「有名なレンタルサーバーを使っているので、セキュリティは大丈夫だと思っています」
Webサイトの管理について、このように考えている方もいらっしゃるのではないでしょうか。
レンタルサーバーを利用すると、サーバー設備や基盤の管理など、多くの作業を専門の会社に任せられます。自社で一からサーバーを構築・管理する負担を減らせることは、大きなメリットです。
ただし、Webサイトに関するすべてのセキュリティ対策が、サーバーの契約に含まれているわけではありません。
大切なのは、サーバー会社が管理する部分と、利用者側で管理する部分を把握することです。この記事では、一般的な共用レンタルサーバーを中心に、確認しておきたい役割分担を解説します。
サーバーの管理と、Webサイトの管理は別のもの
Webサイトは、複数の仕組みを組み合わせて動いています。
サーバー設備やOS、その上で動くPHPなどの実行環境があり、さらにWordPressや独自開発のプログラム、データベース、管理者アカウントなどが関わっています。
一般的な共用レンタルサーバーでは、サーバー会社が設備やOSなどの基盤を管理します。一方、その上に設置したWebサイトのプログラムや、利用者が作成したアカウントなどは、利用者側での管理が必要になります。
例えば、サーバー会社がOSのセキュリティ更新を実施していても、利用者が設置した古いプラグインまで自動的に修正されるとは限りません。
「サーバーが管理されていること」と「その上のWebサイトが適切に保守されていること」は、それぞれ確認する必要があります。
何を任せられて、何を自分たちで管理するのか
役割分担は、サービスやプラン、オプション、保守契約によって異なります。一般的には、次のように整理できます。
サーバー会社が主に管理する部分
- サーバー設備やネットワークの維持管理
- OSや、提供するサーバーソフトウェアの更新
- 基盤の監視や障害への対応
- 契約に含まれるセキュリティ機能の提供
利用者側で確認・管理する部分
- WordPress本体、テーマ、プラグインの更新状況
- 独自開発のプログラムの保守
- 管理者アカウントやアクセス権限
- パスワードなどの認証情報
- 保存するデータと公開範囲
- バックアップの設定と復旧方法
- 制作会社・保守会社との対応範囲
利用者側の作業を外部に委託することもできます。その場合は、誰にどこまで任せているかを、契約や作業内容で確認しておくことが大切です。
「簡単インストール」なら、更新も自動で行われる？
レンタルサーバーには、WordPressなどを手軽に設置できる「簡単インストール」機能があります。
便利な機能ですが、インストールできることと、設置後の保守をすべて任せられることは同じではありません。
自動更新が有効になっている場合もありますが、その対象や設定、更新結果まで確認する必要があります。テーマやプラグインによっては、自動更新の対象になっていなかったり、更新が失敗したりすることもあります。
また、更新後に問い合わせフォームや予約機能などが正しく動いているかの確認も必要です。
導入時には「誰がインストールするか」に加えて、「公開後は誰が更新し、動作を確認するか」も決めておきましょう。
WAFやSSLがあれば、安全なのでは？
レンタルサーバーの案内には、WAFやSSLなど、さまざまなセキュリティ機能が登場します。これらは役立つ機能ですが、それぞれ守る対象が異なります。
WAFは、Webサイトへの攻撃を検知・遮断する仕組み
WAFは、Webアプリケーションへの通信を確認し、攻撃と判断したアクセスを遮断するための仕組みです。
ただし、プログラムの脆弱性そのものを修正する機能ではありません。すべての攻撃や不正利用を防げるわけでもないため、プログラムの更新と組み合わせて利用します。
また、通常の操作が攻撃と判定される場合もあります。問題が起きた際は、原因を確認し、必要な範囲で設定を調整することが大切です。
SSLは、通信を暗号化する仕組み
HTTPSによる通信では、ブラウザーとサーバーの間でやり取りされる情報を暗号化します。
しかし、HTTPSに対応していても、古いプログラムの脆弱性や、盗まれた管理者パスワードによる不正ログインまで防げるわけではありません。
それぞれの機能の役割を理解し、複数の対策を組み合わせる必要があります。
パスワードとアカウントの管理も、利用者側の重要な仕事
プログラムの更新だけでなく、アカウントの管理も欠かせません。
例えば、次のような状態になっていないでしょうか。
- 複数のサービスで同じパスワードを使用している
- 退職者や以前の委託先のアカウントが残っている
- 全員で一つの管理者アカウントを共有している
- 作業に必要な範囲を超えて、管理者権限を付与している
- 多要素認証を利用できるのに設定していない
サーバーの契約管理画面、WordPress、ファイル転送など、入口ごとに確認しましょう。
また、管理に使うパソコンやメールアカウントが侵害されると、そこからWebサイトの管理権限を奪われるおそれもあります。サイトと管理端末の両方を対策の対象にすることが大切です。
「自動バックアップあり」でも、確認が必要です
バックアップ機能が提供されていても、希望する状態へ戻せるかは別途確認が必要です。
特に、次の点は把握しておきましょう。
- バックアップは自動か、事前設定が必要か
- ファイルとデータベースの両方が対象か
- どのくらいの期間、何世代分が保存されるか
- 復元には費用や申請が必要か
- 誰が、どの手順で復元するか
不正な変更に気づくのが遅れた場合、保存されているバックアップにも、その変更が含まれている可能性があります。
また、予約や注文を受け付けるサイトを過去の状態に戻すと、その後に登録されたデータが失われる場合があります。復元方法は、業務への影響も含めて考える必要があります。
重要なサイトでは、契約上可能な方法で別の保存先にもバックアップを確保し、復元手順を確認しておくとよいでしょう。
制作会社に依頼していれば、保守も含まれている？
Webサイトの制作を依頼したことが、その後の継続的な保守まで契約していることを意味するとは限りません。
「保守」という名称の契約でも、含まれる作業はさまざまです。
例えば、文章や画像の差し替えは含まれていても、WordPressやプラグインの更新、脆弱性への緊急対応は別料金になっている場合があります。
契約先には、次の項目を具体的に確認することをおすすめします。
- セキュリティ情報を確認するのは誰か
- 更新作業と更新後の動作確認は含まれるか
- 有償のテーマやプラグインの契約を誰が管理するか
- 不正アクセスが疑われる場合、どこまで対応するか
- 緊急時の連絡方法と対応時間はどうなっているか
名称だけで判断せず、実際の作業範囲をすり合わせておきましょう。
VPSやクラウドでは、管理範囲がさらに変わります
VPSやクラウドの仮想サーバーでは、一般的な共用レンタルサーバーよりも、利用者側で管理する範囲が広くなることがあります。
OS、Webサーバー、PHP、データベースなどの更新を、利用者や保守会社が担当する構成もあります。
一方、管理作業が含まれるマネージドサービスもあります。「クラウドだから」「サーバーを借りているから」という名称だけでは、管理範囲を判断できません。
契約しているサービスごとに、何を提供元が管理し、何を自分たちで管理するかを確認してください。
不正アクセスが疑われた場合、サーバー会社に連絡すれば直してもらえる？
まずサーバー会社へ連絡し、対応可能な内容や保全できる記録を確認することは大切です。同時に、制作・保守会社にも連絡します。
ただし、利用者が設置したプログラムの調査や修正、データの復旧まで、通常のサポートに含まれているとは限りません。
サーバー会社は被害拡大を防ぐために公開停止などを行い、サイト内部の調査や復旧は別途専門家へ依頼する、という分担になる場合もあります。
不審なファイルを見つけた場合も、慌てて削除や初期化を進めると、原因調査に必要な記録が失われることがあります。記録の保全と被害拡大の防止を、関係者と相談しながら進めましょう。
まず確認したい、5つのこと
すべてを一度に見直すのが難しい場合は、次の5点から確認してみてください。
- 利用中のサーバーと、設置しているサイト・システムを把握しているか
- WordPressなどの更新を担当する人が決まっているか
- 管理者アカウントと認証情報を適切に管理しているか
- バックアップの対象と復元方法を把握しているか
- 緊急時の連絡先と、対応を判断する人が決まっているか
不明な項目があれば、サーバー会社や制作・保守会社に確認し、役割分担を記録しておきましょう。
レンタルサーバーを活用しながら、必要な保守を続けるために
レンタルサーバーは、専門的な管理作業の多くを任せられる便利なサービスです。そのメリットを生かすには、利用者側に必要な作業を把握し、担当者を決めておくことが大切です。
田村技術研究所では、Webシステムの現状調査や、既存プログラムの改修・更新、検証環境の構築などのご相談を承っています。
「誰が何を管理しているか分からない」「古いシステムが残っている」「保守の内容を整理したい」といった場合も、現在の構成や契約状況を確認するところからご相談ください。
参考情報
※サービス内容や管理範囲は、提供元・プラン・契約内容によって異なります。実際の対応にあたっては、ご利用中のサービスの最新情報をご確認ください。
