01
何を守る？ どんな被害を避けたい？
自治体のWebセキュリティで最終的に守りたいのは、次の4つです。ホームページがいつもどおり表示されていることは大切ですが、それ自体が目的ではありません。
-
漏れない
住民の情報・業務の情報
問い合わせフォームに届いた内容、職員の情報、公開前の資料などが、見てはいけない人に見られないこと。
-
書き換えられない
行政の情報の正しさ
お知らせ、手続きの案内、災害情報などが、勝手に書き換えられないこと。
-
止まらない
行政サービスの継続
住民が必要なときに情報を見られ、手続きを進められること。
-
広げない
信頼と、金銭的な損害
上の3つの被害から、住民の信頼の低下や、復旧費用・金銭要求などの損害へ広がらないこと。
専門用語では、上の3つをそれぞれ機密性（漏れない）、完全性（正しさが保たれる）、可用性（使いたいときに使える）と呼びます。避けたい被害は、情報の漏えい、不正な侵入、アカウントの乗っ取り、データの暗号化や破壊、業務の停止、金銭の要求などです。
ホームページの改ざんも被害の一つです。公式の情報として誤った内容が表示されることになるため、見た目だけの問題として軽く扱えるとは限りません。
02
「Webページ」「サーバー」「データ」「権限」「庁内ネットワーク」の違い
ホームページの安全を考えるとき、次の5つを分けて考えると整理しやすくなります。役所の建物にたとえると、次のようになります。
-
公開Webページ
たとえるなら：玄関の掲示板
誰でも見られるページ。住民が目にする部分です。
-
Webサーバー
たとえるなら：掲示物を置く建物
ページを置いて配信するコンピューター。CMS（ページを作る仕組み）が動いていることもあります。
-
保管データ
たとえるなら：建物の中の書類棚
フォームで受け付けた内容、CMSのデータ、ログなど。どこに保存されるかはサイトによって違います。
-
管理権限
たとえるなら：建物や書類棚の鍵
管理画面やサーバーにログインして、内容や設定を変えられる権利。強い権限ほど、できることが多くなります。
-
庁内ネットワーク
たとえるなら：別棟の事務室
職員が業務で使うネットワーク。Webサーバーとの間にどんな通路があるかは、自治体ごとの構成で決まります。
たとえは分かりやすさのためのものです。実際には、公開Webサーバーを外部の事業者が提供していることも、同じ建物（サーバー）に複数のサイトが同居していることもあります。住民の個人情報が公開Webサーバーに保存されているとは限らず、逆に、フォームの受付内容がサーバー上に一時的に残っている場合もあります。どこに何があり、誰が鍵を持っているかは、構成と契約を調べて初めてわかります。
03
被害は、どんな条件がそろうと広がる？
攻撃は、ホームページを見ただけで自動的に住民情報まで届くわけではありません。多くの場合、いくつかの条件が重なったときに、被害が段階的に広がります。
-
入口が開いている
更新されていないソフトの弱点（脆弱性）、盗まれたり推測されたりしたパスワード、公開してはいけないファイル、設定の不備など。
次へ進む条件その入口から、管理画面やサーバーで操作できる状態になる。
-
権限を悪用される
ページの書き換え、ファイルの設置、保存されたデータの閲覧など、そのアカウントやプログラムに許された操作が使われます。
次へ進む条件そのサーバーに守りたい情報がある、または、そこから別のシステムへ届く経路がある。
-
被害が及ぶ
情報の流出、改ざん、データの暗号化や破壊、サービスの停止、金銭の要求。気づくのが遅れるほど、影響は大きくなりがちです。
Webサーバーから、庁内全体へ侵入できるとは限らない理由
総務省のガイドラインは、自治体のネットワークを用途ごとに分けて守る「三層の構え」という考え方を示しています。公開Webサーバーと、住民の情報を扱う業務システムとの間が分けられていれば、Webサーバーへの侵入がそのまま業務システムへの侵入にはなりません。
ただし、実際にどこまで分けられているかは、自治体ごとの構成と運用で異なります。外から見ただけでは判断できないため、情報システム担当や保守会社に確かめる必要があります。
詳しく：根拠と補足
- 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン（令和8年3月版）」第3編の解説：情報システム全体の強靭性の向上を図る手法を「三層の構え」という（PDF p.137）。インターネット接続系では、不正通信の監視機能の強化等の対策を講じる（同）
- IPA「安全なウェブサイトの作り方」2.1：OSやソフトウェアの脆弱性を突いた攻撃を受けると、サーバへのアクセスに認証をかけていても不正侵入される場合がある（PDF p.50）
- IPA「情報セキュリティ10大脅威 2026」組織向けでは、1位が「ランサム攻撃による被害」、4位が「システムの脆弱性を悪用した攻撃」（2026年1月29日公開）
図の「条件」は、上の資料を踏まえて本サイトが整理したものです。実際の攻撃の経路は、構成によってこれ以外にもあります。
04
よくある2つの思い込み
「ウイルス対策ソフトがあるから大丈夫」
- ウイルス対策ソフトは、パソコンやサーバー上の不正なプログラムを見つけて止める、大切な守りです。
- 一方で、CMSの更新漏れ、管理画面のパスワードの盗用、フォームの作りの弱点、設定の不備は、別の対策で守ります。
- 詳しくはウイルス対策ソフトとの違いへ。
「制作会社に任せているから大丈夫」
- ホームページの「制作」と、公開後の「更新・監視・事故対応」は、別の業務として契約されていることがあります。
- 大切なのは、どの業務を誰が担当しているかを、契約と実際の運用で確かめることです。
- 詳しくは制作会社・保守会社との役割分担へ。
どちらも「やっていることが無意味」という意味ではありません。それぞれ守れる範囲が違うので、組み合わせて考えることが大切です。
05
3分でわかる用語
- 脆弱性（ぜいじゃくせい）
- ソフトウェアの作りの不備などによる、悪用され得る弱点。
- パッチ・更新
- 脆弱性や不具合を直すために開発元が提供する修正。適用して初めて弱点がふさがれる。
- CMS
- Content Management Systemの略。専門知識がなくてもページを作成・更新できる仕組み。本体に加えて追加部品（プラグイン）を使うことが多い。
- 管理画面
- CMSなどにログインして、ページや設定を変更する画面。
- 権限
- アカウントごとに許された操作の範囲。「管理者権限」は多くの操作ができる強い権限。
- 多要素認証
- パスワードに加えて、スマートフォンのアプリなど別の手段でも本人確認する仕組み。
- HTTPS
- 閲覧者とWebサイトの間の通信を暗号化する仕組み。サーバーの中の情報を守るものではない。
- ログ
- 誰が、いつ、何をしたかなどの記録。異常に気づいたり、原因を調べたりするために使う。
- バックアップ
- データの控え。被害の前の状態に戻すために使う。戻せるかを試しておくことが大切。
- ランサムウェア
- データを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラム。
- フィッシング
- 本物に見せかけた偽のサイトなどで、IDやパスワードを入力させて盗む手口。
- インシデント
- 情報セキュリティ上の事故や、その疑いのある出来事。
技術的な設定（HSTS・CSPなど）の意味は、技術ノートで説明しています。
06
気になることから、次に読む記事を選ぶ
どの記事も単独で読めるように書いています。順番に読む必要はありません。
そもそも、どこに危険が潜んでいる？
リスクはどこに潜む？ 公開Webサーバー、CMS、管理画面、フォーム、設定、アカウントの6つの入口。
守るには、何を組み合わせればいい？
情報を守る対策の全体像 更新、認証、権限、設定、データ保管、監視、バックアップ、事故時の連絡。
うちのサイトの状況を整理したい
無料リスク確認（12問） 知っている範囲で答えると、懸念と確認先を表示します。連絡先の入力は不要です。
おかしいと気づいたら、どうすればいい？
問題に気づいたときの行動 権限ごとの安全な次の一歩と、保守会社への質問テンプレート。
制作会社や保守会社は、どこまで担当している？
制作会社・保守会社との役割分担 業務の切り分けと、権限の確かめ方。
誰に、どう相談・依頼すればいい？
解決方法の比較と相談 庁内・既存の保守会社・外部の専門支援の比べ方。
根拠となる資料や技術的な説明を知りたい
07
参考資料
2026年10月23日に、公開元のページまたは本文PDFで名称・版・該当箇所を確認しました。PDFのページ番号は、PDFビューア上の通し番号です。
-
地方公共団体における情報セキュリティポリシーに関するガイドライン（令和8年3月版）
このページでの用途：三層の構え（PDF p.137）
https://www.soumu.go.jp/main_content/001064404.pdf
各自治体の実際のネットワーク構成や規程は、自治体ごとに異なります。
-
安全なウェブサイトの作り方
このページでの用途：2.1 ウェブサーバに関する対策（PDF p.50）
-
情報セキュリティ10大脅威 2026
このページでの用途：組織向け脅威の順位（1位・4位）
https://www.ipa.go.jp/security/10threats/10threats2026.html
組織全般を対象にした順位で、自治体のWebサイトに限ったものではありません。