最初のサーバーで必ず行う初期設定｜セキュリティと費用管理の基本手順

クラウドサーバーを作ったら、アプリを動かす前に、アクセス制限、認証の強化、OSの更新、バックアップ、費用管理の目印付けの五つを済ませてください。インターネットに公開されたサーバーは、作成から数分で、世界中の自動プログラムによる接続の試行を受けることが珍しくありません。初期設定を後回しにすると、乗っ取りや情報漏えい、不正利用による高額請求につながります。ここでは、Linuxサーバーを例に、最初にやるべきことを順番に説明します。画面や用語は事業者で異なりますが、考え方は共通です。

初期設定の全体像

1. ファイアウォールで通信を絞る

多くのクラウドでは、仮想的なファイアウォール（セキュリティグループ、ネットワークのフィルタなどと呼ばれる）の設定画面があります。ここで、必要な通信だけを許可します。

• Webサイトなら、HTTP（80番）とHTTPS（443番）を世界中に許可する。
• 管理用のSSH（22番）やリモートデスクトップは、自分のIPアドレスだけに限定する。全世界に開放しない。
• データベースのポートは、外部に公開せず、同じネットワーク内のサーバーだけに許可する。

設定の初期値が「すべて許可」になっている事業者もあります。作成時に、許可の範囲を必ず確認してください。

2. SSH鍵認証への切り替え

Linuxサーバーの管理には、通常SSHを使います。パスワード認証は総当たりの攻撃を受けやすいため、鍵認証にするのが基本です。

1. 自分のパソコンで鍵のペア（秘密鍵と公開鍵）を作る。
2. 公開鍵をサーバーに登録する（作成時に登録できる事業者も多い）。
3. 鍵でログインできることを確認する。
4. サーバーの設定で、パスワード認証を無効にする。
5. 管理者（root）で直接ログインする設定を無効にし、一般ユーザーから必要時に権限を上げる。

秘密鍵は、他人に渡さず、公開されるリポジトリなどに載せないことが絶対条件です。鍵が漏れた場合は、すぐに無効化して再作成します。

3. OSとソフトウェアの更新

作成直後のサーバーのOSやソフトウェアは、古いバージョンの場合があります。初回ログイン時に更新を適用し、その後も定期的に更新します。

• 自動更新（セキュリティ更新のみ）を有効にするのも一つの方法。ただし、アプリの動作への影響を確認する運用が必要。
• 更新の前には、バックアップ（スナップショット）を取る。
• サポートが終了したバージョンのOSは、更新が提供されないため、使い続けない。

4. 不要なサービスの停止

最初から動いている不要なサービスは、攻撃の入口になります。使わないものは、停止して自動起動も無効にします。使っているポートの一覧を確認して、心当たりのないものがないかを確認しましょう。

5. バックアップの設定

サーバーの障害、誤った削除、ランサムウェア被害などに備えて、バックアップは欠かせません。

• スナップショット：ディスク全体の複製。事業者の機能で定期取得できる場合が多い。
• データのバックアップ：データベースやアップロードされたファイルを、別の場所に保存する。
• 世代管理：何日分・何世代残すかを決める。古いものを残し続けると費用が増える。
• 復元の試験：バックアップがあっても、戻せなければ意味がない。定期的に復元を試す。

同じサーバー内や、同じ場所にだけ保存すると、障害時に同時に失われます。別の場所に保管することを基本にします。

6. 監視とログの設定

異常に早く気づくために、最低限の監視を設定します。

• CPU、メモリ、ディスクの使用率。
• サーバーの死活監視（応答があるか）。
• 外向き通信量の急な増加（不正利用の兆候になる）。
• ログイン失敗の回数の急増。

通知は、メールやチャットに届くようにして、実際に誰かが見る状態にしておきます。通知先が使われていないメールアドレスだと、意味がありません。

7. タグ付けで費用を管理する

多くの事業者に、リソースへ「タグ」（名札）を付けて管理できる機能があります。プロジェクト名、担当者、環境（本番・検証）、削除予定日などのタグを付けておくと、請求内訳をタグ別に確認でき、不要なリソースの棚卸しが容易になります。

名前の付け方（命名規則）を決めて、最初から統一しておくと、後で整理しやすくなります。

初期設定が終わったかのチェック

最後に、次の項目を確認します。

• 管理者アカウントに多要素認証を設定した。
• SSHは鍵認証のみで、許可するIPを限定している。
• 不要なポートは閉じている。
• OSは最新の更新を適用した。
• バックアップが自動で取得され、復元を一度試した。
• 予算アラートと監視の通知が、実際に届くことを確認した。
• タグと名前を付けた。

選定チェックリストにも、運用開始前に確認したい項目をまとめています。

個人情報を扱う場合の注意

お客様の個人情報を預かるサービスでは、安全管理措置が法令上求められます。サーバーの設定だけでなく、アクセス権限の管理、ログの保存、委託先の管理など、組織としての対策が必要です。個人情報保護委員会の公式な案内を確認し、必要に応じて専門家に相談してください。

設定の変更履歴を残す

初期設定は、一度行って終わりではなく、後から見返せる形で記録しておくことが大切です。どのポートを開けたか、どのユーザーを作ったか、どの更新を適用したかを、簡単な手順書や運用メモとして残します。担当者が替わったときに、設定の意図が分からなくなるのを防げます。可能であれば、設定を手作業ではなく、スクリプトや構成管理ツールで再現できる形にしておくと、同じ構成のサーバーを短時間で作り直せるうえ、設定のばらつきによる事故も減ります。変更を加えたときは、日付と理由も合わせて記録してください。

よくある質問

初期設定はどのくらい時間がかかりますか。

慣れていれば30分から1時間程度ですが、初めての場合は、手順を確認しながら半日ほどかけるつもりで臨むと安心です。急いで省略せず、順番に進めてください。

パスワード認証のままではいけませんか。

推測されにくい長いパスワードでも、総当たりの試行を受け続けるため、リスクが高まります。鍵認証と、接続元の制限を組み合わせる運用が一般的です。

バックアップはどのくらいの頻度で取ればよいですか。

データが更新される頻度と、失ってもよい期間で決めます。毎日更新される重要なデータなら、少なくとも1日1回が目安です。復元の試験も定期的に行ってください。

参考にする公式情報

• 情報処理推進機構（IPA） — 情報セキュリティの基本対策と注意喚起
• 個人情報保護委員会 — 個人情報の安全管理措置に関する案内
• Amazon Web Services — セキュリティと運用に関する公式ドキュメント
• Google Cloud — セキュリティの基本設定に関する公式ドキュメント