ホームページ制作の外注で確認したいセキュリティ対策｜制作会社への5つの質問

ホームページ制作を外注するときは、デザインや費用とあわせて、会社の情報をどう扱ってもらえるかも確認しておきたいところです。未公開の商品資料や、サイトの管理画面に入るための情報を預ける場面があるからです。

確認したいのは、ログイン情報の扱い・外注先への共有・AIの利用・対策の根拠・公開後の管理の5つ。「セキュリティ対策をしています」という説明から一歩進んで、自社の案件で誰が何を担当するかまで聞いてみましょう。

発注者がすべての技術を理解する必要はありません。例えば「私のパスワードを渡さず、制作担当者用のアカウントを作れますか」と聞くだけでも、情報の渡し方を具体的に相談できます。この記事では、制作会社への質問例と、回答を読むときのポイントを紹介します。

この記事で分かること

• パスワードや社外秘の資料を預ける前に確認すること
• 再委託・NDA・AI利用で気をつけたいこと
• SECURITY ACTIONの宣言から分かることと、その限界
• そのまま使える制作会社への質問文

主に中小企業の会社案内・採用サイトなどを想定しています。決済や会員情報を扱うサイトでは、扱うデータと機能に応じた追加の対策も相談してください。

① ログイン情報は、どう渡して管理してもらえますか？

まずは、自社のパスワードをそのまま共有せず、制作担当者を別のアカウントで招待できるかを確認しましょう。ここでいうアカウントは、その人専用のログイン口のことです。

例えば、お知らせ記事の更新を頼むために、サーバーの契約変更までできるログイン情報を渡す必要があるでしょうか。記事を更新する仕事と、サーバー全体を管理する仕事では、必要な操作が違います。

管理画面で「何を見られるか」「何を変更できるか」を決める設定が、権限です。ビルの清掃を頼むときに、金庫の鍵まで渡さないのと同じように、制作会社にも作業に必要な範囲を使ってもらいます。

仕事内容に合った権限を選ぶ

例えばWordPressには、記事を公開・管理できる「編集者」と、サイト全体の管理機能を使える「管理者」があります。WordPress公式の権限の説明でも、このように役割を分けています。

記事更新なら編集者で足りるか、サイトの設定変更なら管理者が必要かを、制作会社と相談します。使うサービスによって設定できる範囲は違うため、次のように聞くと具体的です。

担当者ごとに分けておけば、担当変更や契約終了の際に、その人のアクセスを止めやすくなります。管理者の権限が必要な作業もあるので、強い権限を求められたこと自体を問題にせず、必要な理由と期間を聞きましょう。

パスワードを渡す必要がある場合は、相手と期限を絞る

サービスによっては、担当者の招待や権限分けができないこともあります。その場合は、パスワードをメールやチャットの本文に直接書く前に、共有方法を決めます。やり取りの履歴に残り、後から参加した人や、誤って送った相手にまで見られるのを避けるためです。

一つの方法は、パスワード管理サービスの共有機能です。例えば1Passwordの共有機能では、閲覧できる相手のメールアドレスや、リンクの有効期限を指定できます。全員が見られるリンクではなく、必要な相手に限定して渡します。

② 協力会社にも依頼する場合、何を共有しますか？

制作会社が、デザインやプログラムの制作を別の会社・個人へ依頼することを「再委託」といいます。その場合は、誰に、どの仕事を頼み、自社の何の情報が渡るかを聞いておきましょう。

例えば、画像の制作を外部のデザイナーへ頼む場合、掲載する写真や文章は必要でも、問い合わせで届いた顧客情報まで必要とは限りません。「社外の人にも関わってもらうか」だけでなく、「仕事に必要な資料だけを渡すか」が確認のポイントです。

NDAでは、守る情報と共有の条件を決める

NDAは秘密保持契約のことです。受け取った情報をむやみに外へ漏らさず、決めた目的で使うことなどを約束します。未公開の商品情報や社外秘の資料を渡す前に、契約の対象を確かめておきます。

別紙のNDAがなくても、制作の契約書に秘密保持の条項が含まれている場合があります。書類の名前や枚数より、次の内容が決まっているかを見てください。

IPAの情報セキュリティ関連規程のサンプルでも、委託契約に情報の扱いや業務終了時の返却・消去を定め、再委託先の管理まで確認する考え方が示されています。

ただし、NDAを結んだだけで、ファイルの共有設定や担当者の操作が自動的に安全になるわけではありません。「協力会社とも契約しています」という回答に加え、資料の保管場所や、閲覧できる人をどう絞るかまで聞くと、実際の管理方法が分かります。

顧客情報を預けるときは、発注者側にも確認が必要

問い合わせ履歴や顧客名簿など、個人データの取扱いを委託する場合は、発注者にも委託先を適切に監督する義務があります。個人情報保護委員会のガイドラインは、委託先の選定、契約、取扱状況の把握を求めています。

フォームの見た目や送信動作のテストであれば、架空の氏名・メールアドレスなどのテスト用データで進められるか相談しましょう。発注者側で不要な顧客情報を渡さないことも、外注時にできる対策です。

③ 制作にAIを使う場合、当社の情報をどう扱いますか？

AIの利用については、使うかどうかに加え、どの情報を、どのサービスへ渡すかを確認します。公開済みの会社紹介文を整える使い方と、顧客情報を含む資料を読み込ませる使い方では、確認すべき内容が違うからです。

例えば、採用ページの文章を作るために、すでに公開した求人情報だけを使う場合があります。一方、社内インタビューの議事録をそのまま渡すと、未公開の人事情報や社員の個人的な話まで含まれるかもしれません。

「AIは使いますか」だけでは、この違いは分かりません。次の3点を聞いてみましょう。

1. 当社から渡した資料のうち、AIに入力するものは何ですか？
2. 使うサービス・契約プランと、入力情報の保存や学習利用の条件を確認していますか？
3. 顧客情報や未公開の情報を扱う必要がある場合は、入力前に相談してもらえますか？

個人情報保護委員会も、生成AIに個人データを入力する際は、機械学習に利用されないことなどを十分に確認するよう注意を呼びかけています。

「有料のAIなので大丈夫です」という説明だけでは、入力してよい情報の範囲は分かりません。サービスの条件を確認したうえで、「顧客名を含む資料はそのまま入力しない」など、自社の情報を扱うルールを合意しておきます。人が資料を貼り付ける場合だけでなく、AIに共有フォルダを読ませる場合も同じです。

④ 「対策しています」の根拠を見せてもらえますか？

対策の説明は、方針や契約書と、日々の作業方法をあわせて確認しましょう。制度のロゴがあるかだけでなく、今回の案件をどう管理するかまで説明できることが、判断の材料になります。

例えば、「情報管理を徹底しています」という回答だけでは、誰が資料を見られるかは分かりません。「資料は案件ごとのフォルダへ置き、担当者だけを招待します」と聞ければ、自社が渡すファイルの扱いを具体的にイメージできます。

SECURITY ACTIONは、取り組みを自己宣言する制度

制作会社のサイトで「SECURITY ACTION」のロゴを見かけることがあります。これは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する、IPAの制度です。

一つ星と二つ星があり、二つ星では、自社診断で状況を把握したうえで情報セキュリティ基本方針を定め、外部へ公開します。つまり、対策について会社として考え、方針を示しているかを見る材料になります。

ただし、IPAがその会社の安全性を認定する制度ではありません。IPA公式の説明も、対策状況を認定するものではないと明記しています。「二つ星だから、預けた情報の管理はすべて確認済み」とは考えないようにしましょう。

宣言の有無だけで依頼先を決める必要はありません。宣言している会社には公開した基本方針を見せてもらい、そうでない会社にも管理方法を聞きます。必要な対策を実際の仕事で行っているかを確かめるためです。

秘密の情報を見せてもらわなくても、確認はできる

制作会社のパスワードや、ほかのお客さんの資料を見せてもらう必要はありません。次のような、開示できる範囲の資料や説明を求めます。

その場で答えられなくても、担当者が確認して回答するのであれば、そこから判断できます。再確認しても情報の行き先や担当者が分からない場合は、資料を渡す前に条件を整理し直しましょう。

⑤ 公開後の保守と、契約終了時の引き継ぎはどうなりますか？

ホームページの公開後も、ソフトの更新や不具合への対応は続きます。公開後に誰が管理するかと、契約が終わるときに何を引き継ぐかを、依頼時に決めておきましょう。

「作ってもらったから、その後も制作会社が見てくれるはず」と思っていると、更新の担当者がいない状態になるかもしれません。制作と、公開後の保守が同じ契約に含まれるかを確認します。

「保守込み」の中身は、作業ごとに聞く

WordPressなら、本体や追加機能であるプラグインなどの更新が必要です。更新には、新機能の追加だけでなく、攻撃に悪用される欠陥を直すものもあります。古い状態のままにすると、その欠陥を狙われるおそれがあるためです。WordPress公式のセキュリティ対策でも、更新やバックアップの重要性が説明されています。

バックアップは、トラブルが起きたときに戻せるよう保存しておくデータの控えです。ただ、控えがあることと、それを使ってサイトを復旧してもらえることは別なので、そこまで聞いておきます。

使うサービスによっては、サービス提供会社が更新を担当する部分もあります。その場合も、制作会社に「サービス側で対応することと、当社が依頼すべきことを教えてください」と聞けば、担当が抜けている作業を確認できます。

また、情報漏洩などが疑われた場合に、制作会社から自社へいつ・どう連絡をもらうかも決めます。IPAの事故対応の手引きでも、事前の対応体制や連絡先の準備が示されています。

終了時は、必要なものを受け取ってからアクセスを止める

制作だけを依頼した場合は納品時、保守も依頼した場合は保守契約の終了時に、引き継ぎを行います。自社や次の担当者が管理できることを確かめてから、不要になったアカウントや共有設定を外します。

1. 自社の担当者が、必要な管理画面にログインできることを確かめる。
2. 契約で定めた制作データや運用資料を受け取り、残る作業の担当を決める。
3. 旧担当者のアカウント・共有フォルダへのアクセスを止め、共有したパスワードも必要に応じて変更する。
4. 預けた資料について、返却・削除の完了と、保存が必要なものの範囲・期間を確認する。

まずは、この5つを制作会社に聞いてみましょう

外注時のセキュリティは、渡す前に条件を決め、仕事に必要な範囲だけを共有し、終わったらアクセスを整理することが基本です。制作会社に管理を任せながら、発注者も情報の渡し方を確認しておきましょう。

最初の打ち合わせやメールでは、次の文面を使えます。

回答はメールや打ち合わせの記録に残し、合意した対応範囲を契約や運用の資料へ反映します。すでに依頼中なら、今使っているアカウントと、公開後の管理担当を確認するところから始めてみてください。