WordPressのようなCMSは、専門的な開発知識がなくてもWebサイトを構築・更新できる点が利点だ。一方、動的にページを生成する仕組みやデータベース、プラグインなどを利用する場合、それらを安全に運用するための管理が必要になる。

ソフトウェアを更新すれば、既知の脆弱性への対策を進められる。しかし、更新作業そのものが不要になるわけではない。更新後に表示や機能が崩れていないかを確認する作業も発生する。サイト独自の機能や外部サービスとの連携が多ければ、確認すべき範囲も広がる。

　ここで問題になるのが、企業サイトの重要性と運用に割けるリソースの不均衡だ。会社案内や事業紹介など、掲載内容を頻繁に変更しないサイトであっても、基盤となるソフトウェアの更新は必要だ。更新頻度の低いサイトだからといって、セキュリティ上のリスクまで小さくなるわけではない。

　一方、こうしたサイトのためだけに、専門知識を持つ担当者を配置したり、保守業務に十分な予算を確保したりするのは難しい。そもそも、会社の所在地や事業内容、サービスの概要を公開することが主な目的なら、複雑なシステムを常時稼働させなくてすむ場合もある。

　そこで選択肢となるのが、Webサイトを静的HTMLで配信する構成への移行だ。

「静的サイト化」という選択肢

　PHPの脆弱性を受け、既存のWebサイトから静的サイトへの移行を支援するサービスが相次いで登場している。みらいスタジオの「ホットケル」や、アプキーの「WordPress・PHPサイトHTML化サービス」、HuXの「ひとことWeb」などが一例だ。

　これらのサービスは、WordPressなどで制作された企業・団体のサイトを、デザインを維持したまま静的サイトへ移行するものだ。公開サーバからPHPやプラグインをなくし、HTMLやCSS、画像を中心とする構成に切り替える。公開サーバでPHPを動かさないため、PHPの脆弱性を悪用する攻撃への対策につながる。ただし、全てのWebサイトに適用できるわけではない。サービスによって移行対象や価格、詳細な条件などは異なる。

　静的サイト化が企業にもたらす意味は、Webサイトの保守を効率化することだけではない。セキュリティ対策の考え方を、脆弱性への対応から、攻撃対象となる仕組みを減らす設計へ広げる点にある。

　従来の運用では、利用しているソフトウェアを把握して脆弱性情報を確認し、更新を適用するという管理が欠かせない。これに対して、サイトの目的に照らして不要な動的処理をなくせば、管理対象そのものを減らせる可能性がある。

　特に、更新頻度が低く、会社概要や事業紹介などの情報提供を主目的とするサイトでは、CMSの機能を維持する必要性を検討する余地がある。

　一方、静的サイト化によって、あらゆるセキュリティリスクがなくなるわけではない。公開ファイルの改ざん、サーバやアカウントの管理不備、外部サービスの脆弱性など、引き続き対策すべき問題は残る。問い合わせフォームを外部サービスに切り替える場合には、そのサービスの安全性やデータ管理方法も確認する必要がある。

　また、CMSを使わなくなることで、従来の管理画面から記事を更新できなくなる場合もある。サイトの更新頻度や担当者のスキル、運用体制によっては、移行後の編集作業がかえって負担になる可能性もある。

　静的サイト化を検討する際には、セキュリティ上の利点だけでなく、更新のしやすさや必要な機能、移行後の運用コストまで含めて評価することが重要だ。

自社サイトの目的を見直し、運用方法を選び直す

　企業が今回のPHP脆弱性から考えるべきなのは、現在のWebサイトが本当に必要としている機能は何かという点だ。

　まず、サイトの用途を整理したい。会社概要やサービス紹介を掲載するだけなのか、頻繁に記事を更新するのか、問い合わせや予約、会員管理などの機能を提供しているのかによって、適切な構成は変わる。

　次に、誰がどのように保守しているかを確認する必要がある。WordPress本体やプラグインの更新担当者が明確になっているか、脆弱性情報を確認する手順があるか、問題が発生した際に制作会社やサーバ事業者へ連絡できる体制が整っているか。こうした基本的な運用が決まっていない状態では、サイトの構成を変更してもリスク管理は十分ではない。

　そのうえで、動的な機能を維持する必要がないサイトについては、静的サイト化も選択肢となる。反対に、頻繁な情報更新や高度な機能が必要なサイトでは、CMSを維持しながら更新管理やアクセス制御、バックアップなどの対策を強化する方が適している場合もある。

　Webサイトの安全性は、導入する製品やサービスだけで決まるものではない。サイトの目的に合った構成を選び、その構成を継続的に管理できる体制を整えることが欠かせない。脆弱性への対応をきっかけに、保守作業をどう効率化するかだけでなく、そもそも何を保守し続ける必要があるのかを問い直す必要がある。