世界シェア1位のCMS「WordPress」が抱えるセキュリティリスク

3) アカウント情報の適切な管理

　管理画面への認証情報が漏えいしないよう、パスワードマネージャーの利用やウェブブラウザーのパスワード管理機能を利用すること。また、マスターパスワードは厳重に管理することも徹底してほしい。WordPressでは二段階認証を導入できるプラグインもあるため、こうしたオプションの利用も検討したい。

4）セキュリティ用プラグインの導入

　WordPressにはSiteGuardなどの著名なものをはじめ、さまざまなセキュリティ用のプラグインも存在する。管理画面のURLの変更やアクセス制限なども可能なため、導入することで安全性が高まる。ただし、プラグインは導入前に提供元の信頼性を確認しておくことや、アップデートを怠らないようにしてほしい。

5）WAFの導入

　WAF（Web Application Firewall）はウェブアプリケーションの脆弱性を狙う攻撃を防ぐ役割を担う。WAFの導入により、脆弱性を突いた攻撃やSQLインジェクションなどの代表的なサイバー攻撃のリスクを低減できる。

6）保守・運用の委託

　バージョン管理を行なう方法のひとつとして、WordPressおよびプラグインの保守・運用を外部パートナーに委託する方法も有効だ。ウェブサイト制作会社などに依頼する場合、アップデートする際のバックアップや、更新時に表示崩れなどの異常があった際のロールバックや修正対応まで可能なケースもある。

7）アドバイザーや相談窓口の確保

　WordPressはプラグインをはじめ、セキュリティを取り巻く環境はめまぐるしく変わっていく。しかしながら、専任のセキュリティ担当を自社に置くことが難しい企業も少なくないだろう。そのような場合、状況をキャッチアップするために外部のアドバイザーを活用するという方法がある。自治体によってはサイバーセキュリティに関する相談窓口が設置されていることもあるため、それらの利用も検討に値する。

8）情報収集

　WordPressやプラグインの脆弱性に関する情報収集も欠かせない。IT系のウェブメディアなどでも報道されることが多いが、下記のようなセキュリティ専門機関が発する情報も適宜チェックするようにしておきたい。

・IPA（独立法人 情報処理推進機構）の脆弱性対策情報
・JVN（Japan Vulnerability Notes）の脆弱性対策情報データベース検索

WordPressを利用しないという選択肢

　無料で導入できるというメリットが、WordPressの普及が進んだ要因のひとつでもある。また、テンプレートやプラグインなどの充実も利用を後押ししている。しかし、利用する企業・組織、ユーザーが増えるにつれ、取り巻く状況は大きく変わってきている。そして、そのエコシステムの拡張と歩調を合わせるように、サイバー攻撃者に狙われるリスクも高まってきている。

　ここまでリスクが増大している状況を考慮すると、「WordPressを利用しない」という選択肢もあって然るべきだろう。以下、代替策となるものを挙げていく。

1) 機能特化型の簡易型CMSの利用

　WordPressを利用するという選択について、熟考を重ねずに決定したという企業・組織も少なくないはずだ。あるいは、ウェブサイトの制作段階では、現時点のようなセキュリティリスクを抱えることを想定できなかったというケースもあるだろう。

　CMSを使う場合、多くの機能を有するWordPressではなく、シンプルな更新機能のみに特化した、簡易型のCMSという選択肢もある。更新ページが限定的な場合、こういったシンプルなCMSを利用することも一考に値する。ただし、WordPress以外のCMSであっても、一定のリスクが生じ得ることは認識しておきたい。

2) HTMLのみの静的なウェブサイトへの置換

　ウェブサイトによってはそもそもCMSを利用する必要がないケースもあるだろう。例えば、アップされているページの更新頻度が低く、内容も会社案内や簡潔なサービス紹介程度であれば、静的なHTMLに置き換えるという選択肢もある。問い合わせフォームも廃止し、LINE@やFacebookのビジネスページを利用すれば、リスクは限りなく軽減される。

　自社サイトのこれまでの運用状況を振り返り、今後も更新頻度が高くないことが見込まれるのであれば、そもそもサイト自体を閉鎖して、FacebookページやInstagramで代替するという方法を検討しても良いだろう。

　なお、簡易型CMSでも静的なHTMLのみのウェブサイトでも、サーバーを用意することはWordPressと同様だ。そのため、いずれにせよサーバーへの侵入を防ぐための対策は講じる必要性がある。仮にサーバーに侵入されてしまえば、ウェブサイトの改ざんや踏み台として利用されるなど、何かしらの被害を受けることになってしまうからだ。

3) SaaS型「ホームページ制作ツール」を利用

　近年、導入側でサーバーを用意せずウェブサイトを運用できるサービスも登場している。代表的なサービスとして、Jimdo、Wix、Strikinglyなど国外の事業者が提供しているものが知られているが、国内発のサービスもリリースされている。これらはSaaSとして提供されるサービスであるのが大きな特徴だ。

　SaaSであるため、サービス自体のアップデートなどはユーザー側で行なう必要はない。CMSとしての機能がウェブサービスとして提供されるため、WordPressのように本体やプラグインのアップデートができていなかったということがなくなる。

　ただし、SaaS型サービスを利用するからといって、セキュリティ対策が不要というわけではない。このようなSaaSなどのクラウドサービスを利用する際に押さえておきたいのが、責任分界点と責任共有モデルという考えだ。

　責任分界点とはSaaSをはじめとするクラウドサービスにおける責任範囲の境界のことだ。上述したとおり、クラウドサービスは事業者がサービス品質を担保するが、それを実質的に運用するのはユーザー自身である。そのため、責任分界点に基づき、双方が責任を負うことになる。こうした考え方を「責任共有モデル」と呼ぶ。

　例えば、SaaS型ツールを利用するとしても、アカウント情報の管理は必要だ。また、ツール上にアップロードするファイルや情報についても適切に管理する必要がある。仮に個人情報を含んだファイルをアップロードすれば、漏えいリスクが伴うからだ。こうしたツールを利用する際は、ツール側の責任範囲やSLA（Service Level Agreement：サービス品質保証）などについて事前に確認しておきたい。

　最後に、最近ではSSG（Static Site Generator）と呼ばれるツールも登場している。このツールの場合、リクエストごとにページを生成するWordPressのようなCMSと異なり、静的なHTMLをデプロイする仕組みとなっている。レスポンスも迅速で、先述のようなCMS独特の危険性も少ない。こういったツールも含めて選択肢として考えてみるのもいいだろう。

　世界情勢の変化なども受け、今後もサイバー攻撃が激化することは確実視されている。すなわち、ウェブサイトへの攻撃リスクも増大することが見込まれ、WordPressを利用したウェブサイトへの攻撃もさらに増加していく可能性がある。こうした状況を踏まえ、WordPressやプラグインを適切に管理することが難しければ、今回挙げた代替の選択肢も検討することを視野に入れてほしい。