自社のWebサイトの脆弱性診断は必要？会社案内と問い合わせの場合

自社のWebサイトの脆弱性診断が必要かどうかは、サイトが預かる情報と、動く仕組みで決まります。会社案内だけなら更新と整理が先で、自社で作ったフォームや会員機能があるなら外部の診断を検討します。

今日は、自社のサイトの画面を順に開き、入力欄とログイン画面に印を付けてください。あわせて、サイトを作った会社と、今サーバーを管理している会社を確かめます。これだけで、次の表のどこに当たるかが決まります。

自社のサイトはどの型に当たる？

同じ「会社のサイト」⁠で⁠も⁠、やることは次のように分かれます。判断は、私たちが公的資料をもとに整理した目安です。

型を決めるときに、IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版⁠の分け方も役に立ちます。サーバーを自社に置くのか、レンタルサーバーやクラウドなのか、モールやASPなのかで、自社が担う対策が変わるという整理です。レンタルサーバーならサーバーの対策は外部サービス側で、サイトの構築と運用は自社側です。

このガイドラインは、独自に開発するWebアプリケーションは個別に対策が要るとしています。だから入力欄やログインが「既製のサービスか、自社のために作られたものか」⁠が⁠、診断の必要性を分けます。

関連する話はセキュリティ診断のカテゴリ⁠にまとめています。

会社案内だけのサイトに診断はいる？

外部の診断より先に、やることがあります。預かる情報が少なくても、放っておいてよいわけではありません。同じガイドラインは、改ざんで不正なサイトに誘導されれば、自社だけでなくサイトを見た人にも被害が及ぶとしています。

WordPressなどのCMSを使っている場合

診断の前に、更新の担当を決めます。IPAは2026年7月、WordPressの脆弱性について注意喚起⁠を出しました。2件⁠の脆弱性の組み合わせで遠隔からコードを実行される可能性があるとして、直ちに更新するよう勧めたものです。自動更新の対象でも、バージョンが上がったかを管理画面で確かめるよう求めています。

診断を受けても、次に見つかる弱点までは防げません。会社案内のサイトで効くのは、更新が止まらない体制です。

確かめる項目は次のとおりです。

• 本体、テーマ、プラグインの更新を誰がいつ行うか
• 使っていないプラグインとテーマが残っていないか
• 管理画面のログインに使う人とパスワードの管理
• 公開すべきでないファイルが見えていないか

古いページとサイトを閉じる

IPAの安全なウェブサイトの運用管理に向けての20ヶ条は、期間限定のページや不要になったサイトを放置すると、弱点が見つかっても管理が及ばないと指摘しています。展示会の特設ページや製品の旧サイトが残っていないかを確かめます。IPAは、管理できていないサイトの閉鎖も検討するよう書いています。

改ざんにすぐ気づきたいときは、Web改ざん検知の製品比較で、検知の方法や通知の違いを確かめられます。

問い合わせフォームがあるサイトはどう判断する？

フォームの作りを確かめてから決めます。見た目が同じフォームでも、次の3つ⁠で事情が違います。

自作のフォームで診断を検討する理由は、中身が1社だけのものだからです。IPAのウェブ健康診断仕様（2012年）⁠は13の診断項目を挙げ、SQLインジェクションやメールヘッダ・インジェクションも含めています。前者は情報の漏えいや改ざん、妨害の被害が想定される危険度「高」⁠の項目で、後者はメールの送信機能に関わる項目です。

入力内容をサーバーに保存しているかどうかも確かめます。担当者のメールに届くだけだと思っていたら、サーバーに数年分の問い合わせが残っていた、という状態は、作った会社に聞かないと分からないことがあります。残す理由がなければ、消す運用を決めます。

診断するなら、簡易な診断から始める手があります。ウェブ健康診断仕様は、なるべく低いコストで行えるよう項目を絞った仕様です。検出されなくても安全宣言にはならないと、IPA自身が書いています。結果が出た後は、詳細な診断か改修を検討する、という順序です。

会員やログインのあるサイトはどう判断する？

診断の検討を優先します。理由は、弱点が起きる場所がログインの後にあるからです。

たとえば、金属部品のメーカーが取引先向けにログイン付きのページを持ち、図面や納期を見せている場合で考えます。この場合に確かめたいのは次のような点です。

• 別の取引先の図面や注文が見えないか
• 退職者や取引が終わった会社のアカウントが残っていないか
• ログアウトの後や時間がたった後に、画面が見えたままにならないか

ウェブ健康診断仕様では、認可制御の不備は危険度「高」⁠、セッション管理の不備は「低〜高」⁠とされています。取引先の図面を預かっていれば、被害の相手は自社だけではありません。

ここで無料のツールだけに頼ると、見えない画面が残ります。ZAPの公式ガイドも、認証の設定をしないとログインで守られたページは調べられないと書いています。範囲の見方は無料の脆弱性診断ツールでわかる範囲⁠に分けました。

外部に頼むときは、見積もりの段階で「ログインの後の画面も対象か」「立場の違うアカウントを使って調べるか⁠」⁠を確かめます。候補は脆弱性診断サービスとツールの比較で確かめられます。

ネットショップは別のガイドラインを見る

カードや個人情報を扱うサイトは、会社案内の延長で考えません。IPAのECサイト構築・運用セキュリティガイドライン（2023年）⁠は⁠、ECサイトの情報流出の被害の大半を中小企業の自社構築サイトが占めるとしています。ガイドラインの実践編と照らして確かめます。

作った会社が診断してくれている？

作った会社が診断まで済ませているとは限りません。ここは思い込みが起きやすい点です。

IPAの企業ウェブサイトのための脆弱性対応ガイド（2021年）⁠は⁠、運用の形に応じて委託先やサービス提供者の作業範囲を確かめ、約束したことを文書に残すよう勧めています。

次の順に確かめれば、確認の手間は多くありません。

1. 今の保守契約に、更新と診断が入っているか
2. 納品時に診断を受けた記録があるか
3. 納品の後に、画面や機能を追加していないか
4. 問題が見つかったとき、誰が費用を持って直すのか

3つ目があれば、納品時の結果は今のサイトの結果ではありません。

WAFを入れていれば診断はいらない？

別の役割です。IPAの20ヶ条は、WAFをサイトと利用者の間の通信を検査し、不正な通信を検知または遮断するものと説明しています。修正できるまでの間、攻撃の影響を減らす手段の1つという位置づけです。

弱点そのものは残るので、見つけて直す作業の代わりにはなりません。逆に、自作のフォームをすぐに改修できない会社には、つなぎの手段として意味があります。製品の違いはWAFの製品比較で確かめられます。

判断したあと、何を決める？

判断の結果は、次に見直す条件と一緒に残します。

• 会社案内のままなら、更新の担当と確認の頻度
• 簡易な診断をしたなら、対象の画面と結果
• 入力欄やログインを追加するときは、公開の前に診断を検討する

IPAの20ヶ条は、社内で対策を確かめたうえで、外部の検査や監査を定期的に続けることを勧めています。会社案内のサイトでも、この考え方は変わりません。サイトの型が変わったときが、判断をやり直す時期です。

社内で確かめる範囲と外部に頼む範囲は、脆弱性診断の進め方⁠に分けました。