はじめに
目的
本書は、ECサイトの構築・運用に必要なWebセキュリティの基本と具体的対策を分かりやすく示します。運営者が日常的に直面するリスクを抑え、顧客情報や決済データを守ることを目指します。
対象読者
中小規模のECサイト運営者、開発担当者、運用担当者が主な対象です。専門家でなくても実行できる手順や例を中心にしています。
本書の使い方
各章は独立して読めます。まずは本章で全体像を把握し、優先度の高い対策から順に実施してください。例：ログイン強化、バックアップ、通信の暗号化。
範囲と前提
技術的な細部は必要な箇所で補足します。既存サービスの運用改善にも新規構築にも適用可能です。
本書で得られること
具体的な改善手順と注意点を学び、日常運用で実践できるセキュリティ体制を整えられます。
ECサイト構築・運用セキュリティガイドラインの全体像
概要
ECサイトのセキュリティは技術だけでなく組織全体の取り組みが重要です。経営層が方針を示し、開発・運用・サポートが役割を持って実施します。ガイドラインは現場で使える設計図になります。
三段階の分類（必須・必要・推奨）
- 必須：守らなければ重大な被害につながる対策（例：通信の暗号化、決済情報の保護）。
- 必要：実務上ほぼ必須と考える対策（例：定期的な脆弱性診断、ログの保全）。
- 推奨：リスクをさらに下げるための対策（例：二要素認証の拡張、WAFの導入）。
この分類をチェックリストとして運用に組み込みます。
対象範囲と役割分担
経営：予算と方針決定。開発：安全な設計とコード。運用：監視とパッチ適用。顧客対応：個人情報の扱いと通知手順。
導入から運用までの流れ
要件定義→設計（脅威分析を含む）→実装（入力検証など）→テスト（自動スキャン、手動レビュー）→本番運用（監視、バックアップ、ログ保全）→改善（脆弱性対応、教育）。
チェックリスト活用例
新規構築ならTLS設定、認証強化、入力検証、決済データ分離を優先。運用ではログ保存、アクセス権見直し、定期診断をルーチンにします。
個人情報保護のポイント
通信と保存の暗号化、最小権限、保持期間の明確化、問い合わせ・削除対応の体制構築が重要です。
継続的改善
定期監査と訓練で実務を磨き、インシデント発生時には手順に従い迅速に対応・報告します。
安全なWebサイト構築の基本要件
目的
ECサイトを安全に作るための土台を明確にします。設計から運用まで、被害を防ぐ仕組みを組み込みます。
設計段階の対策
・入力の検証を前提に設計します（例：フォームは期待する型や長さだけ受け取る）。
・データ最小化を行い、必要な情報だけ保存します。個人情報は扱う理由を明確にします。
開発段階の対策
・SQLインジェクションやXSSを防ぐため、プリペアドステートメントや出力時のエスケープを使います。具体例：DB操作は変数を直接つなげず、パラメータ化します。
・ライブラリやフレームワークは公式の方法で安全に使います。不要な機能は無効化します。
サーバー設定（ハードニング）
・不要なサービスを停止し、管理画面は公開しません。アクセスをIP制限やVPNに限定します。
・定期的にセキュリティパッチを適用します。
運用・点検
・定期的に専門家による脆弱性診断を行います。
・ログを保存し、異常を早く検知できるようにします。
優先度の高い要件
最新パッチの適用、脆弱性診断、管理画面のアクセス制限を最優先で実行します。例：管理画面は社内ネットワークからのみ接続可能にします。
認証・アクセス制御の強化策
管理画面へのアクセス制限（IP制限）
管理画面は登録した特定IPからのアクセスのみ許可します。社内回線や固定IPの拠点からのみ接続させることで不正アクセスの確率を下げます。外出先や動的IPが必要な場合は、VPNや踏み台サーバ経由で接続する運用を検討してください。
多要素認証（MFA）の導入
ID/パスワードに加え、ワンタイムコード（認証アプリやハードウェアトークン）を必須にします。SMSは手軽ですがSIM乗っ取りのリスクがあるため、認証アプリを優先する運用が望ましいです。管理者に対してはより厳格なMFAを適用します。
ボット対策（reCAPTCHA等）
ログインやパスワードリセット画面にreCAPTCHAを導入してボット攻撃を防ぎます。ログイン試行回数の制限やIPごとのレート制御と組み合わせると効果が高まります。
通信の暗号化（HTTPS）
サイト全体をHTTPSで提供し、通信の盗聴や改ざんを防ぎます。証明書は信頼できる認証局から取得し、自動更新を設定してください。セキュア属性付きクッキー（Secure、HttpOnly）を使い、セッションハイジャックを防ぎます。
権限管理と最小権限の原則
管理者権限は業務に応じて細かく分割し、不要な権限を与えないようにします。操作ログを取り、誰がどの操作をしたか追跡できるようにしておきます。
運用上のポイント
IP制限やMFAの適用で運用が煩雑になりやすいので、事前に手順書を作成し、障害時の緊急解除方法（承認フロー付き）を整備してください。定期的に設定やログを見直し、異常を早期に検知する習慣をつけましょう。
ネットワーク・エンドポイントセキュリティ
ネットワーク防御（UTM・ファイアウォール）
企業はUTM（統合脅威管理）や次世代ファイアウォールを導入し、不正な通信を遮断します。例えば、外部からの不審な接続や不正なWebアクセスをUTMで検知・ブロックします。基本ポリシーは最小権限を前提にし、不要な外部ポートは閉じます。
ネットワーク設計と分離
社内ネットワークを業務系、決済系、公開系で分けるとリスクを減らせます。VLANやサブネットで通信を制限し、重要系はインターネット直結を避けます。リモート接続は必ずVPNで暗号化します。
エンドポイント対策（AV・EDR・パッチ）
端末にはアンチウイルスとEDRを導入し、侵入や異常を早期発見します。OS・アプリは自動更新を有効にし、既知の脆弱性を速やかに修正します。USBなど外部デバイスの制御も行います。
Wi‑Fiセキュリティ
社内Wi‑FiはWPA3を優先し、ゲスト用は別ネットワークにします。公衆Wi‑Fiの利用は禁止し、外出先では会社支給のモバイル回線やVPNを使わせます。
監視・運用
ネットワークと端末のログを集中管理し、異常は自動で通知します。定期的に脆弱性診断とペネトレーションテストを実施し、運用手順を見直します。
メール・Webセキュリティ対策
フィッシング対策：DMARC／SPF／DKIM
- 役割：送信元なりすましを減らします。SPFは送信許可IP、DKIMは送信メールの改ざん検知、DMARCは受信側の処理方針を指示します。
- 実装例：DNSにSPFレコード、DKIM署名の有効化、DMARCポリシー（まずは「none」で様子見）を設定します。受信レポートで運用を確認してください。
メールの添付ファイル制限
- 実行ファイル（.exe/.scr/.bat）は受信拒否します。暗号化ZIPに実行ファイルを含める運用も禁止します。
- 代替：ファイル共有リンク（クラウド）で受け渡し、ウイルススキャンを行います。サンドボックス検査で不審動作を検出します。
Webフィルタリング
- 危険サイトやカテゴリ（マルウェア配布、偽サイト）をブロックします。ブラウザ拡張やプロキシで制御します。
- 具体例：社内からアクセス禁止リスト、業務上不要なSNSやファイル共有を規制します。
クラウド接続の制御
- 業種別に接続先を制限します。銀行系などは社外クラウドへの直接接続を制限し、許可されたサービスのみ利用させます。
- 多要素認証とデバイス確認で安全性を高めます。
運用と教育
- メール受信ログやフィルタのレポートを定期確認します。異常は早期に対応します。
- 従業員に疑わしいメールの報告方法を周知し、定期的な訓練を行います。
インターネット分離とセキュリティ監視
インターネット分離の目的
重要情報を扱う端末とインターネット接続端末を分けることで、情報漏洩やマルウェアの感染拡大を防ぎます。たとえば決済端末や会計システムは外部Web閲覧を許可しない運用が有効です。
分離の方法
- 物理分離：ネットワークを物理的に分け、スイッチや回線も独立させます。高い安全性が必要な場面に向きます。
- 論理分離：VLANやファイアウォールルールで分離します。柔軟ですが設定ミスがリスクです。
- ゲートウェイ/プロキシ：必要な通信だけを仲介する装置で制御します。ファイル転送や更新の際に利用します。
運用上の注意点
端末の目的を明確にし、不要なソフトやUSBなどの外部媒体を制限します。ソフト更新は専用の更新サーバー経由で行うと安全です。
セキュリティ監視
ログを集中収集し、正常な振る舞いと比較して異常を検出します。IDS/IPSやホスト型エージェントで通信と動作を監視し、疑わしい挙動は自動で遮断すると効果的です。
アラートと対応
検知時は影響範囲を迅速に特定し、分離された環境の復旧手順を実行します。定期的に対応訓練を行い、フローを磨いておきます。
導入チェックリスト（例）
- 分離対象の資産リスト作成
- 通信の許可リスト整備
- ログ収集と保存方針
- 定期的な監査と訓練
これらを組み合わせて運用すると、情報漏洩や感染拡大のリスクを大きく下げられます。
インシデント対応の体制整備
目的
セキュリティインシデント発生時に被害を最小化し、業務復旧を速やかに行うための準備をします。応急対応（封じ込め）を中心に、誰が何をするかを明確にします。
体制と役割分担
- インシデント責任者（Incident Commander）：全体判断と意思決定を行います。例：経営層や情報セキュリティ責任者。
- 技術対応チーム：封じ込め・復旧・証拠保全を実行します。例：サーバ担当、ネットワーク担当。
- コミュニケーション担当：社内外への連絡と情報管理を行います。例：広報、顧客対応担当。
- 法務・外部連携担当：法的対応や外部機関との調整を担当します。
初動対応手順（簡潔な流れ）
- 検知・通報：異常を確認したら即時通報します。
- 初期判断：責任者が事象の重大度を評価します。
- 封じ込め（応急対応）：該当端末の隔離、疑わしいアカウントの一時停止、問題IPのブロックなどを行います。例：侵害が疑われるサーバをネットワークから切り離す。
- 証拠保全：ログやディスクイメージを保存し、改ざんを防ぎます。
- 復旧：安全確認後に段階的にサービスを復旧します。
証拠保全とログ管理
- ログは時刻同期された安全な場所へ定期的に転送・保存します。
- 証拠は改変しないよう読み取り専用で取得し、誰が何をしたか記録します。
外部連携と報告
- 顧客や取引先への連絡文のテンプレートを準備します。
- 必要に応じて法執行機関、CERT、利用中のクラウド事業者と連携します。
訓練と見直し
- 定期的に模擬訓練（テーブルトップや実動）を行い、対応手順や役割の確認をします。
- インシデント後は必ず事後レビューを行い、原因と対策を文書化して改善につなげます。
