E.P.ラボAIを使う日々から活かす日常へ無料ウェビナーを見る

ホーム ／ ブログ

国家サイバー統括室の不正アクセス対策資料について、ホームページを持つ個人事業主が確かめたいこと

セキュリティ

この記事は、2026年11月6日時点で公開されている公式情報をもとにまとめています。内容は更新されることがあるため、最新の情報は末尾の公式ページでご確認ください。

何が起きたか

  • 2026年11月5日、内閣官房 国家サイバー統括室が「個人情報の漏えい等につながる不正アクセスへの対策について（ウェブサイトやモバイルアプリに関する基本的な対策の徹底）」を公開しました。
  • 資料では、最近相次いでいる不正アクセスによる情報漏えいの事案で、アプリ開発時の対策不足、ウェブサイトなどの設定の不備、サポートが終わったソフトや知られている弱点への未対応などが原因とみられる例が複数あった、と説明されています。
  • 攻撃側は、インターネット上に公開されているサイトを広く調べ、侵入しやすいところを見つけて個人情報を持ち出す、という流れが示されています。事業の大きさにかかわらず、幅広い事業者が対象になりうる、とも書かれています。
  • 個人情報を扱うウェブサイトやモバイルアプリを運用している事業者に向けて、運用中の点検、作る段階での安全な設計、委託先を含めた管理の三点を中心に、基本的な対策の徹底が求められています。

関係するのはどんな人か

個人事業主の方の身近なところでは、たとえば次のような場合が考えられます（以下は説明のための架空の例です）。

  • お店や教室のホームページで、問い合わせや予約のときに氏名・電話・メールを受け取っている
  • 会員登録や資料請求のフォームで、お客様の情報を預かっている
  • 制作会社に作ってもらったサイトを、自分で管理画面から更新している
  • スマホ向けの予約ページや簡単なアプリを、外部に作ってもらって使っている

個人情報をほとんど扱っていない場合でも、管理画面や設定の公開範囲は、サイトの土台の安全に関わります。一度、自分のサイトに何が入っているかを確かめておくと安心です。

資料が伝えている三つの柱

1. 運用・管理の段階

使っているソフトや部品の名前と版を把握し、公表された弱点や「すでに悪用が確認されている弱点」の情報と照らし合わせること、が求められています。直接入れている製品だけでなく、その中に入っている部品も対象です。

あわせて、業務上いらない管理画面や、外に出さない想定だった機能がインターネットから見えていないかを点検し、外から見える入り口をできるだけ小さくすることが書かれています。公開後も、定期的な診断やログの確認を続けることの大切さが示されています。

2. 設計・開発の段階

最初から安全に作る、という考え方が強調されています。後から直すと手間も影響も大きくなりやすい、という説明です。サイトやアプリが裏側でつなぐ窓口（API）の権限の確認、パスワードや接続情報をプログラムの中に埋め込まないこと、公開前の弱点の点検なども挙げられています。

3. 委託先を含めた管理

制作会社や保守の会社の環境を足がかりに、発注元のシステムへ入られる例がある、と書かれています。個人情報の取扱いを委託する場合、個人情報保護法にもとづき、委託先への必要かつ適切な監督が求められます。契約の内容や、接続の仕方、作業が終わったあとのアカウントの整理も、確認の対象です。

オープンソースのソフトや外から借りた部品を「中身が分からないまま使い続ける」ことを避ける、という案内もあります。組み込んでいる部品の版や、保守が終わっていないかを平時から把握しておくことが求められています。

確かめること

1. 自分のサイトで預かっている情報

問い合わせ、予約、会員登録、資料請求など、お客様から受け取っている項目を書き出します。氏名・連絡先・決済に関わる情報などがある場合は、この資料の対象に近い運用です。

2. 使っている土台と部品の版

WordPressなどの本体、テーマ、プラグイン、サーバー側のプログラム、画面を動かすJavaScriptの部品など、分かっている範囲で名前と版を確かめます。分からないときは、次の「制作会社に聞く一言」に進みます。サポートが終わった版を使い続けていないかも、あわせて確認します。

3. 外から見える管理画面や余分な入り口

管理画面、テスト用のページ、開発用の環境が、意図せずインターネットから開ける状態になっていないかを確認します。必要なら、アクセスできる場所の制限や、パスワードに加えて別の確認を入れる方法を制作会社に相談します。

4. 更新と点検のリズム

公開したあとも、部品の更新や表示の確認をどのくらいの間隔で行っているかを振り返ります。記事を足した日に表示を確かめるのと同じように、土台の更新確認も手順に入れておくと落ち着いて対応できます。

5. 更新したあとの動作

本体や部品を更新したあとは、トップページの表示、問い合わせフォームの送信、予約や会員向けの画面など、普段お客様が使う流れを一通り試しておくと、気づきやすくなります。

制作会社に聞く一言

自社のホームページで何が使われているかは、見た目だけではわかりません。制作・運用を任せている場合は、次のように問い合わせると話が伝わりやすくなります。

「当社のホームページ（と関連する予約・会員の画面）で使っている本体、テーマ、プラグイン、JavaScriptの部品の名前とバージョンを教えてください。それぞれ開発元が保守している版か、最新の修正が当たっているかもあわせて教えてください。管理画面など、外から開ける入り口の一覧と、アクセス制限の状況も教えてください。今後の更新をどのくらいの間隔で行う予定か、委託作業用のアカウントの整理方法も伺えますか。」

WordPress本体だけ、PHPだけ、といった一つの製品に限らず、テーマやプラグイン、JavaScriptとその部品も最新版への更新が必要です。まとめて聞いてもらうと見落としが減ります。

困ったときの相談先

国家サイバー統括室の「サイバー対応特設サイト」に、事業者向けの相談窓口がまとめられています。経済産業省と中小企業庁の「サイバーセキュリティ特別相談窓口」（無料）、IPAの「情報セキュリティ安心相談窓口」や事業者向けの相談窓口も掲載されています。窓口の一覧は、末尾の案内ページから開けます。

E.P.ラボのメモ

個人情報を預かるホームページでは、「何を預かっているか」「何で動いているか」「誰が更新しているか」の三点が分かっていると、新しい注意喚起が出たときにも落ち着いて照合できます。点検表に「預かっているお客様情報の種類」「使っている部品とその版」「制作会社への最終確認日」を三行足しておくのも、一つの方法です。

出典（公式情報）

関連する記事

E.P.ラボ
セキュリティ

WordPressのセキュリティ更新「7.1.4」について、ホームページを持つ個人事業主が確かめたいこと

E.P.ラボ
セキュリティ

PHPの脆弱性「PHP2shell」について、ホームページを持つ個人事業主が確かめたいこと

記事の一覧へ

無料ウェビナー無料相談