自社だけでは守れない？委託先や外部サービスのセキュリティ管理

Webサイトの管理は、自社だけで完結しているとは限りません。

レンタルサーバーやドメインの管理会社、Web制作会社、保守会社、クラウドサービスなど、さまざまな外部事業者やサービスが関係していることがあります。

こうした外部サービスを利用することは、専門的な業務を任せたり、社内の負担を減らしたりするうえで有効な方法です。一方で、利用しているサービスや委託先の管理状況を把握できていないと、問題が発生したときに対応が遅れたり、不要なアカウントや権限が残ったりする可能性があります。

たとえば、次のような状態になっていないでしょうか。

• サーバーやドメインを誰が管理しているのか分からない
• Web制作会社や保守会社に、どのような権限を渡しているか把握できていない
• 以前の担当者や退職者のアカウントが残っている
• 利用している外部サービスの契約内容や管理者が分からない
• 障害やセキュリティ上の問題が発生したときの連絡先が分からない

これらは、特定の企業だけに起こる問題ではありません。Webサイトの制作や運用を外部に委託している企業であれば、確認しておきたい管理上の課題です。

この記事では、中小企業の経営者やWeb担当者に向けて、委託先・外部サービスを含めたセキュリティ管理の考え方と、日常的に確認しておきたいポイントを解説します。

Webサイトには複数の外部事業者・サービスが関係している

企業のWebサイトは、ひとつの会社やサービスだけで動いているとは限りません。

サイトの公開や運用には、複数の事業者やサービスが関係している場合があります。まずは、自社のWebサイトにどのような外部事業者・サービスが関係しているのかを把握することが大切です。

Webサイトに関係する主な外部事業者・サービス

事業者・サービス	主な役割	管理に関係する情報・権限の例
レンタルサーバー会社	Webサイトやデータを保管するサーバーを提供	サーバー管理画面、ファイル、データベース、メール設定
ドメイン管理会社	Webサイトのドメインを登録・管理	ドメイン契約情報、DNS設定、更新手続き
Web制作会社	Webサイトの設計・制作・改修	WordPress管理者権限、制作データ、公開環境へのアクセス
保守・運用会社	更新、バックアップ、障害対応など	管理者アカウント、サーバー接続情報、バックアップデータ
クラウドサービス	ファイル共有、業務管理、データ保管など	利用者アカウント、保存データ、共有設定
CDN・WAFなど	通信の高速化や不正な通信への対策	DNS設定、通信設定、管理画面
問い合わせフォーム・メール配信サービス	問い合わせ受付やメール配信	顧客情報、問い合わせ内容、配信先リスト
アクセス解析・広告サービス	アクセス状況の分析や広告配信	解析データ、広告アカウント、計測設定
外部API・業務システム	他のシステムとのデータ連携	APIキー、連携データ、接続設定

※上記は一般的な例です。実際に扱う情報や権限は、サービスの仕様や契約内容、利用方法によって異なります。

自社が直接管理していない部分も確認する

たとえば、Web制作会社にサイトの制作を依頼し、その後の保守も任せている場合、日常的な更新やサーバーの設定を制作会社が担当していることがあります。

その場合、自社の担当者が普段操作していなくても、制作会社がWordPressの管理者権限やサーバーへの接続権限を持っているかもしれません。

また、問い合わせフォームを外部サービスで運用していれば、問い合わせ内容や顧客情報がそのサービス上に保存されている可能性もあります。

重要なのは、外部事業者を利用しているかどうかだけではありません。

どの事業者が、どのサービスを、どの範囲で管理しているのかを把握することが大切です。

委託先・外部サービスの管理が必要な理由

外部事業者やサービスを利用すること自体が、セキュリティ上の問題になるわけではありません。

専門的な業務を任せることで、社内だけでは難しい管理や運用を実現できる場合もあります。

一方で、管理する対象や関係者が増えると、自社だけでは把握しにくい部分も生まれます。

委託先のアカウントや権限を把握できなくなる

Webサイトの制作や保守を依頼すると、作業に必要な管理者アカウントやサーバーへの接続権限を委託先に付与することがあります。

しかし、誰に、どのような権限を付与したのかを記録していなければ、後から確認することが難しくなります。

たとえば、次のような状態です。

• 制作会社の複数の担当者が管理者権限を持っている
• 保守作業に必要な範囲を超えた権限を付与している
• 担当者が変更されても、以前のアカウントが残っている
• 退職した担当者のアカウントが停止されていない

こうした状態を防ぐには、アカウントの利用者と権限の範囲を把握し、担当者の変更や契約内容の見直しに合わせて管理する必要があります。

外部サービスの契約・利用状況が分からなくなる

Webサイトの運用では、担当者が必要に応じて外部サービスを契約することがあります。

その結果、社内で十分に共有されないままサービスの利用が続き、次のような問題が生じることがあります。

• 契約者や管理者が分からない
• 何の目的で利用しているのか分からない
• 契約更新や支払いの担当者が不明確
• サービスからの重要なお知らせを確認できていない
• 使わなくなったサービスの契約が継続している

利用しているサービスを一覧にしておけば、契約状況や管理者、利用目的を確認しやすくなります。

障害やセキュリティ上の問題に気付くのが遅れる

外部サービスで障害や仕様変更が発生すると、自社のWebサイトや業務に影響することがあります。

たとえば、サーバーの障害によってWebサイトが表示されなくなったり、問い合わせフォームの外部サービスで問題が発生して問い合わせを受け付けられなくなったりするケースです。

このようなとき、どこに連絡すればよいのか分からなければ、状況の確認や復旧に時間がかかる可能性があります。

サービスごとの問い合わせ先や緊急時の連絡方法を整理しておくことが重要です。

契約終了後もアクセス権限が残る可能性がある

制作会社や保守会社との契約が終了した場合、付与していたアカウントやアクセス権限をどうするか確認する必要があります。

契約が終了しただけでは、すべてのアカウントや接続情報が自動的に無効になるとは限りません。

そのため、契約終了時には、不要なアカウントの停止や権限の削除、認証情報の変更などを確認する必要があります。

また、Webサイトのデータや設定情報、ドメイン・サーバーの契約情報などを適切に引き継げる状態にしておくことも大切です。

企業が確認しておきたい4つの管理項目

委託先・外部サービスの管理を始めるときは、すべてを一度に見直す必要はありません。

まずは、利用状況・アカウント・連絡体制・契約終了時の対応という4つの観点から確認してみましょう。

1. 利用しているサービスと委託先を把握する

最初に確認したいのは、自社のWebサイトや業務に関係する外部事業者・サービスです。

次の項目を整理しておくと、管理状況を把握しやすくなります。

• 利用している事業者・サービス名
• 利用目的
• 社内の管理担当者
• 契約者・契約内容
• 委託している業務の範囲
• 問い合わせ先・サポート窓口
• 取り扱う情報の種類

特に、サーバーやドメインの契約者は確認しておきたい項目です。

Webサイトの制作や保守を外部に任せていても、サーバーやドメインの契約者が自社なのか、委託先なのかによって、契約更新や管理情報の引き継ぎ方法が変わる場合があります。

また、問い合わせフォームやクラウドサービスなど、顧客情報や業務データを取り扱うサービスについては、どのような情報が保存されているかも確認しましょう。

2. アカウントとアクセス権限を管理する

次に、外部事業者や担当者に付与しているアカウントと権限を確認します。

特に確認したいのは、次の項目です。

誰が管理者権限を持っているか

WordPress、サーバー、ドメイン管理画面、クラウドサービスなどについて、管理者として操作できる人を把握しておきます。

付与している権限は必要な範囲か

作業内容に対して必要以上の権限を付与していないか確認します。

たとえば、記事の更新だけを担当する人に、サーバー全体を操作できる権限まで付与する必要があるとは限りません。

サービスによっては、閲覧・編集・管理など、権限を細かく分けられる場合があります。利用できる機能に応じて、必要な範囲に絞ることが望ましいでしょう。

個人ごとのアカウントを利用しているか

複数の担当者でひとつのアカウントを共有していると、誰が操作したのか分かりにくくなる場合があります。

可能であれば、担当者ごとにアカウントを発行し、利用者を把握できるようにします。

多要素認証などの追加認証に対応しているか

管理画面やクラウドサービスなど、重要なアカウントについては、多要素認証（パスワードに加えて別の方法でも本人確認を行う仕組み）に対応しているか確認しましょう。

具体的な認証方法や設定については、サービスごとの仕様に従ってください。

不要になったアカウントや権限を停止できているか

担当者の退職や変更、委託契約の終了などに合わせて、不要になったアカウントや権限を見直すルールを決めておきます。

3. 障害・セキュリティ事故に備えて連絡体制を整理する

Webサイトや外部サービスに問題が発生したとき、誰に連絡すればよいのかを事前に整理しておきましょう。

確認しておきたい項目は次のとおりです。

• サービスごとの問い合わせ先
• 障害発生時の緊急連絡先
• セキュリティ上の問題が発生した場合の連絡方法
• 自社側で判断・対応する担当者
• 委託先が調査・復旧を担当する範囲
• 重要なお知らせを確認する方法

特に、通常の問い合わせ窓口と緊急時の連絡窓口が異なる場合は注意が必要です。

また、委託先からの重要なお知らせを誰が確認するのかも決めておきましょう。担当者が退職した後も通知が放置されないよう、管理用メールアドレスや社内の共有先を整理しておくことが有効です。

4. 契約終了・担当者変更時の対応を決める

委託先との契約終了や担当者の変更は、アカウントや管理情報を見直す機会でもあります。

契約終了時に確認する項目をあらかじめ決めておけば、必要な対応の漏れを防ぎやすくなります。

アカウント・アクセス権限

• 委託先担当者のアカウントを停止する
• 不要な管理者権限や接続権限を削除する
• 共用アカウントのパスワードを変更する
• 必要に応じてAPIキーや接続用の認証情報を変更する

データ・管理情報

• Webサイトのデータやバックアップを引き継ぐ
• サーバーやドメインの管理情報を確認する
• DNS設定など、必要な設定情報を引き継ぐ
• 外部サービスに保存されたデータの取り扱いを確認する
• 契約やサービスの条件に従って、不要なデータの削除を確認する

契約・運用体制

• 契約終了日やサービスの利用停止日を確認する
• 新しい管理担当者を決める
• 今後の問い合わせ先を整理する
• 必要な作業の完了を確認する

なお、アカウントやデータの取り扱いは、サービスの仕様や契約内容によって異なります。契約終了時に何を返却・削除できるのか、どのような手続きが必要なのかを事前に確認しておくと安心です。

自社と委託先の役割分担を明確にする

委託先・外部サービスの管理では、自社と委託先のどちらが何を担当するのかを明確にしておくことが重要です。

業務を外部に委託していても、契約内容や管理対象によって、自社が確認・判断する必要のある項目は残ります。

一方で、専門的な調査やサーバーの設定変更など、委託先が担当する方が適切な作業もあります。

役割分担の一般的な例

管理項目	自社で確認すること	委託先に確認すること
サーバー	契約者・管理者・連絡先	保守・障害対応の範囲
WordPress	管理者アカウント・更新方針	更新作業・バックアップの範囲
ドメイン	契約者・更新期限	DNS設定などの管理範囲
外部サービス	利用目的・社内管理責任者	セキュリティ対応・障害時の連絡方法
緊急対応	社内の判断・連絡体制	調査・復旧などの対応範囲

※実際の役割分担は、契約内容やサービスの仕様によって異なります。

契約内容と実際の運用に違いがないか確認する

契約書に記載されている業務範囲と、実際に委託先が行っている作業が一致しているかも確認しておきたいポイントです。

たとえば、「Webサイトの保守」という契約であっても、次のような作業がすべて含まれているとは限りません。

• WordPressやプラグインの更新
• サーバーの管理
• バックアップの取得と復元
• 障害発生時の調査・復旧
• セキュリティ上の問題が発生した場合の対応
• ドメインやDNSの管理

「保守を依頼しているから、すべて対応してもらえる」と考えるのではなく、具体的にどこまでが契約に含まれているのかを確認することが大切です。

また、契約書だけでは分かりにくい場合は、委託先に現在の運用内容や対応範囲を確認してみましょう。

個人情報を取り扱う業務を委託する場合は別途確認する

問い合わせフォームや顧客管理システムなど、外部事業者に個人データの取り扱いを委託している場合は、一般的なアカウント管理だけでなく、個人情報保護法に関する確認も必要です。

個人情報保護委員会のガイドラインでは、個人データの取り扱いを委託する場合、委託元には委託先に対する必要かつ適切な監督が求められています。

具体的には、委託先の選定、委託契約の締結、委託先における個人データの取り扱い状況の把握などが示されています。

ただし、求められる対応は、委託する業務や取り扱う個人データの内容・規模などによって異なります。すべての外部サービスに同じ確認方法を適用するのではなく、取り扱う情報や業務内容に応じて判断することが重要です。

Web担当者ができる管理の始め方

委託先や外部サービスの管理は、最初から完璧な管理体制を整える必要はありません。

まずは、現在の利用状況を把握し、分かる範囲から整理していくことが大切です。

1. 利用している外部サービスを一覧にする

最初に、Webサイトや業務に関係する外部事業者・サービスを洗い出します。

請求書や契約書、管理画面、社内の引き継ぎ資料などを確認すると、利用中のサービスを見つけやすくなります。

2. 各サービスの管理者と契約者を確認する

サービスごとに、社内の管理担当者、契約者、管理画面にアクセスできる人を確認します。

分からない項目があれば、契約先や委託先に確認しましょう。

3. 委託先に付与している権限を確認する

制作会社や保守会社など、外部の担当者にどのような権限を付与しているか確認します。

現在の作業内容に対して、必要な権限になっているかを確認することがポイントです。

4. 緊急時の連絡先を整理する

サービスごとの問い合わせ先や、委託先の緊急連絡先をまとめます。

通常の問い合わせ窓口だけでなく、障害やセキュリティ上の問題が発生した場合の連絡方法も確認しておきましょう。

5. 契約終了時のアカウント停止手順を決める

委託先との契約終了や担当者変更があったときに、誰がアカウントや権限を確認し、停止するのかを決めておきます。

必要に応じて、データや管理情報の引き継ぎ方法も整理しましょう。

6. 定期的に一覧と管理状況を見直す

一度一覧を作成したら終わりではありません。

新しいサービスの導入や担当者の変更、契約内容の変更などに合わせて更新します。

半年に一度、年に一度など、自社の運用に合わせて確認する機会を設けると、管理状況を維持しやすくなります。

自社の委託先・外部サービス管理チェックリスト

ここまで紹介した内容をもとに、自社の管理状況を確認してみましょう。

• 利用している外部事業者・サービスを一覧で把握している
• 各サービスの利用目的と管理担当者を把握している
• サーバーやドメインの契約者・管理者を把握している
• Webサイトの管理者アカウントを把握している
• 委託先に付与している権限の範囲を把握している
• 不要になったアカウントや権限を停止するルールがある
• 重要なサービスで多要素認証などを利用している
• 外部サービスの障害・セキュリティ上の問題が発生した場合の連絡先を把握している
• 委託先との契約内容や対応範囲を確認できる
• 契約終了時の権限停止・情報引き継ぎの手順がある
• 外部サービスの契約更新や重要なお知らせを確認する担当者がいる
• 利用サービスや管理状況を定期的に見直している

すべての項目に対応できていなくても、すぐに問題があると決まるわけではありません。

まずは、分からない項目や担当者が不明確な項目を洗い出し、優先順位を付けて確認していきましょう。

まとめ｜外部事業者・サービスを含めてWebサイトを管理する

企業のWebサイトには、サーバーやドメインの管理会社、Web制作会社、保守会社、クラウドサービスなど、さまざまな外部事業者・サービスが関係している場合があります。

こうしたサービスを適切に利用するためには、自社だけでなく、外部事業者との役割分担や管理体制を整理しておくことが大切です。

特に、次の4点は定期的に確認しておきたい項目です。

• 利用している外部事業者・サービスを把握する
• アカウントやアクセス権限を管理する
• 障害・セキュリティ上の問題に備えて連絡体制を整える
• 契約終了や担当者変更時の対応を決めておく

まずは、現在利用しているサービスを一覧にするところから始めてみましょう。

管理状況を整理することで、誰が何を担当しているのかが明確になり、問題が発生した際にも対応しやすくなります。

Webサイトは、公開した後も継続的な管理が必要です。自社と委託先の双方が役割を理解し、必要な情報を共有できる体制を整えていきましょう。

North Riverでは、WordPressサイトの保守・運用や、Webサイトの管理状況の確認を通じて、企業のWeb業務を継続的に支援しています。

「サーバーやドメインの管理状況が分からない」「保守会社との役割分担を整理したい」といったお悩みがあれば、お気軽にご相談ください。

参考情報

• IPA｜中小企業の情報セキュリティ対策ガイドライン
• IPA｜中小企業の情報セキュリティ対策ガイドライン 第4.0版（PDF）
• 個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）
• 個人情報保護委員会｜「個人情報の保護に関する法律についてのガイドライン」に関するQ&A