ECサイト セキュリティ対策の見直し方｜カート移行の確認項目と安全な進め方
ECサイト セキュリティ対策の見直しは、顧客情報とEC事業を守るために欠かせません。ECサイトでは、氏名・住所・電話番号・メールアドレスをはじめ、注文履歴や配送先など、多くの重要情報を取り扱います。万が一、不正アクセスや情報漏えいが発生すると、お客様への対応や原因調査、再発防止などが必要になり、通常のショップ運営に大きな影響を及ぼす可能性があります。
セキュリティ対策は、個別の機能を追加するだけで完了するものではありません。ECカート自体の安全性、日々のアカウント管理、外部サービスとの連携、運用担当者の権限、バックアップ、問題発生時の対応まで含めて考える必要があります。
今回は、ECサイトのセキュリティを見直す際の確認項目と、現在利用しているECカートから新しい基盤へ安全に移行するための進め方を解説します。
カード決済を継続するためにも、EC基盤の確認が重要
ECサイトの情報漏えいは、顧客対応や信用低下だけでなく、クレジットカード決済の継続や再開にも影響する可能性があります。
EC加盟店には、カード情報を自社環境で保存・処理・通過させない「非保持化」、またはカード情報を取り扱う場合のPCI DSS準拠が求められます。さらに、カード情報を保持しないECサイトであっても、管理画面の権限管理、脆弱性対策、不正アクセス対策などを継続的に行う必要があります。
特に、サーバーやシステムを自社で管理するECサイトでは、ソフトウェアの更新、脆弱性対応、アクセス管理など、事業者側が担う範囲が広くなります。社内で十分な管理体制を維持することが難しい場合は、PCI DSSへの対応状況や継続的なセキュリティ対策を確認できるSaaS型ECカートへの移行も選択肢になります。
ECカートを見直す際は、セキュリティ機能だけでなく、カード情報の取り扱い方法、PCI DSSへの対応状況、脆弱性対策の実施体制まで確認しましょう。
ECサイトのセキュリティは「機能」と「運用」の両面で考える
ECサイトの安全性を確認するとき、SSLや二段階認証の有無だけを見てしまいがちです。しかし、十分な対策を行うには、次の3つの観点が必要です。
1．EC基盤に備わっているセキュリティ機能
通信の暗号化、不正ログイン対策、脆弱性対策、バックアップなど、ECカートやプラットフォーム側が提供している機能です。事業者自身でサーバーやソフトウェアを管理する場合と、クラウド型のECカートを利用する場合では、担当する範囲が異なります。
2．ショップ運営者側の管理体制
高機能なECカートを利用していても、複数人で同じIDを使い回していたり、退職者のアカウントが残っていたりすれば、不正利用のリスクは高まります。誰が、どの情報に、どの権限でアクセスできるのかを継続的に管理することが重要です。
3．制作会社や外部サービスを含めた運用
ECサイトは、決済、物流、受注管理、メール配信、広告計測、サイト制作など、多くの外部サービスと連携します。ECカートだけでなく、連携先のアカウントやAPI、FTP、共有ファイルなども含めて管理しなければなりません。
セキュリティを見直す際は、「どの機能があるか」に加え、「誰がどのように運用するか」「問題が起きたときに誰が対応するか」まで確認しましょう。
ECカートを選ぶ際に確認したいセキュリティ項目
ECカートの新規導入や乗り換えを検討する際は、少なくとも以下の項目を確認しておくことをおすすめします。
管理画面の認証とアクセス管理
- 管理画面で二段階認証を利用できるか
- 担当者ごとにアカウントを発行できるか
- 必要な業務に応じて権限を分けられるか
- ログイン履歴や不審なアクセスを確認できるか
- アカウントの追加・停止を速やかに行えるか
管理画面には、顧客情報や売上情報、ショップ設定などが集まっています。パスワードが漏えいした場合にも第三者のログインを防ぎやすくするため、二段階認証は重要な確認項目です。
通信・システムへの攻撃対策
- サイト全体がSSL／HTTPSに対応しているか
- 脆弱性診断やセキュリティアップデートが行われているか
- WAFやDDoS対策が用意されているか
- 不正アクセスを検知・遮断する仕組みがあるか
- データのバックアップと復旧体制があるか
対策の名称だけでは、対象範囲や提供条件まで判断できません。標準機能かオプションか、ショップ側で設定が必要か、障害時にどのような支援を受けられるかも確認しましょう。
決済と不正注文への対策
- クレジットカード情報をどのように取り扱うか
- 3Dセキュアなどの本人認証に対応しているか
- 不正注文や大量アタックを検知できるか
- PCI DSSなど、決済に関する基準への対応状況を確認できるか
不正注文対策を強くしすぎると、正規のお客様まで購入できなくなる可能性があります。安全性だけでなく、購入体験とのバランスも考える必要があります。
事業者としての管理体制
- 情報セキュリティに関する方針が公開されているか
- ISMSやプライバシーマークなどの取得状況を確認できるか
- セキュリティ事案が発生した際の連絡体制があるか
- 定期的なアップデートや保守が行われているか
- 導入後に相談できるサポート窓口があるか
認証の取得だけで安全性のすべてが保証されるわけではありませんが、組織として継続的に情報を管理しているかを判断する材料になります。
ECカートの乗り換え時に注意したい情報管理
セキュリティ強化を目的にカートを乗り換える場合でも、移行作業の進め方が適切でなければ、かえってリスクが高まります。特に注意したいのが、データの受け渡しとアカウント管理です。
移行対象のデータを必要最小限にする
一般的なカート移行では、商品情報、カテゴリ、会員情報、受注情報、ポイント、画像などを扱います。しかし、現在保有している情報をすべて移す必要があるとは限りません。
利用目的や保存期間を確認し、移行後の運営に必要なデータを整理しましょう。不要な個人情報を持ち続けないことも、万が一の被害を抑えるための対策です。
CSVなどのデータを安全に受け渡す
会員情報や受注情報をCSVで受け渡す場合、通常のメールに添付したり、アクセス制限のない場所へ保存したりするのは避けるべきです。
データの保存場所、暗号化、共有相手、閲覧期限、作業後の削除方法を事前に決め、受け渡しの記録を残します。制作会社や移行支援会社へ作業を依頼する場合は、再委託の有無やデータの取り扱い方法も確認しておきましょう。
旧環境と新環境のアカウントを整理する
移行期間中は、旧カートと新カートの両方にアクセスするため、一時的にアカウントが増えます。共通IDの使用を避け、担当者ごとに必要な権限だけを付与します。
移行完了後は、制作会社や一時作業者のアカウント、FTP情報、APIキーなどを棚卸しし、不要なものを停止・削除します。パスワードを変更する場合は、他のサービスとの使い回しも解消しましょう。
安全にECカートを移行するための6つのステップ
STEP1．現在の環境とリスクを把握する
利用中のカート、決済、物流、受注管理、メール配信、ドメイン、計測ツールなどを一覧化します。あわせて、管理者、利用アカウント、権限、データ連携方法を確認します。
STEP2．移行の目的と要件を決める
「セキュリティを強化したい」だけでなく、管理画面の二段階認証、権限管理、バックアップ、サポート体制など、必要な条件を具体化します。売上拡大や運用効率化も含め、移行後に実現したい状態を整理します。
STEP3．移行するデータと方法を決める
何を移行し、何を旧環境に残すかを決めます。データ形式や件数を確認し、自動移行できるものと手作業が必要なものを分けます。会員パスワードなど、仕組み上そのまま移行できない情報がないかも確認が必要です。
STEP4．テスト環境で検証する
本番公開前に、商品表示、会員登録、ログイン、注文、決済、メール、在庫連携、出荷データなどを確認します。セキュリティ設定についても、二段階認証や権限、不要な公開情報がないかをチェックします。
STEP5．切り替え計画と緊急時の対応を決める
公開日時、受注停止の有無、データの最終差分、ドメイン切り替え、関係者への連絡方法を決めます。不具合が発生した場合に、元の環境へ戻す条件や問い合わせ窓口も整理しておきます。
STEP6．公開後にアカウントとデータを棚卸しする
新しいECサイトが公開された後も、旧環境の停止、不要アカウントの削除、移行用データの廃棄、ログの確認などが残ります。公開後一定期間は、注文・決済・会員ログインに異常がないかを重点的に確認しましょう。
乗り換え後も続けたいセキュリティ運用
ECカートの移行は、セキュリティ改善のスタートです。安全な状態を維持するため、次の運用を定期的に行いましょう。
- 管理画面の二段階認証を有効にする
- 担当者ごとにアカウントを発行し、共有を避ける
- 退職・異動・委託終了時に権限を削除する
- パスワードや認証情報を使い回さない
- 外部サービス、API、FTPの接続状況を棚卸しする
- 不審なログインや受注がないか確認する
- 問題発生時の連絡手順を整備する
- 運用担当者向けのルールと教育を定期的に見直す
日常業務に組み込めないルールは、時間とともに形骸化しやすくなります。月次のアカウント確認や、担当変更時のチェックリストなど、実行できる仕組みにすることが大切です。
makeshopへの移行と、その後のEC運営まで支援します
makeshopでは、SSL／HTTPS、管理画面の二段階認証、不正ログイン検知・通知、脆弱性診断、データの自動バックアップ、WAF／DDoS対策など、EC運営を支えるセキュリティ機能・対策を提供しています。また、GMOメイクショップ株式会社は、ISMS（ISO/IEC 27001）やプライバシーマークを取得し、PCI DSSにも準拠しています。
makeshopが提供するセキュリティ機能については、ECサイトのセキュリティ対策をご確認ください。
GMOメイクショップのEC運営代行では、現在のショップ環境を確認したうえで、商品・会員・受注データなどの移行、サイト構築、公開準備、公開後の更新や運営まで支援します。
「現在のカートから何を移行できるか分からない」「移行中に注文や顧客対応を止めたくない」「新しい環境に移した後の運営体制も相談したい」といった段階からご相談いただけます。
セキュリティ面を含めて、EC基盤を見直しませんか？
現在の運営状況や課題を伺い、カート移行から公開後の運営までご提案します。
※掲載している機能、認証・準拠状況、移行可能なデータ、支援範囲は変更される場合があります。ご利用中のサービスやデータ形式によって、移行方法・対応範囲は異なります。詳しくはお問い合わせください。
