脆弱性情報の収集、制作会社は「見る場所」と「伝える順番」を先に決める──JVN・JPCERT/CC・IPA・CMS公式の使い分けと通知の文例

この記事は、Web制作会社が脆弱性情報の収集をどこで行い、顧客にどの順番で、どう伝えるかの通知フローと文例を扱います。

「御社から、何も連絡がなかった」

あるCMSのプラグインに、深刻な脆弱性が公表されます。
保守を任されていた顧客のサイトにも、そのプラグインが入っていました。

担当者は、気づいた日のうちに更新しました。
けれど、顧客には何も伝えていませんでした。

後日、顧客がニュースでその脆弱性を知り、言いました。
「対応してくれていたのなら、なぜ教えてくれなかったのですか」

作業はしていたのに、伝えていなかったことで、評価を落としたのです。

脆弱性情報の収集とは、自社が保守するソフトについての公的な情報と公式の発表を、決まった場所から決まった頻度で集め、顧客ごとに当てはめることである

黒字化の外科医です。脆弱性情報の集め方と、顧客への通知の流れを解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

仕組みにする理由は、三つあります。

第一に、脆弱性を突く攻撃は、上位の脅威だから。
IPA「情報セキュリティ10大脅威 2026」組織編では、4位に「システムの脆弱性を悪用した攻撃」が挙がっています。

第二に、情報源が多く、担当者任せだと抜けるから。
誰かがSNSで見かけたときだけ対応する体制では、見落としがそのまま事故になります。

第三に、伝えて初めて、保守の価値になるから。
更新の作業は、顧客から見えません。通知と報告が、作業を「見える」形にします。

脆弱性情報を集める場所

JVN（Japan Vulnerability Notes）
　JPCERT/CCとIPAが共同で運営する、日本で使われているソフトウェアなどの
　脆弱性関連情報と対策情報のポータルサイト

JVN iPedia ／ MyJVN（IPA）
　国内で使われている製品の脆弱性対策情報を蓄積したデータベースと、
　その情報を効率よく集めるための仕組み

JPCERT/CC「注意喚起」
　RSSとメーリングリストで受け取れる

IPA「重要なセキュリティ情報」
　「緊急」「注意」に分けて掲載。RSSとメールニュースがある

各CMS・プラグイン・サーバー会社の公式の発表
　WordPressなら公式サイトのお知らせ、プラグインなら配布元の更新履歴

公的な情報は、広く使われる製品が中心です。
小さなプラグインの情報は、配布元の公式の発表でしか分からないこともあります。両方を見る前提にしてください。

今すぐ試せる：自社の「見るべきソフト」の一覧を作るプロンプト

私はWeb制作会社の経営者です。保守している顧客サイトの構成から、脆弱性情報を見るべきソフトの一覧を作ってください。

【前提】
・顧客サイトの一覧と、それぞれのCMSとバージョン：〔　〕
・使っているプラグイン・テーマ・拡張機能：〔　〕
・サーバーの種類（共用・VPS・クラウド）と、PHPなどのバージョン：〔　〕

1. 複数の顧客で共通して使われているソフトを、使っている顧客の数の多い順に並べる。
2. ソフトごとに、公式の発表を確認できる場所の種類（公式サイト、配布元、サーバー会社）を整理する。
3. 1社でしか使っていないソフトには、印をつける。

通知フロー工場：集める、当てはめる、伝える

毎日・毎週の流れ

毎日（担当者・15分）
1. JVN、JPCERT/CCの注意喚起、IPAの重要なセキュリティ情報を確認
2. 自社の「見るべきソフト」に当てはまるものを拾う

当てはまったとき
3. 顧客サイトの管理台帳と照らし、影響のある顧客を洗い出す
4. 深刻さを判断する（攻撃がすでに起きているか、自社の顧客の構成で影響するか）
5. 対応の期限を決め、顧客に連絡する
6. 更新・確認をして、結果を報告する

毎週（責任者・15分）
7. 見落としがないか、配布元の更新履歴を確認する

担当者の確認は、1日15分なら、20営業日で月5時間です。
この時間は、保守料の原価に入れておきます。

顧客サイトの構成を照らす台帳は、こちらで扱っています。

▶ ドメイン・サーバーの管理台帳テンプレート、制作会社のアカウント管理キット──台帳の32項目、名義と権限の整理表、更新日のアラート設計、引き渡しチェックリスト、お客様への説明文、AIの点検プロンプト

通知文1：急ぎの対応（保守契約あり）

〇〇様

御社サイトで使用している〔ソフト名〕に、脆弱性が公表されました。
公的な脆弱性情報で「〔緊急／注意〕」とされている内容です。

弊社で〔日付〕に更新を行い、表示と主な機能に問題がないことを確認しました。
保守契約の範囲内の対応のため、追加の費用はかかりません。

通知文2：保守契約の範囲外の顧客

〇〇様

以前制作を担当した御社サイトで使われている〔ソフト名〕に、脆弱性が公表されました。
現在、弊社は御社サイトの保守を担当していないため、更新は行っておりません。

更新をご希望の場合は、お見積りをお出しします。
ほかの会社に依頼される場合も、早めの更新をおすすめします。

範囲外の顧客への連絡は、善意で更新までしてしまわないことが大切です。
作業をすれば、その後の不具合の責任まで引き受けることになりかねません。

構造的なリスク

逆説を指摘しておきます。

通知を丁寧にするほど、顧客は「通知があれば安全」と思い込みます。
けれど、公表されていない脆弱性や、公的な情報に載らない小さなソフトもあります。

通知文や保守の説明では、すべての脆弱性を把握できるわけではないことを、一度は伝えておいてください。

よくあるQ&A

Q. 情報源が多すぎて、毎日は見られない。

RSSやメールで受け取り、自社の「見るべきソフト」の名前だけで絞り込むと、確認の時間を短くできます。

Q. 深刻さは、どう判断すればよいか？

IPAの重要なセキュリティ情報は、攻撃がすでに起きているものを「緊急」としています。まず「緊急」と、自社の顧客に共通するソフトを優先してください。

Q. 通知だけで、保守料をもらえるのか？

通知と月次の報告を組み合わせると、保守の価値として説明しやすくなります。脅威の名前と作業をつなぐ報告の型は、10大脅威を制作会社の目線で読む記事で扱っています。

最後に

脆弱性への対応は、作業しただけでは顧客に伝わりません。

見る場所と伝える順番を先に決めた会社だけが、更新の作業を、保守を任される理由に変えられるのです。

▶ SECURITY ACTIONを、Web制作会社が自ら宣言する意味──一つ星・二つ星の要件、取引先に見せる基本方針、顧客の宣言を手伝う提案

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #脆弱性 #JVN #JPCERT #IPA #セキュリティ対策 #保守契約 #WordPress #制作会社経営 #中小企業