自社のWebサイトのセキュリティは、CMSの更新、管理画面、バックアップの担当者を発注側が把握し、制作会社との分担を文書に残すことから固めます。
今日やることは、制作会社か保守の会社へ次の5つを聞くことです。
- CMS本体、プラグイン、テーマを更新しているのは誰で、頻度はどのくらいか
- サーバーのOSやPHPの更新は、誰の担当か
- バックアップはどこにあり、最後に戻す試験をしたのはいつか
- 管理画面に入れるIDは誰のものか
- 不正な書き換えや脆弱性の連絡が来たとき、誰に連絡が届くか
答えが「契約に入っていない」でも、その時点で空いている場所が分かります。全体の対策はWebサイトのセキュリティ対策の一覧に並べています。
まず自社のサイトをいくつ持っているか数える
守る対象を数えないと、話が始まりません。IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0版には、付録6として資産管理台帳のサンプルがあります。サイトの行を足して使えます。
たとえば、製造業の会社なら、会社サイトのほかに、製品別の特設ページ、カタログの配布用サイト、英語サイト、採用サイトを別々の会社に頼んだままの場合があります。展示会のために作った小さなWordPressも、公開中なら対象です。
書き出す項目は次のとおりです。
- URLと使っているCMS
- 作った会社と、今保守している会社
- 契約の開始日と保守の範囲
- サーバーとドメインの名義
- フォームの有無と、受け取った情報の保存先
使っていないサイトが見つかったら、更新の担当を決めるか、閉じるかを決めます。閉じる場合は、問い合わせの受け先やドメインの扱いも一緒に確認します。
WordPressでは何を確かめる？
CMSを使っているなら、本体、プラグイン、テーマが更新されているかを、実際の版で確かめます。
2026年7月の例が分かりやすいので、紹介します。IPAの注意喚起によると、WordPress 6.9以降で2件の脆弱性の組み合わせにより遠隔でのコード実行が生じる可能性があり、修正版として6.9.5と7.0.2が公表されました。一方の脆弱性は6.8.0〜6.8.5にも影響し、修正版は6.8.6です。
注目したいのは、WordPress.orgが強制の自動更新を有効にしたと発表した後も、IPAが環境や設定によっては更新されていない可能性があるとして、管理画面での確認を求めた点です。自動更新は助けになりますが、確認の代わりにはなりません。
WordPressの公式文書も、プラグインとテーマの更新を最新に保つよう書いています。WordPress 5.5以降、プラグインやテーマごとに自動更新を選べます。つまり、本体が自動で更新されていても、プラグインは手動のままという状態がありえます。
発注側の確認は、次の4点で足ります。
- 管理画面の更新の画面で、本体とプラグインに更新の表示が残っていないか
- 使っていないプラグインとテーマを消しているか
- 自動更新にしないものがあるなら、その理由と代わりの確認方法が決まっているか
- 更新の前にバックアップを取り、戻せることを確かめているか
更新で画面が崩れる心配があるのは確かです。そこで止めず、テスト環境の有無、更新後に誰が画面を見るかを決めます。WordPress以外のCMSでも、質問は同じです。
制作会社との分担はどう分ける？
分担は「セキュリティは任せている」の一言で済ませず、項目ごとに名前を入れます。
IPAの脆弱性対応ガイド（改訂版、2021年3月公開）は小規模なウェブサイト運営者向けの資料で、「セキュリティ対策を外部に任せる」「セキュリティの担当者と作業を決めておく」を対策の項目に挙げています。2013年の版では、委託先と約束した事項を文書に残すこと、トラブル時の社内連絡先と公開停止などの判断者を決めることが明記されています。
次の表を、制作会社と一緒に埋めます。
| 項目 |
確かめること |
残しておくもの |
| CMS・プラグイン |
更新の担当と頻度、緊急時の対応時間 |
保守契約の範囲、更新の記録 |
| サーバー・PHP |
借り物か、OSまで誰が見るか |
サーバー会社の契約、担当の名前 |
| 管理者ID |
退職者や前の制作会社のIDが残っていないか |
IDの一覧、多要素認証の有無 |
| バックアップ |
取る頻度、保管先、戻す試験の結果 |
最後に試した日 |
| ドメイン・DNS |
名義と更新の通知先 |
契約先と更新の期限 |
| フォームの情報 |
どこに残り、いつ消すか |
保存先と保管の期間 |
| 緊急時 |
誰が連絡を受け、誰が止めるか |
夜間も含む連絡先 |
名義の確認は後回しにされがちです。制作会社の名義のままだと、契約を替えるときに引き継ぎで困ります。
契約に書かれていない作業
保守費を払っていても、更新の作業が入っているとは限りません。「サイトの修正」と「セキュリティの更新」が同じ契約かを確かめます。入っていなければ、費用を含めて追加するか、自社で持つかを決めます。
情報セキュリティ10大脅威 2026の組織編では、「サプライチェーンや委託先を狙った攻撃」が2位、「システムの脆弱性を悪用した攻撃」が4位です。委託先の確認は、取引先の情報を預かる側の仕事でもあります。
フォームの情報は委託していても自社の問題か？
個人情報を取り扱う業務を委託しているなら、委託元には監督の義務があります。
個人情報保護委員会のガイドライン（通則編）は、委託先の監督について定めています。漏えいが起きた場合の報告は、条件に当たると必要になります。漏えい等の対応の案内にあるとおり、報告の窓口は同委員会です。ガイドラインでは、速報の目安を事態を知ってから概ね3〜5日以内としています。
保守の会社から連絡が遅れると、この時間が短くなります。契約や覚書に、異常を見つけたらすぐ連絡する取り決めを入れておきます。
問い合わせの本文に、取引先の図面番号や開発中の案件名が書かれることもあります。個人情報に当たらなくても、取引先との秘密保持の問題になります。フォームの情報をサーバーに長く残さない設定にできないかも、制作会社に聞いてみてください。
技術的な守りはどこまで足す？
更新と分担が固まったら、サイトの性質に合わせて足します。
- 問い合わせや会員機能があり、攻撃の通信を減らしたい場合は、WAFの製品比較を見ます。入れ方は誤検知で問い合わせを止めないWAFの導入手順で扱いました
- 独自に作った機能があるサイトは、脆弱性診断サービスの比較で診断の範囲と再診断の扱いを見ます
- 書き換えに早く気づきたい場合は、Web改ざん検知の製品比較で検査の間隔を見ます
独自の開発を発注するなら、IPAの安全なウェブサイトの作り方を仕様の確認に使えます。
レンタルサーバーやホスティングの標準機能で足りる部分もあります。IPAのガイド（2013年の版）も、対策が含まれるサービスの活用を挙げています。新しい製品を買う前に、今の契約に何が入っているかを確かめると、重複を避けられます。
指摘や異常が来たら誰が動く？
外部から「脆弱性がある」と連絡が来る場合があります。IPAのガイドは「脆弱性の報告やトラブルには適切に対処する」を対策の項目に挙げています。受付のメールを読む人が放置しないよう、制作会社への転送の手順を決めておきます。
実際に異常が起きたときの社内の動きは、ガイドライン付録8のセキュリティインシデント対応の手引きが下敷きになります。サイトが止まった場合はDDoS攻撃を受けたときの初動を、サーバーそのものの守りはサーバー向けセキュリティソフトの選び方を見てください。
今日の5つの質問への答えを表に書き写せば、次の保守契約の見直しで話す材料がそろいます。
