“CMS（Contents Management System：コンテンツ・マネジメント・システム）”は、Webサイトの構築やコンテンツ管理を容易にしてくれる便利なシステムですが、セキュリティの脆弱性が懸念されています。実際に、CMSがセキュリティホールとなってサイバー攻撃を受け、企業に大きな被害を与えた事例も報告されています。
Webサイトを安全に運用するには、CMSのセキュリティリスクを理解しておくことが重要です。本記事では、CMSのセキュリティ対策の重要性や具体的なリスク、適切なCMSを選ぶポイントについて分かりやすく解説します。
CMSのセキュリティ対策が重要な理由
CMS（Contents Management System：コンテンツ・マネジメント・システム）は、Webサイトのテキスト・画像などのコンテンツを管理しやすくするためのシステムです。HTMLやCSSなどの知識がなくてもWebサイトを簡単に作成・更新できるため、多くの企業が導入しています。しかし、次のような背景からCMSの脆弱性が注目され、セキュリティ対策の重要性が高まっています。
サイバー攻撃のターゲットになりやすい
CMSはWebサイトの根幹部分を共有するシステムであるため、同じCMSを使用しているWebサイトは脆弱性も共有していることになります。そのため、導入するWebサイトが増えたCMSは、サイバー攻撃の“標的に選ばれやすく”なります。
CMSにはさまざまな種類がありますが、“WordPress”の使用率は非常に高く、中小企業から大企業まで幅広く活用されています。ハッカーはより多くのサイトを攻撃できるようその仕組みを狙っており、シェアの大きいCMSほど狙われる可能性が高まります。
プラグインから脆弱性が見つかりやすい
CMSには機能を追加するための“プラグイン”を導入できますが、そこに脆弱性が生じるリスクがあります。プラグインはさまざまな企業や個人が開発しているため、その品質にはばらつきがあり、必ずしも安全性が保証されているわけではありません。
たとえCMS本体のセキュリティ対策を行っていても、プラグインに脆弱性があればサイバー攻撃の標的となる可能性が高まります。「便利だから」という理由で安易にプラグインを増やしすぎると、結果的にセキュリティリスクが増大します。
セキュリティ対策が不十分な企業が多い
CMSのセキュリティリスクを十分に認識しておらず、適切な対策を取っていない企業は少なくありません。例えば、「パスワードの強度が不足している」「プラグインを更新していない」などの問題があるWebサイトは、攻撃者にとって侵入しやすい環境になっています。
CMSのアクセス権限設定やバージョンアップ、インフラのセキュリティ対策などを定期的に行っていれば、セキュリティリスクを低減することは可能です。しかし、ほかの経営課題を優先する意識や「自社は規模が小さいから狙われないだろう」という油断により、CMSのセキュリティ対策が後回しにされるケースがあります。
CMSの代表的なセキュリティリスク
CMSの代表的なセキュリティリスクとして、次の5つが挙げられます。
個人情報の流出
CMSの脆弱性を狙った不正アクセスにより、Webサイトで管理されている個人情報が漏洩するおそれがあります。例えば、会員情報を格納するデータベースに侵入され、顧客の住所氏名・電話番号・メールアドレスが流出するというケースです。
漏洩した顧客情報が悪用されると、顧客が被害を受けるだけでなく、賠償責任の発生や自社の信用低下につながるおそれがあります。個人情報だけではなく、社外秘の機密情報も攻撃者から狙われやすいため注意が必要です。
Webサイトの改ざん
自社のWebサイトの内容が不正に書き換えられると、誤情報の発信や不適切なページへのリダイレクト、ランサムウェアなどのマルウェア（悪意のあるソフトウェア）に感染するリスクがあります。例えば、管理者アカウントのID・パスワードが不適切に管理されている場合、ハッカーの“総当たり攻撃”によってCMSに侵入されるかもしれません。
Webサイトが改ざんされると、誤った情報をユーザーに提供することになり、ブランドイメージや信頼性の毀損につながります。また、攻撃者がフィッシングページを仕込んで顧客を不正なページに誘導し、顧客が詐欺被害に遭ってしまうケースもあります。
ランサムウェアへの感染
前述のとおり、CMSのセキュリティ対策を怠っているとWebサイトにランサムウェアなどのマルウェアを仕込まれる恐れもあります。Webサイトを閲覧した端末がマルウェアに感染することで、デバイスの乗っ取りや個人情報の窃取などの被害につながります。
マルウェアのなかでも”ランサムウェア”は、感染した端末のデータを使用不能な状態にして、その修復と引き換えに“身代金（ランサム）”を要求することが特徴です。Webサイトにマルウェアを仕込まれると、自社の端末だけではなくサイトを閲覧したユーザーも感染し、損害賠償や信頼失墜など甚大な被害につながるおそれがあります。
データベースの破壊
攻撃者がデータベース管理権限を不正に取得し、データを消去・改ざんするケースもあります。単なるデータベースの停止ではなく、Webサイトのコンテンツや顧客データの喪失、会計データの改ざんなど永続的な損害に至る点が悪質です。バックアップを確保しておけば修復できますが、データベース管理が不適切な場合は、バックアップも被害を受けてしまいます。
Webサイトやコンテンツの制作には多大な時間とコストがかかり、顧客情報と同じく企業収益につながる貴重な資産です。そのデータが破壊されたりアクセスできなくなったりすることは、企業資産の喪失につながるといえます。
サイトやサービスの停止
CMSの脆弱性を突かれることで、Webサイトやサービスが機能不全に陥ります。前述のサイト改ざん・マルウェア・データベース破壊のほかに、過剰なデータやアクセスを送り付けてサーバーをダウンさせる“DDoS攻撃（Distributed Denial of Service Attack：ディードス攻撃）”も、サイバー攻撃の主要な手口です。
Webサイトやサービスが停止すると、ユーザーが自社サイトを通じた情報収集や商材購入などができなくなるため、ビジネス機会の損失につながります。このような事態が頻繁に発生していると、企業の管理体制が問題視され、信用低下につながる可能性があります。
CMSの種類とそれぞれのセキュリティ課題
CMSのセキュリティリスクは、次のようにCMSの種類ごとに異なります。
オープンソース型
オープンソース型のCMSは、“WordPress”のように広く活用されているタイプで、ソースコードが公開されています。ソースコードとは、プログラムの機能を実装するために記載する記述で、いわばプログラムの中身です。ソースコードを確認することで処理内容を把握でき、セキュリティの脆弱性が発見されやすいという特性があります。
また、前述のとおりプラグインの品質にもばらつきがあるため、導入したプラグインがセキュリティホールになる場合があります。例えば、サーバへのファイルのアップロード・削除などの操作機能を追加する「File Manager」には、第三者によって悪意のあるファイルをアップロードされ、不正なコードが実行される可能性がある脆弱性が報告されました。
（※参考：IPA 独立行政法人 情報処理推進機構「WordPress 用プラグイン「File Manager」の脆弱性対策について(CVE-2020-25213)」）
パッケージ型
パッケージ型のCMSは、ベンダーが開発したCMSのライセンスを購入し、自社サーバーにインストールして使用するタイプで“オンプレミス型”と呼ばれることもあります。CMS本体のセキュリティ対策は基本的にベンダーが行うため、オープンソース型よりセキュリティを確保しやすいことが特徴です。
ただし、サーバーの運用・保守は自社で行うため、体制が不十分だとセキュリティホールが生じる可能性があります。パッケージ型・オンプレミス型のCMSは、企業の中核データと接続されることが多いため、サイバー攻撃を受けると機密情報の流出や業務停止など、深刻な事態につながるおそれがあります。
クラウド型
クラウド型は“SaaS”とも呼ばれる形式で、CMSとサーバーの双方をベンダーが提供し、インターネット経由で利用できます。自社でサーバーを用意したり、CMSをインストールしたりする必要がないため、比較的容易に導入できます。
カスタマイズ性はオープンソース型より低いものの、セキュリティ対策をベンダーが担うため安全性は高い傾向にあります。ただし、CMSと連携させている外部システムがセキュリティリスクになる可能性があります。
CMSで実施すべきセキュリティ対策
次のようなセキュリティ対策を実施することで、CMSを狙ったサイバー攻撃を防ぎやすくなります。
CMSを定期的にアップデートする
セキュリティ対策の基本は、CMSやプラグインを常に最新バージョンに保つことです。バージョンアップは機能追加だけでなく、セキュリティ強化を目的として行われることが多いです。
そのため、定期的なアップデートを続けることで、セキュリティホールを防ぎやすくなります。ただし、CMSだけではなく導入済みのプラグインもすべてアップデートしなければ、そこが脆弱性となるため注意が必要です。
脆弱性をカバーできるWAFを導入する
“WAF（Web Application Firewall：ウェブ・アプリケーション・ファイアウォール）”は、外部のインターネットと自社サイトの間に、データ通信を監視するための防御壁を作り、CMSに脅威が到達する前にブロックできるセキュリティシステムです。
Webアプリの脆弱性をカバーすることができ、通常のファイアウォールでは防げない攻撃にも効果があります。例えば、通常のファイアウォールをすり抜ける悪質な攻撃を検知・遮断してくれるため、代表的なアプリケーション攻撃を防ぎやすくなります。
プラグインを厳選する
プラグインはCMSの機能を充実させるために便利ですが、品質差が大きいため脆弱性の要因となります。プラグインの数が増えるほど、セキュリティリスクが高まる傾向があります。
そのため、信頼性の高いプラグインを厳選して導入し、セキュリティを強化することが重要です。また、不要になったプラグインは、確実にアンインストールすることが望まれます。
プラグインを選ぶ際は次のポイントを重視してみてください。
- アクティブインストール数が多い
- ユーザーの評価が高い
- 開発や更新が活発に行われている
アクティブインストール数が多く、なおかつユーザーの評価が高いプラグインは信頼性が高いと考えられます。また、長期間更新されていないプラグインはセキュリティリスクがあるため、更新頻度の高いものを選ぶことが大切です。
アクセス権限を厳しく管理する
必要な人に必要な権限だけを与える“最小権限の原則”を徹底してください。管理者アカウントや共有アカウントの乱立や、古いアカウントの放置は不正アクセスの原因になります。
そのため、管理者・投稿者・編集者などの役割を定義して権限管理を厳格化することや、異動者や退職者のアカウントを確実に無効化するなど、定期的なアカウント監査が必要です。
万が一のときの復旧対策を行っておく
セキュリティ対策を徹底しても、サイバー攻撃の可能性をゼロにすることはできません。万が一のときにサービスやデータを迅速に復旧することは、“BCP（Business Continuity Plan：事業継続計画）”の観点からも重要です。
定期的にデータのバックアップを取っておけば不正アクセスやランサムウェアによってデータが使えなくなった場合でも、復旧できる可能性が高まります。トラブル発生時の初動対応・復旧手順のマニュアルも用意しておけば、短時間で復旧し、悪影響を最小限に抑えやすくなります。
セキュリティレベルの高いCMSを選ぶポイント
サイバー攻撃のリスクを防ぐために、次のポイントを意識してセキュリティレベルの高いCMSを選んでください。
セキュリティ機能が充実しているか
高いセキュリティレベルを維持するためには、強固なセキュリティ機能が備わっているCMSを選ぶことが重要です。セキュリティ機能が充実しているCMSであれば、追加プラグインなしでも基本的なセキュリティを確保できます。
たとえば、WAFは多くのサイバー攻撃への対策として有効であり、CMSを選定する際に重要な機能の一つです。また、脆弱性スキャンや自動アップデート機能、データ保護機能などが搭載されていれば、Webサイトを安全に運用しやすくなります。
適切なサポート体制が整っているか
機能性だけではなく、サポート体制が整っているCMSを選ぶことも重要です。特に重要なポイントは“情報提供”で、信頼性の高いCMSは次のような情報を積極的に公開しています。
- 最新の脆弱性情報
- 修正パッチの提供
- 攻撃手法への注意喚起
WordPressのようなオープンソース型のCMSは、情報の更新が早く公式ドキュメントも充実しているため、トラブル発生時にも課題を把握し、対応しやすい環境が整っています。
アクセス権限を柔軟に設定できるか
“最小権限の原則”を実践するためには、多層的な権限管理ができるCMSを選ぶ必要があります。ユーザーごとに細かな権限を設定でき、IP制限・二段階認証が使えるCMSが理想的です。また、ログ管理機能があれば“誰がいつ何をしたか”を記録できるため、インシデント発生時の原因調査を行いやすくなります。
CMSのセキュリティでお悩みの方は宝印刷株式会社にご相談ください
CMSはサイバー攻撃の標的になりやすく、万が一のときは個人情報の流出やデータ改ざん、ランサムウェアへの感染など深刻な悪影響が生じます。そのため、CMSやプラグインを定期的にアップデートし、アクセス権限を厳しく管理することが重要です。セキュリティ対策に関する知見があるWeb制作会社に依頼することで、安全性の高いWebサイトを運用しやすくなります。
宝印刷株式会社では、Webサイトの制作を承っています。企業サイトやIRサイトの制作はもちろん、法定開示情報の自動表示連携までワンストップで支援可能です。気になるCMSのセキュリティ対策についても、最適な解決策をご提案いたします。Webサイトの制作についてお悩みの場合は、どうぞお気軽にご相談ください。
監修：宝印刷株式会社 ICT営業部 Webソリューション室
