ホームページのセキュリティ対策｜設定より先に、担当者と確認日を決める

ホームページのセキュリティ対策は、ツールの設定より先に「誰が、いつ確認するか」を決めると迷いません。仕組みを入れることと、壊れたときに気づけることは、別の話だからです。

この記事は、自社サイトの安全管理を任されたばかりで、技術用語に自信がない担当者の方に向けて書いています。読み終わるころには、七つの責任に担当者と次回の確認日を書き込む一枚の表を、今日から作り始められます。

最初に決めるのは、セキュリティ製品ではなく責任者です。どんな仕組みを入れても、壊れたことに気づく人がいなければ被害は止まらないからです。

実際にあった話を一つ紹介します。私たちが自分たちで運営しているサイトで、2026年8月末にデータの書き込み事故が起きました。公開中の記事11本のうち8本で画像15枚が表示されないまま、5日間だれも気づきませんでした。

バックアップ（データの控え）も監視の仕組みもありました。それでも、確認する担当と確認日を決めていなかった。この一点だけで、事故は5日間見過ごされました。

設定があることと、壊れに気づけることは別。これが自分たちの実測で分かったことです。

決める責任は次の七つです。それぞれに、担当者と「確認したと言える証拠」と次回の確認日を書き込みます。

表に出てくるドメイン（サイトの住所にあたる文字列）とサーバー（サイトのデータを置いている場所）。どちらも、契約先が分からなくなりやすい代表です。

確認の目安は、「壊れてから気づくまで、どれだけ待てるか」からの逆算です。更新は毎月動くので月1回、契約は年単位でしか動かないので半年に1回、という分け方になっています。

七つに分けた理由も同じです。事故のとき、いちばん時間を失うのは「誰に聞けばよいか」を調べている間だからです。全部を今日埋める話ではありません。空欄がどこにあるか分かること自体に、価値があります。

事故のときに連絡する相手は、事故の前に決めておきます。「これはどちらの担当か」を後から調べ始めると、その間も被害が続くからです。

自社で必ず持っておくものは三つです。

制作会社やサーバー会社へは、次の三つを確認します。

契約に入っていない作業は、事故の後に頼むと着手までに時間がかかります。依頼していない範囲こそ、事故前に確認する対象です。どちらに聞くか迷う項目が残ったら、窓口を制作会社に一本化し、分担表を一緒に作ってもらうのが早道です。

委託先へ任せる範囲そのものから見直したい場合は、ホームページ運用代行を任せる前の7基準で確認できます。

関連記事 / ホームページ運用ホームページ運用代行｜保守・更新・改善を任せる前の7基準ホームページ運用代行へ任せる範囲を決めるために、保守・更新・改善の違いと契約前の7基準を解説します。記事を読む →

更新と権限は、口頭の「やっておきました」ではなく記録で確認します。記録がなければ、確認したつもりの放置が続いても、だれも気づけないからです。

残す記録は三つだけです。

とくに残りやすい穴が、退職した人の権限です。人が辞めても、管理画面のアカウントは自動では消えません。消す担当が決まっていないと、退職者が今もサイトへ入れる状態が続きます。人の出入りがあった月を、一覧を見直す合図にしてください。

更新や権限の管理を委託先へ任せる場合の比べ方は、WordPress制作会社を保守・権限・更新責任で比べる8基準にまとめています。

関連記事 / Website ProductionWordPress制作会社｜保守・権限・更新責任を比べる8基準WordPress制作会社を、構築方式、権限、更新、復元、納品物、移管まで8基準の運用責任表で比較します。記事を読む →

バックアップで確かめるのは「取ってあるか」ではなく、「戻せるか」です。戻せない控えは、事故のとき役に立たないからです。

委託先へ聞くことは二つだけです。

あなたの会社では、この二つを最後に確認したのはいつでしょうか。「一度も聞いたことがない」なら、それが表の最初に埋める空欄です。

監視は、通知を設定して終わりではありません。「見る人」と「伝える先」が決まって、初めて機能します。通知が届いても見る担当がいなければ、無いのと同じだからです。

冒頭の私たちの事故が、まさにこれでした。画像15枚が表示されない状態は、見る担当と確認日が空欄だったために、5日間だれの目にも入りませんでした。対策の道具は揃っていたのに、「気づく責任」だけが決まっていなかったわけです。

決める流れは三つです。

特別な道具がなくても、週に1回、実際のページを自分の目で開くだけで発見は速くなります。見る日を決めれば、気づくまでの時間に上限ができます。

事故のときは、直すより先に止めます。原因が残ったまま元に戻すと、同じ被害が繰り返されるからです。

次のどれかに当てはまるサイトは、「制作会社だけで抱えない」と先に決めておきます。

制作会社の受け持ちは、サイトを作ることと日々の運用です。弱点を専門的に調べる検査（脆弱性診断）や事故後の調査は、セキュリティ専門会社の領域。扱う情報が重いサイトほど、切り分けは早いほうが安全です。

どれにも当てはまらない紹介中心のサイトなら、急いで診断へ進む前に、まず七つの責任表を埋めましょう。更新とバックアップの確認が整うだけでも、事故の多くは小さいうちに見つかります。

SSL（通信を暗号化する仕組み。URLが「https」で始まります）は土台の一つで、それだけでは安全と言えません。SSLが守るのは通信の中身だけです。更新の放置や残ったままの権限は、別の穴として残ります。七つの責任の一つ、という位置づけで考えてください。

WordPress自体が危険なのではなく、更新されないまま放置された状態が危険です。利用者が多いぶん攻撃の的になりやすいだけで、更新の担当と確認日が決まっていれば、過度に恐れる仕組みではありません。

対応範囲で大きく変わるため、一律の金額は言えません。先に七つの責任のうち、どれを社内で持ちどれを外部へ頼むかを決めると、同じ前提で見積もりを比べられます。この記事の表を作ること自体は、費用ゼロでできます。

個人情報や決済を扱っているかで分かれます。扱いがあるなら、早めに専門会社への相談を検討してください。紹介中心のサイトなら、更新・権限・バックアップの確認を整えるのが先です。

ホームページのセキュリティ対策は、七つの責任に担当者と次回の確認日が入った一枚の表があれば、専門知識がなくても前へ進められます。

最初の行動は一つだけです。いま分かる範囲でよいので、サイトの契約先と緊急時の連絡先を紙に書き出してください。書けなかった欄が、あなたの会社の空欄の責任です。そこから一人ずつ、担当を決めていきましょう。

ホームページのセキュリティ対策で多くの会社が止まるのは、「どれを社内で持ち、どれを委託先へ確認するか」の切り分けです。無料相談では、現在のサイトを見ながらこの切り分けを一緒に整理します。

サイトの更新状況、管理画面の権限、バックアップの状態は、現在の設定を確認したうえでご案内できます。

サーバーの設定変更をともなう作業は、契約内容を確認してからお答えします。脆弱性診断や事故の調査そのものは、専門会社の領域のため当社では行いません。補助金申請や法務の判断、翻訳証明が必要になった場合も、それぞれの専門家へおつなぎします。ご相談では、専門会社が必要かどうかの切り分けまでをお手伝いします。

何から聞けばよいか分からない状態のままで構いません。七つの責任表を、一緒に埋めるところから始めましょう。