ホームページを制作会社に任せていても、セキュリティに関するすべての業務が含まれるとは限りません。ドメイン、サーバー、CMS更新、バックアップ、事故対応の担当範囲を整理します。
「管理をお願いしている」の中身を明確にする
制作・公開・保守は同じ会社が担当する場合も、別の会社が担当する場合もあります。保守契約の有無だけでは、更新や監視、復旧の範囲は判断できません。まず業務ごとに、実施者・確認者・契約上の範囲・連絡先を整理しましょう。
項目ごとに確認すべき責任分担
ドメインとDNS
ドメインの登録名義、更新費用、レジストラのログイン権限、DNS設定の変更権限を確認します。制作会社のアカウントで管理されている場合も、解約時に移管できる条件を確認します。
サーバーと証明書
OSやPHPなどの更新主体、サーバー障害時の対応、HTTPS証明書の更新、WAFなどの設定・監視を誰が担うかを明確にします。レンタルサーバーが一部を自動更新しても、サイト内のCMSや独自プログラムまで自動保守されるとは限りません。
CMSと外部プラグイン
WordPress本体・テーマ・プラグインの脆弱性情報を誰が確認し、誰が更新後の動作確認を行うかを決めます。セキュリティ修正が緊急で必要なとき、通常の月次作業に含まれるかも確認しましょう。
バックアップと復旧
「自動バックアップあり」という言葉だけでなく、保存対象・保存先・保持期間・復元の実施者・復元費用を確認します。データベースのみのバックアップでは、画像やテーマを含むサイト全体を戻せないことがあります。
不正アクセス時の連絡と調査
異常を最初に見つける人、緊急停止できる人、ログを取得できる人、事故報告を取りまとめる人を分けて整理します。復旧作業と原因調査、顧客への連絡が保守契約でどこまで対応されるのかも重要です。
保守契約前に聞いておきたい質問
- セキュリティ情報の確認と更新判断はどちらが行いますか。
- 緊急時の受付時間と、実際に作業を開始できる条件は何ですか。
- バックアップからの復旧は含まれますか。追加費用はありますか。
- 不正アクセスの調査や外部専門家への依頼は対応範囲に含まれますか。
- 保守終了時に、ドメイン・サーバー・ログイン情報をどう引き継ぎますか。
料金を比較する場合は、月額だけでなく復旧・調査の別途費用と、運営担当者の負担も含めて考えます。
運営会社が最後に確認すべきこと
技術作業を委託していても、サイトから受け取る個人情報や事業上のリスクについて、最終的に誰が判断するかは整理する必要があります。業務を任せることと、管理状況を把握しないことは別です。
担当者交代があっても引き継げるよう、作業記録、権限台帳、障害連絡先を定期的に見直しましょう。