サーバー設定のセキュリティを「担当者の頭の中」に置かない──VPS・クラウドを納品する制作会社のSSH・ポート・権限・更新と引き渡し記録

この記事は、制作会社がVPSやクラウドのサーバーを納品・運用するときの、サーバー設定のセキュリティの基本を、経営者の目線で扱います。

「サーバーは、あのエンジニアしか分からない」

「サーバーの設定は、辞めた外注のエンジニアがやった。どうなっているか、誰も知らない」

レンタルサーバーではなく、VPSやクラウドで顧客サイトを動かす案件が増えました。
自由度が高い分、設定の良し悪しが、そのまま守りの強さになります。

ところが、その設定が、一人の頭の中にしかない。
これは技術の問題ではなく、経営の問題です。

サーバー設定のセキュリティとは、入口・開いている窓・持たせる権限・更新の4点を決め、誰が見ても分かる記録に残すことである

黒字化の外科医です。サーバー設定のセキュリティを、経営者が確認できる4点に分けて解剖します。

社長がこの4点を押さえるべき理由は、三つあります。

第一に、最終的な責任は、サーバーの持ち主に残るから。
総務省の「クラウドの設定ミス対策ガイドブック」は、システム開発事業者が行った設定であっても、最終的な責任は利用者が負うことになるとしています。顧客は「制作会社に任せていた」では済みません。だから顧客は、制作会社に説明を求めます。

第二に、守るべき項目は、公的な資料ですでに整理されているから。
IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」は、ウェブサーバの対策として、OSやサーバソフトウェアのバージョンアップ、不要なサービスやアカウントの削除、推測されやすいパスワードの禁止、ファイルへのアクセス制御、ログの保管と確認を挙げています。自社で一から考える必要はありません。

第三に、記録がないと、引き継げないし、売れないから。
設定が人に付いている状態では、担当者が辞めた日に保守が止まります。記録があれば、保守の作業として見積もり、報告できます。

経営者が確認する4点

1. 入口（ログインの方法）

サーバーへの管理用のログインは、パスワードではなく鍵で行う設定（SSHの鍵認証）にし、パスワードでのログインと、管理者アカウントでの直接ログインを止めているか。
鍵を誰が持っているか、一覧にあるか。

2. 開いている窓（ポート）

外から入れる窓（ポート）は、サイトの表示と管理に必要なものだけか。
20ヶ条も、不要なサービスを動かさないこと、ファイアウォールで通信を適切に絞ることを挙げています。データベースの管理画面などを、誰でも見られる状態にしていないか。

3. 持たせる権限

作業者ごとに個別のアカウントがあり、必要な権限だけを持たせているか。
退職者や、契約が終わった外注先のアカウントが残っていないか。

4. 更新

OSやミドルウェアの更新を、誰が、どの頻度で行い、どこに記録しているか。
パッチの当て方と台帳は、このシリーズの別の記事で扱っています。

▶ パッチ適用の手順を「本番でそのまま更新」で済ませない──検証環境、バックアップ、戻し方、顧客への告知までの本番反映フロー

今すぐ試せる：サーバー設定の引き渡し記録を作るプロンプト

私はWeb制作会社の経営者です。顧客に納品するサーバーの設定を、技術者でない人にも分かる「引き渡し記録」にまとめてください。

【前提】
・サーバーの種類（VPS／クラウドのIaaS など）：〔　〕
・OSとWebサーバー、データベース：〔　〕
・管理用ログインの方法：〔　〕
・外部に開けているポートと、その用途：〔　〕
・作業者のアカウントと権限：〔　〕
・更新の担当と頻度：〔　〕
・ログの保管場所と期間：〔　〕

1. 「入口」「開いている窓」「権限」「更新」「ログ」の5つの見出しで整理する。
2. それぞれに「今の設定」「なぜそうしたか」「誰が管理するか」を書く。
3. 顧客側で決めてもらう必要がある事項を、最後に一覧にする。

パスワードや鍵の中身は、記録に書かないこと。

設定記録工場：納品時のチェックと引き渡しの型

納品前のチェック表

【入口】
□ 管理用ログインは鍵認証のみ（パスワードでのログインは無効）
□ 管理者アカウントでの直接ログインは無効
□ 鍵の持ち主の一覧がある（人ごと、端末ごと）

【開いている窓】
□ 外部に開けているポートの一覧と、用途の説明がある
□ 使っていないサービスは止めている
□ 管理画面に、接続元の制限か、追加の認証がある

【権限】
□ 作業者ごとに個別アカウント（共用アカウントなし）
□ 退職者・契約終了の外注先のアカウントがない
□ ファイルとディレクトリの権限を、必要最小限にしている

【更新】
□ OS・ミドルウェアの更新の担当と頻度を決めた
□ 直近の更新日を記録した

【ログ】
□ アクセスログと認証ログの保管場所と期間を決めた

引き渡しで決めることの文例

・サーバーの契約名義：〔顧客／当社〕
・管理者の権限を持つ人：〔顧客の〇〇様、当社の〇〇〕
・保守契約の範囲に含む作業：更新、ログの確認（月1回）、設定の見直し（年1回）
・保守契約の範囲に含まない作業：〔　〕
・保守契約が終わるとき：当社のアカウントと鍵を削除し、削除した旨を書面で報告する

顧客から預かるIDの扱いは、こちらで扱いました。

▶ パスワード管理、顧客から預かるIDで事故を起こさない制作会社のルール──FTP・管理画面・サーバー・ドメインの受け取り、保管、返却と依頼文

構造的なリスク

逆説を指摘しておきます。

チェック表を作ると、「表を埋めたから安全」と思いがちです。
けれど、設定は時間とともにずれます。急ぎの対応で一時的に開けたポートが、そのまま残るのが典型です。

だから、納品時のチェックに加えて、年に一度の見直しを保守の定例に入れます。

▶ 年次のセキュリティ点検を、保守の定例にする──棚卸し・診断・設定の見直し・報告の4工程と、1サイトあたりの工数の計算、点検報告書の型

よくあるQ&A

Q. 社長が技術を分からなくても、確認できるか？

できます。設定の中身ではなく、「記録があるか」「担当が決まっているか」を確認してください。記録を説明できない設定は、見直しの対象です。

Q. レンタルサーバーでも、同じ考え方か？

範囲が変わります。総務省のガイドブックは、サービスの種類によって利用者の責任範囲が変わると整理しています。事業者が管理する部分と、自社が触れる部分を分けて記録します。

Q. 外注のエンジニアに設定を頼むときは？

このチェック表を、発注の条件として渡してください。納品物に「引き渡し記録」を含めると決めておけば、人が代わっても残ります。

最後に

サーバー設定のセキュリティは、入口、窓、権限、更新の4点です。

設定を一人の頭の中から出し、誰でも読める記録にした会社だけが、サーバーの保守を引き継げる商品として売れるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #サーバー設定 #セキュリティ #VPS #クラウド #SSH #制作会社経営 #中小企業 #保守運用 #情報セキュリティ