Web&Promotion ONEWEB

• 01

  狙われるのは「大企業だけ」ではありません

  攻撃の多くは自動化されたツールで、規模を問わず「更新されていないサイト」を探して回ります。改ざんされたサイトはフィッシングやマルウェア配布の踏み台にされ、気づいたときには検索結果やブラウザに警告が表示されていることもあります。

• 02

  取引先から「管理体制」を問われる時代に

  サプライチェーン攻撃への警戒から、取引先や親会社からセキュリティチェックシートの提出を求められるケースが増えています。「Webサイトの脆弱性対策・更新体制」はその定番項目です。回答できる状態にしておくことが、取引の前提になりつつあります。

• 03

  漏えいは「報告義務」のある事故です

  2022年施行の改正個人情報保護法により、一定の漏えい等は個人情報保護委員会への報告と本人への通知が義務になりました。お問い合わせフォームひとつでも、個人情報を扱うサイトは対象になりえます。

「診断」「対策」「継続保守」「緊急対応」の4つに加えて、サイトの前段で攻撃を止める Cloudflare 導入コンサルティングをご提供します。必要な組み合わせでご依頼いただけます。診断だけ、対策だけのご依頼も可能です。

• ASSESSMENT

  脆弱性診断（Webサイト・WordPress・サーバ）

  診断ツールによる自動チェックに加えて、制作会社の目で設定や構成を確認します。報告書は「何が、どれくらい危なくて、どう直すか」を優先度順にまとめ、専門用語を使わずにご説明します。

  主な対象

  • WordPress本体・プラグイン・テーマの既知の脆弱性
  • 管理画面・アカウント・権限の設定
  • SSL/TLS、HTTPセキュリティヘッダ
  • お問い合わせフォーム等の入力処理
  • サーバ・ミドルウェアのバージョンと公開設定

  成果物：診断報告書（PDF）、対策のご提案とお見積り、ご希望により報告会（オンライン可）

• REMEDIATION

  対策・改修の実施

  診断結果に基づいて、優先度の高いものから対策します。制作会社として日常的にWordPress・Shopify・自社開発システムを扱っているため、「直したら表示が崩れた」といった副作用も含めて対応します。

  主な対策例

  • 本体・プラグインの更新、不要プラグインの整理
  • 管理画面の保護（ログイン試行制限、2段階認証、管理URLの変更）
  • セキュリティヘッダ・SSL設定の見直し、WAFの導入（Cloudflare 等）
  • フォームの入力検証・スパム対策の改修
  • アカウント・権限の棚卸し、バックアップ体制の整備

  成果物：対策実施報告書（対応前後の比較）、運用上の注意点のまとめ

• MAINTENANCE

  セキュリティ保守（月額）

  脆弱性対策は一度やって終わりではありません。更新・監視・バックアップを定期的に回し、毎月レポートでご報告します。社内に担当者を置かなくても、「管理されているサイト」の状態を保てます。

  含まれるもの

  • 本体・プラグインの定期更新と動作確認
  • 稼働監視・改ざん検知
  • 定期バックアップと復旧手順の確認
  • SSL証明書・ドメインの期限管理
  • 月次レポート、重大な脆弱性情報の随時通知

  成果物：月次レポート（更新履歴・監視結果・推奨事項）

• INCIDENT

  緊急対応（改ざん・乗っ取り時）

  「サイトに見覚えのないページがある」「ブラウザで警告が出る」「管理画面に入れない」。そんなときは原因の切り分けと復旧を最優先で行い、再発防止までご支援します。

  対応内容

  • 被害範囲の調査、不正ファイル・アカウントの除去
  • バックアップからの復旧、再構築
  • 侵入経路の特定と再発防止策の実施
  • 検索エンジン・ブラウザ警告の解除申請
  • お客様・関係先への説明資料の作成支援

  成果物：インシデント報告書（経緯・原因・対策）

• サイト
  CMS本体・プラグイン・テーマ

  バージョンと公開済みの脆弱性情報を照合。WordPressの脆弱性の多くはプラグインやテーマに起因するため、使っていないものの放置も確認します。

• サイト
  管理画面とアカウント

  ログイン試行制限、2段階認証、推測されやすいユーザー名、退職者や旧制作会社のアカウントの残存、権限の付与範囲。

• サイト
  フォームの入力処理

  クロスサイトスクリプティング（XSS）、SQLインジェクション、CSRFなど、お問い合わせ・会員登録フォームの代表的な弱点。

• サイト
  HTTPセキュリティヘッダ

  Content-Security-Policy、X-Frame-Options、HSTS などの設定状況。設定だけで防げる攻撃が多い項目です。

• サーバ
  SSL/TLS 証明書と暗号化設定

  証明書の有効期限、自動更新の有無、古いプロトコル（TLS 1.0/1.1）や弱い暗号スイートの無効化。

• サーバ
  公開ファイルとディレクトリ

  設定ファイル、バックアップファイル、ディレクトリ一覧の露出。意図せず検索エンジンに載っているファイルがないか。

• サーバ
  OS・ミドルウェアのバージョン

  PHP、データベース、Webサーバのサポート状況。サポート終了版が動いていないか、ホスティング会社の設定とあわせて確認。

• サーバ
  送信ドメイン認証（SPF / DKIM / DMARC）

  自社ドメインを名乗るなりすましメール対策。設定不備はフォーム通知メールの不達にもつながります。

• 運用
  バックアップと復旧体制

  取得頻度、保管場所、実際に戻せるかの確認。「取っているが戻したことがない」は要注意です。

• 運用
  更新・連絡体制

  誰がいつ更新するか、脆弱性情報を誰が受け取るか、障害時に誰に連絡するか。体制の有無も診断の対象です。

※ 上記は標準的な項目です。ECサイト（Shopify）、会員制サイト、独自開発システムなどは、構成に合わせて項目を追加します。診断はサイト所有者様の同意をいただいた範囲で、本番環境への影響が出ない方法で実施します。

• 01

  「直せる会社」が診断します

  診断専門会社の報告書を受け取っても、直すのは別の会社、見積りはまた別、という手間がありません。見つけたその場で、対策の内容と費用までお伝えします。

• 02

  1998年から、Webの制作と運用一筋

  官公庁、医療機関、金融、教育、水族館など、「止められないサイト」を長年お預かりしてきました。運用の現場で起きることを前提に、無理のない対策を組み立てます。

• 03

  WordPress・Shopify・自社開発、すべて自社で構築

  構築の内側を知っているからこそ、表面的なスキャンでは見つからない設定の穴や、プラグイン同士の相性まで含めて確認できます。

• 04

  愛知・名古屋・豊川で、顔の見える対応

  必要なときは直接お伺いします。遠方のお客様にはオンラインで、30分のミーティングからお気軽にどうぞ。報告会も対面・オンラインいずれも可能です。

1. お問い合わせ・ヒアリング無料

   サイトの構成、気になっている点、取引先からの要求事項などを伺います。簡易チェックの結果もこの段階でお伝えします。

2. 診断範囲の確定・同意書

   診断する対象（サイト、サーバ、環境）と方法を書面で確認します。お見積りはこの時点で確定します。

3. 診断の実施

   標準的なWordPressサイトで1〜2週間が目安です。本番環境に負荷や影響が出ない方法・時間帯で実施します。

4. 報告会・対策のご提案

   優先度付きの報告書をもとに、「すぐ直すもの」「計画的に直すもの」「様子を見るもの」に整理してご説明します。

5. 対策の実施・継続保守へ

   ご承認いただいた対策を実施し、以降は月額の保守で「管理されている状態」を維持します。

• スポット診断
  まず現状を知りたい方に。報告書と対策提案までをセットで。
  ¥80,000〜（税別）
  • WordPressサイト1式（標準構成）
  • 診断報告書（PDF）
  • 対策のご提案・お見積り
  • 報告会（オンライン）
• 診断＋対策パック
  見つけたものを、そのまま直すところまで。最短で安全な状態に。
  ¥200,000〜（税別）
  • スポット診断の内容すべて
  • 優先度「高」の対策実施
  • 管理画面保護・セキュリティヘッダ設定
  • 対策実施報告書
• セキュリティ保守
  対策後の状態を保ち続けたい方に。月次レポート付き。
  月額 ¥40,000〜（税別）
  • 定期更新・動作確認
  • 稼働監視・改ざん検知
  • バックアップ・証明書管理
  • 月次レポート・脆弱性情報の通知

※ ページ数、プラグイン数、サーバ構成、ECや会員機能の有無により変動します。既存の保守契約のあるお客様には、追加オプションとしてのご案内も可能です。改ざん・乗っ取り時の緊急対応は個別にお見積りします。
※ Cloudflare 導入コンサルティングは、現状調査からルール設定・引き継ぎまで一式で ¥80,000〜（税別）です。Cloudflare の利用料は別途、無料プランからご利用いただけます。