ホームページ制作を依頼するとき、デザインや費用については質問しやすくても、セキュリティについては何を聞けばよいか分からない、という方は多いと思います。専門用語が多く、聞いても答えの良し悪しが判断できないと感じるためです。この記事では、専門知識がなくても確認できるセキュリティの5項目と、返ってきた答えの見方をまとめます。見積もりの依頼時や最初の打ち合わせで、そのまま質問として使える形にしています。
専門知識がなくても確認はできる
セキュリティについて確認するとき、技術的に正しいかどうかを発注する側が判断する必要はありません。見るべきなのは、次の2点です。
一つは、具体的に答えが返ってくるかどうかです。「誰が」「いつ」「どのように」が含まれた答えであれば、その部分について考えられていることが分かります。
もう一つは、その内容が見積書や契約書に書かれるかどうかです。口頭の説明だけでは、担当者が変わったときに引き継がれないことがあります。書面に残っていれば、後から確認できます。
この2点を意識しながら、次の5項目を聞いてみてください。
1. 通信の暗号化（SSL）は費用に含まれているか
SSLは、閲覧する人とホームページの間の通信を暗号化する仕組みです。導入すると、アドレスが「https」で始まります。現在では導入しているのが一般的ですが、費用が見積もりに含まれているかどうかは依頼先によって異なります。
あわせて、証明書の更新が自動か手動か、手動なら誰が行うのかも聞いておきます。証明書には有効期限があり、更新が漏れると、ホームページを開いたときに警告が表示される状態になります。
2. 管理画面のログインはどう守られるか
CMS（ホームページの更新を管理する仕組み）を使う場合、管理画面のログインが攻撃の入り口になりやすい部分です。
「管理画面へのログインには、どんな対策をしますか」と聞いてみます。パスワードの基準、二段階認証（パスワードに加えて別の確認コードを求める仕組み）、ログインの失敗が続いたときの制限など、具体的な方法が挙がるかどうかを見ます。社内の担当者ごとにアカウントを作れるかも確認しておくと、後の管理が楽になります。
3. バックアップは誰が、どこに、どのくらい取るか
バックアップは、改ざんや障害があったときに元の状態へ戻すための備えです。確認したいのは、取得の頻度、保管場所、何日分残るか、そして戻す作業を誰が行うかです。
「バックアップは取っています」という答えだけでは、内容が分かりません。「どこに保管して、何日分残りますか」「戻すときはどなたが作業しますか」と、一歩踏み込んで聞きます。サーバーの機能に任せる場合は、その機能で何ができるのかを説明してもらいます。
4. 公開後の更新と不具合対応はどこまでが範囲か
ホームページは、公開した時点の状態で安全が続くわけではありません。CMSやプラグイン（機能を追加する部品）には、脆弱性（プログラムの弱点）が見つかるたびに修正版が出ます。
ここで確認したいのは、公開後の更新作業が契約に含まれるかどうかです。含まれる場合は頻度と範囲、含まれない場合は社内で行う前提になるのか、別の契約になるのかを聞きます。弱点が見つかって急ぎの対応が必要になったときに、どう連絡が来て、費用がどうなるのかも確認しておきます。
この項目は、制作費の比較にも関わります。制作費が安くても、公開後の更新がすべて別料金であれば、数年単位で見た負担は変わります。
5. 管理情報はいつ、どう受け渡されるか
ドメイン、サーバー、CMSの管理者アカウントなど、ホームページに関わるアカウントの名義と、ログイン情報の受け渡しについて確認します。
聞いておきたいのは、ドメインとサーバーを誰の名義で契約するのか、公開時にどのアカウント情報を受け取れるのか、依頼先との契約が終わるときにどう引き継ぐのか、の3点です。名義が依頼先になる場合は、契約終了時に自社へ移す手続きがどうなるのかまで聞いておくと安心です。
答えを比べるときの見方
複数の依頼先に同じ質問をすると、答え方に違いが出ます。比べるときは、対策の数の多さより、答えの具体性を見てください。
「大丈夫です」「しっかり対策しています」といった答えだけで中身の説明がない場合は、もう一度具体的に聞いてみます。反対に、「この部分は契約に含まれないので、社内で行うか別途の契約になります」と、できないことをはっきり伝えてくれる答えは、判断の材料として役に立ちます。
質問をメモにして持っていく
5つの項目は、短くまとめると次のようになります。
- SSLは費用に含まれていますか。証明書の更新は誰が行いますか
- 管理画面のログインにはどんな対策をしますか
- バックアップはどこに、何日分残りますか。戻す作業は誰が行いますか
- 公開後の更新作業は契約に含まれますか
- ドメインとサーバーは誰の名義になりますか。管理情報はいつ受け取れますか
このメモを見積もりの依頼時に添えるか、最初の打ち合わせに持っていってください。答えを書面に残してもらえば、依頼先を選ぶときの比較材料にも、公開後に確認するときの記録にもなります。
