不正アクセス対策、制作会社は顧客サイトを「鍵・更新・権限・監視・記録」で守る──保守の全体像と、顧客に説明できる点検表

2026年10月22日 07:20

この記事は、Web制作会社が顧客サイトで取るべき不正アクセス対策の全体像を、認証・更新・権限・監視・記録の5つに分けて扱います。

「うちのサイトなんて、誰も狙わない」と言われたら

「小さな会社のサイトだから、狙われないでしょう」

保守の提案をすると、こう返されることがあります。
制作会社の側も、内心では同じように考えて、対策を後回しにしていないでしょうか。

警察庁・総務省・経済産業省が令和8年3月に公表した「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」では、令和7年の不正アクセス行為の認知件数は7,190件で、前年から約34.2%増えています。

同じ資料にある、IPAへの不正アクセスの届出の分析では、被害の原因として「ID・パスワード管理の不備」が約33.7%、「古いバージョンの利用や修正プログラム・必要なプラグイン等の未導入」が約20.2%で、この二つで約53.9%を占めています。

狙われる理由は、会社の大きさではありません。鍵が弱いことと、更新されていないことです。

顧客サイトの不正アクセス対策とは、入口の鍵を強くし、穴を塞ぎ、入れる人を絞り、異変に気づき、あとで辿れるようにしておくことである

黒字化の外科医です。制作会社が保守として引き受けるべき不正アクセス対策を、5つの層に分けて解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

全体像で考えるべき理由は、三つあります。

第一に、一つの対策だけでは防げないから。
強いパスワードを使っていても、プラグインの脆弱性を突かれれば入られます。更新していても、退職者のIDが残っていれば入られます。

第二に、法律も、管理する側の努力を求めているから。
不正アクセス禁止法の第8条は、アクセス制御機能を付けた「アクセス管理者」に、識別符号（IDやパスワードなど）の適正な管理と、機能の有効性の検証、必要な防御措置に努めることを定めています。努力義務ですが、顧客から「何をしていたのか」と問われる場面では、この考え方が物差しになります。

第三に、起きたあとに説明できるかどうかで、信頼が決まるから。
同じ資料は、IPAへの届出に「原因不明」が多いことに触れ、ログの取得・保管の方法や期間の見直しを勧めています。記録がなければ、何が起きたかを顧客に説明できません。

今すぐ試せる：顧客サイトの不正アクセス対策を棚卸しするプロンプト

私はWeb制作会社の経営者です。保守している顧客サイトの不正アクセス対策を棚卸ししてください。

【前提】
・サイト名と、使っているCMS・主なプラグイン：〔　〕
・管理画面にログインできるアカウントの数と、持ち主：〔　〕
・二段階認証の有無：〔　〕
・CMS・プラグイン・PHPの最終更新日：〔　〕
・サーバーのログの保存期間と、誰が見ているか：〔　〕

1. 「認証・更新・権限・監視・記録」の5つの層ごとに、できていること／できていないことを分ける。
2. できていない項目を、危険の大きい順に並べる。
3. 制作会社の保守でやること／顧客がやることに分ける。
4. 顧客への説明文を、専門用語を使わず5行で書く。

不安をあおる表現は使わないこと。

不正アクセス対策工場：5つの層の点検表

5つの層と、点検すること

【1. 認証（鍵）】
□ 管理画面のパスワードは長く、使い回していないか
□ 管理者に二段階認証（二要素認証）を設定しているか
□ ログインの試行回数を制限しているか
□ 「admin」など推測しやすいユーザー名を使っていないか

【2. 更新（穴を塞ぐ）】
□ CMS本体・プラグイン・テーマの更新を、決まった頻度で確認しているか
□ PHP・サーバーのソフトが、サポート期間内か
□ 使っていないプラグイン・テーマを削除しているか

【3. 権限（入れる人を絞る）】
□ 管理者権限を持つ人を、必要な人だけにしているか
□ 退職者・契約終了した外注先のアカウントを削除したか
□ FTP・サーバー・ドメインの権限を、誰が持っているか分かるか

【4. 監視（異変に気づく）】
□ ログインの失敗が急に増えたら、気づける仕組みがあるか
□ 見覚えのない管理者アカウントの追加に、気づけるか
□ ファイルの改ざんに、気づけるか

【5. 記録（あとで辿れる）】
□ アクセスログ・エラーログの保存期間を決めているか
□ 作業の履歴（誰が、いつ、何を変えたか）が残っているか
□ 顧客に、月次で点検の結果を報告しているか

警察庁などの同じ資料も、アクセス管理者の講ずべき措置として、ログの取得、脆弱性の管理、不審なログインの監視、元従業員や委託先に割り当てたIDの速やかな削除などを挙げています。

層ごとの詳しい手順は、別の記事で扱います。

計算例：月次の点検を保守料に入れると、いくらか

（例）時間単価：7,645円（K32の計算例の数字）
月次のログ・ログイン履歴の確認：30分
四半期ごとのアカウント棚卸し：60分 → 月平均 20分
1サイトあたり 月平均 50分

7,645円 × 50 ÷ 60 ≒ 6,371円／月

この点検を「無償のサービス」にしていると、サイトが増えるほど利益が削られます。保守の項目として書き、金額に入れてください。

▶ 保守料金をセキュリティ込みで決め直す──「月1万円で全部」をやめ、工数の積み上げ・松竹梅・緊急対応の別料金で組む料金設計と計算例

構造的なリスク

逆説を指摘しておきます。

点検表を作って顧客に渡すと、「全部やってくれるのですね」と受け取られがちです。
けれど、顧客の社内のパソコンや、顧客が自分で発行したアカウントまでは、制作会社には守れません。

だから、5つの層ごとに「制作会社がやること」と「顧客がやること」を書き分け、契約に残してください。守れない範囲を正直に書くことが、事故の日に信頼を守ります。

▶ Web制作会社の責任と損害賠償は「サイトが攻撃された日」に問われる──制作と保守で違う責任の形、契約で決める上限・免責・範囲外・お客様の義務

よくあるQ&A

Q. 全部の顧客サイトに、5つの層を一度に入れるべきか？

いいえ。まず「認証」と「権限」から始めてください。管理者の二段階認証と、不要なアカウントの削除は、費用が小さく効果が大きい対策です。

Q. 顧客が二段階認証を嫌がったら？

無理に押し付けず、ログイン試行の制限など、顧客の手間が増えない対策を先に入れます。そのうえで、断られた事実を記録に残してください。

Q. 小さなサイトにも、ログの保存は必要か？

必要です。起きたときに原因を説明できるかどうかは、ログの有無で決まります。保存期間は、サーバーの容量と調査に必要な期間から決めます。

最後に

不正アクセス対策は、一つの道具ではなく、鍵・更新・権限・監視・記録の5つの層で考えます。

5つの層を点検表にして、保守の項目と金額に入れた会社だけが、事故の日にも顧客に「やるべきことはやっていた」と説明できるのです。

起きたときの調査と報告の型は、こちらにまとめました。

▶ 不正アクセス調査・報告キット──ログ保全の手順、調査会社への依頼書、時系列シート、顧客への報告書、再発防止策の型とAIプロンプト

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #不正アクセス #不正アクセス対策 #セキュリティ保守 #二段階認証 #アクセスログ #制作会社経営 #中小企業 #WordPress #情報セキュリティ