情報システム部門のセキュリティ対策強化
社内のWordPressサイトのセキュリティ強化を検討する情報システム部門向けに、公開サーバーを静的化して攻撃面（外部から攻撃可能な接点）を減らすWordPress静的移行を提供します。
こんな方に
- 部署ごとに立ち上げられ、管理者が不明のまま残っているWordPressサイトを棚卸ししたい情報システム部門
- 更新が止まったキャンペーンサイトやブログを、デザインを変えずに安全化したい担当者
- セキュリティ点検で公開サーバー上のCMS（コンテンツ管理システム）を指摘され、対応方針を検討している担当者
解決する課題
部署ごとに増えたWordPress（シャドーIT）や、更新が止まったサイトは、外から到達できる接点として残り続けます。公開側でプログラムを動かさない構成へ移せば、その接点を減らせます。
更新の止まったサイトに残る脆弱性
更新運用が行われていないWordPressには既知の脆弱性が残り続けます。該当する版が外部から見える状態なら、探索の対象になり得ます。
一件の侵害が全社に波及する負担
侵害が起きると、情報漏えいや踏み台としての悪用が、全社の問題として扱われます。情報システム部門には、対応と説明と再発防止の作業が同時に発生します。
サイトが増えるほど広がる確認の範囲
部署ごとに立てたサイトは、更新の状況も担当者も別々です。台数が増えるほど、どれが更新されているかを確かめる範囲が広がります。
完全静的化のアーキテクチャ
既存の編集用WordPressをIP制限や多要素認証（パスワードに加えて別の確認を求める仕組み）で守られた『内部サーバー』へ移し、インターネットに公開するサーバーには動的プログラムを置かず、HTMLデータだけを同期して配置します。公開側にDBもPHPも無くなるため、SQLインジェクションや管理画面への総当たり（ブルートフォース）のように、公開側で動くプログラムを狙う攻撃は成立しなくなります。編集側は残るため、そちらの防御は別に必要です。自社の機能構成で成り立つかは技術資料：WordPress静的移行を自社に適用できるか、機能ごとの判断基準で確認できます。
構成の全体像
- 1
WordPress本体を内部側に隔離
IP制限された社内側のサーバーに移し、外部から遮断する
- 2
公開ページを静的HTMLとして書き出し
静的HTML（事前に生成済みのページファイル）を自動生成する
- 3
公開サーバーには静的ファイルのみ配置
公開側にプログラムと管理画面を置かない
- 4
公開側で動くプログラムが無くなる
公開側のログイン画面やプラグインを狙う攻撃は成立しなくなる。編集用の環境は対象に残る
| 現状の指摘事項 | 内部で起きていること | 完全静的化後 |
|---|---|---|
| ログイン画面が公開サーバーに露出 | 総当たり攻撃と脆弱性スキャンの対象になり続けている | 管理画面を内部側に隔離し、公開側から除去 |
| 古いプラグインが残っている | 既知の脆弱性への攻撃がいつでも成立する状態 | 公開側でのプログラム実行自体をなくす |
| フォームなど動的機能がある | 「静的化できない」と判断されがち | SaaSやサーバーレス（専用サーバーを管理せず、クラウド上で処理を実行する方式）で代替設計 |
提供内容
対象サイトを棚卸しし、編集用のWordPressを内部へ隔離して、公開側を静的HTMLに置き換えます。移行後の構成と更新の手順をお渡しします。
- 1
現状監査
対象サイトの構成と動的機能を棚卸しし、移行の可否と優先度をお伝えします。
- 2
完全静的化の設計と実施
WordPress本体の内部隔離と、公開側の静的HTML化を実施します。
- 3
動的機能の代替設計
フォームや検索などの要件をSaaSやサーバーレスで補完します。
- 4
移行後の構成の引き渡し
移行後の構成と、更新の手順をお渡しします。
対象外
- 社内ネットワーク全体のセキュリティ監査と運用は対応対象外です（対象はWebサイトの構成に限ります）。
納期目安
- 着手まで
- 現状監査は日程調整のうえ着手します
- 完了目安
- 移行完了の目安は1サイトあたり2〜6週間（構成の複雑度で変動します。診断後に確定日程を提示します）
基本費用と変動要因
記載の金額は下限です。見積の変動要因を確認したうえで、着手前に確定見積を提示します。承諾なしに追加費用は発生しません。
保守コストと移行費用を並べて見る
- いまの保守コスト
- 月次の保守作業（プラグインの更新、バックアップの確認、更新後の表示確認）にかかる時間 × 時給換算 × 12ヶ月が、年間の保守コストになります。
- 移行費用の回収
- WordPress静的移行（200,000円〜）÷ 移行後に減る月次コスト = 回収までの月数です。
- 事故が起きたときの費用
- 改ざんの復旧にかかるのは、初期調査と切り分け（50,000円）、および復旧実対応（100,000円〜）です。停止している間の売上と、復旧後の説明にかかる手間は、別に生じます。
- 移行後に無くなるリスク
- 公開サーバーにWordPressのPHPとDBを置かないため、公開側のリモートコード実行、SQLインジェクション、管理画面への総当たりは成立しなくなります。編集側の防御は別に必要です。
金額は当方の価格下限です。保守にかかっている時間は運用ごとに違うため、こちらでは想定しません。現状監査で実際の工数を洗い出します。
問い合わせ後の流れ
受付から完了までを時系列で可視化します。承諾なしに追加費用は発生しません。
- 1随時
問い合わせ受付
対象サイトの一覧と、公開側に残す必要がある機能をお送りください。
- 2受付後
折り返しとヒアリング
診断の日程と事前準備（検証環境のアカウント等）を整理します。
- 31〜2週間を目安
現状監査
各サイトの静的化可否と、編集用WordPressをどこへ隔離するかをお伝えします。
- 4要件合意後2〜6週間
静的移行と隔離の実施
WordPressの内部隔離と公開側の静的HTML化、動的機能の代替を順次実行します。
- 5移行完了後
引き渡し
移行後の構成と、更新の手順をお渡しします。
参考情報
情報システム部門のセキュリティ対策強化のご相談
社内WordPressサイトのセキュリティ強化を検討する情報システム部門向けに、公開サーバーを静的化して攻撃面を減らすWordPress静的移行を提供します。技術情報が揃っていなくても送信できます。内容を確認のうえ、当方からご連絡します。