Webサイトのガバナンスとは、企業サイトを事業の目的に沿って運用するために、責任、権限、判断基準、確認と記録の方法を定める仕組みです。情報の正確さ、ブランド、利用者への配慮も関わります。その中で情報セキュリティを支えるのが、「誰が変更を決め、誰が作業し、どう安全性と結果を確かめるか」という運用のルールです。
最初に整えるのは、守る対象の一覧、社内と委託先の担当表、通常の更新と異常時の連絡・判断手順です。保守会社や対策ツールを選ぶ前に、この三つの空欄を確認すると、必要な依頼を具体化できます。
この記事では、企業サイトを社内と外部の担当者で運用する経営者・Web担当者に向けて、責任分担表と更新の流れ、契約・定例報告で確認する事項を紹介します。
セキュリティ対策を、担当と判断のルールにつなげる
更新、アクセス制限、監視、バックアップなどは、サイトを守るための対策です。ガバナンスでは、それらを誰が維持し、異常を知ったら誰へ連絡し、どう完了を判断するかを決めます。
例えば、架空の卸売会社で、監視の通知が退職した担当者だけへ届いているとします。監視サービスが動いていても、通知を受けて対応する人がいなければ、現在の業務を支えられません。通知先、代理担当、保守会社へ連絡する条件まで整えて、対策と運用をつなげます。
外注している場合も、社内の判断が不要になるわけではありません。IPAの「ウェブサイト運営のファーストステップ」は、運営側の責任と委託先の契約範囲を分け、依頼後も対応完了まで連携することを説明しています。技術作業を任せる先と、事業上の影響を決める担当を一緒に定めましょう。
守る対象と、管理できる人を一覧にする
まず、自社サイトから使うサービスと情報の置き場所を洗い出します。CMSの管理画面だけでなく、ドメイン・DNS、サーバー、フォーム、通知メール、外部の予約・応募サービスまで確認します。DNSは、ドメイン名と接続先を対応させる仕組みです。
問い合わせの内容は、CMS内に保存される場合も、メールや外部サービスだけへ送られる場合もあります。個人情報の保存先、閲覧できる人、保持と削除の方法を、実際の構成で確認してください。サイトが表示されているだけでは、これらの状態は分かりません。
一覧には、対象の名称・URL、扱う情報、契約と更新期限、社内担当、作業できる委託先、緊急連絡先を残します。パスワードや認証コードを通常の一覧へ直接書かず、管理する人と安全な保管・受け渡しの方法を記載します。
IPAの中小企業向けガイドラインには、経営者・実務担当者の取り組みと、資産管理台帳などの資料があります。自社の一覧で所在が不明なサービスを確認する際の参考になります。
優先度は、扱う情報、外から触れられる範囲、止まった際の業務への影響、現在の支障から決めます。個人情報を扱う受付が止まっている場合と、公開資料の小さな表示崩れでは、先に必要な対応が違います。すべての会社へ同じ順位を当てはめないようにします。
社内と委託先の責任分担を決める
担当表では、作業する人だけでなく、実施を決める人と完了を確認する人を置きます。一人が複数の役割を兼ねる場合も、役割を分けて書くと、判断の抜けを見つけられます。
| 業務 | 社内で決めること | 委託先と確認すること |
|---|---|---|
| 掲載内容の更新 | 内容の正確さ、公開時期、確認者 | 対象ページ、作業範囲、反映後の表示 |
| 管理権限の付与 | 利用者、必要な操作、期限と回収担当 | 実際に必要な権限、操作と変更の記録 |
| CMS・機能の更新 | 業務への影響、実施条件、異常時の判断 | 対象、検証、バックアップ、動作確認 |
| 停止・改ざんなどの異常 | 影響の確認、受付の扱い、対外説明 | 検知・調査の範囲、連絡先、抑止と復旧 |
| 復旧と再開 | 戻すことで失う情報、再開の確認者 | 正常な復元点、実行手順、機能の確認 |
表の空欄には、担当者名か役職と連絡先を入れます。「保守会社が対応」とだけ書くと、社内の確認と契約外の作業が残りやすくなります。担当が不在のときの代理先も決めてください。
例えば、サービスの受付先を変える更新なら、事業担当が新しい窓口と開始日を確認し、作業担当が変更し、受付担当が届くことを確かめる分担です。公開画面のチェックだけでは、受付まで正常かを判断できません。
権限は、必要な操作と利用期間に合わせる
アカウントは、利用者と用途が追える形で管理します。退職、異動、委託終了の際に、どのアクセスを見直すか分かる一覧を用意してください。管理画面へ入れることと、サイト全体を変更できることも分けます。
WordPressでは、公式の役割と権限の資料を参考に、記事編集とプラグイン・設定の変更に必要な操作を確認します。独自の権限やプラグイン、マルチサイトの構成によって操作できる範囲は変わるため、役割名だけで決めず、実際の作業画面で確かめます。
付与した理由、開始・終了日、回収担当を記録します。継続保守のアカウントも、担当変更や契約の見直し時に確認する日を置きます。不要な権限を残さず、作業に必要な範囲へ合わせることが基本です。
認証の方法も担当とそろえます。対応するサービスでは多要素認証などを検討し、端末を失った場合や担当交代時に、正規の方法でアクセスを回復できるかを確認します。WordPressのセキュリティに関する公式資料は、更新や認証、バックアップ、記録を組み合わせる考え方を示しています。一つの設定だけで安全性を確定しないようにしましょう。
通常の更新は、承認から結果確認までつなぐ
日常の更新は、対象と作業、実施条件、確認する結果を一件の記録にまとめます。小さな文章修正と、受付機能や基盤の変更では、必要な確認の範囲が違います。影響に合わせた手順を先に決めておくと、すべてを同じ長い承認工程へ送らずに運用できます。
- 対象と実施条件を決める。URL、変更内容、触らない範囲、確認者を記載します。
- 変更前の状態と戻し方を確認する。必要なバックアップと、作業に応じた検証環境を用意します。
- 決めた範囲で変更する。複数人が同じ場所を同時に更新しないよう、作業中の担当を共有します。
- 保存結果と利用者側の動作を確かめる。表示、リンク、対象機能、受付・通知などを確認します。
- 変更前後、担当、日時、確認結果と未解決事項を記録する。
「作業完了」の連絡だけで閉じず、社内が確認する条件を合わせてください。フォームの確認なら、許可したテスト情報で、送信後の画面と実際の受付・通知まで見ます。二重送信や不要な個人情報の登録を避けるため、テストの扱いも決めます。
バックアップは、取得予定だけでなく保存対象と成功日時、取り出せる担当、復元方法を確認します。一般的なWordPressの全体復元には、ファイルとデータベースの両方が必要です。復旧の確認は本番を不用意に上書きする方法にせず、事前に定めた環境と手順で行います。
異常時は、通常の更新とは別に連絡と判断を用意する
受付停止、不審な転送、改ざんの疑いなどを知った場合は、通常の制作日程を待つ流れとは分けます。第一連絡先、代理先、保守会社の受付時間、社内の判断担当をすぐ確認できる場所に残してください。
最初の連絡では、分かった時刻、対象URL、症状、影響する受付、直前の変更を伝えます。不明な原因を断定せず、確認した事実と推測を分けます。調査に使うログや画面を、担当の指示なく消したり上書きしたりしないことも手順に含めます。
公開停止や受付の切り替えを誰が決めるか、緊急時に作業担当が行える抑止の範囲はどこまでかを、平時に合意します。復旧前には、戻す対象が正常か、戻すことで失う申込みや変更があるかを確認します。バックアップへ戻すだけで、原因と被害の確認が済んだことにはなりません。
個人データの漏えい等が疑われる場合は、社内の担当が個人情報保護委員会の最新の案内と通則編のガイドラインなどを参照し、報告・本人通知の要否、期限、報告先を専門家や担当窓口と確認します。技術的に復旧できたことだけを、事案全体の対応完了と扱わないようにします。
保守契約と定例報告は、作業と証拠で確認する
契約では「保守に含む」という言葉を、監視、通知、更新、バックアップ、復旧、調査の各作業へ分けます。受付時間と対応開始の条件、追加費用の承認、完了報告の方法も確認してください。外注という形態だけで、夜間対応や復旧時間が決まるわけではありません。
定例報告では、作業回数に加え、現在残る問題と次の判断を見ます。例えば、次の証拠を各作業に対応させます。
- 更新：対象、変更前後、実施者、表示・機能の確認結果。
- 監視：検知した内容、通知先、対応と未対応の状態。
- バックアップ：直近の成功日時、保存対象、保管と復旧確認の結果。
- 権限：追加・変更・回収した利用者と、次の確認日。
- 未解決事項：影響、担当、予定日、追加判断が必要な条件。
「今月も異常なし」という報告では、確認できた範囲と、調べていない範囲を分けてもらいます。契約終了や担当交代を想定し、台帳、契約、原稿・素材、変更記録、手順書を、必要な権限で社内から取り出せるかも確認しましょう。
次の一件の更新で、担当表を試す
最初から大きな規程集を作る前に、次に予定している更新を一件選び、担当表、実施条件、確認と記録の方法を埋めます。分からない欄には確認先を置き、担当者が変わっても同じ手順を読めるかを試してください。
通常の更新で連絡が止まる場所を直したら、異常時の想定を使い、誰が通知を受け、判断し、調査・復旧を依頼するかを机上で確認します。何日で完成するかを一律に決めず、受付や管理権限など影響の大きい空欄から整えます。
運用の担当や現在の契約範囲から整理したい場合は、ホームページ保守・運用の対応内容を確認し、お問い合わせページへサイトURLと困っている作業をお知らせください。相談の初期資料にはパスワードを記載せず、社内の窓口、現在の保守先、分からない範囲をまとめれば、必要な確認を始められます。
参考資料
2026年10月2日に現在の公式資料と照合しました。責任分担表、更新の図、卸売会社の例は、本記事で整理した判断例・架空の説明例です。特定のサイトの安全性、法令への適合、対策の成果を証明するものではありません。