少人数でも、
続けられる対策を。
専任の情シスがいない。制作会社との契約範囲がわからない。そんな会社でも、守る対象・担当者・確認方法を整理するところから、Webサイトの対策を進められます。
最初に、サイトの持ち主と保守範囲を確かめる。
自社サイトを制作会社に依頼していても、ソフトウェアの更新、サーバー管理、ドメイン更新、障害対応まで契約に含まれているとは限りません。まず、誰が何を担当しているかを確認します。
会社案内、採用サイト、EC、予約フォーム、使わなくなったキャンペーンサイトも一覧にします。古いサイトが公開されたまま残っていないか、管理者の連絡先が現在も有効かを見直します。
| 棚卸しするもの | 確認する内容 |
|---|---|
| 公開サイトとフォーム | URL・目的・管理者・収集する情報 |
| サーバーとCMS | 契約先・更新担当・バージョン・保守期限 |
| ドメインとアカウント | 契約者・更新方法・多要素認証・退職者の権限 |
| バックアップ | 保存先・取得頻度・復元できるか |
| 緊急連絡先 | 社内責任者・保守会社・不在時の連絡先 |
基本対策を整え、監視を加える。
使っていないものを整理する
不要なサイト、アカウント、プラグイン、公開機能を確認し、影響を確かめて停止・削除します。対象を減らすと更新と監視の負担も減ります。
更新とログイン管理を決める
OS・PHP・CMS・プラグインなどを誰が更新するか明確にします。管理画面の多要素認証や必要最小限の権限も確認します。
復元できるバックアップを用意する
バックアップが存在することと、業務を復旧できることは別です。保存先と復元手順を確認し、実際に戻せるか試験します。
WAFとログ監視の対象を決める
既存のサーバー契約に含まれる機能を確認し、不足する部分を検討します。検知・遮断の設定だけでなく、通知を受ける担当者と対応手順も決めます。
継続するための確認を予定に入れる
更新状況、アラート、バックアップ、連絡先の確認日を決めます。重要な通知への対応は定期確認を待たず、担当者に届く仕組みにします。
ひとりで抱え込まない運用体制。
社内担当者がすべての製品を管理できる必要はありません。自社で判断することと、保守会社に依頼することを決めるほうが、少人数でも続けやすくなります。
たとえば、社内窓口はサービス一覧と連絡先を管理し、保守会社は更新や復旧作業を担当。サイトを止める判断は責任者が行う、と分けます。
「監視付き」の契約でも、通知のみか、原因確認や設定調整まで含むかは異なります。休日・夜間の扱いと、侵害調査が別契約かどうかも確認しましょう。
今日、担当者同士で確認したいこと。
- 公開中のサイトと、保守会社の連絡先が一覧になっている
- 更新・バックアップ・監視の担当者が決まっている
- 不審な通知を受けたときの連絡先を知っている
- サイト停止や復旧の判断をする責任者が決まっている
- 現状でわからないことを、次に誰へ確認するか決めた
Webサイトの対策は、会社全体のセキュリティ対策の一部です。端末・メール・社内アカウントなども含めた全体の見直しには、IPAの中小企業向けガイドラインも活用できます。
何から始めるか、一緒に整理します。
現在の構成、困っていること、変更できる範囲をお聞かせください。開発・運用の経験をもとに、対策の優先順位や技術選定からご相談を承ります。対応範囲と日程は、内容を確認したうえで個別にご案内します。
お問い合わせには、パスワードやAPIキー、個人情報を含むログを記載しないでください。
参考資料
参照日：2026年10月25日。方式の比較は一般的な検討項目を整理したものです。個別の対応可否は、最新の公式情報と実際の構成をご確認ください。