安全なウェブサイトはどうやって作るのか

　独立行政法人情報処理推進機構（IPA）は11月1日、ウェブサイト開発者や運営者向けにセキュリティ対策資料「安全なウェブサイトの作り方 改訂第2版」を発行した。

　この資料は、IPAが届け出を受けた脆弱性関連情報をもとに、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮した実装ができるようにするために発行しているもの。

　今回の改訂第2版では、各脆弱性の理解をより深められるよう、攻撃により発生しうる脅威と、注意が必要なウェブサイトの特徴に関する情報が追記されている。ウェブアプリケーションの脆弱性については、新たにCSRF（Cross-Site Request Forgeries／クロスサイト・リクエスト・フォージェリ）とHTTPヘッダ・インジェクションの解説を追加した。

　本資料で取り上げている内容は、ウェブサイトに関する届出件数の約9割を網羅している。巻末には、ウェブアプリケーションのセキュリティ実装の実施状況を確認するためのチェックリストが追加された。

　資料は、「ウェブアプリケーションのセキュリティ実装」と「ウェブサイトの安全性向上のための取り組み」の2章構成になっており、脆弱性の原因そのものをなくす根本的な解決策や、攻撃による影響の低減を期待できる保険的な対策、ウェブサイト全体の安全性を向上させる対策などが紹介されている。