）連携に対応したツール、公開前にプロの目で深く確かめたいなら専門家による手動診断が選択肢になります。
ここでは、Webサイトの弱点検査に使える代表的なサービスを紹介します。診断方式ごとの違いや費用相場をより詳しく比べたい場合は、以下の記事もあわせてご覧ください。
1. CoWorker 脆弱性診断サービス（CoWorker株式会社）
自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた脆弱性診断サービスです。メニューは、ソースコードAI診断、動的脆弱性診断（Web／API診断）、実践攻撃シミュレーション診断（ペネトレーションテスト）の3つで、必要な範囲から段階的に選べます。
料金は診断の範囲に応じて選べます。ソースコードを AI が解析するソースコードAI診断は150,000円から、ソースコードと動的診断（Web／API）をセットにした Lite プランは500,000円からです（2026年11月時点。公式サイトでは診断セットの開始価格として「50万円〜」と案内されています）。最短3営業日での納品を掲げており、スピードを重視する場合の選択肢になります。
同社の一ノ瀬氏は、脆弱性診断を受ける頻度をめぐる環境の変化について、次のように話しています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
2. AeyeScan（株式会社エーアイセキュリティラボ）
ブラウザからログインして使う、クラウド型のWebアプリケーション脆弱性診断ツールです。専用サーバーの構築やソフトのインストールは不要で、AI が画面を自動で巡回して診断シナリオを作成するため、専門知識がなくても自動診断を実施できます。脆弱性診断を社内で内製化し、外部委託のコストを抑えたい企業に向いています。
AeyeScan は公式サイトで、ITR の調査にもとづき2024年度の SaaS 型 Web アプリケーション脆弱性診断・管理市場で売上金額シェア1位としています。料金は用途やサイト数に応じた個別見積もりで、無料トライアルも用意されています。
出典・参考資料（1件）
- 出典：AeyeScan 公式サイト（2026年11月時点）｜株式会社エーアイセキュリティラボ（公式サイト）
3. Securify（株式会社スリーシェイク）
攻撃対象領域管理（ASM）と脆弱性診断を組み合わせたクラウド型サービスです。画面の巡回から疑似攻撃の送信、応答の検証までを自動で実行し、実施日時や頻度を指定した継続的な診断に対応します。API 経由で診断を実行でき、開発のパイプラインに組み込める点も特徴です。
料金は、脆弱性診断の STARTER プランが月額5万円（年間60万円）からで、診断回数に制限はありません。無料トライアルも用意されており、まず小さく始めたい場合に検討しやすい価格設定です。
4. VAddy（株式会社ビットフォレスト）
開発のパイプラインに組み込み、継続的に脆弱性スキャンを実行できるクラウド型のツールです。初期費用は0円で、1ヶ月単位から契約できます。スキャン回数は無制限で、夜間の定期スキャンや CI 連携にも対応します。SaaS 型 WAF「Scutum」と同じチームが開発・運用しています。
料金は Professional が月額19,800円から（いずれも税別）で、プランによって診断できる項目数が変わります。別途、株式会社SHIFT が提供する手動脆弱性診断オプション（400,000円）も用意されており、自動診断に専門家の目を加えることもできます。
5. Vex（株式会社ユービーセキュア）
Webアプリケーションに疑似攻撃リクエストを送り、応答を解析して脆弱性を調べる動的検査型のツールです。URL を入力して自動でクロールするスキャンに加え、ログインや多段の画面遷移を記録するシナリオスキャン、SPA（シングルページアプリケーション）や API の検査にも対応します。検出した脆弱性ごとに対策案を示す日本語レポートを出力できます。
料金は、小規模向けの Vex Team が年66万円からです。いずれも年間ライセンスのため、契約期間中の診断回数に制限はありません。導入前に14日間の無料トライアルで試せます。
6. SCT SECURE クラウドスキャン（三和コムテック株式会社）
Webサイト（Webアプリケーション層）とネットワーク機器（プラットフォーム層）の両方を対象にした、クラウド型の自動脆弱性診断サービスです。専用ソフトのインストールや機器の設置は不要で、毎日自動で診断を実施し、結果をポータル画面で一元管理できます。安全と判定されたサイトには、診断日付入りの証明マークを配信する機能もあります。
料金は公式サイトでは公開されておらず、資料請求や問い合わせで確認する形式です。まずは自社サイト1ドメインを対象にした簡易検査のトライアルも用意されています。
7. Cloudbric脆弱性診断（ペンタセキュリティ／Cloudbric）
セキュリティの技術者による手動診断を中心に、メニューに応じて自動ツールのスキャンも組み合わせるハイブリッド方式の診断サービスです。Webサイト・Webアプリ・API・プラットフォーム・スマホアプリ・ペネトレーションテストの6メニューがあり、独自に収集した脅威インテリジェンスに基づく項目で検査します。
提供元のペンタセキュリティは、クラウド型 WAF「Cloudbric WAF+」でも知られ、診断で見つかった弱点に対して WAF などの対策提案まで支援します。料金は要問い合わせです。
ここまで紹介したサービスの診断対象や方式、料金の目安を一覧で比較します。
| サービス名 | CoWorker 脆弱性診断サービス | AeyeScan | Securify | VAddy | Vex | SCT SECURE クラウドスキャン | Cloudbric脆弱性診断 |
|---|---|---|---|---|---|---|---|
| 提供会社 | CoWorker株式会社 | 株式会社エーアイセキュリティラボ | 株式会社スリーシェイク | 株式会社ビットフォレスト | 株式会社ユービーセキュア | 三和コムテック株式会社 | ペンタセキュリティ |
| 診断方式 | ツール自動（AI）＋専門家確認 | ツール自動診断 | ツール自動診断 | ツール自動診断 | ツール自動診断 | ツール自動診断 | 手動中心＋ツール（ハイブリッド） |
| 診断対象 | ソースコード／Webアプリ・API／ペネトレーションテスト | Webアプリ／SPA／API（オプション）／Androidアプリ | Webアプリ／API （ASM等も提供） | Webアプリ／APIサーバー（REST API） | Webアプリ／API（OpenAPI・Swagger） | Webアプリ／ネットワーク機器 | Webサイト・アプリ／API／プラットフォーム／スマホアプリ等（6メニュー） |
| 料金の目安 | 15万円〜（ソースコードAI診断） Liteプラン50万円〜 | 要問い合わせ | 月額5万円〜（年60万円） | 月額19,800円〜（税別・初期費用0円） | 年66万円〜（Vex Team） | 要問い合わせ | 要問い合わせ |
| 無料トライアル | 要問い合わせ | あり（2サイト） | あり（最短即日） | あり（1週間） | あり（14日間） | あり（1ドメインの簡易検査） | 要問い合わせ |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
まとめ
Webサイトのセキュリティは、通信の暗号化やソフトの更新、サーバーのアクセス管理、ネットワーク対策、改ざん検知、脆弱性診断といった複数の領域の積み重ねで成り立ちます。特定の領域だけを固めても抜けが残るため、全体を見渡して着手することが大切です。
まずは本記事の自己診断チェックリストで自社サイトの抜けを洗い出し、通信の暗号化やソフトの更新など自分の手で着手できる対策から進めてください。そのうえで、脆弱性診断や WAF、改ざん検知など専門性の高い領域は、体制に応じて外部のサービスを活用するのが現実的です。資料を取り寄せて、自社に合う診断方式と費用感を比べてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. Webサイトのセキュリティ対策とは何ですか？
A. Webサイトのセキュリティ対策とは、自社が公開・運用するWebサイトを改ざん・情報漏えい・不正アクセスから守るための一連の取り組みです。具体的には、通信の暗号化（常時SSL化）、CMSやソフトの更新、サーバーのアクセス管理、ネットワーク対策（WAFなど）、改ざん検知、脆弱性診断といった複数の領域の対策を組み合わせます。
IPAは、これらを対象ごとに適切に実施する必要があり、どれが欠けてもWebサイトの安全性は確保できないとしています。
Q. Webサイトのセキュリティ対策は何から始めればよいですか？
A. まずは、自分の手で着手でき効果も大きい「通信の暗号化（常時SSL化）」「CMSやソフトの更新」「強固なパスワードと多要素認証の設定」から始めるのが基本です。これらは専門の機器や外注を必要とせず、運用の見直しで対応できます。そのうえで、サーバーのアクセス制御やログ監視を整え、WAFの導入や脆弱性診断など専門性の高い領域は、自社の体制で手が回らないものから外注を検討する、という順序が現実的です。
Q. Webサイトのセキュリティ対策にかかる費用の相場はどれくらいですか？
A. 自分でできる常時SSL化やソフトの更新は大きな費用をかけずに実施できますが、脆弱性診断やWAFなどを外注する場合は内容に応じて費用に幅があります。たとえばクラウド型の自動脆弱性診断ツールは月額数万円程度から、専門家による手動を含む本格的な診断は数十万円規模からが一つの目安です。料金は診断の対象範囲や方式によって変わるため、複数サービスの資料を取り寄せて比べるのが確実です。
Q. Webサイトのセキュリティ対策は自前でできますか、それとも外注すべきですか？
A. 通信の暗号化・ソフトの更新・パスワードや権限の設定といった運用は自前（自社やサイト制作会社）で進められ、本格的な脆弱性診断・WAFの運用・改ざん検知の体制は外注が確実なことが多い領域です。自前でできる基本対策をまず固め、専任の担当者を置きにくく手が回らない専門領域から外部のサービスを使う、という切り分けが現実的です。
Q. 無料のセキュリティ診断ツールだけで十分ですか？
A. 無料のチェックツールは手軽ですが検査項目を絞った簡易なものが中心で、それだけでWebサイトが安全とは判断できません。IPAも、簡易な診断で脆弱性が見つからなくても安全宣言にはつながらないとして、より詳細な診断を受けることを勧めています。無料ツールは抜けの当たりをつける入り口として使い、公開前や定期のタイミングでは本格的な脆弱性診断を併用するのが安心です。
Q. WordPressなどのCMSで作ったWebサイトで特に注意すべき点は何ですか？
A. CMSで作ったWebサイトでは、本体・プラグイン・テーマを常に最新の状態に更新し、使っていないプラグインやテーマを削除することが特に重要です。CMSやプラグインは脆弱性が見つかりやすく、更新を怠ると既知の弱点を突かれる恐れがあります。あわせて、管理画面のログインには推測されにくいパスワードと多要素認証を設定し、不正ログインを防ぎます。
Q. 小規模なサイトやアクセスの少ないサイトでもセキュリティ対策は必要ですか？
A. 規模やアクセス数にかかわらず、Webサイトを公開している以上はセキュリティ対策が必要です。攻撃の多くはツールで自動的に脆弱性を探して無差別に行われるため、知名度やアクセス数に関係なく狙われます。改ざんや情報漏えいが起きれば、規模が小さくても顧客対応や信頼の失墜につながるため、まずは自分でできる基本対策から着手することをおすすめします。
Q. WebサイトのWAFと脆弱性診断は何が違うのですか？
A. 脆弱性診断はサイトの弱点を「見つける」ための検査で、WAFは弱点を突く攻撃を「防ぐ」ための仕組みです。脆弱性診断は対策漏れや未知の弱点を洗い出す健康診断のような役割を持ち、WAFは脆弱性をすぐに修正できない間も攻撃の影響を抑える保険的な対策です。両者は役割が異なるため、診断で弱点を把握し、必要に応じてWAFで守る、というように組み合わせて使うのが効果的です。
Webサイトのセキュリティ診断の料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性診断・セキュリティ診断サービスの最新資料を無料で一括請求できます。診断対象・診断方式・料金を比べて、自社のWebサイトに合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
