多くのCMS導入に応用できる、Movable Type導入チェックシート

最近、ウェブサーバーにインストールするCMSがかなり増えていますが、CMSは「システム」だということを忘れて定義すべき要件や運用設計を怠り、運用後のパフォーマンスの劣化が発生したり、ウェブサイトの改ざんリスクを放置されてしまうことが多々見受けられます。

本チェックシートは Movable Type 導入における確認点を列挙したものです。一般的な項目を列挙しましたので、環境により確認点が異なる可能性がありますが、最低限 Movable Type 導入時のリスクに関しては回避できるように作られています。特に項目の重要度が高のものは早急に対応が必要です。

このチェックシートは4つのセクションでできています。

• セキュリティ
• パフォーマンス
• 機能
• 運用

是非一度このチェックシートを元に、自社のMovable Typeの状況をチェックしてみてください。また、他のCMSにも同様な事が言える項目がいくつもありますので、CMSを活用されている方はぜひ一度チェックしてみてください。

※このドキュメントはMovable Typeの過去のバージョンも踏まえて作っていますので、最新版をご利用の方には一部当てはまらないものや優先度が違うものがあります。ご了承ください。

Movable Type導入チェックシート

セキュリティ

Movable Typeはウェブサーバーに設置するため、管理画面へのURLさえわかってしまえばだれでもアクセスできるため、常にリスクと背中合わせの状態です。さらに定期的なバージョンアップを行わないと、脆弱性を突かれてウェブサイトを改ざんされてしまう可能性があります。

本項ではMovable Typeのセキュリティリスクを回避するための項目をご紹介します。

内容	解説	重要度
ログイン画面へのアクセスを制限していますか?	MTのログイン画面を常時アクセスできる状態にするのはリスクが高いため、mt.cgiへのアクセスに対してはWEBサーバー側の設定にてパスワード認証やIPアドレス制限をすることをオススメします。	高
ログイン画面への接続はSSLを利用していますか?	MTへの接続をSSLで暗号化することで、ログインID・パスワードを暗号化してログイン情報の盗難を防ぎます。	中
ウェブサーバーとアプリケーションサーバーは分離されていますか?	MTをアプリケーション専用サーバーに分離し、さらにアプリケーションサーバへのアクセス制限を行うことでシステムへの不正アクセスリスクを軽減します。コンテンツはアプリケーションサーバからウェブサーバーへrsyncやNFSなどで同期させます。	中
利用していないCGIの実行権限を落としていますか?	利用していないCGIの実行権限を落とすことで、外部からの不用意なアクセスを防ぐことが出来ます。	中
システムに関係ないポートは閉鎖されていますか?	MTや運用中のシステムに関係のないポートを全て閉鎖し、必要なポートのみ公開する事でサーバーへの不要なアクセスを防ぎます。	高
システムに関係ないアプリケーションは停止されていますか?	MTや運用中のシステムに関係のないアプリケーションをすべて停止し、脆弱性のリスクを軽減する必要があります。	中
MTのバージョンは最新ですか?	MTは定期的にセキュリティアップデートを行っています。バージョンを最新して脆弱性リスクを軽減する必要があります。	高
導入しているプラグインに脆弱性がないかチェックしていますか?	プラグインによっては十分なセキュリティを考慮せず作られていることがありますので、脆弱性が潜んでいる場合があります。	中

 

パフォーマンス

Movable Typeは管理をおこなうコンテンツの数が多くなることでパフォーマンスが低下し、最悪ウェブサイトの再構築に数時間もかかってしまい運用に支障が出る場合があります。本項ではMovable Typeのパフォーマンス改善についての項目をご紹介します。

内容	解説	重要度
コンテンツの最大登録数を定義し、それに合わせた性能テストを行っていますか?	コンテンツが増加すると再構築の時間が長くなります。導入前には想定している最大のコンテンツ数を一度登録して性能試験を行うことをオススメします。	高
ページビュー・ユニークユーザーを定義し、それに合わせた性能テストを行っていますか?	MTから出力されるコンテンツは静的HTMLの場合はあまり問題にはなりませんが、ダイナミックパブリッシングを利用する場合は想定されるページビューで性能試験を行うことをオススメします。	中
高速化のための適切なチューニングが行われていますか?	MTはテンプレートキャッシュやデータベースのチューニングを行うことでパフォーマンスが改善されます。	高
ハードウェアのスペックは十分ですか?	MTはコンテンツが増加することでパフォーマンスが落ちてしまうことがあります。定義した性能が出るか、ハードウェアのスペックの見直しも必要です。	高
不要なプラグインやテンプレートは存在していませんか?	不要なプラグインはMTのパフォーマンスを劣化させる場合があります。またMTのバージョンアップ時に、使われていないプラグインが原因でバージョンアップが困難になる場合があります。不要なプラグインやテンプレートは削除することをお勧めします。	中
FastCGIを利用してシステム動作の高速化を行っています?	MTはFastCGIやPSGIサーバを導入することで管理画面の動作を大幅に改善することが出来ます。ただしFastCGIやPSGIサーバはサーバーのスペックや権限によっては利用できない、またはあまり効果がない場合がありますので注意が必要です。	中
導入されている環境は動作条件を満たしていますか?	MTが導入されている環境が推奨環境と異なる場合、機能が動作しない場合があります。特にPerlやPHPのバージョンに起因することが多いので、注意しましょう。	中

 

機能

Movable Typeは標準で多くの機能が実装されていますが、設定を行わない限り動作しない機能も多数存在 します。本項ではMovable Typeでの機能設定についての項目をご紹介します。

内容	解説	重要度
利用していない機能を定義していますか?	MTでの運用では、すべての機能を利用することはまれで、使わない機能が多くなります。ベンダーによっては使う機能だけをテストして、使わない機能の動作確認をしていない場合があり、将来利用しようとした場合に機能が使えないことがあります。	中
コメント機能は利用しますか?	運用でコメントが不要であれば、コメントをONにすることでスパムの対象となる可能性がありますので、システムレベルで停止することをオススメします。	中
トラックバック機能は利用しますか?	運用でトラックバックが不要であれば、トラックバックをONにすることでスパムの対象となる可能性がありますので、システムレベルで停止することをオススメします。	中
更新情報をPingサーバーに送信しますか?	MTは更新通知をpingサーバーに送信することが出来ますが、企業ユースの場合、あやまって記事が公開された場合送信されたpingを取り消すことが出来ず、検索エンジンで検索される可能性がありますので、機能をOFFにすることをオススメします。	小
mt-check.cgiは無効になっていますか?	mt-check.cgiに接続することで、システムの環境情報がすべてわかってしまいます。必ずmt-check.cgiの実行権限を落としましょう。	高

 

運用体制

Movable Typeは「システム」ですので、相応の運用体制が必要です。メンテナンスを怠ることで重大なセキュリティリスクが顕在化しかねません。本項では運用体制に必要な項目をご紹介します。

内容	解説	重要度
社内にシステム運用体制はありますか?	運用中に発生した問題や解決方法など、システムの管理情報を一元管理し、履歴を残すことをオススメします。	高
製品のサポートは継続していますか?	クリティカルな不具合が発覚したとき、サポートを継続していないことで最新版のダウンロードが出来ないことがあります。製品サポートを運用中は継続することをオススメします。	高
常に技術的な質問を受けてもらえる環境はありますか?	MTは機能追加やチューニングなど、より高度なことを行おうと思った場合、専門の知識が必要です。ベンダーが専門の知識を持ち、サポート窓口として質問に素早く的確に対応できるかが重要です。	高
バージョンアップに対応できる体制はありますか?	MTはバージョンアップするとプラグインが動作しなったりタグの挙動が変更なっている可能性があります。それを踏まえてカスタマイズを行う必要があり、ベンダーがそれに対応できるかという点が重要です。	高
システムログを定期的にメンテナンスしていますか?	MTログはメンテナンスを行わなければ延々とたまり続けていきます。定期的にCSVでダウンロードする、もしくはシステム化する必要があります。	中
利用していないユーザーは無効化していますか?	たとえば退社したメンバーのアカウントを有効にしておくことで、意図しないログインをされる可能性があります。必ず無効にしましょう。	中
ユーザーの権限は適切ですか?	編集してはいけないコンテンツに接続できる状態は、誤動作によるコンテンツの破損のリスクが発生します。ユーザー権限は適切に付与する必要があります。	中
導入時にメンテナンスコストを考えていますか?	MTは導入後にバージョンアップや機能拡張、ユーザ追加などのシステムメンテナンスが発生します。導入前にメンテナンスコストの試算を行うことをオススメします。	中
バックアップは定期的に行われていますか?	MTは最低限データベースのバックアップ、画像データや添付ファイルなどのアイテムのバックアップを行う必要があります。 日次で安全な領域にバックアップすることをオススメします。	高
サイトのシステム設計書は存在していますか?	導入後、運用のためにMTの動作設計・初期設定を記載した設計書が必要です。また定期的なアップデートも必要です。	中
システム・サーバーを管理してリソースを監視する体制を整備していますか?	すべてのシステムがエラーなく作動しているか、サーバーが停止していないか、ディスクの空き容量、メモリ使用状況、CPU使用状況などのリソース利用状況がどうなっているかなどの監視を自動的または定期的に行い、サーバーに問題が発生していたらすぐにわかる体制を整えておくことをオススメします。	中

ちょっと宣伝〜スカイアークのCMS導入ソリューション〜

スカイアークでは大手企業のCMS導入、特にMovable Typeの導入実績は日本トップレベルです。ミクシィさんやファーストリテイリングさん、TKCさんなどの大手企業のコーポレートサイトを多数手がけています。

その中で、やはり重要なのはCMSは「システム」だということです。システムの知識なしに導入を進めると、必ず運用中にトラブルが起きます。

スカイアークにはCMS導入のノウハウが多くあります。いまのCMSが大丈夫なのか？これからCMSを導入したいがどうしたらいいか？などのお悩みはぜひスカイアークへご相談ください！

CMS導入ソリューション

また、CMSインストール・サーバー・ネットワーク・運用・保守・テクニカルサポートがすべてセットになった「SKYARC Web Platform」は、ミクシィさんやソニー損保さんのウェブサイト基盤を支えています。お客様はウェブサイト運用に集中できるサービスです。ぜひ一度ごらんください。

クラウド型ウェブサイト管理システム「SKYARC Web Platform」