Web制作会社のセキュリティ保守と個人情報の地図【2026年版】──PHP・WordPress・EC・フォームの脆弱性対応を、無償の後始末から契約された保守の売上に変える

この記事は、Web制作会社が、顧客サイトの脆弱性対応と個人情報の守りを、保守の商品として組み立てるときに読む記事を並べた地図です。

脆弱性の対応が「無償の後始末」になっていないか

PHPのサポート終了、WordPressやプラグインの脆弱性、ECサイトの決済画面の改ざん。
制作会社のもとには、こうした知らせが毎月のように届きます。

そのたびに、契約にない作業を、善意で、夜中に片づけていないでしょうか。
対応しなければ顧客のサイトが危なくなり、対応すれば利益が消える。この板挟みが、保守の赤字の正体です。

一方で、悪意ある第三者が顧客サイトの入力画面から個人情報やカード情報を盗み取ろうとする手口は、個人情報保護法の漏えい等報告の対象にもなっています。
「作った会社」として何を求められるのかを知らないままでは、価格も責任も決められません。

セキュリティ保守とは、脆弱性の対応を善意の作業から、範囲と料金と責任の上限を決めた商品に変えることで、顧客のサイトと自社の利益を同時に守る仕組みである

黒字化の外科医です。セキュリティ保守を、六つの入口に分けて並べました。
法律や契約に触れる記事では、考え方の入口だけを置いています。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

入口1：PHPとサーバーの更新を、保守の売上にする

PHPのサポート終了の説明、バージョンアップの見積もりと提案、サーバー移行の事故防止、SSL証明書の有効期間の短縮です。

▶ PHPバージョンアップを「無償の後始末」で終わらせない──保守の売上に変える考え方と、顧客への切り出し方の文例

▶ PHPのサポート終了を、顧客にどう説明するか──php.netで確かめた各バージョンの終了時期と、煽らずに伝える説明文の型

▶ PHPバージョンアップの費用は「相場」ではなく工数で出す──調査・検証環境・本番の工程別の見積もりと、時間単価×工数の計算例

▶ PHPバージョンアップの提案キット、制作会社向け──顧客向け案内文3種、見積もりテンプレ、互換性チェックリスト、検証手順、AIプロンプト一式

▶ サーバー移行とPHPの強制アップで、サイトが止まる前に──旧PHPの提供終了で起きる事故の型と防ぎ方、移行チェックリスト

▶ SSL証明書の有効期限は2029年に最長47日へ短縮──CA/Browser Forumの日程と、自動更新・監視を保守メニューにする方法

入口2：WordPressとECサイトの脆弱性に、体制で備える

更新の方針、改ざんされた日の初動、プラグインの棚卸し、ECサイトの脆弱性対応、放置サイトの提案です。

▶ WordPress 脆弱性のたびに社長が夜中に更新している制作会社へ──更新の方針、検証、緊急時の判断基準、お客様との取り決めで「体制」にする

▶ WordPress 改ざんに気づいた日、制作会社が最初の24時間でやること──隔離・保全・連絡・復旧・再発防止を、慌てて消さない順番で

▶ WordPress プラグイン 脆弱性の対応が追いつかない制作会社へ──入れる前の選定基準と、入れたあとの棚卸しで守る対象を減らす

▶ EC-CUBE 脆弱性の告知を「お客様が自分で見るもの」にしていないか──ECサイトの脆弱性対応と、構築した制作会社が結ぶべき保守の取り決め

▶ WordPress 改ざん 対応の初動キット──インシデント対応手順書、第一報・続報・完了報告の文例、記録シート、再発防止報告書の型とAIプロンプト

▶ ホームページ 放置 リスクを「怖がらせて売る」のはやめる──更新されていない古いサイトを、責めずに提案の機会にする話し方と診断の型

入口3：悪意ある個人情報の取得から、顧客サイトを守る

ウェブスキミング、クレジットカード・セキュリティガイドライン、漏えい等の報告、問い合わせフォームの安全設計、委託と安全管理措置です。

▶ ウェブスキミングとは、顧客サイトの入力画面が気づかないまま盗み見られること──制作会社が保守で止める改ざん検知・外部スクリプト・管理画面の守り

▶ クレジットカード情報漏洩、EC制作会社は「非保持だから安心」と言えない──ガイドライン6.1版の脆弱性対策5項目と、制作・保守の役割分担表

▶ 個人情報の漏えい、報告は誰がいつまでに──報告対象の4類型、速報と確報の期限、制作会社が委託元へ「速やかに」知らせる流れ

▶ 問い合わせフォームのセキュリティは「保存しない設計」から──通信・スパム対策・送信先・ログの5つの線と、納品前の確認表

▶ 個人情報の委託と安全管理措置、制作会社は「受ける側」として何を問われるか──委託元の監督に応える体制と、覚書で決める10項目

▶ 個人情報の漏えい対応、制作会社の最初の72時間キット──初動チェックリスト、委託元への第一報、時系列記録、報告9項目の整理表、再発防止策の型

入口4：セキュリティ保守を商品にして、責任の範囲を決める

何を含めるか、料金の組み方、提案書、責任と損害賠償、WAF、バックアップと復旧テストです。

▶ セキュリティ保守を「善意の無償対応」のままにしない──更新・監視・バックアップ・WAF・報告・緊急対応の6つで、契約された商品にする

▶ 保守料金をセキュリティ込みで決め直す──「月1万円で全部」をやめ、工数の積み上げ・松竹梅・緊急対応の別料金で組む料金設計と計算例

▶ セキュリティ保守の提案書キット──3プランのメニュー表、提案書8枚、説明トークと反論への答え、約款の条項例、月次報告書の型、AIプロンプト

▶ Web制作会社の責任と損害賠償は「サイトが攻撃された日」に問われる──制作と保守で違う責任の形、契約で決める上限・免責・範囲外・お客様の義務

▶ WAF導入を、制作会社は「全部のサイトに」と勧めない──WAFとは何かを一言で、勧める判断基準、誤検知でフォームが止まる事故の防ぎ方

▶ バックアップは「取っている」だけでは保守にならない──復旧テストを年に何回、何時間でやるかを決め、保守の商品と報告に組み込む方法と計算例

入口5：制作会社自身が、攻撃の入口にならない

情報セキュリティ10大脅威、ランサムウェアとアカウント乗っ取り、顧客のID・パスワードの預かり方、SECURITY ACTION、脆弱性情報の集め方です。

▶ 情報セキュリティ10大脅威 2026を、Web制作会社の目線で読む──組織編の10項目を「顧客サイト」と「自社」に仕分け、保守の説明に使う

▶ ランサムウェア対策、中小企業の制作会社は「自社が入口」になる前に──多要素認証、権限、退職者、端末の4点で、顧客サイトへの踏み台を断つ

▶ パスワード管理、顧客から預かるIDで事故を起こさない制作会社のルール──FTP・管理画面・サーバー・ドメインの受け取り、保管、返却と依頼文

▶ SECURITY ACTIONを、Web制作会社が自ら宣言する意味──一つ星・二つ星の要件、取引先に見せる基本方針、顧客の宣言を手伝う提案

▶ 脆弱性情報の収集、制作会社は「見る場所」と「伝える順番」を先に決める──JVN・JPCERT/CC・IPA・CMS公式の使い分けと通知の文例

入口6：保守全体の値上げと自動化

セキュリティを足した保守を、値上げと自動化の流れのなかに置き直します。

▶ 制作会社の利益は「保守契約」から溶けていく──何年も据え置いた保守料・運用費を、工数の実績で値上げする判断と手順

▶ 保守・運用の自動化、Web制作会社は「値上げ」の前に原価を下げられる──バックアップ・更新・監視・フォーム確認・レポートのどこを任せ、どこを人が見るかと、1サイトの原価の計算例

第2弾：不正アクセス・パッチ・安全な作り方

不正アクセスの対策と届出、PHPのパッチ、SQLインジェクションやXSSを防ぐ作り方、脆弱性診断、社内の教育は、第2弾の地図にまとめました。

▶ Web制作会社の不正アクセス対策とパッチ管理の地図【2026年版】──不正ログイン・PHPのパッチ・SQLインジェクション・脆弱性診断を、納品と保守の標準にする

最後に

脆弱性の知らせは、これからも止まりません。

けれど、その知らせを無償の後始末ではなく、範囲と料金と責任の上限を決めた保守の仕事に変えた制作会社だけが、顧客のサイトと自社の利益を同時に守り続けられるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #制作会社経営 #中小企業 #セキュリティ #保守運用 #WordPress #PHP #個人情報保護 #脆弱性対策 #経営改善