年次のセキュリティ点検を、保守の定例にする──棚卸し・診断・設定の見直し・報告の4工程と、1サイトあたりの工数の計算、点検報告書の型

この記事は、顧客サイトのセキュリティ点検を年次の定例にし、保守契約の中で毎年きちんと行う方法を扱います。

「最後に全体を見直したのは、いつですか」

「更新は毎月やっている。でも、サイト全体を見直したのは、納品したときが最後かもしれない」

月々の保守は、目の前の更新と問い合わせで手一杯になりがちです。
その間に、使っていないプラグイン、退職者のアカウント、一時的に開けた設定が、少しずつ積み上がります。

一つ一つは小さな穴です。
けれど、誰も全体を見直さないまま数年たつと、どこに穴があるのか、制作会社も顧客も説明できなくなります。

年次のセキュリティ点検とは、年に一度、守る対象を棚卸しし、決めた項目で診断し、設定を見直し、結果を顧客に報告する、保守の定例作業である

黒字化の外科医です。年次のセキュリティ点検を、保守の定例にする手順を解剖します。

定例にすべき理由は、三つあります。

第一に、公的な資料も、定期的な検査を求めているから。
IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」は、最後の項目に「定期的にセキュリティ検査（診断）、監査していますか？」を置いています。月々の更新だけでは、この項目は満たせません。

第二に、毎月の更新では見えない穴があるから。
同じ20ヶ条は、不要になったページの公開、不要なアカウント、不要なサービス、ログの保管と確認を、それぞれ別の項目として挙げています。どれも、年に一度、全体を見て初めて気づくものです。

第三に、報告がないと、保守の価値が見えないから。
何も起きなかった一年は、顧客から見ると「何もしていない一年」に見えます。点検の報告書は、守った仕事を目に見える形にします。

今すぐ試せる：年次点検の計画を作るプロンプト

私はWeb制作会社の経営者です。保守契約中の顧客サイトについて、年次のセキュリティ点検の計画を作ってください。

【前提】
・サイトの種類とCMS：〔　〕
・サーバーの種類（レンタルサーバー／VPS／クラウド）：〔　〕
・ログイン・会員・フォーム・決済の有無：〔　〕
・保守契約で月々行っている作業：〔　〕
・前回の点検の時期と、主な指摘：〔　〕

1. 点検を「棚卸し」「診断」「設定の見直し」「報告」の4工程に分け、それぞれの作業項目を挙げる。
2. 工程ごとの作業時間の目安を、当社で記入できる空欄つきの表にする。
3. 顧客に事前に確認すべき事項を挙げる。
4. 報告書の目次案を作る。

年次点検工場：4工程と、工数と、報告書の型

工程1：棚卸し

□ CMS・プラグイン・テーマ・ライブラリと、そのバージョン
□ PHPなど言語とミドルウェアのバージョン、サポートの期限
□ 管理画面・サーバー・ドメイン・DNSのアカウントと、持ち主
□ 退職者・契約終了の外注先のアカウントの有無
□ 公開しているが使っていないページ、テスト用のファイル
□ ドメインとSSL証明書の期限
□ CDN・WAFなど外部サービスの契約名義

サポートが終わるソフトウェアの台帳は、こちらで扱っています。

▶ EOLのソフトウェア管理、PHPだけ見ていないか──PHP・DB・OS・CMS・ライブラリのサポート終了を棚卸しし、1枚の台帳で追う

工程2：診断

範囲を先に決めます。
自社で行うなら、IPAの「ウェブ健康診断仕様」（「安全なウェブサイトの作り方」別冊）の13項目を、確認する項目の目安にできます。ただしこの仕様は、検査パターンを絞った診断であり、安全宣言にはつながらないと明記されています。報告書にも、その旨を書きます。

外部の診断会社に頼むなら、毎年でなく、大きな改修の年に入れる形もあります。比べ方はこちらです。

▶ 脆弱性診断の費用は「範囲・画面数・手法」で決まる──相見積もりの金額だけで選ばないための発注のしかたと、比べ方の表

工程3：設定の見直し

□ 管理用ログインの方法と、鍵の持ち主
□ 外部に開けているポートと、使っていないサービス
□ 作業者ごとのアカウントと権限
□ OS・ミドルウェアの更新の記録
□ ログの保管期間と、確認の記録
□ バックアップの取得と、復旧テストの実施記録

サーバー設定の4点は、こちらで詳しく扱いました。

▶ サーバー設定のセキュリティを「担当者の頭の中」に置かない──VPS・クラウドを納品する制作会社のSSH・ポート・権限・更新と引き渡し記録

工程4：報告

【年次セキュリティ点検報告書】
1. 点検の概要（実施日、範囲、方法、担当）
2. 結果の要約（経営者向けに3行）
3. 棚卸しの結果（増えたもの、減らしたもの）
4. 診断の結果（項目ごとの指摘の有無と重さ）
5. 設定の見直しで直したこと
6. 来年度までに対応が必要なこと（見積もりは別紙）
7. この点検の限界（範囲外のこと、安全を保証するものではないこと）

7の「限界」を書くことが、制作会社を守ります。

1サイトあたりの工数と料金

年間の点検工数 ＝ 棚卸し ＋ 診断 ＋ 設定の見直し ＋ 報告書

例：
棚卸し：2時間
診断（自社で決めた項目）：3時間
設定の見直し：2時間
報告書の作成と説明：1.5時間
合計：8.5時間

時間単価7,600円の会社なら：8.5時間 × 7,600円 ＝ 64,600円（年1回）
月額に均すと：64,600円 ÷ 12か月 ≒ 5,383円

この金額を、保守料に上乗せするか、年1回の別料金として出すかを決めます。
指摘を直す作業は、点検とは別の見積もりにします。

▶ 保守料金をセキュリティ込みで決め直す──「月1万円で全部」をやめ、工数の積み上げ・松竹梅・緊急対応の別料金で組む料金設計と計算例

構造的なリスク

逆説を指摘しておきます。

点検を定例にすると、毎年、指摘が出ます。
指摘が続くと、顧客は「作った会社の品質が悪いのでは」と感じることがあります。

だから、報告書では「去年より何が減ったか」を先に書きます。
棚卸しで減らした数、直した数を示すと、点検は品質の証明になります。

よくあるQ&A

Q. 全ての顧客に、同じ点検をするのか？

サイトの重さで分けます。会員や決済のあるサイトは項目を厚く、会社案内のサイトは棚卸しと設定の見直しを中心にします。

Q. いつ実施するのがよいか？

保守契約の更新の1〜2か月前がおすすめです。報告書と来年度の見積もりを、更新の話と一緒に出せます。

Q. 点検の結果、大きな穴が見つかったら？

報告を待たずに、すぐ顧客に連絡します。点検は年1回でも、緊急の連絡は別の流れです。脆弱性情報を伝える順番は、こちらで扱いました。

▶ 脆弱性情報の収集、制作会社は「見る場所」と「伝える順番」を先に決める──JVN・JPCERT/CC・IPA・CMS公式の使い分けと通知の文例

最後に

年次の点検は、棚卸し、診断、設定の見直し、報告の4工程です。

一年に一度、全体を見直して報告書に残した会社だけが、何も起きなかった一年を、守った一年として顧客に示せるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #セキュリティ点検 #保守契約 #脆弱性診断 #棚卸し #報告書 #制作会社経営 #中小企業 #保守運用 #情報セキュリティ