IT資産の棚卸しとは？忘れられたWebサイトと安全確認の進め方

「自社のWebサイトは一つだけ」と思っていても、以前のキャンペーンサイトや、別の制作会社へ依頼した採用サイトが残っていることがあります。

閉鎖したつもりのサービスサイトや、退職した担当者が管理していたサイトも見落としやすいものです。

社内で存在を忘れていても、外部からアクセスできる状態なら、第三者には公開されたままです。

まず会社が公開しているWebサイトを洗い出し、顧客情報や売上に関わる重要なものから安全性を確認しましょう。

この記事では、外部公開資産を把握する方法と、技術的な確認を専門診断へ任せる流れをご紹介します。

セキュリティー診断さん

えっ、資産管理とセキュリティ対策って、一緒に考えなきゃいけないの？うちはバラバラにやってるけど…それってまずいのかな？

忘れているWebサイトが残っていないか確認しましょう

以前のキャンペーンサイトや採用サイトは、日常業務で使わなくなると管理の対象から外れやすくなります。

閉鎖を制作会社へ依頼したつもりでも、古いページやサーバーが外部から見られる状態で残っているかもしれません。

社内で忘れていても外部からは見えています

使っていないWebサイトでも、インターネット上で公開されていれば第三者からアクセスできます。

更新されないまま残ったサイトは、古い仕組みや設定を抱えていても社内で気づきにくい状態です。

担当者が退職し、契約先や管理方法が分からなくなったサイトも、自然に消えるわけではありません。

制作会社や契約が分かれているサイトも確認しましょう

公式サイトとは別に、採用、予約、問い合わせ、商品の販売などを別の制作会社へ依頼している場合があります。

会社名で使っているドメインやサーバーの契約書、請求書、過去の制作会社との連絡を確認すると、忘れていたサイトを見つけやすくなります。

「Webサイトは一つだけ」と決めつけず、会社名やサービス名で公開されているページを改めて確認することが棚卸しの出発点です。

まず外部公開している資産を把握しましょう

棚卸しの目的は、細かな管理台帳を完成させることではありません。

会社の名前で外部へ公開され、第三者がアクセスできるWebサイトやWebサービスを見落とさないことが大切です。

確認した内容を簡単な一覧に残しておけば、現在の管理者や制作会社へ問い合わせる際にも役立ちます。

一覧にまとめた時点で安全性が確認できるわけではありませんが、どのサイトから技術的な確認を始めるか判断しやすくなります。

公開Webサイトを棚卸しして優先順位を決めましょう

最初からSaaSや社内PCまで同じ詳しさで整理しようとすると、確認範囲が広がりすぎます。

この記事では、会社の外からアクセスできるWebサイトやWebサービスを中心に確認しましょう。

経営者が確認しやすい項目に絞りましょう

公開資産ごとに、次の内容を分かる範囲で整理します。

WebサイトやWebサービスの名称。
何のために使っているか。
現在の管理者や制作会社。
顧客情報や問い合わせ内容を扱うか。
現在も必要なものか。
外部からアクセスできるか。

契約日や認証方式、再評価日まで最初からそろえる必要はありません。

管理者が分からない項目は空欄にせず、「不明」と記録すると、確認が必要なサイトとして残せます。

事業への影響が大きいものから確認しましょう

すべてのサイトを同じ優先度で確認する必要はありません。

顧客情報や問い合わせ内容を扱うサイト、売上や予約受付に関わるサイトは、問題が起きた場合の影響が大きくなります。

停止すると業務が続けられないサイトも、優先して確認したい対象です。

長期間更新されていないサイトや、管理者・制作会社が分からないサイトも見落とさないようにしましょう。

棚卸しだけでは技術的な弱点は分かりません

一覧に「管理中」と記録できても、そのWebサイトに技術的な弱点がないことまでは確認できません。

画面が正常に表示され、問い合わせフォームが動いていても、外部から悪用できる設定や古い仕組みが残っている可能性があります。

棚卸しは公開資産の存在を把握する確認であり、安全性を調べる診断とは役割が異なります。

外部公開資産の技術的なリスクを客観的に点検する際は、中小企業がセキュリティ監査を実施する方法も参考にしてください。

重要な公開資産の安全性を専門診断で確認しましょう

棚卸しで見つかったすべてのIT資産を、セキュリティー診断さんが管理するわけではありません。

その代わり、事業への影響が大きいWebサイト、Webアプリ、ECサイト、外部公開APIについて、自社では判断しにくい技術的な弱点を確認できます。

『セキュリティー診断さん』では、外部から確認できる問題を調べ、どのサイトのどこに問題があるかを診断結果で把握できます。

診断結果を修正依頼と引継ぎに活用しましょう

診断結果があれば、危険度の高い問題から対応し、制作会社へ確認箇所や修正内容を伝えやすくなります。

どのサイトを確認し、どのような問題が見つかったのかを記録として残せるため、担当者が変わった場合の引継ぎにも利用できます。

修正後の確認にも診断結果を活用すれば、対応した内容と残っている問題を整理しやすくなるでしょう。

『セキュリティー診断さん』を活用すると、棚卸しで選んだ重要な公開資産について、技術的な確認を専門診断へ任せられます。

重要なWebサイトから安全性を確認しましょう

以前作ったキャンペーンサイトや採用サイトなど、社内で忘れているWebサイトが外部へ公開されたままになっているかもしれません。

まず会社が公開しているWebサイトを洗い出し、用途、管理者や制作会社、扱う情報、現在も必要かを確認しましょう。

その中でも、顧客情報や売上、予約受付に関わるサイトは、事業への影響が大きいため優先的な確認が必要です。

棚卸しで存在を把握した後は、専門的な診断を利用すると、自社だけでは分からない技術的な弱点を確認できます。

重要なWebサイトに弱点がないか、『セキュリティー診断さん』で確かめてみませんか？