IT資産の棚卸しとは？忘れられたWebサイトと安全確認の進め方

「自社のWebサイトは一つだけ」と思っていても、以前のキャンペーンサイトや、別の制作会社に依頼した採用サイトが残っていることがあります。

社内では忘れられていても、外部からアクセスできる状態なら、第三者から見れば今も公開中のWebサイトです。

まずは会社が公開しているWebサイトを洗い出し、顧客情報や売上に関わるものから優先して安全性を確認していきましょう。

この記事では、見落としがちなWebサイトを把握する方法と、技術的な確認を専門診断に任せる流れをご紹介します。

セキュリティー診断さん

えっ、資産管理とセキュリティ対策って、一緒に考えなきゃいけないの？ うちはバラバラにやってるけど…それってまずいのかな？

契約情報や検索からWebサイトを洗い出す

見落としているWebサイトを探すときは、ドメインやサーバーの契約書、請求書、過去の制作会社とのメールや資料が手がかりになります。

担当部署が分かれている場合は、人事や営業などにも確認すると、管理部門では把握していなかったサイトが見つかるかもしれません。

会社名やサービス名で検索し、現在も公開されているページがないか調べる方法もあります。

この段階で、契約先や管理者まですべて判明していなくても問題ありません。

まずは見つかったWebサイトやWebサービスを書き出し、棚卸しの対象を把握することが大切です。

公開Webサイトを棚卸しするときのポイント

見つかったWebサイトやWebサービスは、それぞれの管理状況や重要度を整理していきましょう。

最初から業務で使うクラウドサービスや社内PCまで対象にすると、確認する範囲が一気に広がってしまいます。

ここでは、会社の外から利用できるWebサイトやWebサービスに絞って棚卸しを進めます。

最初に確認するのは6つの項目

WebサイトやWebサービスごとに、次の内容をわかる範囲で確認します。

• WebサイトやWebサービスの名称とURL
• 何のために使っているか
• 現在の管理者や制作会社
• 顧客情報や問い合わせ内容を扱うか
• 売上や予約など業務への影響があるか
• 現在も必要か

契約日や細かなログイン方法など、最初からすべての情報をそろえる必要はありません。

管理者や制作会社がわからない場合は「不明」と記録しておけば、あとで確認が必要だとひと目でわかります。

確認した内容を簡単な一覧にしておくと、その後の問い合わせや引継ぎにも役立つでしょう。

優先して確認したいWebサイトとは

棚卸しができたら、事業への影響が大きいWebサイトから安全性を確認していきましょう。

顧客情報や問い合わせ内容を扱うサイト、売上や予約受付に関わるサイトは、問題が起きたときの影響も大きくなります。

停止すると業務に支障が出るサイトも、優先して確認したいところです。

長期間更新されている様子がないサイトや、管理者・制作会社がわからないサイトについても、早めに状態を確認しておきましょう。

棚卸しした情報をもとに順番を決めれば、すべてのサイトを一度に確認する必要はありません。

重要なWebサイトは専門診断で安全性を確かめる

棚卸しによって確認するサイトの優先順位は見えてきますが、管理状況を整理しただけでは、技術的な弱点があるかどうかまでは判断できません。

画面が問題なく表示され、問い合わせフォームも正常に動いていても、古い仕組みや設定の不備などが残っている場合があります。

特に、顧客情報を扱うサイトや売上・予約に関わるサイトなど、事業への影響が大きいものは、技術面まで確認しておきたいところです。

自分たちでは判断しにくい部分については、専門的なセキュリティ診断を活用する方法があります。

『セキュリティー診断さん』では、WebサイトやWebアプリ、ECサイト、外部公開APIなどを対象に、外部から悪用されるおそれのある問題を調べられます。

診断結果を見れば、「どのサイトの、どこに問題があるのか」を具体的に確認できるため、その後の修正にもつなげやすくなります。

外部に公開しているWebサイトの技術的なリスクについて詳しく知りたい場合は、中小企業がセキュリティ監査を実施する方法も参考にしてみてください。

診断結果を修正依頼や引継ぎに活かす

診断結果があれば、危険度の高い問題から対応しやすくなり、制作会社にも確認してほしい場所や修正内容を具体的に伝えられます。

どのサイトを確認し、どのような問題が見つかったのかも記録として残るため、担当者が変わったときの引継ぎにも役立つでしょう。

修正したあとも診断結果と見比べれば、対応できた点と、まだ確認が必要な部分を把握しやすくなります。

『セキュリティー診断さん』を活用すれば、棚卸しで見つけた重要なWebサイトについて、自分たちでは判断しにくい技術面の確認を専門診断に任せられます。

公開中のWebサイトを把握することが安全対策の第一歩

使っていないつもりのWebサイトでも、外部から見られる状態なら、今も会社のセキュリティに関わる存在です。

公式サイトだけでなく、過去のキャンペーンサイトや採用サイトにも目を向け、顧客情報や売上に関わるものから優先して安全性を確認していきましょう。

管理者や制作会社がわからないサイトも、見つけた時点で記録しておけば、その後の確認や引継ぎにつなげやすくなります。

技術的な弱点まで自分たちで判断するのが難しい場合は、『セキュリティー診断さん』を活用して、重要なWebサイトの状態を確認する方法もあります。

会社の大切なWebサイトを守るためにも、まずは今どんなサイトが公開されているのかを見直すことから始めてみましょう。

セキュリティー診断さん

ヨシ！ うちのサイトもまずは診断を受けて、どこが危ないのかハッキリさせるところから始めればいいんだな！ (๑•̀ㅂ•́)و✧