セキュリティの
学び場

ECサイトの作成は手軽で容易に

近年は、専門的な知識やスキルが無くても手軽にWebサイトを作成できるCMS（Content Management System）を用いることが主流になり、個人や事業規模の小さい企業、商店でも手軽に店舗サイト、ECサイトを作成することができるようになりました。

なかにはクラウドCMSと呼ばれる、Webブラウザ上から視覚的にWebサイトの構成を選択するだけでWebサイトを作成し、そのままサーバの契約も不要でサイトを公開することのできるサービスもあり、Webサイト作成、公開はますます容易なものとなっています。

利便性と脆弱性

Webサイトを手軽に作成・公開できるようになった反面、懸念されるのが設定の不備や脆弱性を悪用されることによる情報漏洩のリスクです。

多くの場合、CMSはオープンソースであることから無料で利用できる一方、設定内容や脆弱性への対応は利用者自身で管理する必要があります。またオープンソースという特性上、利便性を向上させるための拡張機能（プラグイン）が豊富に公開されていますが、これらの中には脆弱性を含んでいるものも少なくありません。

個人が作成・公開することが可能であることから、十分な安全性の検証が行われていない場合、これらプラグインの中に存在するバックドアを悪用されるケースも考えられます。

以上のことから、自身のWebサイトにどのような脆弱性があるのか、設定は不備のない正しいものなのかを、利用者自身が把握し、管理する必要があります。

情報漏洩はこうやっておこる

ECサイトにおける情報漏洩のケースには様々な事例がありますが、主な例としては以下のようなものが挙げられます。

Webアプリケーションの脆弱性診断の重要性

多くの場合、Webアプリケーション診断、プラットフォーム診断を行うことで、不正ログインへの耐性があるか、アクセス権限の制御が正しく行われていないかなどの脆弱性の有無を検査することが可能です。しかし、クラウド環境上の設定不備によって生じる問題は、一般的には既存の脆弱性診断では検出できません。このため、Webアプリケーションやプラットフォームに脆弱性診断を行っている場合でも、クラウド診断が必要になります。