Webサイトやアプリの制作会社に、発注前に聞いておきたいセキュリティの質問

Webサイトやアプリの制作を発注する前に、聞いておきたいことは5つです。よくある脆弱性をどう作り込まないようにし、どう確認するか。公開後のアップデートは誰がやるか。管理者アカウントや鍵はどこにあるか。制作側のスタッフが、自社のコードやデータをAIツールでどう扱うか。インシデントが起きた最初の数時間に何が起きるか。そして、答えを契約に書き込みます。どの質問にもIPAの無料の資料があるので、自社にセキュリティの専門家がいなくても聞けます。

なぜ制作会社がリスクの一部になるのか

IPA（情報処理推進機構）は毎年、研究者や企業の実務担当者など約250名の選考会で、組織にとっての脅威を順位づけしています。2026年1月29日に公開された2026年版では、1位がランサム攻撃による被害。2位がサプライチェーンや委託先を狙った攻撃で、8年連続の選出です。3位には「AIの利用をめぐるサイバーリスク」が初めて入りました。4位はシステムの脆弱性を悪用した攻撃です。

Webやアプリの制作会社は、この上位4つのうち3つに関わります。コードを書き、サーバを運用することも多く、いまはその両方でAIツールを使っています。契約前に質問するのにかかるのは1時間です。インシデントの後で聞くことになると、その何倍もかかります。

どの脆弱性を作り込まないようにし、どう確認しているか

IPAの「安全なウェブサイトの作り方」は、日本で定番の参考資料です。改訂第7版は115ページ。第1章で、SQLインジェクション、OSコマンド・インジェクション、クロスサイト・スクリプティングなど11種類の脆弱性と、原因そのものをなくす対策を解説しています。巻末のセキュリティ実装チェックリストはExcelでも配られています。

聞き方はシンプルで構いません。「このチェックリスト、または同等のものを今回の案件で記入して、納品時に渡してもらえますか」。普段からそうしている会社なら、すぐに「はい」と返ってきます。

IPAは13の診断項目からなる「ウェブ健康診断仕様」も公開しています。ただし、検査パターンを絞り込んだ診断なので、脆弱性が見つからなくても安全宣言にはならない、とIPA自身が書いています。診断結果を「安全の証明」として出してくる会社があれば、この一文をそのまま返すのが有効です。

公開後のアップデートは誰がやるか

同じ資料の第2章は運用面で、ウェブサーバの運用、パスワードの取り扱いなど7項目を扱っています。制作の契約が公開日で終わることが多いため、ここが抜け落ちやすい部分です。

CMS、プラグイン、ライブラリ、サーバのソフトウェアを、誰が、どのくらいの頻度で、どの契約のもとで更新するのか。使った部品に新しい脆弱性が見つかったとき、どうやって知るのか。「何か起きたら連絡します」という答えなら、保守の範囲を文書にする必要があります。

管理者アカウントと鍵はどこにあるか

サーバ、ドメイン、CMS、クラウドサービスの管理者アカウントを誰が持っているか。二段階認証は有効か。複数の人で共有しているパスワードはないか。制作側の担当者が抜けたとき、その人の権限はどうなるか。

オーナーのアカウントは自社名義にして、制作会社はユーザとして招待する形が基本です。アプリストアのアカウントも考え方は同じで、アプリは自社名義の開発者アカウントで公開するで詳しく書きました。

自社のコードやデータを、AIツールでどう扱っているか

AIのリスクが10大脅威の3位に入ったいま、この質問はどの制作会社にも聞くべきです。開発者やデザイナーがどのAIツールを使っているか。自社のコード、資料、顧客データがそこに入るのか。使っているアカウントで、入力を学習に使う設定はオフになっているか。

自社の社員についても考え方は同じです。利用者側の話は社員がAIを使うなら、AI事業者ガイドラインは自社の話ですにまとめています。

インシデントの最初の数時間に何が起きるか

誰に、どれくらいの速さで、何時から何時まで連絡が来るのか。アクセスログや操作ログを残しているか、何日分か。ログがなければ、何が持ち出されたのか誰にも分かりません。

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、2026年9月30日に第4.0版になりました。付録に中小企業向けのセキュリティインシデント対応の手引きがあり、「5分でできる！情報セキュリティ自社診断」には「ウェブサイトを安全に運用する」という項目が加わっています。第4.0版は、経済産業省と内閣官房国家サイバー統括室が検討している「サプライチェーン強化に向けたセキュリティ対策評価制度」の考え方にも沿っています。大きな取引先が、取引先にこの種の質問をし始めると考えておいたほうがいいでしょう。

答えを契約に書き込む

口頭の答えは残りません。公開前に制作側と確認したい法令対応は7つの法令対応にまとめています。IPAの「情報システム・モデル取引・契約書」第二版は2020年12月22日、「情報システム開発契約のセキュリティ仕様作成のためのガイドライン」と一緒に公開されました。そのまま使う必要はありません。借りたいのは、セキュリティを仕様として書く習慣です。納品時に記入するチェックリスト、保守の範囲と更新の頻度、アカウントの名義、制作側のAIツールの使い方のルール、インシデント時の連絡先とログの保存期間。この5つを別紙にまとめておきます。

自分たちの仕事に自信のある会社ほど、こうした別紙を歓迎します。発注側の漠然とした不安が、納品できる項目のリストに変わるからです。