Webセキュリティの作業を頼む前に聞くべき7つの質問

なぜ見積書より、質問で比べるべきなのか？

見積書は業者ごとに使う言葉やまとめ方が違い、並べて比べにくいからです。同じ質問をすれば、答えの形で比べられます。

経済学に「レモン市場」という言葉があります。中古車を買う人は、その車がいい車か見かけだけの車かを前もって知ることができず、売る側のほうがずっと多くを知っています。¹ ホームページの作業も同じです。業者が何をどうするのかは、頼む側からはよく見えません。その差を埋めるいちばん簡単な方法は、確かめられる答えを求める質問です。

1. 作業の前：1 範囲 · 2 バックアップ
2. 作業の最中：3 戻し方 · 4 試し用のサイト
3. 作業のあと：5 確認と報告 · 6 その後の運用と次の費用
4. 最初から最後まで：7 名義・アカウント・個人情報

7つの質問はどれも「はい・いいえ」より「どうやって・どこに・いつ」で答えてもらうように聞きます。

同じ質問、違う答え。

ヤンのまとめ聞くことは疑いではなく、比べるための手順です。すべての業者に同じ質問を送れば、誰も気を悪くする理由はありません。

作業の前には、何を聞けばいいのか？（範囲とバックアップ）

何をしてくれて何はしないのか、そして作業の前のバックアップをどこにいくつ置くのかを聞きます。このふたつの答えが文書で来れば、あとの行き違いが大きく減ります。

1. 質問1 何をしてくれて、何はしないのですか？PHPのバージョンの変更だけなのか、プラグインの更新とエラーの修正までなのかを聞きます。サーバー会社でも、お客さまが手を入れたCMSについての問い合わせは「サポート対象外」としているところがあります。² 米国の連邦取引委員会（FTC）は、ホスティングを選ぶときにSSL/TLSやメールの認証のようなセキュリティの機能を見るよう勧めているので、³ それが範囲に入るかもあわせて聞きます。
2. 質問2 作業の前のバックアップはどこに、いくつ置きますか？こちらも1部もらえますか？WordPress.orgは、ファイルとデータベースを一緒に、アップグレードの前には必ずバックアップし、最近のバックアップを3〜5個、それぞれ別の場所に残すよう勧めています。⁴ 業者のサーバーにしかないバックアップは、業者と連絡が取れなくなると一緒に消えてしまいます。

ヤンのまとめ「全部やります」は範囲ではありません。しないことを言ってくれる業者が、範囲をわかっている業者です。

作業の最中については、何を聞けばいいのか？（戻し方と試験）

問題が起きたらどうやって元に戻せるのか、そして本番のサイトを変える前に試し用のサイトで先に確かめるのかを聞きます。

1. 質問3 問題が起きたら、どうやって元に戻せますか？WordPress.orgの案内も「壊れたら前のバージョンに戻す」で終わります。⁵ 戻せない条件があるサーバーもあります。ロリポップ！は、PHP 7.1未満から上げた場合は変更前のバージョンに戻せないと案内しています。⁶
2. 質問4 本番のサイトを変える前に、試し用のサイトで先に確かめますか？米国のホスティング会社DreamHostは、新しいPHPのバージョンを安全に試す方法として試し用のサイトを作り、エラーがなければ本番のサイトを切り替えるよう案内しています。⁷

ヤンのまとめ戻る道のない工事は任せないでください。失敗は誰にでもありますが、戻る道は前もって作っておけます。

作業のあとについては、何を聞けばいいのか？（確認とその後の運用）

作業のあとに何を確かめ、どんな報告を受けるのか、そして終わったあとは誰が面倒を見て、次のバージョンのときは費用がどうなるのかを聞きます。

1. 質問5 作業のあとに何を確かめて、どんな報告をもらえますか？トップページ、主なページ、お問い合わせフォームの実際の送信、管理画面へのログインを確かめたか、変更の前とあとのバージョンが何かを、文書で受け取ります。確認の項目は、解説編「何時間かかる？」の⑥段階と同じです。
2. 質問6 終わったあとは誰が面倒を見て、次のバージョンのときはいくらですか？PHPの各バージョンは、最初の2年は全面的なサポート、そのあとの2年はセキュリティの修正だけを受けます。⁸ 今回の作業で終わりではないということです。次のバージョンを上げるときの費用と、そのあいだの月々の管理があるかを前もって聞きます。

ヤンのまとめ今回の見積もりだけでなく、5年を見てください。一度は安くて、毎年高くつく道もあります（解説編「5年間の費用はどちらが安い？」）。

名義と個人情報については、どう聞けばいいのか？

ドメインとサーバーの名義、管理者のアカウントがずっと自社に残るのか、そしてホームページにお客さまの情報があるなら、それをどう扱うのかを聞きます。

1. 質問7 名義とアカウントは自社に残りますか？お客さまの情報はどう扱いますか？作業のためにアカウントを貸すとしても、ドメインとサーバーの名義、管理者のアカウントひとつは自社のものとして残します。名義が業者に移ると、連絡が取れなくなったときに取り戻すのが難しくなります（ガイド編「制作会社と連絡が取れないとき」）。

ホームページにお問い合わせの内容や会員の情報のような個人データが保存されていて、その取り扱いを業者に任せるなら、個人情報保護法の「委託」にあたることがあります。同じ法律の第25条（2026年10月25日時点の現行法）は、委託するときに委託先を監督するよう定めています。⁹ 個人情報保護委員会のガイドラインは、その監督として適切な委託先を選ぶこと（事前の確認は義務）、委託契約を結ぶこと、委託先での取り扱いを把握することを挙げ、契約の中身や把握のしかたは「望ましい」としています。¹⁰ IPAの中小企業向けガイドラインも、委託先の不備でも委託元としての管理責任を問われるとし、契約書に委託先の責任や対策を書いて合意するよう勧めています。¹¹ うちの場合が当てはまるかは法的な判断が必要なので、個人情報保護委員会の案内や専門家に確かめてください。

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。 — 個人情報の保護に関する法律 第25条

ヤンのまとめ鍵は貸しても、権利書は渡しません。名義は最後まで社長のものです。

受け取った答えは、どう比べればいいのか？

答えを表に並べて書き、「どうやって・どこに・いつ」が入っているかを見ます。具体的な答えが多い業者が、仕事を前もって思い描いている業者です。

この7つの質問は、あたたかいデジタルが実際の作業の順番をもとに整理したチェックリストで、国や団体が決めた公式の基準ではありません。どの業者がいい・悪いという判定表でもありません。同じ質問で比べられるようにするための道具です。

ヤンのまとめいちばん安いところではなく、いちばんはっきり答えたところを選んでください。はっきりした答えは、はっきりした仕事につながります。