ウイルス対策ソフトだけでは守れない？自治体Webサイトの安全対策

01

ウイルス対策ソフトが守るもの

ウイルス対策ソフト（総務省のガイドラインでは「不正プログラム対策ソフトウェア」）は、パソコンやサーバーの上で、コンピュータウイルスなどの不正なプログラムを見つけて、動かないようにするためのソフトです。見つけるための情報（パターンファイル）を常に最新にしておくことが前提になります。

総務省が示す自治体の情報セキュリティポリシーのひな形（例文）では、サーバーやパソコンにこのソフトを常駐させ、パターンファイルとソフト自体を最新の状態に保つことが挙げられています。端末やサーバーを守る基本的な対策の一つです。

ただし、実際の守り方は環境によって異なります。何を対象に、どのソフトや仕組みで守るかは、各自治体の規程、サーバーの構成、ホスティングの方式（自前のサーバーか、事業者が管理するサービスか）、保守会社との責任分担によって決まります。事業者が管理するサービスでは、利用者がソフトを入れられず、事業者側の対策と契約上の責任範囲を確かめる形になることもあります。

詳しく：根拠

総務省ガイドライン（令和8年3月版）第2編対策基準（例文）「不正プログラム対策」：所掌するサーバ及びパソコン等の端末に不正プログラム対策ソフトウェアを常駐させる。パターンファイルとソフトウェアを常に最新の状態に保つ（PDF p.83）
同：外部ネットワークとの間でやり取りするファイルを、インターネットのゲートウェイで不正プログラムのチェックをする（PDF p.82）

第2編は、各自治体が情報セキュリティポリシーを作るための例文です。実際の規程は自治体ごとに異なります。

02

Webサイトの安全対策が守るもの

一方、Webサイトへの攻撃の多くは、不正なプログラムを送り込む前の段階や、正規の操作に見える形で起こります。たとえば次のようなものです。

ソフトの弱点（脆弱性）：CMS本体やプラグイン、サーバーのソフトに残った弱点。修正版への更新でふさぎます。
ログインの悪用：盗まれた・推測されたパスワードで管理画面に入る。多要素認証や、アカウントの見直しで備えます。
作りの弱点：フォームなどの作り方の不備（SQLインジェクションなど）。原因そのものを作り込まない設計と実装で防ぎます。
公開設定の誤り：公開してはいけないファイルが、外から見られる場所に置かれている。置き場所と設定の見直しで防ぎます。

IPAの「安全なウェブサイトの作り方」は、こうしたWebアプリケーションの弱点について、原因そのものをなくす「根本的解決」と、攻撃の影響を小さくする「保険的対策」を分けて考えるよう勧めています。大切なのは、選んだ対策がどんな性質を持ち、何に効くのかを正しく理解することです。

03

4つの例で比べる

表：よくある4つの例と、主に効く対策。「ウイルス対策ソフト」の列は、一般的な守備範囲から見た関わり方です。
例	ウイルス対策ソフト	主に効く対策	確認先
古いプラグインの弱点を突かれる	弱点はふさがない侵入後に置かれた不正なファイルを見つけられる場合はある	更新状況の把握と修正版の適用、使っていない部品の削除	CMSの管理者・保守会社
盗まれたパスワードで管理画面に入られる	関係しにくい正規のログインと同じ操作に見える	多要素認証、不要なアカウントの停止、ログイン記録の確認	CMSの管理者・情報システム担当
フォームの作りの弱点を突かれる	関係しにくい作りの問題はソフトの検出対象ではない	安全な設計・実装（根本的解決）、必要に応じてWAFなどの保険的対策	制作会社・保守会社
公開してはいけないファイルが見られる	関係しにくい普通のファイルが普通に配信されているだけ	公開用の場所に置かない、公開設定の定期的な確認	サーバー管理者・保守会社

「関係しにくい」は「まったく役に立たない」という意味ではありません。製品の機能や設定によって働き方は異なります。また、どの対策にも見逃しや副作用があり、上の対策で被害を必ず防げるという保証ではありません。

04

無意味ではない。重ねて守る

ウイルス対策ソフトを外してよい、という話ではありません。入口をふさぐ対策、被害を広げない対策、早く気づく対策、元に戻す対策を重ねることで、どれか一つがすり抜けられても被害を抑えやすくなります。

なお、先ほどの例文の「不正プログラム対策」の項目には、開発元のサポートが終わったソフトウェアを使わないことも含まれています。ソフトを入れることだけでなく、使っているソフトを更新し続けることも、守りの一部として扱われています。

対策の組み合わせ方は、情報を守る対策の全体像で8つに整理しています。

05

確認のための3つの質問

Webサーバーやパソコンの設定を、自分で開いて確かめる必要はありません。次の3つを、情報システム担当や保守会社に質問してみてください。パスワードなどの秘密の情報を教えてもらう必要はありません。

Webサーバーと、サイトの部品（OS・CMS・プラグイン）は、誰がどのくらいの頻度で更新していますか？

回答の例
「保守契約で毎月確認し、重要な修正は公開後○日以内に適用。作業報告書あり」など、担当・頻度・記録がわかる回答。

はっきりしない時
危険と決めつけず、契約書と作業報告書の有無から確認します。
管理画面には誰がログインでき、パスワード以外の確認（多要素認証）を使っていますか？

回答の例
アカウントの一覧（人数と役割）、異動・退職時に停止する手順、多要素認証の有無。

はっきりしない時
アカウントの棚卸しを依頼します。設定の変更は、権限のある人が影響を確認してから行います。
Webサーバーの不正プログラムへの対策は、誰が、どのような方法で行っていますか？検知したとき、誰に通知が届きますか？

回答の例
対策の方法（自分たちで入れたソフトか、ホスティング事業者の仕組みか）、担当、通知の受け取り手、通知後の対応の流れ。

はっきりしない時
「入っているか」だけでなく、「誰の責任範囲か」「気づいた後に誰が動くか」を、契約と合わせて確認します。

回答をもとに、自分たちの状況を整理したい場合は無料リスク確認（12問）が使えます。結果を見るのに連絡先は要りません。

06

07

参考資料

2026年10月23日に、公開元の本文PDFまたはページで名称・版・該当箇所を確認しました。

地方公共団体における情報セキュリティポリシーに関するガイドライン（令和8年3月版）

総務省／2026年（令和8年）3月27日改定

このページでの用途：第2編対策基準（例文）「不正プログラム対策」（PDF p.82–83）

https://www.soumu.go.jp/main_content/001064404.pdf

第2編は例文です。実際の規程の内容は自治体ごとに異なります。
安全なウェブサイトの作り方

IPA／改訂第7版（2021年3月31日更新）

このページでの用途：「脆弱性対策について－根本的解決と保険的対策－」（PDF p.6）、2.1 ウェブサーバに関する対策（PDF p.50）、公開を想定していないファイルを公開用ディレクトリに置かない（PDF p.51）、2.6 WAFによるウェブアプリケーションの保護（PDF p.60–65）

https://www.ipa.go.jp/security/vuln/websecurity/about.html

発行から年数が経っています。最新の動向はOWASPなどの資料と併せて確認してください。

表の「ウイルス対策ソフト」の列は、上の資料に書かれた守備範囲から本サイトが整理した一般的な説明です。個別の製品の機能を評価したものではありません。