セキュリティ保守を「善意の無償対応」のままにしない──更新・監視・バックアップ・WAF・報告・緊急対応の6つで、契約された商品にする

この記事は、セキュリティ保守を、善意の無償対応から「契約された商品」に変える方法を扱います。

「セキュリティ 保守」で調べている制作会社の経営者の多くは、すでに何かを無償でやっています。
その無償の対応が、利益だけでなく、責任の範囲まであいまいにしています。

「ついでに見ておきました」が、一番高くつく

「プラグインの更新、ついでにやっておきました」
「改ざんされたみたいなので、今夜直しておきます」

どちらも、お客様のためを思った対応です。
けれど、契約に書かれていない対応は、売上にならないうえに、「やってくれるのが当たり前」という期待を残します。

そして、ある日の更新で表示が崩れたとき、お客様はこう言います。
「御社がやった更新でしょう。直してください。費用はそちら持ちで」

セキュリティ保守とは、守る作業の範囲・頻度・報告・緊急時の扱いを契約で決め、月額で売る商品である

黒字化の外科医です。セキュリティ保守を、商品として組み立てる手順を解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

商品にすべき理由は、三つあります。

第一に、無償の対応は、範囲が決まらないから。
範囲のない対応は、どこまでやっても「足りない」と言われる可能性が残ります。商品にすると、「ここまでが約束、ここからは別料金」と線が引けます。

第二に、守る作業は、手を抜いても見えないから。
更新もバックアップも、うまくいっている間は何も起きません。何もしていないのと見分けがつかないため、報告がない保守は、更新のたびに「何にお金を払っているのか」と問われます。

第三に、お客様自身も、守る責任を負っているから。
IPA（情報処理推進機構）は「中小企業の情報セキュリティ対策ガイドライン」を2026年3月に第4.0版へ改訂し、情報セキュリティの基本の心得に「バックアップを取ろう！」を加えて6か条としました。同じ改訂で、「5分でできる！情報セキュリティ自社診断」にも、ウェブサイトの安全な運用の項目が加わっています。
サイトを持つ会社が自ら取り組むべきことを、制作会社が代わりに担う。その形を契約で示すのが、セキュリティ保守です。

セキュリティ保守に含める6つの作業

商品の中身は、次の6つに分けて考えます。

• 更新：CMS本体、プラグイン、テーマ、サーバーの言語（PHPなど）の更新と、更新後の表示確認
• 監視：サイトが表示されているか、改ざんされていないか、証明書の期限が切れていないかの確認
• バックアップ：ファイルとデータベースの定期的な取得、保管、そして復旧できるかの確認
• WAF：攻撃の通信を見張って止める仕組みの導入と、設定の見直し
• 報告：月に一度、何をして、何が起きて、何が残っているかを文書で伝える
• 緊急対応：改ざんや停止が起きたときの、受付・初動・復旧の手順と料金

6つすべてを全部の顧客に入れる必要はありません。
組み合わせで、松竹梅をつくります。料金の組み立て方は、こちらで扱っています。

▶ 保守料金をセキュリティ込みで決め直す──「月1万円で全部」をやめ、工数の積み上げ・松竹梅・緊急対応の別料金で組む料金設計と計算例

今すぐ試せる：自社のセキュリティ保守を棚卸しするプロンプト

私はWeb制作会社の経営者です。いま無償で行っている「セキュリティに関わる対応」を棚卸しし、商品の形に整理してください。

【前提】
・保守契約を結んでいる顧客の数と、契約書に書いてある作業：〔記載〕
・契約書に書いていないが、実際に行っている作業：〔例：プラグイン更新、改ざんの復旧、深夜の障害対応〕
・その作業にかかっている月の時間（分かる範囲で）：〔記載〕
・自社の時間単価：〔記載〕

1. 作業を「更新・監視・バックアップ・WAF・報告・緊急対応」の6つに分類する。
2. 契約にある作業と、契約にない作業を分けて表にする。
3. 契約にない作業の月の時間 × 時間単価で、無償で提供している金額を出す。
4. 6つの作業を組み合わせて、3段階のプランの案を出す。
5. 各プランで「含まない作業」を3つずつ明記する。

金額の計算は、途中の式をすべて示すこと。

セキュリティ保守工場：商品の設計シート

1. 作業ごとに決める5つの項目

【作業名】〔例：プラグインの更新〕
頻度：　　〔例：月1回／重大な脆弱性の公表時は随時〕
やること：〔例：検証環境で更新→表示確認→本番に反映〕
やらないこと：〔例：更新で動かなくなった独自機能の改修〕
報告：　　〔例：月次報告書に、更新したものと版数を記載〕
月の工数：〔例：1.0時間〕

「やらないこと」を、作業ごとに必ず1つ以上書きます。
ここが空欄の作業が、のちの無償対応の入口になります。

2. 無償で提供している金額の計算

無償で提供している金額（月）＝ 契約外の作業時間（月）× 自社の時間単価

例：契約外の作業が、顧客10社の合計で月12時間
　　時間単価 8,000円
　　12時間 × 8,000円 ＝ 月96,000円
　　年間：96,000円 × 12か月 ＝ 1,152,000円

この金額は、値引きをしているのと同じです。
自社の時間単価の出し方は、こちらを参照してください。

▶ 制作会社の「時間単価」は、年収から逆算する──人件費の係数、稼働率、目標の利益で決める、見積もりの土台になる1時間の値段

3. 商品に切り替える前の6つのチェック

□ 6つの作業ごとに、頻度とやらないことを決めたか
□ 緊急対応の受付時間と、時間外の料金を決めたか
□ バックアップの保管期間と、復旧の確認の頻度を決めたか
□ お客様側にお願いすること（ID管理、原稿の権利、連絡先の更新）を書いたか
□ 月次報告書の型を用意したか
□ 責任の範囲と上限を、契約書か約款に書いたか

最後の「責任の範囲」は、別の記事で詳しく扱っています。

▶ Web制作会社の責任と損害賠償は「サイトが攻撃された日」に問われる──制作と保守で違う責任の形、契約で決める上限・免責・範囲外・お客様の義務

構造的なリスク

逆説を指摘しておきます。

セキュリティ保守を商品にすると、お客様は「これで安全になった」と受け取りがちです。
けれど、どれだけ守っても、被害を完全になくすことはできません。

だから、商品の説明では「被害をゼロにする」ではなく、「起きにくくし、起きたときに早く戻す」と伝えます。
約束の言葉を強くするほど、責任も重くなるからです。

よくあるQ&A

Q. いま無償でやっている顧客に、どう切り出すか？

まず、この半年に行った対応を、日付と時間つきで一覧にして見せてください。そのうえで「今後は、この範囲を契約として約束したい」と、プランを選んでもらう形にします。

Q. 小さな顧客には、保守を断られそうだが？

更新とバックアップだけの、一番小さなプランを用意してください。断られた場合は、「保守の契約がない期間の不具合は、都度お見積り」と書面で伝えておきます。

Q. 保守の工数を減らす方法は？

自動化できる作業は、自動化してから値付けします。どこまで自動にし、どこを人が見るかは、こちらで扱っています。

▶ 保守・運用の自動化、Web制作会社は「値上げ」の前に原価を下げられる──バックアップ・更新・監視・フォーム確認・レポートのどこを任せ、どこを人が見るかと、1サイトの原価の計算例

最後に

セキュリティ保守は、善意で続けるほど、利益も責任もあいまいになります。

6つの作業の範囲と、やらないことと、報告の形を決めて、契約された商品にした会社だけが、守る仕事で利益を残せるのです。

提案書・約款・報告書の型は、こちらにまとめました。

▶ セキュリティ保守の提案書キット──3プランのメニュー表、提案書8枚、説明トークと反論への答え、約款の条項例、月次報告書の型、AIプロンプト

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #セキュリティ保守 #保守契約 #WordPress保守 #情報セキュリティ #ストック収入 #制作会社経営 #中小企業 #商品設計 #サイト運用