構築の技術、サーバー、内部体制、ノウハウ。すべての案件で標準にしている対策と、別費用のオプションです。サイバーセキュリティ緊急対策パッケージで求められた対策との対応も一覧にしています。
サイバーセキュリティ緊急対策パッケージ（2026年11月6日決定）の柱「基本的な対策の徹底」で、個人情報を扱うサイトの運営者に求められた項目と、エムズの標準対策を並べます。どれか一つでは防げず、組み合わせて効く対策です。
標準構築費用の中で実装します オプション別費用でご用意します
| 緊急対策パッケージで求められた対策 | エムズ | 一般的な構築 |
|---|---|---|
| 外部ライブラリの脆弱性への初動 | 自社ライブラリで構築。汎用CMSや外部プラグインを使わず、一斉攻撃の経路に乗りません。 | 汎用CMS＋プラグインが多い |
| 公開前の脆弱性診断 | 標準納品前に必ず実施します。 | 別料金か、行わない |
| 設計段階から安全に作る。APIの認証・認可 | 標準総務省・IPA・OWASPの基準で、設計段階から確かめます。 | 実装後の確認だけ |
| 不要な管理画面を公開しない。多要素認証 | 標準接続元の制限と二段階認証。本番・検証・開発を分離します。 | URLを知れば開ける管理画面が残る |
| ソフト構成の把握と期限管理。サポート終了ソフトを使わない | 標準部品とサーバー環境を最新に保ち、期限を管理します。 | サポート終了のまま動くサイトが多い |
| 委託先の統制、再委託、データ消去 | 個人情報を扱う工程は委託せず、社内の専任1名。操作ログで追跡し、終了時は消去証明を発行します。 | 委託先に出ることがある |
| バックアップと監視を設計に含める | 標準毎日のバックアップ14日分と、常時の死活監視。 | サーバー任せ |
| ログ監視で侵害の兆候を検知 | オプション侵入監視とログの永続保存。 | 行わないことが多い |
| 公開後も継続して診断 | オプション定期的な脆弱性診断。 | 行わないことが多い |
| 情報の重要度に応じて管理境界を分ける | オプション個人情報を別サーバーの金庫に保管し、窓口係が確かめた分だけ渡します（個人情報保護オプション）。 | サイトと同じDBに置く |
出典：サイバーセキュリティ緊急対策パッケージ（サイバーセキュリティに関する関係閣僚会議、2026年11月6日決定）／内閣官房 国家サイバー統括室「個人情報の漏えい等につながる不正アクセスへの対策について」（2026年11月5日） ※要点を当社が言い換えています
セキュリティは人任せでは守れません。自分たちはどこまでできるのか、足りないものを誰に埋めてもらうのか。預ける器と自分たちの技量で守り方は変わります。既成概念にとらわれず、何をして守るべきかを本質で考えることが先です。
エムズは認証のバッジにこだわらず、実務の経験でセキュリティ対策を積み重ねてきました。それが、創業以来、構築したサイトで漏えい事故を起こさず、金融機関・大手企業の審査を通り続けてきた理由です。
これから作るサイトも、今あるサイトの作り替えも。ご相談は無料です。
構築の技術、サーバー、内部体制、ノウハウ。すべての案件で標準にしている対策です。「オプション」と書いたもの以外は、すべて構築費用の中で実装します。
総務省・IPA（情報処理推進機構）・OWASP（Webアプリの安全性を高める国際的な団体）が示す基準に沿って作っています。会員情報を扱う画面と、外部とやり取りする窓口は、設計の段階から基準に照らして確かめます。
サーバーは、ISMS（ISO/IEC 27001）とプライバシーマークを取得した国内のサーバー会社を採用しています。毎日の自動バックアップ14日分、WAF（不正な通信をはじく仕組み）、改ざん・脆弱性の自動診断を備え、コストを抑えながら堅牢な基盤を確保しています。
AWSのように自社で設定と監視を担う基盤か、エックスサーバーのように技術者の集団が設定も監視も含めて面倒を見る基盤か。自社の体制に合ったサーバーのセキュリティを選ぶことが大切です。ホスティングとクラウドサーバーの比較を見る →
エムズは、自社で開発したライブラリ（プログラムの部品）でサイトを構築します。汎用のCMS（WordPress等）や外部のプラグインは使いません。広く使われている仕組みは、公表された1つの弱点が一斉に攻撃の対象になりますが、自社技術はその攻撃の経路に乗りません。
創業以来、現時点まで、構築したサイトで漏えい事故は起きていません。
個人情報へのアクセス権限は、案件ごとに専任の1名に限定します。アカウントは個人単位で発行し、共有アカウントは使いません。操作ログを記録し、誰がいつ何にアクセスしたかを追跡できます。
個人情報を扱う工程（データ移行、本番環境の操作、障害対応）は外部に出さず、社内で完結します。再委託による情報の拡散を構造的に防ぎます。
本番・検証・開発の環境を分離し、本番データを開発や検証に流用しません。検証に必要な場合は、個人を特定できない形に加工したデータを使います。
契約終了時は、お預かりしたデータを返却したうえで、当社の保有分を消去し、消去証明を発行します。
1998年の創業から、金融機関・大手企業のセキュリティガイドラインに対応し続けてきました。チェックシートの項目ごとに根拠を示して回答する手順、設計段階でガイドラインに照らす確認の方法は、この積み重ねから生まれたものです。
そのノウハウを、案件の規模に関わらずすべての案件で同じ基準として適用しています。貴社のセキュリティガイドライン・チェックシートに沿ってご確認いただけるよう対応します。さらに厳しい要件をお持ちの場合は、個別にご相談ください。
社内の方針でAWSなどのクラウドサーバーを使う場合の、別枠のサポートです。
クラウドサーバーでの構築と、公開後のサーバーの層の運用（OS・ミドルウェア・開発言語の更新、監視、バックアップ、設定の点検）を、開発したサイトの保守とは別の契約で担います。貴社にクラウドの専門部署や指定のMSP（マネージドサービスプロバイダー）がある場合は、アプリケーションの層とサーバーの層の境界を契約で決めて分担します。どちらの形でも、「誰が更新し続けるか」が空白にならないことを条件にしています。
ホスティングとクラウドサーバーの違いは サーバーとセキュリティの関係 に整理しています。
