セキュリティ2026.10.22

ホームページの改ざん対策｜何が動いているかの台帳から始める

執筆：清水諒（株式会社SAI 代表取締役）

Key Takeaways

ホームページの改ざん対策は何が動いているかの台帳から始めるもので、公開サイト・サブドメイン・DNS・設定ファイル・外部サービスの置き場所ごとに何が動き誰が管理者でいつまで支えられるかを書く。
ホームページの改ざんとは第三者がサイトの中身や転送先を書き換えて見た人を偽のページや不正なプログラムに導く状態で、総務省は原因のほとんどが安易な管理者パスワードや既知の脆弱性の残存といった基本的な対策の不足だとしている（2026年10月22日閲覧）。
脆弱性が出た日は台帳でその部品が動いているかを先に引き、動いていなければ確かめた日と結論だけを残すもので、当社は2026年10月22日に自社サイトの置き場所を順に確かめて点検した範囲では2026年10月に公表されたPHPの脆弱性の対象に当たらないと記録した。
サポートが切れる部品は期限の前に更新か停止かを決め、解約した外部サービスを指したまま残るDNSの行は乗っ取りの入口になるので解約と同じ日に消す。
乗っ取りに気づいたら直す前に止めて記録を残してから管理アカウントの鍵を替え、改ざん検知のサービスは気づくのを早める道具として台帳の上に足し、決済や会員情報を扱うサイトでは台帳より先に入れる。

脆弱性のニュースを見て制作会社に「うちのホームページは大丈夫ですか」と聞いても、返ってくるのは「確認します」の一言だけかもしれません。そこで話が止まるのは、自社のサイトのどこで何が動いているかを社内の誰も一覧で答えられないときです。書き込む前の空の台帳と、脆弱性が出た日や乗っ取りに気づいた日に何から手をつけるかの順番を、そのまま持ち帰れる形にしました。

外部の記述は、IPA・JPCERT/CC・総務省・国家サイバー統括室・JVN・米国CISA・Microsoftの公開資料を2026年10月22日に読んだ範囲です。当社の記録は2026年10月22日に自社サイトを対象に行った点検のもので、専門の事業者による脆弱性診断の結果ではありません。

ホームページの改ざんとは、第三者がサイトの中身や転送先を書き換え、見た人を偽のページや不正なプログラムに導く状態である

ホームページの改ざんとは、第三者がサイトの中身や転送先を書き換え、見た人を偽のページや不正なプログラムに導く状態です。JPCERT/CCは「Webサイト改ざん」を、攻撃者もしくはマルウェアによってコンテンツが書き換えられたサイトと定義し、管理者が意図していないスクリプトの埋め込みも含めています。悪意のあるスクリプトやiframe（ページの中に別のページを読み込む仕組み）を埋め込まれたサイトと、SQLインジェクション攻撃（入力欄に細工した文字列を送ってデータベースを不正に操作する攻撃）で情報を書き換えられたサイトがこの区分に入ります（JPCERT/CC「JPCERT/CC 四半期レポート［2026年4月1日～2026年6月30日］」（PDF）／2026年10月22日閲覧）。

何が動いているかの台帳の図。左は表で、行は公開サイト・サブドメイン・DNS・設定ファイル・外部サービスの5つの置き場所、列は何が動いているか・管理者は誰か・いつまで支えられるか・止めるか更新するかの4つで、欄は書き込む前の空欄になっている。右は脆弱性が出た日の流れで、上から下へ矢印が進み、まず台帳を引き、その部品が動いていれば更新か停止を決め、動いていなければ確かめた日と置き場所と結論を記録だけ残す、という2つの道に分かれている。2つの道は、決めた日を台帳の右端の列に書くという帯に合流する

図はこの記事で作る台帳の見取り図で、左の表の欄は空けてあります。右は脆弱性が出た日の流れで、台帳を引いてその部品が動いているかどうかで道が分かれます。

IPA（独立行政法人情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」は第4.0版が現行で、改訂では付録の「5分でできる！情報セキュリティ自社診断」に「ウェブサイトを安全に運用する」が診断項目として加わりました（IPA「中小企業の情報セキュリティ対策ガイドライン」／2026年10月22日閲覧）。本編は、中小企業のウェブサイトは世界中の誰でもアクセスできるため攻撃の対象になりやすく、不正サイトに誘導するなどの改ざんで利用者にも被害が出るおそれがあるとしています（IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版（本編）」（PDF）／2026年10月22日閲覧）。

改ざんは、見た目で分かるとは限りません。JPCERT/CCが2026年7月16日に公開した四半期レポートによると、2026年4〜6月に報告が寄せられたWebサイト改ざんは181件で、前四半期の90件から101%増えました。事例の1つでは国内の複数の正規サイトが改ざんされ、検索エンジンが名乗るユーザーエージェント（ここではGooglebot）でアクセスしたときだけ海外のオンラインカジノのコンテンツが表示されていました。JPCERT/CCはこれを、検索結果の上位表示を狙ったSEOポイズニングと考えられるとしています（JPCERT/CC「JPCERT/CC 四半期レポート［2026年4月1日～2026年6月30日］」（PDF）／2026年10月22日閲覧）。同レポートは2026年10月22日時点の最新号です。この形の改ざんは、社員がふだんのブラウザで自社サイトを開いても気づけません。

改ざんの原因の多くは、更新されないまま動き続ける部品と、持ち主の分からない管理アカウントである

総務省の「国民のためのサイバーセキュリティサイト」は、ホームページの改ざんは高度な攻撃者によるものと思われがちでも、実際は基本的な情報セキュリティ対策を怠ったことが原因であることがほとんどだとしています。挙げている例は、安易な管理者パスワードの設定と既知の脆弱性の残存です。改ざんには特定の団体や企業を狙う場合と、対策の甘いホームページを無差別に狙う場合があるとも書いています（総務省「ホームページが書き換えられた」／2026年10月22日閲覧）。無差別に狙われるなら、会社の規模や知名度は狙われない理由になりません。

IPAの「情報セキュリティ10大脅威 2026」（2026年1月29日公開）でも、組織向けの4位は「システムの脆弱性を悪用した攻撃」で、6年連続9回目の選出です（IPA「情報セキュリティ10大脅威 2026」／2026年10月22日閲覧）。

2つの原因の根は同じで、動いていることを誰も覚えていない部品は更新できず、持ち主の分からないアカウントはパスワードを替える人が決まりません。

IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」も、ウェブアプリケーションはソフトウェア・フレームワーク・CMS（ページの作成や更新を管理画面から行うソフト）などで構成されるとしています。そのため自組織のウェブサイトがどのソフトウェアで作られているかを把握したうえで脆弱性対策をとる必要があるという整理です（IPA「安全なウェブサイトの運用管理に向けての20ヶ条〜セキュリティ対策のチェックポイント〜」／2026年10月22日閲覧）。原因の側から組むと、対策の最初の作業は何が動いているかの一覧になります。

台帳には置き場所ごとに、何が動き誰が管理者でいつまで支えられるかを書く

ここでいう台帳は、自社のサイトを支える置き場所ごとに、そこで何が動いているかと管理者と期限を1行ずつ書いた一覧です。IPAのガイドライン本編はコラム「IT資産管理について」で、何の機器やソフトウェアがどこで誰に使われているかの把握や契約の期限管理をIT資産管理に挙げています。未管理の機器やソフトウェアはセキュリティホールになりがちで、資産が把握できていれば脆弱性のあるソフトウェアやサポート切れの機器を速やかに洗い出せるとし、付録6の「資産管理台帳（サンプル）」を参考に一覧表の作成から始めるよう勧めています（IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版（本編）」（PDF）／2026年10月22日閲覧）。ガイドラインの台帳は会社のIT資産全体が対象で、この記事ではホームページを支える部分だけを切り出します。

行は公開サイト・サブドメイン・DNS・設定ファイル・外部サービスで分ける

公開サイトは、訪問者がアドレスを打って着く本体のページです。www付きの住所のように同じサイトへ着く入口が複数あることもあるので、入口ごとに1行にします。

サブドメインは、本体のドメイン名の前に別の名前を足した住所です。キャンペーンや採用のページのように本体とは別の場所で動いていることがあり、期間が終わっても公開が続いていないかを見る行です。

DNSは、ドメイン名とサイトやメールの置き場所を結ぶ設定の一覧です。Web・メール・TXT（認証などに使う文字列）といった行の種類があり、どの行が何を指しているかを書きます。

設定ファイルは、サイトの動き方を決めるファイルと、公開してはいけない情報が入りうるファイルです。IPAの自社診断の項目「ウェブサイトを安全に運用する」も、公開ファイルに非公開情報が含まれないことの確認を対策例に挙げています（IPA「付録3：5分でできる！情報セキュリティ自社診断」（PDF）／2026年10月22日閲覧）。

外部サービスは、サイトが使っていても自社では動かしていない仕組みです。予約やネットショップの機能、地図や動画の埋め込みなどが入ります。

列は何が動いているか・管理者は誰か・いつまで支えられるか・止めるか更新するかの順に置く

何が動いているかの列には、部品の名前と版を書きます。分からなければ「不明」と書いて空欄にせず、不明の欄を台帳を作った日の最初の宿題にします。

管理者は誰かの列には、名義と管理者の権限を持つ人を書きます。書き出し方はベンダーロックインの対策の「名義：入口ごとに持ち主と管理者の権限を持つ人を書き出す」の節と同じなので、ここでは繰り返しません。サイトの更新を自動化の仕組みやAIエージェントに渡しているなら、そのアカウントと渡した権限もこの列に書きます。

この列の中身は、運営形態によって変わります。IPAのガイドライン本編の表6は、サーバー自社設置なら全ての対策を自社で行い、レンタルサーバーやクラウド（PaaS）ならウェブサイトの構築・運用面の対策を自社で行うと整理しています。ショッピングモールやASP（コンテンツだけを自社で更新する形）でも、外部サービスを使うための認証情報は運営者が適切に管理する必要があるとしています（IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版（本編）」（PDF）／2026年10月22日閲覧）。

いつまで支えられるかの列には、部品のサポート期限と外部サービスの契約の期限を書きます。止めるか更新するかの列には、決めた内容と決めた日を書きます。

脆弱性が出た日は、台帳でその部品が動いているかを先に引き、動いていなければ記録だけ残す

脆弱性の知らせを受けた日に最初にするのは、解説記事を読み込むことではなく、台帳でその部品が自社のどこかで動いているかを引くことです。動いていれば更新か停止を決め、動いていなければ確かめた日と置き場所と結論を台帳に残して終わります。

急ぐかどうかを決める材料になるのが、公的な脆弱性情報です。JVN（JPCERT/CCとIPAが共同で運営する脆弱性対策情報のポータルサイト）は、その脆弱性を使った攻撃がすでに観測されているなど優先順位の判断に重要な補足情報がある場合に「緊急」と表示します。ただし表示は目安で、緊急に対策するかは各組織が個別に判断することが重要だとしています。対策の情報は、パッチやアップデート版で脆弱性そのものを解決する「解決策」と、影響を和らげる「回避策（ワークアラウンド）」に分けて載ります（JVN「脆弱性レポートの読み方」／2026年10月22日閲覧）。

米国のCISA（サイバーセキュリティ・インフラストラクチャ安全保障庁）は、実際に悪用が確認された脆弱性の一覧「Known Exploited Vulnerabilities（KEV）Catalog」を悪用状況の権威ある情報源として維持していると説明しています。掲載の主な基準は悪用されたか悪用が進行中かで、CISAはすべての組織に一覧を確認して脆弱性管理の優先順位付けに使うよう勧めています（CISA「Reducing the Significant Risk of Known Exploited Vulnerabilities」／2026年10月22日閲覧）。一覧に載っていることは急ぐ理由になりますが、載っていないことは待つ理由にしません。

この流れを決まりごとにしておく考え方は、IPAのガイドラインにもあります。実践編の「本格的に取り組む」段階の資産管理の項は、担当部署の役割と責任を定めて情報収集・セキュリティパッチの評価・修正対応を行い、対応履歴を定期的に確認して是正するよう求めています（IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版（本編）」（PDF）／2026年10月22日閲覧）。

動いていれば、解決策があるかを見てその日のうちに更新か停止を決める

台帳で動いていると分かった部品は、管理者の列に書いた人へその日のうちに伝えます。解決策が出ていれば更新し、まだ出ていなければ回避策で影響を抑えながら、その部品を使うページを一時的に止めるかを決めます。回避策を入れた日と、解決策が出たら更新する予定も台帳に書きます。

動いていなければ、確かめた日と置き場所と結論を残す

対象ではないと分かった日も、台帳には確かめた日付・置き場所・結論を書き足します。続報が出たときに一から調べ直さずに済み、取引先に聞かれても答えられます。

当社は2026年10月22日、PHP（Webサイトの処理によく使われるプログラム言語）の脆弱性が公表された直後に、自社サイトを公開サイト・DNSとサブドメイン・設定ファイル・外部サービスの順に確かめました。点検した範囲ではPHPを実行しない構成で、その脆弱性の対象に当たらないと記録しています（点検の中身は同日の記事に書きました）。この結論を台帳に移すと、止めるか更新するかの列に書くのは次の3つです。

列に書くこと	その日の記録
確かめた日	2026年10月22日
置き場所	公開サイト・サブドメイン・DNS・設定ファイル・外部サービスの5行
結論	点検した範囲ではPHPを実行しない構成で、対象に当たらない

結論の欄には、点検した範囲という断りも一緒に書きます。範囲を書かずに「対象外」とだけ残すと、次に読んだ人が点検していない置き場所まで済んだものと読んでしまうからです。当社の結論も、ほかの種類の弱点が無いことまでは示していません。

台帳の欄が「不明」のままで動いているかを引けない場合は、記録だけで終えずにその欄を埋めることが当日の作業になります。

サポートが切れる部品は、期限の前に更新するか止めるかを決め、決めた日を台帳に書く

サポート期限とは、作り手が修正を出すのをやめる日です。期限を過ぎた部品は、脆弱性が見つかっても解決策が届きません。IPAの自社診断も、サポートのあるOS・ソフトウェア・ネットワーク機器を利用することを対策例に挙げています（IPA「付録3：5分でできる！情報セキュリティ自社診断」（PDF）／2026年10月22日閲覧）。

期限の前にできることは、新しい版へ移す更新と、そのページや機能やサイトを閉じる停止です。IPAの20ヶ条は、期間限定のページや不要になったウェブサイトを公開したまま放置すると脆弱性が発覚しても管理が及ばないとし、不要なページやウェブサイトの閉鎖を求めています（IPA「安全なウェブサイトの運用管理に向けての20ヶ条〜セキュリティ対策のチェックポイント〜」／2026年10月22日閲覧）。終わったキャンペーンのサブドメインや誰も更新していない古いページは、更新するより閉じるほうが早く済みます。使っている部品だけが残れば、次に脆弱性が出た日に引く行も減ります。

決めた内容と決めた日は、止めるか更新するかの列に書きます。期限の前に決めておかないと、期限の日には「とりあえず動かしておく」が既定の答えになるからです。

解約した外部サービスを指したまま残るDNSの行は、サイトを乗っ取られる入口になるので、解約と同じ日に消す

外部サービスを解約しても、そのサービスを指していたDNSの行は消さない限り残ります。行き先だけが空いたその行の先に第三者が自分のサービスを用意すると、自社のサブドメイン宛ての通信がその第三者のサイトへ向かいます。これがサブドメインの乗っ取りです。

サブドメインの乗っ取りは、削除したサービスを指したまま残ったDNSの行から起きる

Microsoft Learnは、プロビジョニング解除された（削除された）Azureのリソースを指したまま残ったDNSレコードがあると、サブドメインの乗っ取りが起こりうると説明しています。そのようなレコードを「未解決のDNS」エントリと呼び、CNAMEレコード（ある名前を別の名前へ向ける行）が特に脆弱だとしています。乗っ取られると組織のドメイン向けの通信を悪意あるサイトへ転送されうるため、使えないリソースを指すレコードはDNSゾーンから削除する必要があるという整理です（Microsoft「未解決の DNS エントリを防ぎ、サブドメインの乗っ取りを回避する」／2026年10月22日閲覧）。

IPAの「安全なウェブサイトの作り方」改訂第7版も運用面の章でDNSに関する対策を取り上げ、ドメイン名とDNSサーバの問題のある運用や設定はドメイン名の乗っ取りにつながるとしています。乗っ取られると、利用者が本物のURLを指定しても乗っ取った人のサイトに接続してしまいます。同書は登録状況の確認と対処を求め、DNSサーバの運用を外部に委託している場合は委託先に対処を依頼する必要があるとしています（IPA「安全なウェブサイトの作り方改訂第7版」（PDF）／2026年10月22日閲覧）。

解約の手順に、DNSの行を消す1行を入れる

外部サービスを解約する手順には、そのサービスを指していたDNSの行を消す作業を1行入れます。行き先が空く時間を作らないよう、解約より先か同じ日に消し、台帳の止めるか更新するかの列に消した日を書きます。DNSの管理を制作会社に任せているなら、解約を決めた日に削除を頼み、消えたことを確かめた日も残します。

管理画面のアカウントは、持ち主を決めてから二段階認証をかける

サイトの管理画面・DNSの管理画面・サーバーの契約画面のアカウントは、台帳の管理者の列に書いた人を持ち主に決め、開発やテストで使ったまま残ったアカウントを消してから二段階認証（パスワードに加えて別の確認を求める仕組み）をかけます。IPAの自社診断は開発工程やテスト環境で使った不要なアカウントの削除を対策例に挙げ（IPA「付録3：5分でできる！情報セキュリティ自社診断」（PDF）／2026年10月22日閲覧）、国家サイバー統括室の「インターネットの安全・安心ハンドブック」は認証情報の管理と多要素認証の設定を勧めています（国家サイバー統括室「インターネットの安全・安心ハンドブック Ver5.10 第6章」（PDF）／2026年10月22日閲覧）。持ち主から決めるのは、持ち主の決まらないアカウントには二段階認証の確認先も決められないからです。二段階認証が求められたときの進め方は二段階認証の義務化への対応に、生成AIのサービスのアカウントの扱いは生成AIの社内利用ルールにまとめています。

乗っ取られたと気づいたら、直す前に止めて記録を残し、管理アカウントの鍵を替える

改ざんや乗っ取りに気づいた日の順番は、止める・記録を残す・鍵を替える・原因を調べて直す・届け出て相談するです。直すことを急ぐと何が起きたかの記録が消え、入られた入口を塞げないまま公開を戻すことになりかねません。

止めるときは、電源を切らずに公開を止める

IPAのガイドライン本編は、初動対応で被害が広がる可能性がある場合にネットワークの遮断・対象機器の隔離・システムやサービスの停止を行う一方で、電源を切るなどの不用意な操作でシステムに残された記録を消さないよう注意するとしています（IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版（本編）」（PDF）／2026年10月22日閲覧）。総務省は、速やかにコンテンツを改ざん前の状態に復旧し、時間がかかる場合は一時的にホームページを非公開にすることも検討するよう勧めています。原因の究明と再発防止策の実施も求めています（総務省「ホームページが書き換えられた」／2026年10月22日閲覧）。

記録は、気づいた日時と見えたものと台帳の写しから残す

記録に残すのは、気づいた日時と知らされた経路と、そのとき画面に見えたものです。検索結果に見覚えのないページが出ていたなら、その画面も残します。その日の台帳を写しておくと、どの置き場所で何が動いていたかを後から説明できます。

鍵は、台帳の管理者の列に載っているアカウントをすべて替える

鍵とは、管理画面のパスワードと二段階認証の設定のことです。入られた入口が分からないうちは、管理者の列に載っているアカウントをすべて替えます。サイトの管理画面だけでなく、DNSの管理画面とサーバーの契約画面も含めます。原因は台帳で動いていた部品のうち更新が止まっていたものから調べ、直して公開を戻すのはそのあとです。

届け出と相談の窓口は、被害の種類で分かれる

IPAのガイドライン本編は届出先として、個人情報やマイナンバーの漏えいは個人情報保護委員会、業法などで求められる場合は所管の省庁を挙げています。犯罪性がある場合は警察、ウイルス感染や不正アクセスの場合はIPAで、相談窓口にはJPCERT/CCの「インシデント対応依頼」も載っています（IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版（本編）」（PDF）／2026年10月22日閲覧）。JPCERT/CCは報告をWebフォームか電子メールで受け付け、原則として電話では受け付けていません（JPCERT/CC「インシデント対応依頼」／2026年10月22日時点の記載）。

IPAの「企業組織向けサイバーセキュリティ相談窓口」は、インシデント発生時の初動対応について、起きている事象を聞いて被害の可能性や応急処置案を助言するという記載です。インシデント対応を行う専門業者の一覧や他の相談・報告先も紹介し、相談事案の調査や解析は行いません。連絡先に迷った場合はこの窓口へ、と案内しています（IPA「サイバーセキュリティ相談・届出窓口一覧」／2026年10月22日時点の記載）。

決済や会員情報を扱うサイトでは、台帳より先に改ざん検知や脆弱性診断を入れるほうが筋が通る

台帳より先に検知や診断を入れるほうが合理的なのは、決済や会員の個人情報を扱うネットショップのように書き換えられたときの被害が大きいサイトです。サブドメインや外部サービスが多く台帳の行を自社で追いきれないサイトや、社内にサイトを見る人がいない会社も同じです。こうした場合は、脆弱性診断や改ざん検知を専門に扱う事業者に相談するのが近道です。

総務省は予防法として、管理者アカウントの管理ルール・セキュリティパッチの適用と定期的なセキュリティ診断やペネトレーションテスト（攻撃者の立場で侵入を試す検査）・必要に応じたWAF（Webアプリケーションへの攻撃を手前で防ぐ仕組み）を挙げています。そのうえで、改ざんされても速やかに気づいて対応できるようWebコンテンツの改ざん検知を行うことも有効としています（総務省「ホームページが書き換えられた」／2026年10月22日閲覧）。

ふだんの閲覧では気づけない改ざんもあるため、検知は気づくまでの時間を縮める手段になります。

それでも、通知が届いた日に誰が何を止めるかは検知の側では決まりません。そのページがどの置き場所の何で動いていて誰が止められるかは、台帳に書いてあることです。検知や診断を先に入れた会社でも、台帳はその結果を受け止める台になります。

ホームページの改ざん対策についてよくある質問

Q. ホームページを改ざんされたら、罪に問われるのは誰ですか？

運営者がまずするのは罪名を調べることではなく届け出で、IPAのガイドライン本編は犯罪性がある場合は警察へ届け出るとしています（IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版（本編）」（PDF）／2026年10月22日閲覧）。どの罪名に当たるかや運営者に責任が生じるかは弁護士などの専門家と捜査機関が判断することで、ここに書くのは法的助言ではありません。JPCERT/CCのインシデント対応依頼は、犯人や行為者の特定や捜査・取り締まりの依頼と法的な対応の代行を、対応できない依頼の例に挙げています（JPCERT/CC「インシデント対応依頼」／2026年10月22日時点の記載）。

Q. 制作会社に任せているサイトでは、自社で何を見ればよいですか？

管理画面とDNSの名義と、更新を誰がしているかです。IPAのガイドライン本編の表6のとおり、コンテンツだけを自社で更新する形でも管理画面に入る認証情報の管理は運営者の側に残ります。制作会社には台帳の何が動いているかの列を埋めてもらい、名義と止めるかどうかの判断は自社に残します。サイトの中身を把握している人が社内にいない状態そのものを変えたいなら、内製化の進め方が手がかりになります。

Q. サーバーで動く処理がほとんどないサイトでも、対策は要りますか？

要ります。サイトのファイルの中で動く部品が少なくても、DNSの行・サブドメイン・外部サービス・管理画面のアカウントは残ります。解約したサービスを指すDNSの行や持ち主の分からないアカウントは、サイトの作り方に関係なく入口になります。台帳の設定ファイルの行が短くなるだけで、ほかの行は同じように書きます。

Q. 改ざんに気づくきっかけには、どんなものがありますか？

主に外部からの連絡・検索結果・検知の仕組みです。JPCERT/CCは、改ざんされたサイトについて一般から対応依頼を受けると、報告内容に従ってサイト管理者へ改ざんを連絡するとしています（JPCERT/CC「インシデント対応依頼」／2026年10月22日時点の記載）。その連絡が届くよう、サイトに載せている連絡先が台帳の管理者の列の人につながっているかを確かめておきます。検索エンジンにだけ別の中身を見せる改ざんもあるので、自社のドメイン名で検索して見覚えのない題名や外国語のページが出ていないかを時々見ます。常に見張る必要があるなら、検知のサービスを使います。

SAIの視点：守る範囲は、脆弱性の名前より台帳の管理者の列で決まった

2026年10月22日の点検で外部サービスの行の答えを決めたのは、部品の名前ではなく、その場所でPHPを動かしているのが当社かどうかでした。脆弱性の情報が教えてくれるのは部品の名前と版までで、自社のどの行にその部品があるかは教えてくれません。管理者の列に名義だけでなく誰が動かしているかまで書いておくと、自社が手を動かす範囲がその列だけで読めます。

株式会社SAIのキャラクターが、公開サイトから外部サービスまでの置き場所を行に並べた台帳を広げ、脆弱性の知らせを手にしてその部品が動いている行を指でたどっているイラスト

台帳を書き始めて最初に確かめたいのは、解約済みの外部サービスを指したままのDNSの行が残っていないかです。

FDE伴走開発では、台帳の止めるか更新するかの列を埋める判断を一緒に進めます。AI導入支援では、社内で使い始めたAIの外部サービスを台帳の外部サービスの行に加え、アカウントの持ち主を決めるところから進めます。脆弱性診断や常時の検知が要る規模だと分かったときは、専門の事業者へ頼む前提で台帳を渡せる形に整えます。

送っていただきたいのは、サイトのURLと、制作と保守をどこが担っているかです。管理画面とDNSの管理者について分かる範囲をお問い合わせに添えていただければ、台帳のどの欄から埋めるかを最初に一緒に決められます。