こんな企業におすすめです
「制作会社に任せたまま」「何年も更新していない」「WordPressやプラグインを入れたまま」。そんな状態になっていませんか。Webサイトから情報が漏れたとき、お客様や取引先に説明し、対応するのはサイトを運営している会社です。ひとつでも当てはまる場合は、一度確認することをおすすめします。
- Webサイトを何年も運用している
- 制作会社との保守契約が終了している
- WordPressなどのCMSを利用している
- お問い合わせフォームを設置している
- 会員情報などの個人情報を扱っている
- 外部のAPIやサービスと連携している
- 制作会社から「大丈夫」と言われているが、根拠が分からない
- Web担当者が退職して、誰もシステムの構成を把握していない
- AIを使ってサイトやシステムを作ったが、専門家に確認してほしい
AIで作ったWebサイト、そのまま公開して大丈夫ですか？
AIを使えば、専門知識がなくてもWebサイトやシステムを作れるようになりました。ただ、画面がきちんと動くことと、安全に使えることは別の話です。
動くことと、安全なことは別
AIは動くプログラムを書くのが得意です。一方で、入力された値の確認や、パスワードの扱い、公開してはいけないファイルの管理まで、十分に気を配っているとは限りません。
秘密の情報が紛れ込むことがある
外部サービスの鍵やパスワードがプログラムに直接書かれ、そのまま公開フォルダに置かれていることがあります。見た目からは気づけません。
作った人が中身を説明できない
問題が起きたとき、どこを直せばよいか分からない状態になりがちです。公開前に構成を整理しておくと、後の対応が早くなります。
公開する前に、一度だけ専門家の目で確認する。それだけで防げる問題は少なくありません。
診断項目
簡易診断は、外から確認できる範囲と、よく狙われる設定を中心に確認します。詳細診断では、システムの内部や運用の体制まで確認します。
| 項目 | 確認内容 | 簡易 | 詳細 |
|---|---|---|---|
| CMS | バージョン・既知の欠陥・不要な機能 | ○ | ○ |
| サーバー | 設定・公開している範囲・アクセスの制限 | ○ | ○ |
| SSL/TLS | HTTPS・証明書・暗号化の設定 | ○ | ○ |
| 認証 | ログイン画面・パスワード・2段階認証 | ○ | ○ |
| 権限 | 管理者・利用者ごとの権限 | × | ○ |
| フォーム | 入力値の確認・迷惑送信・不正送信の対策 | ○ | ○ |
| API | 認証・公開している範囲・アクセスの制限 | × | ○ |
| ファイル | 外から見える不要なファイル・バックアップの置き忘れ | ○ | ○ |
| 外部サービス | 連携しているAPI・SaaS・委託先 | ○ | ○ |
| 個人情報 | 取得・保存・送信の方法 | × | ○ |
| 運用 | 更新・バックアップ・監視の体制 | × | ○ |
確認は、IPA（情報処理推進機構）の「安全なウェブサイトの作り方」や OWASP Top 10 など、公開されている基準を参考に行います。
料金
まずは簡易診断で全体の状態を確認し、必要に応じて詳細診断や改修へ進む流れをおすすめしています。診断だけのご依頼も歓迎します。表示価格は税込です。
Webセキュリティ簡易診断
33,000円（税込）〜
外から確認できる範囲と、よく狙われる設定を中心に確認し、改善すべき点をレポートにまとめます。
- Webサイトの構成確認
- ○
- CMS・プラグインの確認
- ○
- SSL/TLSの確認
- ○
- HTTPのセキュリティ設定の確認
- ○
- 管理画面・認証の確認
- ○
- フォームの確認
- ○
- 外部サービスの確認
- ○
- 改善ポイントのレポート
- ○
詳細診断
お見積り
簡易診断の内容に加え、権限・API・個人情報の扱い・運用体制まで確認します。会員機能や外部連携のあるサイト、Webシステム向けです。
- 簡易診断の全項目
- ○
- 権限の確認
- ○
- APIの確認
- ○
- 個人情報の取得・保存・送信の確認
- ○
- 更新・バックアップ・監視体制の確認
- ○
- 改善計画のご提案
- ○
金額が変わる条件
| 対象のページ数・ドメイン数 | 複数のサイトをまとめて診断する場合など |
|---|---|
| CMS・システムの数 | WordPressと独自システムを併用している場合など |
| ログイン・会員機能の有無 | 会員登録やマイページがある場合 |
| 外部連携の数 | 決済・予約・メール配信などと連携している場合 |
診断のあと
| 改修 | 見つかった問題のうち、必要な部分だけを直します | お見積り |
|---|---|---|
| 運用・監視 | 更新・バックアップ・定期的な確認を継続して行います | お見積り |
納期は、対象のサイトを伺ったうえでご案内します。
レポートの例
当社が実際に、サーバー会社の簡単インストールで入れた直後のWordPressを確認した結果です。お客様のお名前は伏せています。どれも設定を間違えたわけではなく、初期状態のままでした。
| 重要度 | 見つかったこと | 起こり得ること | 改善の方法 |
|---|---|---|---|
| 高 | データベースのパスワードが入った設定ファイルが、公開フォルダの中にある | サーバーの不具合時に、中身が外から読まれるおそれ | 設定ファイルを公開フォルダの外へ移す |
| 高 | その設定ファイルが、誰でも書き込める権限になっている | 同じサーバーの別の利用者から書き換えられるおそれ | 権限を所有者だけに絞る |
| 中 | 管理者のログイン名が、特定のURLから取得できる | パスワードの総当たり攻撃の手がかりになる | 取得できる経路を閉じ、表示名とログイン名を分ける |
| 中 | エラーの内容が画面に表示される設定 | サーバー内部の情報が攻撃の手がかりになる | エラー表示をオフにする |
このお客様のサイトは、診断のあと構成を作り直し、すべての項目を改善しました。考え方はお役立ち情報の記事「セキュリティに強いWordPress構築方法」で紹介しています。
診断の流れ
ご相談（無料）
サイトの用途や構成、気になっていることを伺い、診断の範囲と費用をご提案します。
診断のご依頼
サイトの所有者、または権限のある方から書面でご依頼いただきます。必要に応じて秘密保持契約を結びます。
診断
サイトを止めるような検査は行わず、決めた範囲を確認します。
レポートとご説明
見つかった問題と重要度、改善の方法をまとめ、専門用語を使わずにご説明します。
改修・運用（ご希望の場合のみ）
必要な部分だけの改修や、継続的な保守・監視をお手伝いします。今の制作会社に依頼していただいても構いません。
診断のお約束
- 書面でご依頼いただいたサイトだけを診断します
サイトの所有者、または権限のある方からのご依頼に限ります。サーバー会社や制作会社が管理する部分は、その会社のご了承をいただいてから確認します。
- サイトを止めるような検査は行いません
簡易診断は、外から見える範囲と設定の確認が中心です。攻撃を試すような検査は行いません。
- 見つかった内容は外に出しません
診断の結果はレポートとしてお渡しするのみで、第三者に開示することはありません。
- 診断だけのご依頼も歓迎します
改修を前提にした診断ではありません。レポートをもとに、今の制作会社へ依頼していただいても構いません。
- 診断は、安全を保証するものではありません
診断はその時点の状態を確認するものです。サイトは更新や時間の経過で状態が変わるため、定期的な見直しをおすすめします。
よくあるご質問
何年も更新していないサイトは、危ないのでしょうか？
+
見た目が変わらなくても、サイトを動かしている仕組みは古くなっていきます。WordPressやプラグイン、サーバーのPHPなどは、欠陥が見つかるたびに修正版が出ています。更新していないサイトは、その修正が入らないまま公開され続けている状態です。まずは今の状態を確認し、更新が必要な箇所を把握することをおすすめします。
診断中にサイトが止まることはありますか？
+
簡易診断は、外から見える範囲の確認と設定の確認が中心で、攻撃を試すような検査は行いません。通常、サイトの表示や動作に影響はありません。
他社が作ったサイトでも依頼できますか？
+
はい、ご依頼いただけます。制作会社やサーバー会社が管理している部分を確認する場合は、事前にその会社のご了承をいただいてから進めます。
AIで作ったサイトやシステムでも見てもらえますか？
+
はい。AIで作ったサイトは、見た目は整っていても、入力値の確認やパスワードの扱いが十分でないことがあります。公開前の確認としてもご利用ください。
WordPress以外のサイトでも対応できますか？
+
静的HTMLのサイト、Drupalなど他のCMS、独自に開発したWebシステムにも対応します。構成を伺ったうえで、診断の範囲をご提案します。
管理画面のパスワードを渡す必要はありますか？
+
簡易診断は外から確認できる範囲が中心です。管理画面の設定を確認する場合は、診断用の一時的なアカウントを作成していただき、診断後に削除していただきます。
問題が見つかったら、改修も依頼しないといけませんか？
+
いいえ。診断だけのご依頼も歓迎しています。レポートをもとに、今の制作会社に改修を依頼していただいても構いません。
どのくらいの頻度で診断すればよいですか？
+
年に1回程度と、サイトの大きな改修や機能の追加をしたときがひとつの目安です。WordPressなどは欠陥が毎月のように見つかるため、日々の更新とあわせて考えることをおすすめします。
お役立ち情報
Webサイトのセキュリティと運用に役立つ情報をお届けしています。