「保守契約は結んでいます」。Webサイトのセキュリティについて伺うと、多くの企業からこの答えが返ってきます。続けて「契約にはどこまで含まれていますか」と伺うと、答えられる方はぐっと少なくなります。
Webサイト保守は幅の広い言葉です。表示崩れの修正だけを指す契約もあれば、更新・監視・バックアップまで含む契約もあります。問題は、どちらであっても「保守契約がある」と表現されることです。その結果、誰も更新していないサイトが「保守されている」ことになっている状態が生まれます。
この記事では、Webサイト保守のセキュリティ運用を更新・監視・権限管理・バックアップの4領域に分け、それぞれ何をどの頻度で行うのかを整理します。累計1500件超のDX活用支援を行ってきた株式会社キャンバス（キャンバスラボ）が解説します。
この記事の要点
- Webサイト保守のセキュリティ運用は更新・監視・権限管理・バックアップの4領域で構成される（2026年11月時点）。
- CMS・プラグインの定期更新、改ざん検知、ログの長期保存は、保守契約に含まれていないことが多い。契約書の作業範囲を確認する必要がある。
- 「監視」には死活監視・改ざん検知・WAF・ログ確認の4種類があり、相互に代替できない。コーポレートサイトの最小構成は死活監視＋改ざん検知。
- IPA「情報セキュリティ10大脅威 2026」組織編で「システムの脆弱性を悪用した攻撃」は4位。更新を止めることが最も直接的なリスクになる。
- 運用に必要なのは製品の購入ではなく、決める・実施する・記録に残すの3つ。
関連記事：ホームページ保守と脆弱性対応｜会社の選び方／PHPの脆弱性PHP2shell｜今すぐの確認手順
目次
Webサイト保守のセキュリティ運用とは？
Webサイト保守のセキュリティ運用とは、公開中のサイトを安全な状態に保つために、ソフトウェアの更新・異常の監視・利用者権限の管理・バックアップの4つを、担当と頻度を決めて継続的に回す運用である。
この4つは独立していません。更新を止めれば既知の脆弱性が残り、監視で拾うべき異常が増えます。バックアップがなければ、異常を検知しても戻す先がありません。どれか1つを強化しても、残りが空いていれば全体の強度は上がりません。
保守契約に含まれていないものは何ですか？
よくある誤解を整理します。下の表は、実際のご相談で頻出するすれ違いのパターンです。
| 思っていること | 実際に起きていること | 確認のしかた |
|---|---|---|
| 「保守契約があるから更新もしてくれている」 | 更新は作業範囲外で、依頼があったときだけ実施する契約になっている | 契約書の作業範囲に「CMS・プラグインの更新」が明記されているか |
| 「異常があれば連絡が来るはず」 | 死活監視のみで、改ざん検知は契約に含まれていない | 「改ざん検知」の有無と、通知先のメールアドレスを確認する |
| 「バックアップは取ってもらっている」 | 取得はしているが、復元作業は別料金かつ手順が未確認 | 復元にかかる時間と費用、試したことがあるかを聞く |
| 「ログは残っているはず」 | 保存期間が数日で、事故発覚時には消えている | アクセスログの保存月数を確認する |
| 「緊急時も対応してもらえる」 | 対応時間が平日日中のみで、休日夜間は翌営業日対応 | 契約上の対応時間と、時間外の連絡手段を確認する |
契約書を見ながら、抜けている項目をお伝えします
現在の保守契約の作業範囲と、サイトのURLをお知らせください。4領域のうちどこが埋まっていて、どこが空いているかを整理してご返信します。他社との契約内容についても、そのまま拝見します。
監視は何をどこまでできますか？
「監視」は、最も意味が広く取られている言葉です。契約書に「監視」と書かれていても、実際に何を見ているかは4通りに分かれます。
特に誤解が多いのが、死活監視では改ざんに気づけないという点です。死活監視はサイトが表示されるかどうかを見ています。改ざんされたページも正常に表示されるため、死活監視は何も検知しません。
WAFについても同様で、有効ではあるものの万能ではありません。WAFは通信の中身を見て不正なパターンを遮断する仕組みです。正規のIDとパスワードでログインされた場合、それは不正な通信に見えません。退職者のアカウントが残っていれば、WAFがあっても入られます。
更新を止めないための体制
4領域のうち、最も止まりやすいのが更新です。理由ははっきりしていて、更新するとサイトが壊れることがあるからです。一度壊した経験があると、担当者は触らなくなります。
| 止まる理由 | 起きていること | 解き方 |
|---|---|---|
| 更新で壊れるのが怖い | 本番環境で直接更新しており、失敗すると公開中のサイトが止まる | 確認用の環境で先に更新する。無い場合は更新前バックアップを手順に入れる |
| 誰がやるか決まっていない | 自社は制作会社がやると思い、制作会社は依頼が来たらやると思っている | 契約書または運用ルールに担当と頻度を明記する |
| 担当者が交代して引き継がれていない | 前任者の個人メールに通知が届き続けている | 通知先を個人アドレスから共有アドレスに変える |
| 更新したか分からない | 実施記録がなく、取引先に聞かれても答えられない | 実施日・担当・対象を1行で残す。表計算ソフトで足りる |
更新の頻度は、月1回の定期実施＋重大な脆弱性公表時の臨時対応という組み合わせが現実的です。実際に脆弱性が公表されたときの動き方はPHPの脆弱性PHP2shellへの対応手順の記事で具体例として扱っています。
権限管理と運用ルールの最小セット
情報システムの専任者がいない企業で、分厚いセキュリティポリシーを作っても運用されません。Webサイトの運用に限れば、決めるべきことは多くありません。
- 管理画面に入れる人の一覧を持つ（名前・所属・権限・付与日）
- 権限を分ける（記事を書く人に管理者権限を与えない）
- 退職・異動時にアカウントを削除する手順を決める（人事の手続きに組み込む）
- 半年に1回、一覧を見直す（カレンダーに入れておく）
- 管理画面へのアクセスを制限する（IP制限または二要素認証）
社内の推進体制そのものから整理する場合はDX推進体制の作り方、生成AIの業務利用に関するルールを並行して整える場合は生成AI社内ガイドラインの作り方をあわせてご覧ください。
年間の運用サイクルに落とし込む
ここまでの内容を、実際のカレンダーに落とすとこの形になります。特別な製品を買う話は1つも出てきません。決めて、実施して、記録に残す。それがWebサイト保守のセキュリティ運用の中身です。
記録を残す意味は、事故が起きたときだけではありません。取引先からセキュリティに関する照会を受けたとき、実施日と担当が書かれた記録がそのまま回答の根拠になります。中長期の計画に位置づけたい場合はDXロードマップの作り方も参考になります。
Webサイト保守のセキュリティ運用に関するよくある質問
Q. 保守契約を結んでいれば、セキュリティは任せきりでよいですか？
A. 契約の範囲によります。保守契約は「表示の崩れやリンク切れの修正」までを指すことが多く、CMSやプラグインの更新、改ざん検知、ログ保存が含まれていない契約も珍しくありません。契約書の作業範囲の欄を確認し、含まれていない項目があれば、自社でやるか追加するかを決めてください。
Q. 24時間365日の監視は必要ですか？
A. サイトの性格によります。受注や決済が止まると直接損失が出るサイトでは検討の価値がありますが、コーポレートサイトでは、死活監視と改ざん検知の通知を受け取り、翌営業日に対応する体制で足りることが多いです。なお、ネットワーク全体を専門チームが常時監視するSOC・MSSは当社の提供範囲外で、本記事で扱う監視はWebサイトに限定したものです。
Q. WAFを入れれば安心ですか？
A. WAFは不正な通信を遮断する仕組みで有効ですが、万能ではありません。管理画面のパスワードが推測されやすい、退職者のアカウントが残っている、といった運用の穴はWAFでは塞げません。WAFは更新や権限管理を省略するためのものではなく、それらと併用して効果が出るものです。
Q. 更新作業はどれくらいの頻度で必要ですか？
A. 月1回の定期更新を基本とし、重大な脆弱性が公表されたときはその都度の臨時対応、という組み合わせが現実的です。重要なのは頻度そのものより、誰がいつ実施したかを記録に残すことです。記録がないと、取引先からの照会に答えられません。
Q. 更新でサイトが壊れるのが怖くて止まっています。
A. よくあるご相談です。対策は、本番と別に確認用の環境を用意し、そこで更新してから本番に適用する手順にすることです。確認環境がない場合でも、更新前のバックアップ取得と、更新後の主要ページの表示確認を手順として決めておけば、復旧できる状態は保てます。「怖いから止める」が最も危険な状態です。
Q. 標的型メール訓練や社内のセキュリティ教育も相談できますか？
A. 標的型メール訓練や従業員向けのセキュリティ教育は、当社の提供範囲外です。本記事で扱っているのはWebサイトの運用に限られます。Webサイトの更新担当者向けの作業手順書の整備や、管理画面の権限設計についてはご相談いただけます。
Q. 現在は他社に保守を依頼しています。相談だけでもよいですか？
A. 構いません。契約内容の読み方や、現在の運用で抜けている項目の指摘だけでもお受けします。乗り換えを前提としたご相談である必要はありません。
まとめ
「保守契約があるから大丈夫」が危ういのは、契約の中身を確認しないまま安心してしまう点にあります。更新・監視・権限管理・バックアップの4領域のうち、どこが契約に含まれ、どこが自社の担当なのかを一度はっきりさせてください。
そのうえで、月1回の更新、半年に1回の棚卸し、年1回の復元試験というサイクルを回せば、Webサイトの防御としては十分に機能します（2026年11月時点）。難しいのは技術ではなく、続ける仕組みをつくることです。
4領域のどこが空いているか、確認からご相談いただけます
サイトのURLと、現在の保守契約の有無をお知らせください。更新・監視・権限管理・バックアップのどこが埋まっていて、どこが空いているかを整理してご返信します。現在の契約先が他社でも、乗り換えを前提としないご相談で構いません。
出典
- 情報セキュリティ10大脅威 2026（プレス発表）（独立行政法人情報処理推進機構（IPA）・2026年1月29日公表）
- 令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について（警察庁サイバー警察局・令和8年9月）
運営：株式会社キャンバス（canvas-works.jp）— AIを前提に価値をつくるデジタルクリエイティブ／システム開発企業。体験型コンテンツ開発・AI開発・自社パッケージ（ぬりえスタジアム／バッティングヒーロー／デジスポ／フライングペイント／フォトフォトAI／ディノコア創世記）を展開。2012年創業・第15期、累計1500件超のDX活用支援実績。