この記事のポイント運用を委託していても、何を誰が担当するかの確認は必要です。更新・権限・復旧・連絡体制・診断許可の5点について、委託先と共有できる記録を用意しましょう。
01 委託先と確認する5つの項目
まずは管理者に問い合わせるための一覧として使ってください。技術的な設定値を発注側だけで判断する必要はありません。
- 更新：本体・プラグイン・サーバーの更新担当と、直近の確認状況
- 権限：管理アカウントの所有者、退職者・契約終了者の権限整理
- 復旧：バックアップの保存先、復元の確認状況、復旧担当
- 連絡：事故や不審な動作を見つけた場合の窓口と対応範囲
- 診断：第三者による診断の許可、検証環境、実施条件
02 「対応済み」を具体的な記録にする
「セキュリティ対策をしている」という回答だけでは、どこまで確認できたかが分かりません。対象、確認した日、担当者、残っている課題を記録し、次に見直すタイミングを決めます。
契約に含まれる作業と、別途費用が必要な作業も区別します。保守契約があることだけで、脆弱性診断や修正作業まで含まれるとは限りません。
03 診断から修正までの役割を決める
診断を依頼するときは、対象を選ぶ人、実施を許可する人、報告を受け取る人、修正する人を確認します。修正担当者が事前に参加すると、検証環境や資料の準備を進めやすくなります。
認証情報や機密資料を問い合わせフォームへ貼り付けず、受け渡し方法を確認してから共有してください。PENVISTAでは、対象と許可、実施条件を確認してから調査を進めます。
04 一度の診断を、継続的な管理に生かす
新しい機能の追加、委託先の変更、サーバー移転などの際には、管理範囲と担当者を更新します。以前の診断結果が現在の構成まで含むとは限りません。
IPAの中小企業向けガイドラインは、経営者と実務担当者が対策を整理する際の参考資料です。サイトの診断結果と合わせて、組織としての運用を見直してください。
参考資料
技術や運用の考え方は以下の資料も参照してください。PENVISTAの提供範囲・料金は、当サイトのサービス案内と販売条件に従います。