情報セキュリティへの取り組み

お預かりする情報の取り扱い

案件では、担当者の連絡先、業務資料、サイトやサーバーの管理情報、システム内のデータなどをお預かりすることがあります。これらは、合意した制作・開発・保守業務を行う目的の範囲で取り扱います。

顧客データの共有にはGoogleドライブを使用します。クライアントから共有方法の指定がある場合や、別の外部サービス・再委託先との共有が必要な場合は、事前に了承を得たうえで、指定された方法と範囲に限って共有します。管理者権限は運営者本人に限定し、作業に必要な範囲で情報を取り扱います。

保守業務のために保持するデータと復旧用バックアップは、原則として保守期間の終了時に削除します。契約上、保管が必要な資料がある場合は削除対象と区分し、作業環境から独立させたローカル環境で管理します。保守期間終了後は、当方が保持するバックアップからの復元には対応できません。

不正アクセス・情報漏えいを防ぐための対策

端末の保護、管理アカウントの認証、権限の整理、ソフトウェアの更新、安全な共有方法などは、情報を守るための基本的な要素です。業務に使用するPCでは、Windows標準の自動更新とウイルス対策機能を利用します。WordPress管理画面では、セキュリティ対策プラグインによる多要素認証を利用し、管理者権限を運営者本人に限定します。サーバーや外部サービスについては、利用環境とクライアントの規程を確認したうえで必要な設定を検討します。

当サイトの実装から確認できる対策

• お問い合わせ内容を公開されないデータとして保存し、管理権限を持つアカウントに操作を限定
• フォーム送信時の入力検証、ワンタイムトークン、送信回数制限、不正送信対策の選択機能
• 未ログイン利用者によるWordPressユーザー一覧APIへのアクセスを制限
• ログイン失敗時の詳細表示と、WordPressバージョン情報の一部出力を抑制

これらはリポジトリから確認できる本サイトの実装です。端末管理や実際のアカウント運用、サーバー設定の実施状況を示すものではありません。

継続的な保守と見直し

サイトやシステムは、公開後もソフトウェアの更新、動作確認、アカウントや権限の整理、利用サービスの見直しが必要です。保守をご依頼いただく場合は、対象、実施頻度、連絡方法、作業時間帯を事前に整理します。

更新・点検

保守契約中は、契約で定めた対象について原則として月1回の保守点検を行います。

ログ・監視

取得できるログと監視の有無、確認範囲、通知条件は利用環境と契約により異なります。

バックアップ

対象と保存方法は案件ごとに定め、保守期間中に復元確認を行います。復旧用バックアップは原則として保守期間の終了時に削除します。

バックアップは障害や誤操作から復旧するための対策です。バックアップだけで不正アクセスや情報漏えいを防止できるものではないため、認証・権限・更新等の対策と組み合わせて考えます。

リスクへの考え方と万一の対応

不正アクセスや情報漏えいのリスクを完全にゼロにすることは困難です。そのことを前提に、必要な予防策を検討し、継続的な保守と見直しによって、異常の早期把握と被害拡大の防止につなげます。

事故またはその疑いを把握した場合は、確認できた状況に応じて初動対応を行い、必要な状況共有を進めます。その後、影響範囲の確認、必要な停止・保全、復旧、原因の整理、再発防止に取り組みます。

対応可能な時間帯は、公開している対応スケジュールからご確認いただけます。優先順位、外部事業者との連携、復旧作業の範囲は、対象システムと契約内容に応じて異なります。個別に合意していない対応開始時刻や復旧時間を、このページだけでお約束するものではありません。