「ランサムウェアや不正アクセスのニュースをよく見るようになったが、自社のWebサイトの備えが十分なのかが分からない」。情報システム専任者のいない企業から、最も多くいただくご相談がこれです。
不安の正体は、たいていの場合「危険かどうか」ではなく「何を確認すれば安心していいのかが分からない」という点にあります。そこでこの記事では、Webサイトのセキュリティ対策を自社で棚卸しするためのチェックリスト14項目を、公的機関が2026年に公表したデータとあわせて整理しました。累計1500件超のDX活用支援を行ってきた株式会社キャンバス（キャンバスラボ）が解説します。
この記事の要点
- Webサイトのセキュリティ対策の点検は、公開画面から5項目・運用4項目・管理画面5項目の計14項目に分けると抜けが出にくい（2026年11月時点）。
- 14項目のうち9項目はブラウザと社内確認だけで、担当者が当日中に埋められる。
- IPA「情報セキュリティ10大脅威 2026」組織編で「システムの脆弱性を悪用した攻撃」は4位。Webサイトの対策が直接効くのはこの領域である。
- 一方でランサムウェアの侵入経路はVPN機器が約5割（警察庁・令和8年上半期）。Webサイトの対策だけでは社内ネットワークは守れない。
- 復旧に総額1,000万円以上を要した組織は全体の約6割。点検は事後対応より一貫して安く済む。
関連記事：ホームページ保守と脆弱性対応｜会社の選び方／PHPの脆弱性PHP2shell｜今すぐの確認手順
目次
Webサイトのセキュリティ対策とは？
Webサイトのセキュリティ対策とは、公開しているサイトが改ざん・不正アクセス・情報漏えいの被害を受けないように、ソフトウェアの更新・通信の暗号化・権限管理・バックアップを継続的に維持する一連の運用である。
ここで重要なのは「製品を導入すること」ではなく「維持し続けること」が中身だという点です。Webサイトは公開した瞬間が最も安全で、そこから何もしなければ日々危険になっていきます。使っているCMSやプラグインに新しい脆弱性が見つかるのは、自社の落ち度とは無関係に起きるためです。
Webサイトの対策で防げる被害・防げない被害は？
点検の前に、範囲を正しく区切っておく必要があります。ここを曖昧にしたまま対策を進めると、「Webサイトの保守を頼んでいるから安心」という誤解が生まれ、かえって危険な状態になります。
警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和8年9月）によれば、企業・団体等から報告されたランサムウェア被害は123件で、令和2年下半期に統計を取り始めて以降半期として最多でした。同資料は被害組織へのアンケート結果として、侵入経路はVPN機器が約5割を占めるとしています。
つまり、ランサムウェアの主戦場はコーポレートサイトではありません。Webサイトの対策をいくら固めても、VPN機器の管理不備は埋まりません。逆に、ネットワーク機器を固めてもWebサイトの改ざんは防げません。この2つは別の対策であり、どちらが欠けているかを知ることが最初の一歩です。
チェックリストA：公開画面から確認できる5項目
ここからが本題のチェックリストです。Aはブラウザさえあれば、担当者が今すぐ確認できます。
| # | 確認項目 | 確認のしかた | 問題がある状態 |
|---|---|---|---|
| A-1 | 常時SSL化されているか | サイトの全ページをブラウザで開き、アドレス欄に「保護されていない通信」が出ないか見る | 一部ページだけhttpのまま／証明書の警告が出る |
| A-2 | SSL証明書の有効期限 | アドレス欄の鍵アイコンから証明書の有効期限を確認する | 期限まで30日を切っているのに更新担当が決まっていない |
| A-3 | 問い合わせフォームの暗号化と確認画面 | フォームページがhttpsか、送信後に自動返信が届くかを実際に送って確かめる | フォームだけ別ドメイン・httpになっている |
| A-4 | 公開しているファイルの中身 | 検索エンジンで「site:自社ドメイン filetype:pdf」などを検索し、意図しない資料が出ないか見る | 社内向け資料・見積書・個人情報を含むPDFが公開されている |
| A-5 | 表示崩れや見覚えのない記述 | トップページと主要ページを表示し、覚えのないリンクや文字列が入っていないか確認する | 身に覚えのない外部サイトへのリンクが埋まっている |
チェックリストB：運用のしかたを確認する4項目
Bは社内で聞けば分かる項目です。技術ではなく体制の点検で、放置されやすい一方、費用をかけずに改善できる部分でもあります。
| # | 確認項目 | 確認のしかた | 問題がある状態 |
|---|---|---|---|
| B-1 | 管理画面にログインできる人の一覧 | 現在のアカウントを一覧化し、全員の所属と要否を確認する | 退職者のアカウントが残っている／共用アカウントを使い回している |
| B-2 | 更新作業の担当と連絡経路 | CMS・プラグインを誰がいつ更新しているかを担当者に確認する | 「制作会社がやっているはず」で双方とも手を付けていない |
| B-3 | 障害・改ざん時の連絡先と営業時間 | 休日夜間に異常が起きた場合の連絡先を書き出す | 連絡先が個人の携帯番号しかない／契約上の対応時間が不明 |
| B-4 | バックアップの取得と復元 | どこに・何世代・誰が取得しているかを確認し、復元を試したことがあるか聞く | 取得しているが復元を一度も試していない |
B-4は特に重要です。バックアップは取得ではなく復元できて初めて意味を持ちます。実際に戻せるかを確認していないバックアップは、必要な場面で使えないことがあります。
点検表の空欄だけ、こちらで埋めます
14項目のうち自社で埋まらなかった部分をそのままお送りください。内容を拝見し、確認方法と優先順位をご返信します。Webサイトの保守契約の有無にかかわらずご相談いただけます。
チェックリストC：管理画面・サーバーを確認する5項目
Cは管理情報が必要なため、制作会社やサーバー会社への確認が前提になります。自社で分からなくても問題ありません。「質問できる状態」になっていること自体が点検の成果です。
| # | 確認項目 | 制作会社・サーバー会社への質問文 | 問題がある状態 |
|---|---|---|---|
| C-1 | CMSのバージョンとサポート状況 | 「現在のCMSのバージョンと、サポート期限はいつまでですか」 | サポートが終了したバージョンで動いている |
| C-2 | PHP等の実行環境のバージョン | 「サーバーのPHPバージョンと、更新の予定を教えてください」 | サポート切れのバージョンのまま更新計画がない |
| C-3 | プラグイン・テーマの更新状況 | 「未更新のプラグインは何件ありますか。更新は誰の作業範囲ですか」 | 更新が止まっている／開発が終了した拡張を使っている |
| C-4 | 管理画面へのアクセス制限 | 「管理画面にIP制限や二要素認証はかかっていますか」 | URLを知っていれば誰でもログイン画面に到達できる |
| C-5 | WAF・改ざん検知の有無 | 「WAFや改ざん検知は契約に含まれますか。検知時は誰に通知が届きますか」 | 契約に含まれるか不明／通知先が退職者になっている |
C-1とC-2は、サポートが終了したソフトウェアを使っていないかの確認です。サポートが切れると、新たに脆弱性が見つかっても修正プログラムが提供されません。実際の脆弱性公表時にどう動くかはPHPの脆弱性PHP2shellへの対応手順の記事で具体例を扱っています。
点検の後、何から直せばよいですか？
優先順位は「外部から到達できる入口」からと覚えてください。具体的には、C-4（管理画面のアクセス制限）、C-1・C-2（サポート切れソフト）、A-3（フォーム）、A-4（意図しない公開ファイル）の順です。B群の社内手順の整備は、入口を塞いでから着手して問題ありません。
すべてを一度に直す必要はありません。点検の価値は、対応していない項目を「把握していない」から「把握したうえで後回しにしている」に変えることにあります。この違いは、取引先からセキュリティ状況を照会されたときに大きく効いてきます。
社内の推進体制そのものに不安がある場合は、DX推進体制の作り方で体制づくりの考え方を整理しています。生成AIの業務利用を並行して進めている場合は、生成AI社内ガイドラインの作り方もあわせてご覧ください。
Webサイトのセキュリティ点検に関するよくある質問
Q. セキュリティの専門知識がなくても自己点検はできますか？
A. 本記事の14項目のうち、9項目はブラウザとメールだけで確認できます。残りの5項目はサーバーや管理画面の情報が必要なため、制作会社・サーバー会社への確認が前提です。まずは自社だけで分かる9項目を埋め、空欄になった部分を質問としてそのまま投げるのが最短です。
Q. 点検はどれくらいの頻度で行えばよいですか？
A. 更新の少ないコーポレートサイトでも年2回、問い合わせフォームや会員機能があるサイトは四半期ごとを目安にしてください。加えて、CMSやプラグインの重大な脆弱性が公表されたときは、頻度に関わらずその都度の確認が必要です。
Q. 脆弱性診断（ペネトレーションテスト）とは何が違いますか？
A. 本記事の点検は、設定や運用体制の抜けを洗い出す「棚卸し」です。専門ツールや専門家が実際に攻撃手法を試して弱点を突き止める脆弱性診断とは目的が異なります。棚卸しで埋まらない不安が残った場合に、診断を検討する順序が無駄がありません。
Q. Webサイトのセキュリティ対策をすればランサムウェアは防げますか？
A. 防げません。警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和8年9月）によれば、ランサムウェアの侵入経路はVPN機器が約5割を占めます。企業のコーポレートサイトは主要な侵入経路として挙げられていません。Webサイトの対策で守れるのは改ざん・不正アクセス・サイト経由の情報漏えいであり、社内ネットワークの防御とは範囲が異なります。
Q. 古いサイトを放置しています。作り直すべきですか？
A. まず14項目で現状を把握してください。CMSやPHPのバージョンがサポート切れで、かつ更新手段が残っていない場合は、部分的な修正より作り直しのほうが結果的に安く収まることがあります。判断にはサーバー環境と実装方式の確認が必要なため、点検結果を持ってご相談ください。
Q. 点検の結果、問題が見つかったらどうすればよいですか？
A. 影響範囲と緊急度で並べ替えます。外部から到達できる入口（管理画面・フォーム・サポート切れソフト）に関する項目から着手し、社内手順の整備は後に回して問題ありません。優先順位の付け方が分からない場合は、点検表をそのままお送りいただければ内容を拝見します。
まとめ
「防御体制が十分か分からない」という不安は、確認すべき項目が決まっていないことから生まれます。本記事の14項目は、そのうち9項目を担当者だけで埋められるように組み立てました。まず埋まるところまで埋め、残った空欄を質問に変えてください。
そして、Webサイトの対策で守れる範囲とそうでない範囲を切り分けておくことが、過剰な不安と過信のどちらも避ける近道です（2026年11月時点）。
Webサイトの現状を一緒に確認します
点検表の記入内容、あるいはサイトのURLだけでも構いません。公開画面から分かる範囲を確認し、優先して直すべき点をご返信します。保守の契約先が他社の場合でも、確認した内容はそのままお伝えします。
出典
- 情報セキュリティ10大脅威 2026（プレス発表）（独立行政法人情報処理推進機構（IPA）・2026年1月29日公表）
- 令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について（警察庁サイバー警察局・令和8年9月）
運営：株式会社キャンバス（canvas-works.jp）— AIを前提に価値をつくるデジタルクリエイティブ／システム開発企業。体験型コンテンツ開発・AI開発・自社パッケージ（ぬりえスタジアム／バッティングヒーロー／デジスポ／フライングペイント／フォトフォトAI／ディノコア創世記）を展開。2012年創業・第15期、累計1500件超のDX活用支援実績。