CMSにおいて考慮しなければいけないセキュリティリスク｜課題と解決方法を紹介

この数十年の間に、ソフトウェア開発は見違えるほど変化しました。オープンソースソフトウェア（OSS）の台頭、分散システム、ハイブリッドクラウドアーキテクチャの組み合わせにより、あらゆるビジネスの中に複雑で多層的なエコシステムが形成されています。これらのエコシステムをサイバー脅威から保護することは困難なことです。 

セキュリティはあらゆるレベルで構築され、脅威の状況に合わせて常に更新される必要があります。

OSSのリスク

OSSは、最新のソフトウェアの大部分を占めており、 コスト削減、イノベーション、柔軟性などをもたらしますが、それと同時にリスクももたらします。

OSSの開発者は、無報酬でも熱心に取り組む人からハイテク企業のチームまで、さまざまです。セキュリティにおけるベストプラクティスに従うものもあれば、そうでないものもあります。セキュリティ性の高いOSSの利用が重要となります。

ソフトウェアやコードのリスク

SolarWinds社のOrion Platformに対する攻撃で実証されたように、サプライチェーンのどの部分でもリスクが生じる可能性があります。

オーダーメイドの開発でも、開発者がベストプラクティスを守らなければ、脆弱性が生じます。ソフトウェアの再利用は一般的ですが、コードがアプリケーションの中に深く埋め込まれることが多く、メンテナンスが困難な場合があります。また、ソフトウェアのドキュメントが不完全であったり、古かったりする場合もあります。ソフトウェアやコードを常に最新の状態に保つことはセキュリティ対策において重要となります。

CMSのリスク

多くの企業は、Drupal、Joomla、WordPress、UmbracoなどのオープンソースのCMSを使用しています。

また、ほとんどのCMSはプラグインやサードパーティ製品、特注の拡張機能、および他のビジネスクリティカルなシステムとの統合によって強化されており、攻撃対象領域を拡大しています。顧客向けポータルサイトには、ID関連の攻撃に関するさらなるセキュリティ・リスクが存在するため、CMSを使用してポータルサイトを作成する場合は、別の側面から検討する必要があります。

サイバー犯罪者は、既知の脆弱性を持つ部品を使用する Web サイトに力を注いでいます。ゼロデイ攻撃は有名ですが、多くのウェブサイトは、企業がパッチを適用できなかった何年も前の欠陥によって侵入されています。

企業はCMSのエコシステムを最新に保つのに苦労しています。アップデートには、分析、回帰テスト、他システムへの変更が必要です。あいまいなオープンソースライブラリの特定のバージョンを使用しているかどうかということを把握していることが、常に必要となります。

CMSには、コンテンツ制作者、管理者、開発者、ITサポートなど、多くのユーザーが存在することがよくあります。適切なアイデンティティ、認証、アクセス制御がなければ、ハッカーに侵入の機会を与えてしまいます。