EC・Webセキュリティ対策 EC & Web Security
EC・Webセキュリティ対策
ECサイト・Webシステム・メール環境のセキュリティ対策を、調査診断から改修・移行・運用保守まで一貫支援
サイバー攻撃や標的型フィッシング、ランサムウェア、不正アクセスなど、企業を取り巻くセキュリティリスクは年々深刻化しています。
特にECサイトやWebシステムでは、顧客の個人情報やクレジットカード情報を扱うため、Webアプリケーション単体だけでなく、サーバー、CMS、決済システム、メール基盤、アカウント管理までを網羅した総合的なセキュリティ対策が不可欠です。
株式会社ND&Iは、2004年設立以来、ベネッセグループや神戸製鋼グループをはじめとする大手企業から老舗メーカーまで累計800社以上のEC・Webシステム構築実績と、10年以上にわたるプライバシーマーク（Pマーク）運用実績を持っています。
この現場ノウハウを活かし、単なる脆弱性診断（現状把握）にとどまらず、実際のシステム改修・バージョンアップ・サーバー環境改善・最新カートへのリプレイス・継続的なセキュリティ保守までワンストップで支援いたします。
「他社のセキュリティ診断で指摘を受けたが、システム改修の依頼先がない」「どこから手を付けるべきか分からない」というご相談も歓迎しております。
このような課題・
お悩みはありませんか？
-
EC・Webシステムの安全性を確認したい
- ECサイトやWebシステムに潜む脆弱性やセキュリティリスクを調査・把握したい
- EC-CUBE、WordPress、PHP、ミドルウェアのバージョンが古く放置されている
- サポート終了（EOL）を迎えた古いシステムから、安全な最新カート・環境へ移行したい
-
メール・アカウントセキュリティを強化したい
- 不審なメールや、役員・社員・取引先を装ったフィッシングメール（BEC）が届く
- SPF・DKIM・DMARC（送信ドメイン認証）の設定や強化方法が分からない
- 退職者のアカウント整理や、多要素認証（MFA）の導入が進んでいない
-
決済・ガイドライン・取引先の要求に対応したい
- クレジットカード決済の不正利用対策や、EMV 3-Dセキュア（3Dセキュア2.0）の導入を行いたい
- 経済産業省「クレジットカード・セキュリティガイドライン」への準拠を求められている
- 取引先や親会社から「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」等への対応やセキュリティチェックシートの回答を求められている
- ランサムウェア対策やデータ復旧（バックアップ）体制に不安がある
現状の運用環境を詳細にヒアリング・調査したうえで、事業規模とリスクに応じた最適な対策をご提案します。
提供サービス内容
ECサイトやWebアプリケーションに潜むセキュリティホールを検出し、悪意ある第三者からの攻撃や情報漏洩を未然に防ぎます。診断レポートの納品だけで終了せず、発見された脆弱性の修正コーディング、CMSのアップデート、改修後の再診断まで一括対応が可能です。
主な対応内容
- ECサイト・Webアプリケーションの脆弱性診断・リスクレベル整理
- 診断レポート作成（問題点の可視化と優先順位の整理）
- 他社診断サービスで指摘された脆弱性の修正・システム改修代行
- 改修箇所の動作確認および改修後の安全確認・再診断
既知の脆弱性を狙った自動攻撃を防ぐため、ご利用中のCMS（EC-CUBE、WordPress等）やミドルウェアの利用状況を調査し、安全な最新環境へのアップデートやセキュリティパッチ適用を実施します。
主な対応内容
- EC-CUBE（2系/3系/4系）のセキュリティパッチ適用・バージョンアップ
- WordPress本体・テーマ・プラグインの脆弱性調査および安全なアップデート
- PHP・ミドルウェアのサポート終了（EOL）調査とバージョンアップ対応
- 改ざん検知・不正ファイル混入の調査と復旧支援
- 最新プラットフォームへのリプレイス支援
※度重なるパッチ改修よりも、セキュリティが自動更新されるSaaS環境への乗り換えが最適な場合もございます。
ECサイト運営において最大の責務であるクレジットカード情報の保護や不正注文対策を技術面から支援します。
主な対応内容
- クレジットカード・セキュリティガイドライン準拠に向けた現状確認・改修支援
- EMV 3-Dセキュア（3Dセキュア2.0）の導入・実装改修
- トークン決済 / リンク型決済への移行によるカード情報の非保持化対応
- 不正注文・不正決済検知システムの導入・連携
- 決済代行事業者（PSP）からのセキュリティ要請への技術対応
Webサイトの基盤となるサーバーおよびクラウド環境（AWS、Google Cloud、VPS、専用サーバー）のセキュリティ設計・見直しを行います。
主な対応内容
- OS・ミドルウェアのバージョン最適化およびセキュリティパッチ適用
- WAF（Web Application Firewall）の導入・チューニング
- SSL/TLS最新暗号化設定・アクセス権限（SSH/SFTP等）の見直し
- 多要素認証（MFA）導入およびログ・バックアップ体制の検証
- 不要ポート・不要プロセスの停止と老朽化サーバーからの安全なクラウド移行
自社ドメインを悪用したなりすましメールや、企業の役員・社員を装ったビジネスメール詐欺（BEC）への多層防御策を構築します。
主な対応内容
- Google・米Yahoo!の送信者ガイドラインに対応したSPF / DKIM / DMARCの設定・強化
- DMARC集計レポート（rua）の分析とポリシー引き上げ（none → quarantine / reject）
- ドメイン偽装だけでなく、「表示名」を偽装した人物なりすましメール対策
- 外部メール受信時の警告バナー表示・隔離ルールの策定
- メールのMFA（多要素認証）導入と休眠メールアカウントの棚卸し
- Google WorkspaceやMicrosoft 365など、セキュアなクラウドメール基盤への移行支援
万が一のランサムウェア感染やインフラ障害時でも、迅速にデータを復旧できる実効性のあるバックアップ体制を整備します。
主な対応内容
- 現行バックアップ環境の診断（取得頻度・保存場所・世代数）
- 同一ネットワークから切り離した「イミュータブル（改変不可）バックアップ」「遠隔地バックアップ」の設計
- データベースおよび静的ファイルの自動世代管理
- バックアップデータからの実機リストア（復旧）手順書の作成・検証
- ランサムウェア感染を想定した初動対応フローの整理
内部不正や退職者アカウントの放置による情報漏洩を防ぐため、社内システムのアクセス権限を適正化します。
主な対応内容
- 管理画面・サーバー・クラウドサービスのアカウント棚卸し
- 退職者・休眠アカウントの削除および共用アカウントの廃止
- 最小権限の原則に基づく権限設計（ロール設定）
- パスワードポリシーの強化およびMFA（多要素認証）の全社展開
- Google Workspace等を活用した統合ID管理・シングルサインオン（SSO）環境の整備
経済産業省が推進する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」や、取引先企業から求められるセキュリティチェックシートへの対応を支援します。
主な対応内容
- SCS評価制度の要求水準・チェック項目に対する現状ギャップ分析
- 是正が必要なシステム・インフラ・メール領域の要件定義と改善実施
- 取引先向けセキュリティチェックシート（調達基準）の回答作成支援・技術的裏付けの提供
- Pマーク運用10年超の実績に基づく、運用管理体制のアドバイス
- 必要に応じた専門家・外部評価機関との連携支援
ND&Iが選ばれる理由
「診断して終わり」にしない総合力
一般的なセキュリティ診断会社は「問題点の指摘（レポート提出）」で業務が完了し、実際のソースコード改修やサーバー移行は「お客様ご自身または制作会社へ」と委ねられるケースがほとんどです。
ND&Iのワンストップ対応フロー
-
01
現状調査・脆弱性診断
-
02
リスク評価・対策設計
-
03
システム改修・
プログラム修正 -
04
サーバー・
メール基盤改善 -
※自社エンジニアが直接対応
※根本解決として「最新ECカートへの乗り換え・リプレイス」も選択可能 -
05
改修後検証・
継続保守
※他社の脆弱性診断ツールや外部診断ベンダー様から受け取った「診断結果レポート」をお持ち込みいただき、改修作業のみを代行することも可能です。
セキュリティ保守・継続支援
セキュリティ対策は一度の改修で完了するものではありません。日々生まれる新たな脆弱性やサイバー攻撃の手法に対抗するため、継続的な点検とアップデートが必要です。
ND&Iでは、Webサイト・ECサイトの日常的な運用保守と一体化させたセキュリティ保守プランをご提供しています。
- CMS・各種プラグインの定期アップデート
- 最新の脆弱性情報（CVE/JVN等）のモニタリングと迅速なパッチ適用
- サーバーOS・ミドルウェアの定期メンテナンス
- バックアップ取得状況の定期確認と整合性チェック
- セキュリティに関する技術相談・社内FAQ対応
- 万が一のインシデント発生時における初動調査・技術支援
よくある質問
-
- 他社の脆弱性診断でレポートをもらいましたが、システムの改修作業だけを依頼することは可能ですか？
-
はい、可能です。他社様の脆弱性診断レポートをお持ち込みいただき、指摘された問題点（脆弱性）のプログラム改修やサーバー設定の変更のみをご依頼いただくケースが多数ございます。診断結果をお送りいただければ、改修の優先順位と費用・期間をご提案いたします。
-
- どのようなCMSや開発環境のセキュリティ対策に対応していますか？
-
主にEC-CUBEやWordPressなどのオープンソースCMSをはじめ、PHP/Laravel等で構築された独自Webシステム（フルスクラッチ開発）、AWS・Google Cloud・VPS・レンタルサーバー等のインフラ環境に対応しております。バージョンアップやパッチ適用、ソースコードの修正まで直接対応が可能です。
-
- システム改修ではなく、最新のECカートへの移行（乗り換え）も相談できますか？
-
はい、承っております。旧バージョンのECシステムを改修し続けるよりも、セキュリティがクラウド側で自動保守されるShopify等へ乗り換えた方が長期的なコスト・安全性の面で有利なケースも多いため、現状を診断した上で最適な選択肢をご提示いたします。
-
- 送信ドメイン認証（SPF・DKIM・DMARC）の設定や強化だけをスポットで依頼できますか？
-
はい、対応可能です。Google等の送信者ガイドライン変更に伴うSPF/DKIM/DMARCの設定確認、DNSレコードの追加、ポリシーステップアップ（noneからquarantine/rejectへの移行）までスポット作業として迅速に支援いたします。
-
- 「SCS評価制度」や「クレジットカード・セキュリティガイドライン」の対応作業も相談できますか？
-
はい、対応可能です。ガイドラインや取引先・評価機関から要求されているセキュリティ項目（EMV 3-Dセキュア導入やログ管理、アカウント権限の最適化など）について、現状のWeb・ECシステムにおける対応可否の判定から実際の機能改修まで一括サポートいたします。
-
- 相談や依頼をする際、事前に自社で準備しておくべき情報はありますか？
-
特別なご準備は不要です。現在ご利用中のWebサイト・ECサイトのURLや、お悩みの内容（「不審なメールが増えた」「古いシステムを安全に更新したい」など）をお伝えいただければ、弊社エンジニアが現在の環境を確認した上で必要な対策をご提案いたします。
ご相談・対策実施までの流れ
他社で構築されたECサイトやWebシステム、自社運用のサーバー・メール環境でも問題なくご対応可能です。
-
STEP 01
お問い合わせ・ヒアリング
現状のお悩み、システムの利用状況（CMS名、サーバー環境など）、期日やご予算をお伺いします。他社の診断レポートがある場合はこの段階でご提示いただけます。
-
STEP 02
現状調査・お見積り
必要に応じて簡易調査を実施し、優先度の高い対策と費用・スケジュールをご提示します。改修かカート乗り換えかの比較提案も可能です。
-
STEP 03
対策実施・システム改修・環境移行
脆弱性診断、プログラム改修、サーバー・メール設定変更、または新環境へのデータ移行などを専任エンジニアが安全に進めます。
-
STEP 04
改修後検証・ご報告
改修箇所の動作確認および再検証を実施し、完了報告書を提出します。
-
STEP 05
継続保守・運用（オプション）
定期的な脆弱性チェックやアップデートを行い、安全な稼働を維持します。