Webサイト・サーバー防御とは、公開している自社のサイトとサーバーの入口を減らし、更新と認証を保ち、攻撃を受けても戻せるようにすることです。製造業のサイトは問い合わせの窓口であることが多く、止まると営業に直接響きます。
何から手を付けるか
順番は、持ち物を知る、ログインを守る、更新する、戻せるようにする、足りない部分を補う、です。
- 公開しているサイト、サーバー、ドメインの一覧を作る
- 管理者の人数を減らし、多要素認証を付ける
- ソフト、プラグイン、OSの更新の担当を決める
- バックアップを取り、戻す手順を試す
- 入力を受けるサイトにWAFを検討する
- 重要なサイトは診断を受け、止まると困る度合いでDDoS対策を考える
実際に狙われる入口
IPAの2024年度の実態調査で不正アクセスを受けた企業（419社）に手口を聞くと、脆弱性が48.0%、IDとパスワードの詐取が36.8%、取引先やグループ会社などの経由が19.8%でした。更新と認証の2つで、かなりの部分に手が届きます。
国の統計は別の角度です。令和7年の不正アクセス行為の発生状況によると、認知件数は7,190件で、前年より1,832件（約34.2%）増えました。そのうち多くは、インターネットバンキングでの不正送金（4,747件）や、証券のインターネット取引での不正取引（1,484件）です。つまり個人の金融取引の被害が多くを占めており、自社のサイトの危険度をこの数字だけで判断することはできません。
よくある見落とし
5年前の販促キャンペーンのサイトや、テストで作ったサーバーが動いたままのことがあります。誰も更新していないサイトほど入口になりやすいので、使っていないものは閉じます。
ソフトの更新は、誰が担当するのか
WordPressなどのソフトを使っているなら、本体とプラグインの更新を誰がやるのかを決めます。制作会社に任せたつもりで、保守の契約が無いことがよくあります。
中小企業の情報セキュリティ対策ガイドライン 第4.0版の自社診断には「ウェブサイトを安全に運用する」という項目が加わりました。自社で開発したフォームや会員機能があるなら、IPAの安全なウェブサイトの作り方を制作会社との確認に使えます。
確認すべき弱点が多いときは脆弱性診断・セキュリティ診断へ進みます。
機能の役割を整理する
どの道具が何を守るのかを分けます。
| 道具 |
役割 |
考える場面 |
| WAF |
Webへの攻撃の通信を検査して止める |
入力を受けるサイトがある |
| 改ざん検知 |
ページが書き換えられたことに気づく |
更新の頻度が低いサイト |
| DDoS対策 |
大量の通信からサイトを守る |
止まると困るサイト |
| SSL/TLS証明書 |
通信を暗号化し、運営元の確認に使う |
すべての公開サイト |
WAFは、クラウド型、サーバー内蔵型など形態が分かれます。レンタルサーバーの機能に含まれていることもあるので、まず今の契約を見ます。誤って正規の通信を止めることもあるので、問い合わせフォームが送れるかを確かめます。
改ざん検知は、防ぐのではなく気づくための道具です。SSL証明書は、切れるとブラウザに警告が出るので、更新の担当と通知の先を決めておきます。担当者が退職して期限切れに気づかない事故は、技術よりも引き継ぎの問題です。
DDoS攻撃には、どこまで備えるか
DDoS攻撃は、複数のコンピュータから大量のアクセスを繰り返し、サービスを提供できなくする攻撃です。警察庁の令和8年上半期の報告は、2026年2月に政府機関や交通機関、金融機関などを狙った攻撃で閲覧障害が相次いだ例を挙げています。IPAの10大脅威 2026では9位です。
中小企業に必要な備えは、サイトの役割で変わります。
- 問い合わせの窓口だけなら、止まったときの代わりの連絡手段を用意する
- 通販や受発注で止まると売上に響くなら、CDNやDDoS対策サービスを検討する
自社で機器を買う前に、今のサーバー会社やCDNの機能で足りるかを確かめます。
ドメインの更新も、守りの一部
サイトの評判を支えるドメインの管理も見直します。管理の名義が退職者や制作会社のままだと、更新の案内が会社に届かず、更新し損ねることがあります。誰の名義で、どのアカウントで管理しているのかを一覧に入れます。
被害に気づいたら
サイトの改ざんや不正アクセスに気づいたら、ページを閉じる判断と、ログを残すことが先です。消して直してしまうと、原因がわからず再び入られることがあります。IPAの不正アクセス特別相談窓口は、2026年10月16日に開かれた事業者向けの窓口です。警察への相談はサイバー事案の相談窓口に案内があります。
事故のときの流れは監視・運用・社内体制、全体の順番はセキュリティ対策の全体像にまとめています。
