01
「気づき」には2種類ある
同じ「問題に気づいた」でも、何に気づいたかで進め方が変わります。
A. 被害が起きている疑い
- 見覚えのないページや書き込みがある
- ページを開くと別のサイトへ移動する
- 管理画面に知らないアカウントや操作の記録がある
- 住民や外部から「おかしい」と連絡があった
→ 自治体のインシデント（事故）対応の手順で扱います。冒頭の囲みのとおり、まず報告です。
B. 弱点や未確認事項を見つけた
- 保守会社から、使っているソフトの脆弱性の連絡が来た
- 外部の診断ツールの結果で指摘があった
- 無料リスク確認で「対策なし」「わからない」が多かった
- 更新や管理者アカウントの担当がはっきりしない
→ 多くは平時の改善として計画的に進めます（03）。ただし下の囲みの場合は、被害が確認されていなくても急いだ対応が必要になることがあります。
被害が確認されていなくても、急いだ評価・報告・対応が必要になり得る場合
- 使っている製品に、重大な脆弱性があるという情報が出ている
- その脆弱性が、実際の攻撃に使われている（悪用が確認されている）という情報がある
- 開発元や公的機関から、緊急の注意喚起が出ている
このような場合も、自治体の手順に沿って担当窓口へすぐに報告し、評価と対応は権限のある担当者・保守会社が行います。自分で設定を変えたり、検査したりはしないでください。
どちらに当たるか、どれくらい急ぐかの判断は、このページではしません。迷ったら、自治体の情報セキュリティの担当窓口に相談してください。弱点の指摘であっても、すでに悪用されているかどうかは、外から見ただけではわかりません。
詳しく：自治体の規程のひな形では
- 総務省ガイドライン（令和8年3月版）第2編 対策基準（例文）「情報セキュリティインシデントの報告」：職員等は、インシデントを認知した場合、速やかに情報セキュリティ管理者及び情報セキュリティに関する統一的な窓口に報告する。住民等外部から報告を受けた場合も、情報セキュリティ管理者に報告する（PDF p.68）
- 同「セキュリティホールに関する情報の収集・共有及びソフトウェアの更新等」：セキュリティホールに関する情報を収集し、緊急度に応じてソフトウェアの更新等の対策を実施する（PDF p.85–86）
- 同「侵害時の対応等」：セキュリティ侵害が発生した場合又は発生するおそれがある場合に、連絡、証拠保全、被害拡大の防止、復旧、再発防止等の措置を迅速かつ適正に実施するため、緊急時対応計画を定めておき、侵害時には当該計画に従う（PDF p.88）
第2編は例文です。あなたの自治体の実際の手順・窓口の名称は、所属の規程で確認してください。
02
権限ごとの役割：何をして、何をしないか
ホームページに関わる人を、権限で3つに分けて考えます。自分がどれに当たるかわからない場合は、Aとして行動してください。
-
サーバーや管理画面の権限がない担当者
すること：公開ページを普通に閲覧して見たことを記録する／契約書・運用記録・問い合わせ先を確認する／担当窓口や保守会社に報告・質問する。
しないこと：設定の変更、ファイルの削除、診断ツールでの検査、入力欄に特殊な文字を入れて試すこと。
-
CMSなど管理画面の一部の権限がある担当者
すること：自分の権限で見られる範囲（更新履歴、アカウント一覧、プラグインの一覧など）を確認して記録する／管理者アカウントの棚卸しや多要素認証の状況確認を依頼する。
しないこと：承認なしの本番での更新・設定変更・アカウント削除。被害の疑いがあるときは、自治体の緊急時対応で記録（証拠）の保全も求められるため、触る前に担当窓口の指示を待ちます。
-
サーバー管理者・保守会社・許可された専門家
すること：構成や影響範囲の調査、変更計画の作成、バックアップの確認、検証環境での事前確認、変更後の動作確認、記録と報告。被害の疑いがある場合は、自治体の緊急時対応の手順に沿って、記録の保全・被害の拡大防止・復旧を進めます。
前提：契約で決められた範囲・作業時間・承認者・戻し方が合意されていること。
| 場面 | A 権限なし | B 管理画面の権限あり | C サーバー管理者・保守会社 |
|---|---|---|---|
| 見たことの記録 | する | する（権限内の画面も） | する（ログなども手順に沿って保全） |
| 報告・相談 | 担当窓口へ | 担当窓口へ | 自治体の担当者へ、契約の連絡体制で |
| 原因・影響の調査 | しない | 指示された範囲の閲覧のみ | 承認された範囲で行う |
| 設定の変更・更新 | しない | 承認後、手順に沿う場合のみ | 計画・承認・戻し方の合意後に行う |
| 復旧と再発防止 | 結果の確認に協力 | 動作確認に協力 | 実施し、記録を残す |
03
平時の改善を安全に進める5つの手順
被害の疑いや急ぎの注意喚起がなく、弱点や未確認事項を改善していく場合の流れです。急いで直すより、止めてはいけない機能を壊さずに直すことを優先します。
- 事実を整理する何に気づいたか、どこで、いつ。推測と事実を分けて書く。
- 庁内で共有し、担当を決める情報システム担当・Web担当・決裁者のうち、誰が判断するか。
- 保守会社に質問する契約でできる範囲、必要な作業、影響、費用の有無（04のテンプレート）。
- 変更計画に合意する作業内容・日時・止まる機能・戻し方・確認方法を決める。
- 変更後に確かめ、記録するフォームや地図など主要な機能の動作確認と、変更内容・残った課題の記録。
セキュリティの設定変更で、フォームや地図、動画の埋め込みなどが動かなくなることがあります。対策ごとの副作用は情報を守る対策の全体像で説明しています。
詳しく：根拠
- 総務省ガイドライン（令和8年3月版）第2編 対策基準（例文）「情報システムの変更管理」：情報システムを変更した場合、変更履歴を作成する。「開発・保守用のソフトウェアの更新等」：更新又はパッチの適用をする場合、他の情報システムとの整合性を確認する（PDF p.82）
- IPA「安全なウェブサイトの作り方」はじめに：保険的対策は、対策の内容によっては本来の機能を制限することになるものもあるので、副作用の影響も考慮する必要がある（PDF p.6）
5つの手順の並べ方は、上の資料を踏まえて本サイトが整理したものです。
04
保守会社への質問テンプレート
そのままコピーして、普段お使いのメールや文書に貼り付けて使えます。〔 〕の部分を書き換えてください。パスワード、管理画面のアドレス、住民の個人情報は書かないでください。
件名：ホームページの〔気づいた内容〕についての確認のお願い
本文を選択してコピーできます
〔保守会社名〕 ご担当者様 いつもお世話になっております。〔自治体名・部署名〕の〔氏名〕です。 当方のホームページについて、次の点を確認させてください。 ■ 気づいたこと ・いつ：〔日時〕 ・どこで：〔ページの場所。例：トップページのお知らせ欄〕 ・内容：〔見たこと・連絡を受けたこと。推測は分けて書く〕 ■ 確認したいこと 1. 上記について、現在の契約の範囲で対応いただけますか。 範囲外の場合、必要な手続きと費用の目安を教えてください。 2. 対応が必要な場合、どのような作業になりますか。 作業中に止まる機能や、表示・動作への影響はありますか。 3. 作業前の状態に戻す方法と、バックアップの状況を教えてください。 4. 作業後、どのように動作を確認し、どのような報告をいただけますか。 5. 同じ問題がほかのページや機能にないか、確認は可能ですか。 ■ 回答の希望時期 〔例：○月○日まで。急ぎの場合はお電話でも〕 庁内の手順に沿って進めるため、作業は当方からの連絡後にお願いいたします。
被害の疑いがあるときは、このテンプレートより先に、自治体の担当窓口の指示に従ってください。保守会社への連絡方法も、緊急時の連絡体制が決まっている場合はそれに従います。
契約の範囲や、誰がどの業務を担当しているかを詳しく確かめたい場合は、制作会社・保守会社との役割分担に、回答で確認したい資料の一覧があります。
05
してはいけないこと
善意でも、次のことは避けてください
- 許可なく診断ツールで検査する・入力欄で試す。自分の自治体のサイトでも、管理者と保守契約の承認、対象範囲の合意がない検査はしません。サーバーに負荷をかけたり、アクセスの制限を回避したりする行為は、法令に触れるおそれもあります。
- 見つけたファイルやアカウントを独断で消す。自治体の緊急時対応では、記録（証拠）の保全も対応の一つとされています。
- 設定を一つずつ試して直す。別の機能が止まったり、戻せなくなったりすることがあります。
- 弱点の詳細を、庁外の人や公開の場に書く。修正前の弱点が悪用されるきっかけになり得ます。
詳しく：法的な論点の参考
- IPA「情報セキュリティ早期警戒パートナーシップガイドライン 2026年版」付録3「法的な論点について」：脆弱性関連情報を利用してアクセス制御機能を回避し、システムにアクセスした場合は不正アクセス禁止法に抵触する。故意にサーバの機能や性能の異常を来たそうとする行為は、業務妨害罪に抵触する可能性がある（PDF p.38–39）
ここでは法的な判断をしていません。具体的な行為の扱いは、所属の規程と法務担当にご確認ください。
07
参考資料
2026年10月23日に、公開元の本文PDFで名称・版・該当箇所を確認しました。
-
地方公共団体における情報セキュリティポリシーに関するガイドライン（令和8年3月版）
このページでの用途：第2編 対策基準（例文）「情報セキュリティインシデントの報告」（PDF p.68）、「侵害時の対応等」（PDF p.88）、「情報システムの変更管理」「開発・保守用のソフトウェアの更新等」（PDF p.82）、「セキュリティホールに関する情報の収集・共有及びソフトウェアの更新等」（PDF p.85–86）
https://www.soumu.go.jp/main_content/001064404.pdf
第2編は例文です。実際の手順・窓口は自治体ごとに異なります。
-
安全なウェブサイトの作り方
このページでの用途：「はじめに」の副作用への注意（PDF p.6）
-
情報セキュリティ早期警戒パートナーシップガイドライン 2026年版
このページでの用途：付録3 法的な論点（PDF p.38–39）
https://www.ipa.go.jp/security/guide/vuln/partnership_guide.html
この資料は2026年10月22日に取得・照合した記録（P-004 v1の出典記録）を引き継いでいます。