サーバーのセキュリティ対策は、置き場所によって自社の担当範囲が変わるので、社内、クラウド、レンタルサーバーで点検項目を分けて確かめます。どの形でも、アカウント、データ、ログの管理は自社に残ります。
今日やることは、全サーバーの一覧を作ることです。名前、置き場所、用途、担当、OSとサポート期限、外から管理用に接続できるかを書きます。制作会社や工場の設備担当が管理しているものも含めます。
この記事は公的機関と事業者の公式資料を整理したものです。私たちが特定の製品を検証したものではありません。サイトの守り方全体はWebサイト・サーバー防御のカテゴリにあります。
なぜ置き場所で分ける？
同じ「サーバー」でも、更新や設定の担当が違うからです。総務省のクラウド設定ガイドラインは、IaaSでは利用者がOSを含む全てのソフトを管理すると書いています。AWSの責任共有モデルも同じ考え方です。
| 項目 |
社内 |
クラウド（IaaS） |
レンタル |
| 建物と機器 |
自社 |
事業者 |
事業者 |
| OSの更新 |
自社 |
自社 |
事業者 |
| ミドルウェアの保守 |
自社 |
自社 |
事業者 |
| CMSとアプリ |
自社 |
自社 |
自社 |
| アカウントとデータ |
自社 |
自社 |
自社 |
| ログの確認 |
自社 |
自社 |
自社 |
表の社内とIaaSの分担は、Microsoftの責任の一覧でも確かめられます。レンタルサーバーの欄は、さくらインターネットの解説を例にしました。あくまで一般的な形で、責任の分担は契約で決まります。
IPAの資料（2022年）も、事業者の作業範囲を把握し、不足分を自組織で対応するよう求めています。契約書や仕様書で確かめてください。
どの形でも共通する点検は？
先に共通の項目を済ませます。国家サイバー統括室の文書（2026年10月9日）は、公開システムについて次のような対策を挙げています。
共通の点検項目
- OS、ミドルウェア、CMS、アプリの更新を速やかに当てる
- サポートが切れた製品とバージョンを使わない
- 使っていないシステムや機能、ポート、サービスを止める
- 多要素認証を入れ、管理者を必要最小限にする
- 退職者や異動者のアカウントを無効にする
- ログを取得して保管し、不審な通信を監視する
背景には、更新漏れを狙う攻撃があります。IPAの情報セキュリティ10大脅威 2026の組織編では、「システムの脆弱性を悪用した攻撃」が4位です。更新の抜けを定期的に洗うなら、脆弱性管理ツールの製品比較が入口です。
社内サーバーで確かめることは？
全てが自社の担当です。特に見落としやすいのは、保守契約、管理用の接続、バックアップの3つです。
サポート期限は最初に確かめます。たとえば、Windows Server 2016の延長サポートは2027年1月に終わります。残っていれば、更新か移行の計画を早めに立てます。機器そのものの保守期限、導入した会社との保守契約も確かめます。
外からの管理用の接続を減らします。警察庁の資料（令和8年1月）が引く令和7年上半期の数字では、ランサムウェアの侵入経路はVPN機器が62.2%、リモートデスクトップが22.2%でした。インターネットから直接リモートデスクトップに入れる状態があれば、VPN経由に限るなどして閉じます。
バックアップは、オフラインのものを含めて取ります。同じ資料が対策に挙げています。IPAの中小企業向けガイドライン第4.0版でも、最初に取り組む項目に「バックアップを取ろう!」が加わりました。戻せるかどうかは、実際に復元して確かめます。
製造業で気をつける点
たとえば、生産管理システムのサーバーが工場内にあり、古いOSでしか動かないという場合です。更新できないなら、そのサーバーへ接続できる相手を必要な端末だけに絞ります。遠隔保守の回線は使うときだけ開け、保守会社の担当者ごとにアカウントを分けます。
更新できない理由と入れ替えの時期は、一覧に書いておきます。「更新できない」で止めると、次の担当者が判断できなくなります。工場の機器まで広げるときは、システムの担当と設備の担当で一覧を突き合わせてください。
クラウドのサーバーで確かめることは？
機器の管理は減りますが、設定の責任が増えます。総務省のガイドラインは、IaaSではOSやミドルウェアのパッチ適用と脆弱性への対応も利用者の責任と示しています。AWSの資料でも、ゲストOSの更新とセキュリティグループの設定が利用者の責任です。
点検項目は次の5つです。
- ファイアウォールの設定：管理用のポートを全世界に開けていないか
- ストレージの公開設定：非公開のデータが外から見えないか
- アクセスキー：プログラムに書き込んでいないか、使わないキーが残っていないか
- 管理者アカウント：多要素認証が入っているか、共有していないか
- ログ：取得しているか、十分な期間残るか
ストレージのアクセス権の設定不足による漏えいは、総務省のガイドラインでも例に挙がっています。ログについては、AWS CloudTrailのイベント履歴で見られる管理操作は過去90日分です。長く残したいなら保存の設定が別に要ります。複数のサーバーのログをまとめるなら、ログ管理ツールの製品比較で見比べられます。
設計や設定を委託している場合は、誰がどこまで見るかを文書に残します。国家サイバー統括室の文書も、委託先との役割分担と責任分界の確認を求めています。OSの中の監視や保護まで補うなら、サーバーセキュリティの製品比較を確かめてください。
レンタルサーバーで確かめることは？
OSの緊急の修正は事業者に任せられますが、中で動くソフトは自社の担当です。先のさくらインターネットの解説も、OSとミドルウェアの保守は運営会社が行うとしたうえで、利用者側で対応する設定があると書いています。
会社のサイトでよくあるのは、WordPressの更新です。IPAの注意喚起（2026年7月22日）は、WordPressの脆弱性を取り上げています。自動更新が無効だったり失敗したりしている可能性を挙げ、更新されたかの確認を求めています。「自動更新にしているから大丈夫」と思わず、管理画面で版を確かめます。
点検項目は次の5つです。
- CMS本体、プラグイン、テーマの版
- 使っていないプラグインとテーマの削除
- 管理画面とサーバーのコントロールパネルのアカウント
- WAFが有効か（初期設定でオフのサービスもあります）
- バックアップの取得範囲と戻し方
制作会社に作ってもらったまま、更新の担当がいないサイトは特に確かめます。IPAの企業向け脆弱性対応ガイド（2021年）も、委託先との作業範囲と責任範囲を明確にするよう求めています。契約に更新が入っていなければ、追加で頼むか、自社で担当を決めます。WAFを選び直すならWAFの製品比較で確かめられます。
異常が見つかったらどうする？
点検の途中で覚えのないアカウントや接続を見つけたら、消さずに記録を残します。不正アクセスをログで調べる方法に、見る場所と専門家へ頼む兆候をまとめました。
Webサイトを持つサーバーなら、暗号化の設定も点検に足します。手順はSSLとTLSの違いと古い設定の止め方にあります。アクセス集中で止まることが心配なら、DDoS攻撃の現実的な対策も確かめてください。
点検は一度で終わりません。一覧にサポート期限と最終確認日を書き、四半期に一度は見直します。経営者への報告は、サポート切れのサーバーの数、外から管理用に接続できるサーバーの数、バックアップの復元を試していないサーバーの数の3つで足ります。
