01
ホームページに関わる7つの業務
ひとくちに「ホームページの業者」と言っても、次の業務は別々のものです。同じ会社がまとめて担当していることも、別々の会社や庁内の部署が担当していることもあります。
| 業務 | 何をする | 担当になり得る主体の例 | 確かめる資料 |
|---|---|---|---|
| 1 制作 | ページのデザイン、CMSの構築、フォームなどの機能の開発 | 制作会社 | 制作の契約書・仕様書・納品物 |
| 2 公開 | 完成したサイトをサーバーに設置し、公開する | 制作会社、保守会社 | 納品・引継ぎの記録 |
| 3 ホスティング | サーバーやクラウドの提供と、その基盤の運用 | ホスティング事業者、クラウド事業者 | サービスの利用契約・約款・責任分担の資料 |
| 4 CMS・部品の更新 | OS、CMS本体、プラグインを修正版に更新する | 保守会社、ホスティング事業者（範囲による） | 保守契約の作業範囲・作業報告書 |
| 5 脆弱性への対応 | 弱点の情報を集め、影響を判断して対処する | 保守会社、情報システム担当 | 対応手順・連絡体制の取り決め |
| 6 監視 | 停止・改ざん・不審なログインなどに気づく仕組みと、通知を受けて動く体制 | 保守会社、ホスティング事業者、情報システム担当 | 監視の内容・通知先・対応時間 |
| 7 事故対応 | 事故や疑いがあるときの連絡、記録の保全、被害拡大の防止、復旧 | 自治体の担当窓口が指揮し、各委託先が協力 | 緊急時の報告義務・連絡先・対応範囲の取り決め |
注意したいのは、1と2だけの契約で制作会社の仕事が終わっている場合や、4〜7がどの契約にも書かれていない場合です。そのときは、誰も担当していない業務があるかもしれません。これは制作会社の落ち度とは限らず、契約の切り分けの問題です。
詳しく：自治体の規程のひな形では
- 総務省ガイドライン（令和8年3月版）第3編 解説：情報システムが構築段階から運用保守段階へ移行する際に、開発事業者から運用保守事業者へ引き継がれる項目に、情報セキュリティ対策に必要な内容が含まれていることを確認する（PDF p.241）
- 同 第1編：クラウドサービスはサービスモデルにより責任が分担されるが、クラウドサービスを利用して運用する情報システムのセキュリティ確保の責任は、一義的に利用する側が負う（PDF p.35）
02
関係者の地図
-
自治体のWeb担当（広報など）
ページの内容と公開の判断。委託先との窓口になることが多いが、サーバーの権限は持っていないこともある。
-
情報システム担当・情報セキュリティの責任者
庁内の規程、ネットワーク、事故時の対応の指揮。委託先の対策の履行状況を確認する立場になることがある。
-
制作会社
サイトを作る会社。公開後の保守も担当していることもあれば、納品で契約が終わっていることもある。
-
保守会社
公開後の更新・監視・障害対応などを担当する会社。制作会社と同じこともある。
-
ホスティング事業者・クラウド事業者
サーバーの基盤を提供する事業者。どこまでを事業者が守り、どこからが利用者の責任かは、サービスの種類と契約で決まる。
業者が複数いる場合、それぞれの境目（たとえば「CMSの更新は保守会社、OSの更新はホスティング事業者」）で業務が抜け落ちやすくなります。表の7つの業務を、関係者ごとに当てはめてみてください。
03
権限の所在を確かめる方法
自分でサーバーや管理画面にログインして調べる必要はありません。次の項目を、資料と質問で確かめます。
| 確かめたいこと | 書かれていそうな場所 | 聞く相手 |
|---|---|---|
| CMSの管理者アカウントを持つ人（人数と所属） | アカウント管理台帳、保守の作業報告書 | CMSの管理者、保守会社 |
| サーバーにログインできる人・会社 | 保守契約、ホスティングの契約、引継ぎ資料 | 保守会社、情報システム担当 |
| ドメインとDNSの管理者 | ドメインの登録情報の管理記録、契約 | 情報システム担当 |
| 設定を変える前に承認する人 | 庁内の規程、保守契約の変更手順 | 情報システム担当、上司 |
| 事故のときの連絡先と報告期限 | 契約の緊急時報告の条項、緊急連絡表 | 情報システム担当、保守会社 |
パスワードそのものを教えてもらう必要はありません。「誰が持っているか」「いつ見直したか」がわかれば十分です。
04
委託先に送れる質問と、回答で確認したい資料
口頭の「大丈夫です」だけでなく、記録や資料で確かめられる回答をお願いすると、後で担当者が替わっても経緯を追えます。
-
現在の契約で、7つの業務のうちどれを担当していますか？
- 確認したい資料
- 契約書・仕様書の業務範囲の該当箇所
- 回答が曖昧なとき
- 担当外の業務を誰が担っているかを庁内で確認する
-
OS・CMS・プラグインの更新は、どの頻度で行い、どう記録していますか？
- 確認したい資料
- 直近の作業報告書、使用しているソフトとバージョンの一覧
- 回答が曖昧なとき
- まず「一覧があるか」から確認する
-
脆弱性の情報は、誰がどう集め、判断し、自治体へ報告しますか？
- 確認したい資料
- 対応手順、過去の対応の記録
- 回答が曖昧なとき
- 報告の基準と連絡先を取り決める
-
管理者アカウントは何人分あり、異動・退職時はどう停止していますか？
- 確認したい資料
- アカウント一覧（人数と役割のみ）、多要素認証の有無
- 回答が曖昧なとき
- 棚卸しの実施を依頼する
-
バックアップはどの頻度で、どこに、何世代ありますか？ 戻せることを確かめていますか？
- 確認したい資料
- バックアップの設定内容、復元を試した記録
- 回答が曖昧なとき
- 復元の試験を計画に入れる
-
事故や疑いがあるとき、何時間以内に、誰に報告しますか？ 作業の一時停止はできますか？
- 確認したい資料
- 契約の緊急時報告の条項、連絡体制図
- 回答が曖昧なとき
- 自治体の緊急時対応の手順と合わせて取り決める
-
作業の一部を別の会社に任せていますか（再委託）？
- 確認したい資料
- 再委託先と業務範囲の届出・承認の記録
- 回答が曖昧なとき
- 契約の再委託の条項を確認する
-
契約が終わるとき、データやアカウントの返還・削除はどうなりますか？
- 確認したい資料
- 契約終了時の取り決め、引継ぎの手順
- 回答が曖昧なとき
- 次の契約・更新の際に条項を加える
詳しく：契約に盛り込む事項（ひな形）
- 総務省ガイドライン（令和8年3月版）第2編 対策基準（例文）「業務委託」：重要な情報資産を取り扱う業務を委託する場合、必要に応じて、委託事業者の責任者・委託内容・作業者・作業場所の特定、提供されるサービスレベルの保証、アクセスを許可する情報の種類と範囲、再委託に関する制限、委託業務終了時の情報資産の返還・廃棄、委託業務の定期報告及び緊急時報告義務、監査・検査、インシデント発生時の公表などを明記した契約を締結する（PDF p.90–91）
- 同：業務委託の実施期間中、契約に基づき委託事業者に実施させる情報セキュリティ対策の履行状況を定期的に確認する（PDF p.91）
第2編は例文です。実際の契約の条項は、各自治体の規程と調達の手続きによります。
05
既存の会社と協力して改善する
- 回答がすぐに出なくても、問題と決めつけない。担当者が確認に時間を要することは普通です。期限を決めて回答を待ちます。
- 契約外の業務は、追加の契約や見積りで。保守会社に無償で対応を求めるのではなく、必要な業務を契約に位置づけます。
- 優先順位を一緒に決める。すべてを一度に直す必要はありません。影響の大きいもの、止めてはいけない機能を考えて順番を合意します。
- 外部の支援を加える場合も、変更の権限は尊重する。調査や設計を別の専門家に頼む場合でも、実際の変更は契約上の権限を持つ会社が、自治体の承認のもとで行います。
内製・既存の保守会社・外部の専門支援のどれが合うかは、解決方法の比較と相談で比べられます。気づいた問題への具体的な対応は問題に気づいたときの行動、8つの対策は情報を守る対策の全体像を参照してください。
07
参考資料
2026年10月23日に、公開元の本文PDFで名称・版・該当箇所を確認しました。
-
地方公共団体における情報セキュリティポリシーに関するガイドライン（令和8年3月版）
このページでの用途：第1編 クラウドサービスの責任分担（PDF p.35）、第2編 対策基準（例文）「業務委託」（PDF p.90–91）、第3編 解説の運用保守事業者への引継ぎ（PDF p.241）
https://www.soumu.go.jp/main_content/001064404.pdf
第2編は例文です。実際の契約の条項は自治体ごとに異なります。
7つの業務の分け方と「担当になり得る主体の例」は、上の資料を踏まえて本サイトが整理したものです。特定の業界の一般的な契約形態を調査した結果ではありません。