各入口の「詳しく」欄では、根拠となる資料と、関連するリスク分類の例を挙げています。分類の例には、Webアプリケーションの代表的なリスクを10の分類にまとめた資料「OWASP Top 10:2025」を使っています。1つの入口が1つの分類に対応するわけではなく、挙げた分類だけでその入口のリスクをすべて表せるわけでもありません。
- 何なのか
- ホームページのデータを置き、閲覧者に届けるコンピューターです。中ではOS（コンピューターを動かす基本ソフト）や、Webサーバーソフトが動いています。
- 何が起こり得るか
- 弱点を突かれて乗っ取られると、ページの改ざん、保存されているファイルの持ち出し、他への攻撃の「踏み台」としての悪用、サイトの停止などが起こり得ます。
- なぜ起こるか
- 原因の例として、ソフトに脆弱性（作りの不備による、悪用され得る弱点）が見つかったのに修正のための更新が適用されていない、使っていない機能やサービスが動いたままになっている、設定に不備がある、管理用のIDやパスワードが盗まれて悪用される、などがあります。
- 誰に確認するか
- サーバーの管理者（保守会社・ホスティング事業者）に、「OSやソフトの更新を誰が、どのくらいの頻度で行っているか」を確認します。契約書で担当範囲を確かめるのも有効です。
詳しく：専門的な根拠
- IPA「安全なウェブサイトの作り方」改訂第7版 2.1「ウェブサーバに関する対策」（OSやソフトウェアの脆弱性への対処、不要なサービスやアカウントの停止・削除など）
- IPA「情報セキュリティ10大脅威 2026」組織編 4位「システムの脆弱性を悪用した攻撃」
- 関連するリスク分類の例（OWASP Top 10:2025）
- A03「ソフトウェアサプライチェーンの不備」：脆弱性がある、サポートが終了した、または古いOS・Webサーバーソフトなどを使っている状態を含む
- A02「セキュリティ設定の不備」：不要な機能やサービスが有効なまま、初期設定のアカウントが残っている状態などを含む
- 何なのか
- CMS（コンテンツ管理システム）は、専門知識がなくてもページを作成・更新できる仕組みです。本体に加えて、プラグイン（機能を追加する部品）やテーマ（デザインの部品）を組み合わせて使うことが多くあります。
- 何が起こり得るか
- 弱点を突かれると、ページの改ざん、偽のページの設置、勝手な管理者アカウントの作成、保存された情報の持ち出しなどが起こり得ます。
- なぜ起こるか
- 本体やプラグインの更新が止まっている、提供が終了した部品を使い続けている、どの部品を使っているか誰も把握していない、といった状態が原因になることがあります。
- 誰に確認するか
- CMSの管理者、または保守会社に、「CMS本体とプラグインを最後に更新したのはいつか」「更新は誰の担当か」を確認します。
詳しく：専門的な根拠
- IPA「安全なウェブサイトの作り方」改訂第7版 第1章「ウェブアプリケーションのセキュリティ実装」（1.1 SQLインジェクション、1.5 クロスサイト・スクリプティングなど）
- 関連するリスク分類の例（OWASP Top 10:2025）
- A03「ソフトウェアサプライチェーンの不備」：使っている部品（プラグインなど）のバージョンを把握していない、更新していない状態などを含む
CMSの種類（自治体向け製品、オープンソースのCMSなど）によって、更新の提供方法や担当者が異なります。
- 何なのか
- CMSやサーバーを操作するためのログイン画面です。ここに入れる人は、ページの書き換えや設定の変更ができます。
- 何が起こり得るか
- 第三者に不正にログインされると、正規の管理者と同じ操作ができてしまいます。ページの改ざん、アカウントの追加、データの閲覧などが起こり得ます。
- なぜ起こるか
- ログイン画面にインターネットから接続できること自体は、珍しいことではありません。リスクが高まるのは、推測しやすいパスワードや使い回しのパスワードを使っている、多要素認証（パスワードに加えて、スマートフォンなど別の手段でも本人確認する仕組み）を使っていない、ログインの試行回数を制限していない、不審なログインに気づく仕組みがない、などの場合です。接続できる場所を限定することも、リスクを下げる方法の一つです。
- 誰に確認するか
- CMSの管理者、または保守会社に、「多要素認証を使っているか」「接続できる場所の制限や、ログインの記録・通知など、ほかの守りがあるか」を確認します。
詳しく：専門的な根拠
- IPA「安全なウェブサイトの作り方」改訂第7版 2.5「パスワードに関する対策」、2.1「ウェブサーバに関する対策」（リモート操作の認証方法など）
- 関連するリスク分類の例（OWASP Top 10:2025）
- A07「認証の不備」：パスワードの総当たりや、他で漏れたIDとパスワードの組み合わせを使う攻撃を防げない状態、弱いパスワードを許している状態、多要素認証がない・不十分な状態などを含む
- A01「アクセス制御の不備」：権限のない利用者が、管理者向けのページに到達できてしまう状態などを含む
- A09「セキュリティログとアラートの不備」：ログインやログインの失敗が記録されていない状態などを含む
- 何なのか
- 問い合わせ、イベントの申込み、アンケートなど、住民が情報を入力して送る仕組みです。外部のフォームサービスを使っている場合もあります。
- 何が起こり得るか
- 送られてきた氏名・連絡先・相談内容などが漏れるおそれがあります。フォームの作りに弱点があると、不正な入力によってデータベースを操作されたり、迷惑メールの送信に悪用されたりすることもあります。
- なぜ起こるか
- 入力された内容の検査が不十分、受け付けたデータの保存場所や保存期間が決まっていない、通信が暗号化されていない、などが原因になることがあります。
- 誰に確認するか
- フォームのページのアドレスが「https://」で始まるかは、ご自身でも確認できます。データの保存場所や保存期間は、保守会社、またはフォームサービスの提供事業者に確認します。
詳しく：専門的な根拠
- IPA「安全なウェブサイトの作り方」改訂第7版 1.1「SQL インジェクション」、1.2「OS コマンド・インジェクション」、1.8「メールヘッダ・インジェクション」（メール送信機能が迷惑メールの送信に悪用される問題）
- 関連するリスク分類の例（OWASP Top 10:2025）
- A05「インジェクション」：利用者が入力したデータを、検査や無害化をせずに処理している状態などを含む
- A04「暗号化の不備」：重要な情報を、暗号化せずに送っている状態などを含む
「https://」で始まることは通信の暗号化を示すもので、フォームやサーバー全体の安全を保証するものではありません。
- 何なのか
- どのファイルを公開するか、通信を暗号化するか、エラーのときに何を表示するか、といったサーバーやCMSの決めごとです。
- 何が起こり得るか
- 公開するつもりのなかったファイル（作業用のデータやバックアップなど）が、アドレスを知った人に見られてしまうことがあります。エラー画面に内部の情報が表示され、攻撃の手がかりになることもあります。
- なぜ起こるか
- 初期設定のまま使っている、テスト用のファイルを消し忘れた、担当者の交代で設定の意図が引き継がれていない、などが原因になることがあります。
- 誰に確認するか
- サーバーの管理者、または保守会社に、「公開してよいファイルのルールがあるか」「設定を変更したときの記録が残っているか」を確認します。
詳しく：専門的な根拠
- IPA「安全なウェブサイトの作り方」改訂第7版 2.1「ウェブサーバに関する対策」（公開を想定していないファイルを、ウェブ公開用のディレクトリに置かない）、1.1「SQL インジェクション」の対策（エラーメッセージをそのままブラウザに表示しない）
- 関連するリスク分類の例（OWASP Top 10:2025）
- A02「セキュリティ設定の不備」：不要なページや機能が有効なまま、ディレクトリの一覧が表示される、詳しすぎるエラーメッセージが表示される状態などを含む
- A01「アクセス制御の不備」：対策として、公開領域にバックアップファイルなどを置かないことが挙げられている
設定の変更は、フォームや地図など既存の機能に影響することがあります。変更は権限のある担当者が、影響を確認しながら行う必要があります。
- 何なのか
- 管理画面やサーバーにログインするためのIDと、その人に許された操作の範囲（権限）です。職員だけでなく、委託先や過去の担当者のものも含まれます。
- 何が起こり得るか
- 使われていないアカウントや複数人で共有しているアカウントが悪用されると、気づきにくく、誰が操作したのかも追跡しにくくなります。
- なぜ起こるか
- 異動や契約終了のときにアカウントが削除されていない、全員に最も強い権限を与えている、他のサービスと同じパスワードを使い回している（他で漏れたパスワードを試される）、などが原因になることがあります。
- 誰に確認するか
- CMSの管理者、または情報システム担当に、「アカウントの一覧と、それぞれの権限を定期的に見直しているか」を確認します。
詳しく：専門的な根拠
- IPA「安全なウェブサイトの作り方」改訂第7版 2.1「ウェブサーバに関する対策」（不要なアカウントの停止・削除など）、2.5「パスワードに関する対策」
- 関連するリスク分類の例（OWASP Top 10:2025）
- A07「認証の不備」：初期設定や弱いパスワード、他で漏れたパスワードを試す攻撃を防げない状態などを含む
- A01「アクセス制御の不備」：必要な操作だけを許可する原則（最小権限）が守られていない状態などを含む
- A09「セキュリティログとアラートの不備」：ログインなどの重要な操作が記録されていない状態などを含む