制作会社に確認すること

まず「だれの担当か」をはっきりさせる

サイトを作った会社と、公開後に管理している会社が違うことはよくあります。また、制作の契約に「公開後の更新」が含まれていないこともあります。問題が起きてから「それは契約外です」とならないよう、担当範囲を先に確認しておくことが大切です。

確認チェックリスト

更新・保守

• CMS（WordPress など）・プラグイン・PHP の更新は、だれが、どのくらいの頻度で行っているか
• 今使っている PHP と CMS のバージョンは何か。サポートが続いている版か
• 重大な脆弱性のニュースが出たとき、連絡や対応をしてもらえるか

バックアップ

• バックアップはどのくらいの頻度で、どこに保存されているか（サーバーと別の場所か）
• 実際に元に戻す作業を試したことがあるか。戻すのにどのくらい時間がかかるか

アカウントと契約

• 管理画面のアカウントはだれが持っているか。退職者や不要なアカウントは削除されているか
• 管理画面で2段階認証を使えるか
• サーバーとドメインの契約者はだれか。更新期限と、更新忘れを防ぐ仕組みはあるか
• SSL（https）の証明書は自動で更新されるか

もしものとき

• 改ざんや乗っ取りに気づいたとき、だれに、どう連絡すればよいか
• 対応にかかる時間と費用の目安はどのくらいか
• お問い合わせフォームなどで受け取った個人情報は、どこに、どのくらいの期間保存されているか

そのまま使える問い合わせ文

次の文章をコピーして、必要に応じて書き換えてお使いください。

いつもお世話になっております。
当社Webサイトのセキュリティ対策について、現状を確認させてください。

1. CMS・プラグイン・PHP の更新は、どなたが、どのくらいの頻度で行っていますか。
   現在のバージョンも教えてください。
2. バックアップの頻度と保存場所、復元にかかる時間の目安を教えてください。
3. 管理画面のアカウント一覧と、2段階認証の利用可否を教えてください。
4. サーバー・ドメイン・SSL証明書の契約者と更新期限を教えてください。
5. 改ざんなどが起きた場合の連絡先と、対応内容・費用の目安を教えてください。

現在の契約で対応いただける範囲と、範囲外の場合の費用感もあわせてお知らせいただけると助かります。
よろしくお願いいたします。

答えをもらったら

「分からない」「だれも担当していない」という項目があれば、それがいちばん優先して決めるべきことです。費用がかかる場合も、どこまでを任せ、どこを自社で見るのかを決めておくだけで、いざというときの動きが大きく変わります。

外から見える範囲の設定は、無料診断で確認できます。診断結果に出る「保守会社に渡せる依頼文」も、あわせてお使いください。

参考にした公開情報

• IPA「中小企業の情報セキュリティ対策ガイドライン」（URL要確認）

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。