ホームページのセキュリティ対策で失敗するのは「お金をかけなかったから」ではなく、対策の優先順位を決めずに、営業の勧める順番でお金を払ってしまうことです。対策には「無料で済むもの」「月額がかかるもの」「イレギュラーに高いもの」の3つの型があり、順番を守れば、中小規模のサイトなら初期投資をほぼゼロにしても水準を大きく上げられます。

この記事では、対策費用を3つの型に分けて整理した上で、最初にやるべき優先順位、CMS（WordPress等）を使うかどうかで変わる月額の分岐、そして万一改ざんされたときの復旧費用の考え方までを解説します。要点は次の3つです。

• 最初にやるべきはSSL・更新体制・バックアップ・管理画面の保護。このうちSSLは無料で済む
• 月額がかかるかどうかは「CMSを使うか」でほぼ決まる。更新対応を外注すれば月額が発生し、静的な構成なら発生しない
• 復旧（改ざん後の対応）は最も高い型の費用。予備日の確保が最大のコスト削減になる

私はWeb制作を受注する側のフリーランスで、自身のサイトをWordPressから静的な構成へ移行しています（手順は移行の全手順で公開）。セキュリティは「怖いからお金を払う」ではなく、構造を理解した上で順番に潰す、という立場での整理です。

なぜ対策が必要か: 改ざんは「狙われて」起きるのではない

改ざん被害の多くは、特定のサイトを狙ったものではなく、脆弱性を持つサイトを機械的に探し当てた自動攻撃によるものです。総務省の国民向けサイバーセキュリティサイトは、ホームページの書き換え被害を事例として公開し、ソフトウェアの更新怠りを主な要因として挙げています（総務省）。警察庁もウェブサイト改ざん対策のページで、脆弱性対策の実施を基本として案内しています（警察庁）。

つまり被害に遭う条件は「CMSやプラグインの更新が止まっていること」であり、企業規模やサイトの有名無実はあまり関係ありません。逆に言えば、更新の仕組みを作ることが最大の対策であり、そこにお金より先に掛かるのは「仕組みづくりの手間」です。

費用は「3つの型」で考える

対策の費用は、次の3つの型に分けると整理しやすくなります。

型①は支出ゼロですが「作業が止まると脆弱になる」性質があり、型②は「作業をお金で買い、止まっても続く」性質があります。型③は基本的に型①②を怠ったときに発生する遅延コストと考えてください。金額のレンジはサービス・規模で大きく変わるため、正確な見積もりは担当業者に確認するのが前提です。

優先順位: 最初にやるべき4つ

費用をかけられるだけかける、のではなく、次の順番で潰します。

1. SSL化（無料で済む）。常時SSLは今どきのサイトの前提で、対応していないとブラウザに警告が表示されます。レンタルサーバーの無料SSL（Let's Encrypt等）で対応でき、費用は実質ゼロです。

2. 更新体制の仕組み化（ここだけが分岐点）。CMS利用時の最大の弱点は「更新が止まること」です。対応は2択です。

• 自社で更新する: 作業時間は月に数十分〜数時間。費用は0円だが、止まったら終わり
• 外注する（更新代行・保守契約）: 月額が発生するが、止まらない。保守契約の費用感や含まれる作業の確認方法は保守リスクの記事で解説しています

3. バックアップ（月額数百円〜 or 手動で0円）。復旧の要です。自動バックアップはサーバー標準機能やプラグインで対応でき、費用は月額数百円程度が目安です。手動なら0円ですが、忘れたら意味がないので頻度を決めて運用します。

4. 管理画面の保護（0円〜）。管理者IDの使い回し回避、強いパスワード、ログインURLの変更、二段階認証。いずれもプラグインや標準機能で対応でき、費用は発生しません。

この4つで型①と型②の最低限が埋まります。以降のWAFや監視は、サイトの重要度・アクセス規模に応じて追加する段取りが費用対効果に優ります。

対策を業者に依頼するときの確認ポイント

型②（月額）の対策は保守・更新代行の業者に依頼することになりますが、確認すべき項目は次の4つです。

• 作業の範囲: CMS本体・プラグインの更新に加えて、脆弱性対応の緊急パッチは含まれるか。更新で表示が崩れたときの復旧まで含まれるか
• バックアップの保管先: 同じサーバー内に保存しているだけだと、サーバーごと事故ったときに一緒に失われます。別保管（外部ストレージ等）かを確認します
• 報告の形式: 更新の実施記録・脆弱性情報の共有が、いつ・どの形で届くのか。仕組み化されている業者ほど信頼できます
• 解除条件: サイトの移行時にソースや設定情報を返してもらえるか。ここが曖昧だと縁切りできません

いずれも技術的な縛りではなく「書面に書かれているか」の問題です。セキュリティは信頼関係ではなく仕組みで担保するものなので、口頭の説明より契約書・見積書の記載を優先して確認してください。保守契約そのものの項目については、保守リスクの記事と契約書で確認すべき5項目で解説しています。

月額がかかるかどうかは「CMSを使うか」で決まる

型②の月額が発生する主原因は、CMS（WordPress等）のセキュリティ対応を継続しなければならないことです。本体とプラグインの脆弱性は常時発見されており、更新を続ける限り、作業（または代行費用）が付いて回ります。

ここで選択肢になるのが、更新頻度の低いサイトではCMSをやめて静的な構成にする道です。静的なHTMLは脆弱性更新という作業そのものが存在しないため、型②の「更新のための月額」を構造的にゼロにできます。私自身、運営サイトをWordPressから静的構成へ移行してCMS更新という作業を消しました。判断の分かれ目は更新頻度で、月1回未満の更新なら静的な構成が費用対効果で勝ちやすくなります。

一方で、頻繁に更新するサイト・複数人で記事を書くサイトにはCMSが合っています。その場合は型②の月額を「サイトを安全に運用するための正当な固定費」として予算化し、誰が・どの頻度で更新するかを契約に書くことが重要です。費用全体の位置づけは費用相場と内訳の読み方も参照してください。

改ざんされたときの復旧費用（型③の世界）

万一の改ざん時は、型③の費用が発生します。復旧は「調査・駆除・原因修正・再発防止」の一式で、被害範囲とサイトの構成次第で金額が大きく変わります。この領域は復旧サービスの広告が多く、慌てた状態で高い提案を受けやすい領域でもあります。

実務上の知恵は2つです。

• バックアップがあれば復旧は「戻す作業」になる: 型③の高額な調査が、型②の月額数百円でほぼ代替されます
• 静的な構成なら復旧の起点が単純になる: CMSの改ざんは「どこから入られたか」の調査に時間がかかりますが、更新のない静的ページなら、ファイルの差し替えと原因（サーバー・パスワード）の特定に絞れます

つまり、型③への備えは「お金を積む」ではなく、型①②を先に済ませておくことに尽きます。

よくある質問

Q. SSLは本当に無料でできますか？
レンタルサーバーがLet's Encrypt等の無料SSLを提供している場合は費用ゼロです。古いサーバーや専用証明書を使っている場合のみ証明書費用が発生します。まず自分のサーバーの管理画面で確認してください。

Q. WordPressは更新していれば安全ですか？
更新は必須条件ですが、十分条件ではありません。プラグインの選定（更新が止まっているものを入れない）、管理画面の保護、バックアップがセットで初めて水準になります。更新だけをやって他を放置するのが最も多い中途半端パターンです。

Q. バックアップはどのくらいの頻度がいいですか？
更新頻度に合わせます。月1回更新のサイトなら月1回のバックアップで足り、頻繁に更新するなら日次です。重要なのは頻度より「復旧手順を実際に一度試していること」です。

Q. 静的なサイトならセキュリティ対策は不要ですか？
不要にはなりません。CMSの脆弱性更新という常時作業が消えるだけで、SSL・パスワード・バックアップ・サーバー側の更新は引き続き必要です。CMSの更新月額が消える、と捉えるのが正確です。

まとめ: 順番に潰せば、初期費用はほぼゼロでいい

• 費用は3つの型: 無料で済む（SSL・更新作業・画面保護）/ 月額がかかる（代行・バックアップ・WAF）/ イレギュラーに高い（復旧・診断）
• 優先順位はSSL → 更新体制 → バックアップ → 管理画面の保護。最初の4つで型①と型②の最低限が埋まる
• 月額の有無はCMSを使うかで決まる。更新が月1回未満なら静的な構成が構造的に有利
• 復旧費用（型③）への最良の備えは、バックアップと更新体制を先に作ること

セキュリティ体制を含めたサイト構築・運用のご相談はお問い合わせフォームからどうぞ。CMSと静的構成のどちらが向くかの判断も、更新頻度さえ分かれば一緒に整理できます。