DDoS対策を、中小企業のサイトで「全部防ぎます」と言わない──NISCの注意喚起で引く現実的な線と、止まったときの備え

この記事は、中小企業のサイトのDDoS対策を、制作会社がどこまで引き受けるかの線引きを扱います。

「うちのサイトも、DDoSで止まりますか」

「ニュースで、大きな会社のサイトがDDoS攻撃で止まったと見た。うちは大丈夫なのか」

顧客からこう聞かれたとき、答えに迷う制作会社は多いはずです。
「大丈夫です」と言えば根拠がなく、「対策しましょう」と言えば、何をいくらでやるのかが決まっていません。

まず押さえるべきは、公的機関も「全ては防げない」と言っていることです。
だから制作会社の仕事は、防ぐ約束ではなく、線引きと備えになります。

中小企業サイトのDDoS対策とは、全ての攻撃を防ぐことではなく、止まって困る度合いでサイトを分け、被害を抑える備えと、止まったときの段取りを用意することである

黒字化の外科医です。DDoS対策を、中小企業のサイトに合う大きさに切り分けて解剖します。

軸にするのは、内閣サイバーセキュリティセンター（NISC）の「DDoS攻撃への対策について（注意喚起）」（令和7年2月4日）です。

線引きが要る理由は、三つあります。

第一に、全てを防ぐことはできないから。
注意喚起は、DDoS攻撃への対策には多くの費用と時間が必要なものもあり、全ての攻撃を未然に防げるものではないとしています。そのうえで、まずは機器やシステムの設定の見直し、脆弱性の確認、ソフトウェアの更新など、身近な対策を進めるよう求めています。

第二に、守る強さは、止まって困る度合いで決めるものだから。
注意喚起は、コストをかけてでも守る必要があるサービスと、一定期間止まっても許容できるサービスを選別し、それぞれの方針を決めることを挙げています。会社案内のサイトと、予約や受注のサイトでは、答えが違います。

第三に、止まったときの段取りは、制作会社が一番用意しやすいから。
注意喚起は、別のサーバーに用意したソーリーページ、SNSなどでの利用者への周知、平常時の通信量の監視とアラート、警察や関係機関などの通報先をまとめた対策マニュアルを挙げています。どれも、サイトを作った会社が整えやすいものです。

今すぐ試せる：顧客サイトの「止まって困る度合い」を判定するプロンプト

私はWeb制作会社の経営者です。顧客サイトのDDoS対策の方針を決めるために、「止まって困る度合い」を判定してください。

【前提】
・サイトの役割（会社案内／集客／予約・受注／会員サービスなど）：〔　〕
・サイトが止まったときに止まる業務：〔　〕
・止まっても許容できる時間の目安（顧客の感覚）：〔　〕
・今のサーバーの種類と、事業者が提供しているDDoS関連の対策：〔　〕
・CDNやWAFの利用の有無：〔　〕

1. 止まって困る度合いを「低・中・高」で判定し、理由を書く。
2. 度合いに応じて、事前の対策と、止まったときの段取りを分けて提案する。
3. 顧客に「できないこと」として伝えるべき点を明記する。

攻撃の方法は書かないこと。

線引き工場：3段階の方針と、備えの型

止まって困る度合いで分ける

【低】会社案内・採用など。数時間止まっても業務は回る
・身近な対策：OS・CMSの更新、サーバー事業者の対策の確認
・止まったとき：SNSでの周知の文例、連絡先の一覧

【中】集客・問い合わせが中心。止まると機会を失う
・上に加えて：通信量の監視とアラート、別サーバーのソーリーページ
・CDNやクラウド型WAFのサービスの検討（入れるなら元のサーバーのIPアドレスを隠す）

【高】予約・受注・会員サービスなど。止まると業務が止まる
・上に加えて：回線やサーバーの事業者のDDoS対策の利用、冗長化の検討
・止まったときの業務継続の手順（電話受付など代わりの手段）を顧客と決める
・専門の事業者への相談を前提にする

【高】のサイトを、制作会社が一社で抱えないことが大切です。どこからが専門の事業者の領域かを、提案の時点で示します。

止まったときの段取り表

□ 異常を知らせるアラートの宛先：〔当社の〇〇、顧客の〇〇様〕
□ ソーリーページの置き場所と、切り替える人
□ SNSなどでの周知の文例（下書きを用意しておく）
□ サーバー事業者・CDN事業者の連絡先と、契約番号の控え場所
□ 警察・関係機関などの通報先の一覧（顧客と確認）
□ 代わりの受付手段（電話、メールなど）
□ 復旧したあとの報告の形式

備えの作業を見積もる

備えの工数 ＝ 方針の打ち合わせ ＋ ソーリーページの用意 ＋ 監視とアラートの設定 ＋ 段取り表の作成

例：
方針の打ち合わせ：2時間
ソーリーページの用意：3時間
監視とアラートの設定：3時間
段取り表の作成：2時間
合計：10時間

時間単価7,600円の会社なら：10時間 × 7,600円 ＝ 76,000円（初期の作業）

年に一度の見直しは、点検の定例に入れます。

▶ 年次のセキュリティ点検を、保守の定例にする──棚卸し・診断・設定の見直し・報告の4工程と、1サイトあたりの工数の計算、点検報告書の型

構造的なリスク

逆説を指摘しておきます。

DDoSの話は、不安を呼びやすいテーマです。
不安を使って高い対策を売ると、一度は売れても、何も起きない年が続いたとき「無駄だった」と言われます。

だから、【低】のサイトには「身近な対策で十分です」と言い切ります。
勧めない判断を示す会社のほうが、【高】のサイトで相談される会社になります。

よくあるQ&A

Q. CDNを入れれば、DDoSは防げるか？

CDNは対策の一つです。注意喚起も、元のサーバーのIPアドレスを隠す必要があるとしています。導入の注意は、こちらで扱いました。

▶ CDN・WAFの導入で、顧客サイトを止めない注意点──DNSの切り替え、キャッシュの事故、誤検知、契約名義の4つを、作業の前に決めておく

Q. 攻撃されたら、制作会社の責任になるか？

保守契約の範囲と、事前に合意した方針によります。「全ては防げない」ことと、止まったときに何をするかを、契約と提案書に書いておきます。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

▶ Web制作会社の責任と損害賠償は「サイトが攻撃された日」に問われる──制作と保守で違う責任の形、契約で決める上限・免責・範囲外・お客様の義務

Q. 自社のサーバーが、攻撃に加担することはあるか？

あります。注意喚起は、踏み台にならない対策として、DNSサーバの設定、セキュリティパッチの適用、送信元を偽ったパケットを出さないフィルタリングを挙げています。自社と顧客のサーバーの更新は、加担を防ぐ意味もあります。

最後に

DDoS対策は、全てを防ぐ約束ではありません。

止まって困る度合いでサイトを分け、止まったときの段取りを先に用意した会社だけが、不安を煽らずに、顧客から頼られる保守を続けられるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #DDoS対策 #セキュリティ対策 #NISC #サイト運用 #保守契約 #制作会社経営 #中小企業 #事業継続 #情報セキュリティ