ポータルサイト、マッチングサイト、求人サイト、会員制サイト。会員情報や応募者情報を預かるサイトで漏えいが起きれば、責任を負うのは運営者です。エムズは、古いPHPや汎用CMSで作られたサイトを、漏えいしない作りに土台から作り替えます。部分的な修正ではなく、作り直しです。創業以来、情報漏えい事故はゼロです。
認証は、会社の管理規程を審査するものです。サイトのログイン画面や会員情報を扱う画面の作りの穴までは審査しません。守れるかどうかを分けるのは、認証の有無ではなく、サイトの作り方と運用です。
預かる情報が多いほど、漏えいしたときの影響は大きくなります。狙われる場所は、サイトの種類ごとにほぼ決まっています。
預かる情報
会員の氏名・連絡先、掲載企業の担当者情報、問い合わせや資料請求の履歴
狙われる場所
会員登録・ログイン、問い合わせフォーム、掲載企業向けの管理画面
預かる情報
本人確認書類、連絡先、メッセージのやり取り、決済情報
狙われる場所
本人確認書類の保管場所、会員同士のメッセージ機能、決済や外部サービスとの連携
預かる情報
応募者の履歴書・職務経歴、連絡先、応募先と選考の状況
狙われる場所
応募フォームとファイルのアップロード、応募者情報を閲覧する企業側の管理画面
預かる情報
ID・パスワード、決済情報、利用履歴、購入や予約の記録
狙われる場所
ログイン（パスワードの使い回しを突く攻撃）、マイページ、決済連携
個人情報を預かるサイトの運営者には、会社の規模に関わらず、法律上の義務と賠償の責任があります。
| 項目 | 内容 |
|---|---|
| 法律上の義務 | 個人情報保護法により、漏えいが起きた場合は個人情報保護委員会への報告と、本人への通知が義務です（2022年4月から）。中小企業も例外ではありません。 |
| 損害賠償 | 過去の裁判では、1人あたり数千円から1万円程度の賠償が認められています。会員が1万人なら数千万円規模です。これに調査、通知、お詫び、再発防止の費用が加わります。 |
| 事業への影響 | サービスの一時停止、会員の離脱、取引先からの取引停止や再審査。回復には年単位の時間がかかります。 |
どれも、作り方と運用の仕組みで防げます。狙われる場所は決まっているので、確かめる点は多くありません。
最近の漏えい事例を整理すると、入口はほぼこの5か所に絞られます。どれも土台の作り方の問題で、あとから一部を直しても弱点は残ります。エムズは作り替えで、5か所すべてを土台から塞ぎます。
エムズは、他社が作ったサイトの部分的な修正は行いません。漏えいしない作りへの作り替えと、はじめから漏えいしない新規構築。この2つを支える保守と内部体制まで、同じ基準で行います。
今の画面と機能、会員データを引き継いだまま、土台を自社開発のライブラリで作り直します。サポートの切れたPHP、更新されていないCMS・プラグイン、平文のパスワード、認証のない外部連携。部分的に直しても残る弱点を、作り替えで一度に塞ぎます。今のサイトは動かしたまま並行して構築し、切替日に移行します。
総務省・IPA・OWASPの基準で作り、納品前の脆弱性診断を標準で行います。汎用のCMSや外部プラグインを使わない自社技術で構築するため、公表された弱点を狙う一斉攻撃の経路に乗りません。金融機関・大手企業のセキュリティチェックシートにも対応します。
作って終わりではなく、守り続けます。サイトが止まっていないかの監視、毎日のバックアップ、PHP・部品・サーバー環境の更新、新しく公表された弱点の確認を保守の中で続けます。侵入監視、ログの永続保存、定期的な脆弱性診断はオプションでご用意します。
個人情報へのアクセス権限は、案件ごとに専任の1名に限定します。アカウントは個人単位で発行し、操作ログで誰がいつ何にアクセスしたかを追跡できます。データ移行、本番環境の操作、障害対応は委託・再委託に出さず、社内で完結します。
標準構築費用の中で実装します オプション別費用でご用意します
| 対策 | エムズの作り替え・新規構築 |
|---|---|
| 自社開発のライブラリで構築（汎用CMS・外部プラグインを使わない） | 標準公表された弱点を狙う一斉攻撃の経路に乗らない作りにします |
| 納品前の脆弱性診断（サイトに穴がないかを専門の手順で調べる） | 標準ログイン・会員情報の画面・外部連携を重点的に確認してから公開します |
| WAF（不正な通信をはじく仕組み） | 標準サーバー基盤と合わせて導入します |
| 管理画面の保護（接続元の制限・二段階の認証） | 標準管理画面はどこからでも開ける状態にしません |
| パスワードのハッシュ化・会員情報の暗号化 | 標準データベースを抜かれても、そのまま読める形では保存しません |
| 会員データの移行（作り替えのとき） | 標準社内の専任1名が暗号化した経路で移し、作業用データは消去します |
| バックアップ・死活監視・部品とサーバー環境の更新 | 標準公開後の保守で続けます |
| 個人情報へのアクセスを専任1名に限定・操作ログ | 標準構築中も公開後も同じ体制です |
| 侵入監視・ログの永続保存・定期的な脆弱性診断 | オプション別費用でご用意します |
まず今のサイトの構成と会員データの状況を伺い、作り替えの範囲と概算をご提案します。提案を見てから決めていただけます。
サイトのURL、機能、会員データの量、気になっている点を伺います。ご契約前からNDAを締結できます。
今のサイトの構成とデータを確認し、引き継ぐ機能、作り替えの範囲、移行の計画、概算をまとめてご提案します。
今のサイトを動かしたまま新しいサイトを構築し、納品前の診断を経て切替日に会員データを移行します。公開後は保守で守り続けます。
行っていません。エムズが対応するのは、漏えいしない作りへの作り替えと新規構築です。部分的な修正では土台の弱点が残るため、土台から作り直すことをご提案しています。
対応できます。サポートの切れたPHPや更新されていないCMS・プラグインは、それ自体が漏えいの入口です。今の画面や機能を引き継いだまま、自社開発のライブラリで漏えいしない作りに作り替えます。
できます。今のサイトは動かしたまま新しいサイトを並行して構築し、切替日に会員データを移行します。会員の方が使えない時間は最小限です。
移行の作業は社内の専任1名に限定し、外部に出しません。暗号化した経路で移し、移行後は作業用のデータを消去して証明を発行します。
サイトの規模、機能、会員データの量を伺って概算をお出しします。ご相談と概算は無料です。
はい。ご契約前の段階からNDA（秘密保持契約）を締結できます。貴社の書式でも構いません。
「古いPHPのサイトを、漏えいしない作りに作り替えたい」「新しく作るサイトを、はじめから漏えいしない作りにしたい」。どちらのご相談も、概算まで無料です。
無料で相談する →