中小企業 WEB セキュリティ 5 原則（2025 OWASP 準拠）

「うちのような小さい会社のサイトは狙われない」という前提は、実データと合いません。Verizon の 2025 年 DBIR（Data Breach Investigations Report）は、中小企業の侵害の 88% にランサムウェアが関与したと報告しています。大企業の 39% と比べると、その差は明らかです。

理由は単純で、現代の攻撃の多くは標的を一つずつ選びません。脆弱性を持つサイトを機械的に探し、見つけ次第攻撃する自動化されたものが大半です。サイトの規模ではなく「穴があるかどうか」だけが判定基準になります。

だからこそ、限られた予算でも「何から手を付けるか」を間違えないことが重要です。次章からの 5 原則は、OWASP Top 10:2025 の優先度と中小企業の現実を踏まえた順番で並べています。

OWASP Top 10:2025 で 1 位は A01 Broken Access Control（アクセス制御の不備）です。2021 年版から続けて首位で、2025 年版では SSRF（サーバーサイドリクエストフォージェリ）もこのカテゴリに統合されました。

アクセス制御とは「誰が何を見て・操作できるか」の境界です。管理画面が推測しやすい URL で公開されている、ログインしていなくても他人の情報ページが開ける、といった状態がここに当たります。IPA「安全なウェブサイトの作り方」第 7 版も、アクセス制御の欠落を基礎的な脆弱性の一つとして挙げています。

中小企業サイトでの実務対策はシンプルです。管理画面へのアクセスを限定する、権限は「必要な人に必要な分だけ」与える、ログイン後の操作も毎回サーバー側で権限を確認する。新しいツールを買う前に、まずこの境界を引き直します。

A02 Security Misconfiguration（セキュリティ設定ミス）は、2021 年版の 5 位から 2025 年版で 2 位へ上昇しました。コードのバグではなく「設定の不備」で起きる侵害が、それだけ増えているということです。

典型例は、初期パスワードのまま運用している、不要な管理機能やデバッグ表示が公開されたまま、エラー画面にサーバー内部の情報が出ている、といったものです。どれも高度な攻撃技術を必要とせず、設定を直すだけで塞げます。

対策は「公開前チェックリスト」を持つことに尽きます。初期アカウントの無効化、不要機能の停止、エラー表示の抑制、HTTPS の常時化。一度作れば、サイト更新のたびに同じ基準で確認できます。

OWASP Top 10:2025 では、旧「古い・脆弱なコンポーネント」が A03 Software Supply Chain Failures（ソフトウェアサプライチェーン障害）として再定義・拡張されました。自分で書いていない部品 — プラグイン、テーマ、外部ライブラリ — が侵入経路になるという考え方です。

WordPress を例にすると、その傾向は数字で見えます。Patchstack の 2025 年レポートによれば、WordPress エコシステムで報告された新規脆弱性 11,334 件のうち 91% がプラグイン、9% がテーマ、コア本体はわずか 6 件でした。リスクはほぼサードパーティ起因です。

対策は「入れすぎない・更新を怠らない・出所を確認する」の 3 つです。使っていないプラグインは削除する、更新は放置しない、有料だからといって安全とは限らないと知っておく。これは WordPress のセキュリティ記事でさらに具体的に扱います。

CSP（Content Security Policy）は、ページが読み込んでよいスクリプトの出所を制限する仕組みです。XSS（クロスサイトスクリプティング）— 悪意あるスクリプトを他人のページで実行させる攻撃 — への中心的な防御になります。

かつて主流だった「許可ドメインのリスト方式」は回避策が多く、現在は推奨されません。web.dev は nonce ベースまたは hash ベースの script-src を使う Strict CSP を推奨しています。'strict-dynamic' を組み合わせると、信頼済みスクリプトが読み込む子スクリプトも安全に許可できます。

さらに require-trusted-types-for と trusted-types による Trusted Types で、DOM ベースの XSS も防げます。ただし 2025〜2026 年時点で Trusted Types をフル対応しているのは Chrome のみで、Firefox と Safari は未対応のため、ポリフィルの併用を前提に設計します。

セキュリティヘッダーは、ブラウザに「このサイトはこう扱ってほしい」と指示する設定です。2025 年に整えておきたいのは HSTS、CSP、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、Cross-Origin 系といったヘッダー群です。

一点、誤解されやすい変更があります。クリックジャッキング対策の X-Frame-Options は、CSP の frame-ancestors ディレクティブにより obsolete 扱いになりました。新規実装では frame-ancestors を優先し、古いブラウザ互換のために X-Frame-Options を併記する形が無難です。

設定が正しいかは Mozilla HTTP Observatory や securityheaders.com で評価できます。「最初の構築時にまとめて入れて、評価ツールで確認する」のが、後から個別に足すよりはるかに楽です。