福岡のAliveCastが、全国のホームページに対応ホームページの脆弱性が公表されたとき、
誰が確かめていますか

こんなことはありませんか

• 「個人情報は扱っていないから大丈夫」と思っている
• 「今ふつうに表示されているから問題ない」と思っている
• サーバー会社は「対応済み」と言うが、こちらの作業が残るのか分からない
• 更新したら表示が崩れそうで、止めたままにしている
• 困ったとき、誰に聞けばよいのか分からない

情報を取られなくても、起きることがあります。検索結果に見覚えのないページが並ぶ。ブラウザに警告が出る。自社のドメインが迷惑メールの送信に使われる。どれも、会社の信用に関わる被害です。

「うちは個人情報を扱っていない」は、本当ですか

会社案内だけのホームページでも、お問い合わせフォームがあれば、個人情報を預かっています。フォームの仕組みによっては、送信されたお名前・メールアドレス・電話番号・ご相談の内容が、メールで届くのとは別に、ホームページのデータベースの中に保存され続けます。次のどれかに当てはまれば、保存されている可能性があります。

• フォームの送信内容を保存する機能が入っている（制作のときに入れたまま、という場合もあります）
• 管理画面に「受信メッセージ」「送信データ」「エントリー」のような一覧がある
• 添付ファイルを受け付けるフォームがある（送られたファイルがサーバーに残ります）
• 送ったメールの記録を残す機能が入っている（自動返信に写ったお問い合わせの内容も残ります）

当社のホームページでも、調べたところ、2年あまりの間に届いた1,000件を超えるお問い合わせが保存されていました。送ったメールの記録にも、同じ内容が残っていました。保存されていること自体が悪いわけではありません。知らないまま、守りの対象から外していることが問題です。当社では、移す前の見立てで、保存されている個人情報の有無と件数を確かめてお伝えします。メールで届けば足りる場合は、保存をやめる設定に変えることもできます。

ひとつでも当てはまるなら、下の3つの手のどれかから始められます。

能動的サイバー防御とは？
問題が公表された時点で、先に動く保守

国が行う「能動的サイバー防御」（警察・自衛隊による攻撃元への対処など）とは別のものです。当社が行うのは、お預かりしているホームページの中の対策で、ホームページの保守の呼び名として使っています。
対策をしても、攻撃を完全に防げる保証ではありません。見る範囲と見ない範囲は下の表のとおりです。

当社がすること（6つの順）

1. 写しを持つサイトのプログラムと設定を、当社の事務所の中の、外へつながらない環境に写します。お客様の個人情報は写しに入れません（氏名や連絡先の入る表は、形だけを写して中身は写しません。写した後、残っていないことを確かめてから使います）
2. 調べる海外・国内で公表された脆弱性の情報を集め、サイトで使っている部品と突き合わせます
3. 写しで直す当てはまる問題があれば、まず写しに修正を当てます
4. 確かめる写しで、主な画面とフォームが動くことを確かめます
5. 本番に当てる元に戻せるよう、修正の直前の状態を控えて（退避）から、本番に当てます
6. 知らせる何を調べ、何が当てはまり、何を直したかをお知らせします。当てはまらなかった月も、そうお知らせします

AIと人の分担

急ぐ問題は、先に修正を当ててから、後でお知らせすることがあります（その都度ではなく、ご契約のときにまとめてご了承をいただきます）。当社の作業で不具合が出たときは、当社の負担で、控えておいた直前の状態に戻します。

AIに読ませるのは、サイトのプログラムと、公表された情報です。お客様の個人情報は写しに入れないため、AIにも渡りません。ご希望の場合は、秘密保持の契約を結びます。

毎月届く報告

今の管理会社に、
何を聞けばよい？

次の7つを聞いてみてください。

1. 今回のPHPの脆弱性で、当社のサイトは対象でしたか
2. 対象だった場合、いつ直りましたか。直ったことを何で確かめましたか
3. 当社のサイトは、今どの版のPHPとCMS（WordPress など）で動いていますか
4. 次に同じような問題が出たとき、そちらから連絡をもらえますか
5. 毎月の保守費で、何をしていますか。記録はもらえますか
6. バックアップは取れていますか。そこから元に戻せることを確かめていますか
7. ドメインとサーバーの契約は、どちらの名義ですか

はっきりした答えが返ってくるなら、変える必要はありません。

聞き方の例は、当社の記事「PHPの脆弱性、自社のサイトは直った？確かめ方と聞き方」にまとめています。答えがあいまいだったとき、聞ける相手がいないときは、当社が外から分かる範囲で今の状態を確かめます。

今の状況を相談する（無料）

引き継ぎの費用と期間は、いつ分かる？

お決めになる前に分かります。サイトの写しと契約の資料をお預かりし、「移せるもの／移せないもの」「中を読んで見つかった弱点」「費用と期間」を1枚にまとめてお渡しします。引き継がないほうがよい場合は、その理由もお伝えします。

お預かりした写しを読むだけの検査です。動いているサイトに攻撃を試すことはしません。

費用はどのくらい？

能動的サイバー防御の料金（月額・税別・保守プランに加算）

サイトの大きさで基本の額が決まり、扱う情報に応じて上乗せがあります。大きさは、ページの数ではなく、独自に作ったプログラムの量と、使っている部品（プラグインなど）の数で決めます。保守プランは、ライト・スタンダード・プレミアムのどれにも加算できます。

どれに当たるかは、移す前の見立てでお伝えします。お問い合わせフォームの送信内容をサイトの中に保存している場合は、「個人情報の保管」に当たります。保存しているかどうかは、見立てで確かめます。保存をやめる設定に変えた場合は、上乗せはかかりません。

月額に含むもの：公表された脆弱性への修正（本体・プラグイン・テーマの更新と、独自に作ったプログラムの該当する箇所の修正）と、その確認。作り直しになる大きな修正が要るときは、始める前にお見積りをお出しします。

月額の例

保守プラン

※金額はすべて税別です。最低6か月のご契約です。新しいページの制作・デザインの変更・機能の追加は別途お見積りです。

※「障害対応」は、ホームページが表示されない・書き換えられたときの復旧です。更新の後に出た表示や機能の不具合の調査・修正は、保守プランだけの場合は内容に応じてお見積りします。能動的サイバー防御を付けたサイトは、当社が写しで確かめて当てた更新が原因であれば、無償で直します。

よくあるご質問