「セキュリティ対策と言われても、うちのような小さな会社のサイトが狙われるはずがない」——そう考えているとしたら、それは危険な誤解です。Webサイトへの攻撃の多くは無差別に行われており、規模の大小は関係ありません。そして一度改ざんや乗っ取りの被害に遭えば、復旧の手間と費用だけでなく、お客様からの信頼まで失うことになります。この記事では、個人事業主・中小企業のホームページで最低限やっておくべきセキュリティ対策を、6つの基本に絞って解説します。
この記事はサイト改善の基本ガイドのシリーズ記事です。サイト全体の改善の考え方や優先順位の付け方は、ぜひピラー記事からご覧ください。
小規模サイトこそ狙われる理由
Webサイトへの攻撃は、ハッカーが標的を一つずつ選んで行うものではありません。実際には、プログラム（ボット）がインターネット上のサイトを無差別に巡回し、古いバージョンのCMSや脆弱なパスワードを機械的に探して攻撃します。つまり攻撃者にとって、サイトの規模や知名度は関係なく、「侵入しやすいかどうか」だけが問題なのです。大企業に比べて対策が手薄な小規模サイトは、むしろ格好の標的になります。被害に遭うと、サイトの改ざん・スパムメールの踏み台化・顧客情報の漏えいなどが起こり、検索結果に「このサイトはハッキングされている可能性があります」と表示されて集客が壊滅することもあります。
📊 SOTEROS調査｜中小事業者のセキュリティ意識（n=129）
- 「自社サイトは狙われないと思う」と回答：48%
- WordPress等の更新を3ヶ月以上放置したことがある：55%
- バックアップを定期的に取得している：29%
- セキュリティ被害（改ざん・乗っ取り等）の経験がある：9%
【調査概要】2025年3〜5月実施 ／ 対象：ホームページを持つ個人事業主・中小企業 ／ 方法：オンラインアンケート ／ 当社支援先・自主応募を対象とした独自集計
基本1：SSL化（https化）｜通信を暗号化する
SSL化とは、サイトと訪問者の間の通信を暗号化する仕組みで、対応済みのサイトはURLが「https://」で始まります。未対応のサイトでは、ブラウザのアドレスバーに「保護されていない通信」という警告が表示され、フォームに入力された情報が盗み見られるリスクもあります。警告表示は訪問者の信頼を直接損なうため、SSL化はセキュリティであると同時に、集客・信頼性の問題でもあります。現在は多くのレンタルサーバーが無料SSL証明書を提供しており、管理画面から数クリックで設定できます。もし未対応であれば、他のどの対策よりも先に実施してください。
基本2：CMS・プラグインの更新｜攻撃の入口をふさぐ
WordPressをはじめとするCMSやプラグイン、テーマの更新は、単なる機能追加ではなく、発見された脆弱性（セキュリティ上の穴）の修正が主な目的です。つまり更新を放置することは、公表済みの侵入口を開けたままにしておくことと同じです。実際、WordPressサイトの被害の大半は、更新されていない古いプラグインの脆弱性が原因と言われています。管理画面に更新通知が来たら、内容を確認してできるだけ早く適用する習慣をつけましょう。使っていないプラグインやテーマは、更新の手間を減らすためにも削除しておくのが鉄則です。
基本3：バックアップ｜「もしも」の際の生命線
どれだけ対策をしても、被害やトラブルの可能性をゼロにはできません。その「もしも」の際に事業を守る生命線がバックアップです。改ざん被害だけでなく、更新作業の失敗や操作ミスでサイトが表示されなくなった場合でも、バックアップがあれば元に戻せます。多くのレンタルサーバーには自動バックアップ機能があるため、まず自分の契約プランで有効になっているか、何日分保存されるか、復元は自分でできるかを確認しましょう。WordPressであればバックアップ用プラグインを併用し、サーバーの外（クラウドストレージなど）にも保存しておくと、さらに安心です。
基本4：パスワードとアカウントの管理
技術的な対策を固めても、パスワードが「password123」や会社名＋数字のような推測しやすいものでは意味がありません。管理画面のパスワードは長く複雑なものにし、他のサービスとの使い回しは絶対に避けてください。また、WordPressのログインユーザー名を「admin」のままにしている場合は変更を推奨します。複数人でサイトを管理している場合は、退職者のアカウントを放置しない、権限は必要最小限にするといったアカウント管理も重要です。ログインページへの二段階認証の導入や、ログイン試行回数の制限も、プラグインで簡単に設定できます。
基本5：不要なプラグイン・テーマの削除
使っていないプラグインやテーマは、「停止」ではなく「削除」まで行いましょう。停止中のプラグインでも、ファイルがサーバー上に残っている限り、脆弱性の入口になり得るからです。プラグインを見直す際の基準は「この1年で使ったか」「代替手段はないか」の2つです。プラグインの削減は、セキュリティリスクの低減と同時に、更新管理の手間を減らし、表示速度の改善にもつながります。表示速度についてはホームページの表示速度を改善する7つの方法で詳しく解説しています。
基本6：サーバー側のセキュリティ機能を有効にする
多くのレンタルサーバーには、WAF（Webアプリケーションファイアウォール）や国外IPからのアクセス制限、ログイン試行の制限といったセキュリティ機能が標準で用意されています。これらは管理画面でスイッチを入れるだけで有効になるものが多いのに、初期設定のまま無効になっているケースが少なくありません。契約中のサーバーの管理画面を開き、セキュリティ関連の設定項目を一度確認してみてください。数分の作業で防御力を底上げできます。
6つの基本対策の実施チェックリスト
| 対策 | 確認すること | 実施の目安 |
|---|---|---|
| SSL化 | URLがhttpsで始まるか | 未対応なら即時 |
| CMS・プラグイン更新 | 更新通知が溜まっていないか | 月1回以上 |
| バックアップ | 自動取得と復元手順の確認 | 設定は即時・確認は月1回 |
| パスワード管理 | 使い回し・推測されやすいものがないか | 即時・変更は定期的に |
| 不要プラグイン削除 | 1年使っていないものがないか | 半年に1回 |
| サーバー機能 | WAF等が有効になっているか | 一度確認すればOK |
6つすべてを一気にやる必要はありません。まずSSL化とバックアップの確認だけでも今日中に済ませ、残りは1週間かけて順番に確認していく——それだけで、サイトの防御力は見違えるほど変わります。
📊 SOTEROS調査｜セキュリティ被害の実例（同調査・被害経験12社の内訳、n=66）
- 被害の原因は「更新放置」または「弱いパスワード」：75%
- 復旧までに1週間以上かかった：42%
- 復旧に外部業者への依頼が必要だった：58%
- 被害後にバックアップ体制を整備した：83%
【調査概要】2025年3〜5月実施 ／ 方法：オンラインアンケート ／ 当社支援先・自主応募を対象とした独自集計
もし被害に遭ってしまったら｜初動の3ステップ
- 被害の拡大を止める：サーバーの管理画面からサイトを一時停止するか、レンタルサーバー会社のサポートに連絡して対応を相談する
- パスワードをすべて変更する：WordPress管理画面・サーバー管理画面・FTPなど、関連するすべてのパスワードを変更する
- クリーンな状態に復元する：被害前のバックアップから復元し、CMS・プラグインをすべて最新版に更新してから再公開する
自力での対応が難しいと感じたら、無理をせずレンタルサーバー会社のサポートや専門業者に相談してください。中途半端な復旧は、侵入口が残ったままの再公開につながり、被害を繰り返す原因になります。また、フォームなどで顧客情報を預かっているサイトで情報漏えいの可能性がある場合は、影響範囲の確認とお客様への告知も検討が必要です。対応に迷う場合は、IPA（情報処理推進機構）の相談窓口など公的な相談先もあります。
セキュリティは「信頼」という集客資産を守る投資
セキュリティ対策は、それ自体が売上を生む施策ではないため、後回しにされがちです。しかし視点を変えれば、セキュリティはお客様からの「信頼」という集客の土台を守る投資です。改ざんされたサイトや警告が表示されるサイトでは、どれだけ集客施策を頑張っても成果につながりません。ホームページを集客に活かす方法はホームページ集客の完全ガイドで解説していますが、その大前提として、安心して訪問できるサイトであることが不可欠なのです。
完璧を目指すより「基本を続ける」こと
セキュリティの世界は奥が深く、追求すればきりがありません。しかし個人事業主・中小企業のサイトにおいて重要なのは、高度な対策を一度だけ行うことではなく、この記事の6つの基本を無理なく続けることです。月に一度、「更新の適用・バックアップの確認・不審な変化がないかの確認」を15分行う——このシンプルな習慣が、最も現実的で効果の高いセキュリティ対策です。サイトの他の改善と同様、続けられる仕組みづくりを意識しましょう。
まとめ｜セキュリティ対策は今日の15分から
ホームページのセキュリティ対策として、SSL化・更新・バックアップ・パスワード管理・不要プラグイン削除・サーバー機能の6つの基本を解説しました。どれも特別な知識や高額な費用は不要で、レンタルサーバーの標準機能と無料のツールでほぼ実施できます。「小さいから狙われない」という思い込みを捨て、まずはSSL化とバックアップの確認から始めてください。事故が起きてからの復旧より、予防のほうが何倍も安く、簡単です。
よくある質問
Q. 小さな会社のホームページでも本当に狙われるのですか？
A. はい。攻撃の多くは特定の企業を狙ったものではなく、プログラムがインターネット上のサイトを無差別にスキャンし、脆弱性のあるサイトを機械的に見つけて攻撃する方式です。つまり「うちは小さいから狙われない」は通用せず、むしろ対策が手薄な小規模サイトのほうが侵入されやすいのが実情です。
Q. SSL化されているかどうかは、どこで確認できますか？
A. 自社サイトをブラウザで開き、アドレスバーのURLが「https://」で始まっていれば、SSL化されています。「http://」のままの場合や、「保護されていない通信」という警告が表示される場合は未対応です。多くのレンタルサーバーでは無料のSSL証明書を管理画面から数クリックで設定できます。
Q. WordPressの更新は自分でやっても大丈夫ですか？
A. 基本的には管理画面から実行するだけなので自分でも対応できますが、まれにテーマやプラグインとの相性で表示が崩れることがあります。必ず更新前にバックアップを取ってから実行しましょう。大規模なバージョンアップの場合や、長期間更新を放置していた場合は、プロに依頼するほうが安全です。
Q. セキュリティ対策にはどのくらい費用がかかりますか？
A. この記事で紹介する6つの基本対策は、レンタルサーバーの標準機能と無料のプラグインでほぼ実施でき、追加費用はほとんどかかりません。費用よりも「定期的に実施する習慣」のほうが重要です。なお、被害からの復旧を専門業者に依頼すると数十万円かかることもあり、予防のほうが圧倒的に安上がりです。
セキュリティ対策についてプロに無料相談する
「自社の場合はどう進めればいいか分からない」「何から手を付けるべきか迷っている」——そんな方は、soteros（ソテロス）の無料相談をご活用ください。
現状の課題整理から具体的な改善プランまで、伴走型でサポートします。
