WordPress・Drupal脆弱性診断｜CMS保守と専門診断の使い分け

WordPressやDrupalで作られたサイトは、CMS本体だけでなく、テーマ、プラグイン・モジュール、独自機能など、複数の要素で動いています。

安全に運用するには、経営者が設定を一つずつ操作するのではなく、何を誰が管理しているかを把握し、社内担当者や保守会社へ確認できる状態にすることが大切です。

「保守を任せているが、どこまで確認されているか分からない」と不安に感じる場合もあるでしょう。

この記事では、WordPress・Drupalについて保守会社へ確認する内容と、公開中のログイン画面やフォームなどを専門診断へ任せる理由、診断後に修正と再確認を進める流れをご紹介します。

診断方法を選ぶ際は、Webアプリ脆弱性診断ツール比較で自動診断と専門診断の確認範囲を比較できます。

CMSサイトでは管理対象と担当者を確認する

CMSサイトの管理対象は、本体だけではありません。

WordPressではテーマやプラグイン、Drupalではモジュールが追加され、制作会社が独自に開発したフォームや会員機能が組み込まれていることもあります。

更新状況や管理者が分からない要素が一つでもあると、会社全体として安全性を判断しにくくなります。

最初に社内担当者や保守会社へ、利用中のCMS、追加機能、独自開発部分、管理者、保守契約の範囲を確認しましょう。

ECサイトを運営している場合は、Shopifyのセキュリティ診断も参考に、決済導線や会員情報を誰が管理しているか確認してください。

CMS本体と追加機能では管理元が異なることがある

WordPressやDrupalの本体は更新されていても、テーマ、プラグイン・モジュール、独自機能が同じように管理されているとは限りません。

追加機能の開発者が更新を終了していたり、現在のCMS本体と合わなくなっていたりする場合もあります。

保守会社へ、現在使っている追加機能の一覧、更新状況、サポートの有無を確認し、回答を記録しておきましょう。

便利な追加機能も確認対象に含める

カレンダー、問い合わせフォーム、ファイルアップロードなど、業務に役立つ機能もサイトの一部です。

使っている機能だけでなく、停止したままファイルが残っているテーマ、プラグイン・モジュールがないかも保守会社へ確認します。

問題が見つかった場合に、更新、削除、代替機能への変更のどれを選ぶか判断する担当者も決めてください。

会社規模ではなく管理状況で判断する

確認したいのは、会社の規模や知名度ではなく、公開中のCMSが継続して管理されているかどうかです。

担当者が不明、保守契約の範囲が曖昧、追加機能の一覧がないといった状態では、更新や異常への対応が遅れるおそれがあります。

まず管理状況を把握し、保守会社へ確認する項目と、専門診断へ任せる項目を分けましょう。

WordPressで保守会社へ確認する項目

WordPressでは、本体だけでなく、テーマやプラグインの管理状況がサイト全体に影響します。

経営者自身が設定を変更するのではなく、次の内容を社内担当者や保守会社へ確認してください。

専門用語が多く、何を尋ねればよいか迷うときは、公開中の機能と管理担当者から順に確認すると整理しやすくなります。

• 本体・プラグイン・テーマの更新: 現在のバージョン、更新の担当者、最後に確認した日、更新が止まっている追加機能の有無を確認します。
• ログイン画面と管理者アカウント: 管理者としてログインできる人、不要なアカウント、多要素認証やログイン試行制限の確認担当者を明確にします。Cookie・トークンを含むセッション管理の診断方法も、ログイン後の安全性を確認する際の参考になります。
• 使っていないプラグイン・テーマ: 無効化しただけでファイルが残っていないか、削除しても業務に影響しないかを保守会社へ確認します。
• 問い合わせフォーム・ファイルアップロード: 公開中の機能を一覧にし、想定外の入力やファイルへの安全性を確認しているか尋ねます。

アップロード機能を利用している場合は、ファイルアップロード機能の脆弱性と診断方法も参考に、診断対象へ含める機能を整理しましょう。

確認結果は、担当者、確認日、対応が必要な項目、連絡先とともに記録してください。

Drupalで保守会社へ確認する項目

Drupalは利用者の役割や権限を細かく設定できるため、更新状況とあわせて、誰がどの機能を使えるかを確認することが重要です。

設定内容を見ても判断が難しく感じる場合は、保守会社へ現在の利用者と権限を一覧で示してもらいましょう。

• 本体・追加モジュールの更新: 現在利用している本体とモジュール、更新の担当者、セキュリティ情報を確認する連絡経路を整理します。
• 利用者の役割と権限: 匿名利用者、一般会員、編集担当者、管理者に必要以上の権限が付いていないか、見直す担当者を決めます。
• 公開フォームとAPI: 外部から入力を受け取るフォームやAPIを一覧にし、入力内容の確認を誰が担当しているかを保守会社へ尋ねます。
• 設定・バックアップファイル: 管理用の設定やバックアップがインターネットから見える場所にないか、保存先と確認記録を確認します。

WordPressとDrupalでは追加機能や権限の扱いが異なるため、利用中のCMSに合わせて保守会社へ確認する必要があります。

公開機能の代表的な確認観点は、OWASP Top 10とは？Webの主要脆弱性チェックと自己診断も参考になります。

会社と保守会社でCMSの管理状況を把握する

更新や認証、バックアップなどの実作業は、社内担当者や保守会社へ任せられます。

経営者は、作業方法を細かく覚えるより、担当者が決まっているか、確認記録があるか、問題が見つかったときの連絡先が分かるかを確認しましょう。

記録が見つからず不安な場合は、まず直近の更新、権限、バックアップの確認結果を保守会社へ依頼してください。

本体と追加機能の更新状況を確認する

CMS本体、テーマ、プラグイン・モジュールには、安全性に関係する更新が提供されることがあります。

保守会社へ、更新情報を誰が確認し、更新前にどのようなバックアップを取り、更新後に主要機能を確認しているか尋ねてください。

更新できない機能がある場合は、理由、業務への影響、代替策、対応予定日を記録します。

管理者アカウントと認証を確認する

管理画面を利用できる人が現在の担当者と一致しているか、退職者や以前の制作会社のアカウントが残っていないかを確認します。

多要素認証、ログイン試行制限、個人ごとの管理者アカウントを利用しているかも、設定担当者へ確認しましょう。

複雑な認証情報の管理には、パスワード管理ツールも利用できます。

使っていない追加機能を整理する

停止中のテーマ、プラグイン・モジュールでも、ファイルが残っていれば管理対象になります。

削除してよいもの、業務上残すもの、代替を検討するものを保守会社と分け、判断日と担当者を記録してください。

CMSの管理状況を記録する

次の表は、経営者が作業方法ではなく管理状況を確認するためのものです。

確認対象	主な担当者	残す確認記録	問題があった場合の連絡先
WordPress・Drupal本体	保守会社・運用担当	バージョン、確認日、更新結果	保守会社の担当窓口
テーマ・プラグイン・モジュール	保守会社・制作会社	利用一覧、更新状況、サポート状況	制作会社・開発会社
管理者・利用者権限	システム管理者	利用者、権限、見直し日	社内責任者・保守会社
管理画面の認証	システム管理者	多要素認証、確認日、異常の有無	社内責任者・保守会社
公開フォーム・アップロード	制作会社・開発会社	公開機能、変更日、確認結果	制作会社・開発会社
設定・バックアップファイル	保守会社	保存先、公開状態、確認日	保守会社の担当窓口
バックアップと復元	保守会社・事業責任者	取得結果、復元確認、実施日	保守会社・社内責任者
更新後の主要機能	制作会社・業務担当	表示、フォーム、連携の確認結果	制作会社・業務責任者

保守終了や更新停止、不要な管理権限、復元できないバックアップが見つかった場合は、対応する会社、期限、業務への影響を記録します。

更新前のバックアップ、更新後の主要画面とフォームの確認も、保守会社との役割分担に含めてください。

診断結果を保守会社・制作会社への修正依頼につなげる

診断で問題が見つかったら、経営者が攻撃方法を理解して自分で修正する必要はありません。

問題のある画面や機能、重要度、事業への影響を確認し、担当する保守会社・制作会社へ結果を渡します。

OWASP Top 10セキュリティチェックで脆弱性の分類と確認対象を整理すると、修正を依頼する相手を判断しやすくなります。

問題のある画面と修正担当を決める

ログイン画面、フォーム、アップロード、会員機能、独自機能、公開APIのうち、どこに問題があるかを診断結果で確認します。

利用者や顧客への影響が大きい問題から、修正を担当する会社、期限、修正までの対応を決めてください。

必要に応じてアクセス制限や対象機能の一時停止を相談し、恒久的な修正の予定も記録します。

修正後に再確認し、記録を残す

保守会社・制作会社による修正後は、指摘された画面や機能を再確認し、問題が解消されたか確かめます。

診断結果、修正依頼、変更内容、再確認の結果を、対象と実施日が分かる形で保存しましょう。

問題が残った場合は、担当会社へ再度連絡し、原因と対応予定を更新します。

経営者は事業への影響と対応状況を確認する

経営者への報告は、技術用語の一覧ではなく、未解消の問題、影響する業務、修正担当、期限、再確認の結果を中心にまとめます。

専門診断の依頼範囲を考える際は、脆弱性診断の費用・相場で対象範囲と費用の考え方を確認できます。

Webアプリケーション脆弱性診断の対象範囲も確認し、CMSの保守作業とは別に診断する公開機能を整理しましょう。

『セキュリティー診断さん』の診断結果は、保守会社・制作会社への修正依頼と修正後の再確認に活用できます。

CMS保守とWeb脆弱性診断の役割を分ける

CMS保守とWeb脆弱性診断は、どちらも安全な運用に役立ちますが、確認する内容が異なります。

会社と保守会社が継続して管理すること

CMS本体と追加機能の更新、不要な機能の整理、利用者と権限、バックアップと復元は、会社と保守会社が継続して管理します。

担当者、確認日、結果、問題発見時の連絡先を記録し、保守契約に含まれる作業も確認してください。

専門診断で公開中の機能を確認する

更新済みでサイトが問題なく表示されていても、ログイン画面の認証や権限、フォームへの想定外の入力、アップロード機能、独自機能、公開APIの弱点までは判断できません。

『セキュリティー診断さん』では、インターネットから利用できる画面や機能を専門的に確認できます。

診断前に、公開中のログイン、問い合わせ、会員、アップロード、独自機能、APIを整理しておくと、確認範囲を相談しやすくなります。

どこまで診断対象に含めるか迷う場合も、利用者が実際に使う画面から整理すると相談しやすくなります。

分かりやすい結果を修正依頼に使う

診断結果から問題のある画面や機能、重要度を確認できれば、保守会社・制作会社へ具体的に修正を依頼できます。

技術的な原因を経営者自身で解明するのではなく、結果を担当会社へ共有し、修正後の再確認まで進めることが大切です。

診断前に公開機能と担当会社を整理する

診断を検討するときは、CMS本体の種類だけでなく、外部から利用できる画面や機能を確認します。

• ログイン画面と管理画面
• 問い合わせ・申込フォーム
• ファイルアップロード
• 会員向け機能
• 制作会社が追加した独自機能
• 外部公開API

サービスの対象範囲はセキュリティー診断さん、診断範囲の考え方は脆弱性診断の費用・相場で確認できます。

利用できるプランは料金プラン、対象の判断に迷う場合はお問い合わせから相談できます。

公開機能ごとに、社内担当者、保守会社、制作会社のどこが管理しているかも一覧にしておきましょう。

保守会社と診断会社へ確認すること

WordPressとDrupalで確認内容は変わるか

WordPressではテーマやプラグイン、Drupalではモジュールや細かな権限設定など、重点的に確認する項目が異なります。

利用中のCMSと追加機能を伝え、保守会社の確認範囲と専門診断の対象を整理してください。

外部サービス型のCMSでは誰が管理するか

サービス提供会社が管理する本体と、自社や制作会社が追加したテーマ、スクリプト、連携APIでは担当が異なる場合があります。

契約内容と変更した機能を確認し、公開部分のうち自社側で確認すべき範囲を整理しましょう。

診断時のサイトへの影響をどう確認するか

診断する画面や機能、実施条件、避けたい操作を事前に共有し、業務への影響が心配な機能は診断会社と相談します。

どの機能を診断対象にするか

CMS本体の名前だけで決めず、ログイン、フォーム、アップロード、会員機能、独自機能、公開APIなど、実際に外部から使える部分をもとに決めます。

診断後は誰へ修正を依頼するか

診断で特定された画面や機能を担当する保守会社・制作会社へ結果を渡します。

修正後は指摘箇所を再確認し、診断結果から対応完了までの記録を残してください。

CMSの管理状況を確認し、公開部分は専門診断へ任せる

WordPress・Drupalの安全な運用では、本体、テーマ、プラグイン・モジュール、独自機能を誰が管理しているか把握することが出発点です。

更新、バックアップ、利用者管理、不要な追加機能の整理は、社内担当者と保守会社へ確認し、実施結果を記録しましょう。

一方、公開中のログイン画面、フォーム、アップロード、会員機能、独自機能、公開APIに技術的な弱点がないかは、専門診断による確認が役立ちます。

『セキュリティー診断さん』で問題のある画面や機能を特定し、保守会社・制作会社への修正依頼と修正後の再確認へつなげてください。