コーポレートサイトの脆弱性対策は、診断の前に『公開物の一覧化』から始める

---

「うちのサイト、ちゃんと対策できているのかな」と思いながら、でも何から手をつければいいかわからず、今日もその問いを後回しにしている——そんな状況ではないでしょうか。

WEB集客やD2Cに本腰を入れているぶん、サイトが止まったり情報が漏れたりしたときのダメージを、リアルに想像できてしまう。だからこそ不安なのに、技術的な話になった瞬間に「自分が判断できる話ではない」と感じてしまう。

この記事はその状況から始まっています。技術の話ではなく、経営上の意思決定として「どの順序で動けばいいか」を整理します。

---

キャンペーン終了後も、LPと申込フォームが公開されたままになっていないか

新規獲得キャンペーンが終わった後の『放置状態』

春の新規獲得キャンペーンのために、LP一式を作った。フォームも繋いで、広告も回した。施策が終わって、チームの関心は次の施策へ。

そのLPとフォームは、今も公開されたままではないでしょうか。

キャンペーン専用のURLで作られたページが、施策終了後も誰にも触れられずにドメイン配下に残っている——この状態は、多くのサイトで起きています。「もう広告は止めているから大丈夫」という認識は、半分正しくて半分そうではありません。広告は止まっていても、ページとフォームは生きています。

『もう使っていない』と『公開されていない』は別の問題

「あのLPはもう使っていない」という認識は、事業者側の認識です。しかし、ドメイン配下で実際に公開されているかどうかは、別の問いです。

使っていないページでも、URLを知っている人がアクセスすれば表示されます。フォームが生きていれば、入力して送信できます。検索エンジンがインデックスしていれば、検索からたどり着く人もいます。

「使っていない」は運用側の状態であり、「公開されていない」はサーバー側の状態です。この二つは、意識的に一致させない限り、ずれたままになります。

---

コーポレートサイトは『静的に見える』が、実は複数の動作が走っている

フォーム・外部スクリプト・CMSが動いている

会社概要・事業内容・お問い合わせ先。コーポレートサイトは「テキストと画像が並んでいるだけ」に見えます。しかし実際には、さまざまな仕組みが動作しています。

問い合わせフォームはデータを受け取って処理します。GoogleアナリティクスなどのタグはJavaScriptとして毎回実行されます。広告プラットフォームの計測タグも同様です。CMSで管理されているサイトであれば、データベースへのアクセスが発生します。

これらは「動いている」というより「外部と通信している」と表現した方が正確かもしれません。静的に見えるページにも、複数の接続と処理が存在しています。

『公開されている』ことと『更新対象に登録されている』ことは別

もう一つ、見落とされやすいずれがあります。

ドメイン配下で公開されているページやフォームが、CMSのアップデート対象や脆弱性診断の対象一覧に含まれているかどうかは、また別の話です。

「公開されているページ」と「更新対象として登録されているページ」が一致していない場合、アップデートが適用されないまま古いバージョンが動き続けることになります。これは診断を頼んでも、依頼した範囲の外で起きています。

---

セキュリティポリシーを作る前に、公開物の一覧が必要な理由

ポリシー策定企業は48.1%だが、その前提が揺らいでいる

総務省『令和7年 通信利用動向調査』によると、セキュリティポリシーを策定している企業の割合は48.1%です。

約半数がポリシーを持っています。ただ、ここで一つ問いを立ててほしいのです。そのポリシーに書かれている「対象範囲」は、実際に公開されているすべてのページ・フォーム・外部タグを網羅しているでしょうか。

ポリシーの対象範囲は、ポリシーを作るときに決めます。そのとき「何が公開されているか」が把握できていなければ、対象範囲の設定が不完全になります。これはポリシーの品質の問題ではなく、情報の問題です。

『対象外』と『把握漏れ』は違う

セキュリティポリシーには、「対象外」として明記されているものがあります。意図的に除外した範囲です。

一方、「存在すること自体が把握されていない」ものは、対象外とも言えません。ポリシーを作った人が、そのページやフォームを知らなかった可能性があります。

この二つは、見た目は同じ「ポリシーの対象に含まれていない状態」ですが、意味がまったく異なります。前者は意思決定の結果であり、後者は情報の欠落です。脆弱性の入口になりやすいのは、後者です。

把握漏れを減らすために必要なのは、より厳格なポリシーではなく、先にある一覧化です。

---

『リスト外公開物』が生まれる4つの場所

一覧に載っていないまま公開され続けているもの——ここでは「リスト外公開物」と呼びます——が生まれやすい場所には、共通したパターンがあります。

キャンペーンLP・期間限定フォーム

新規獲得のために作られたLP、応募フォーム、キャンペーン専用ページ。施策が終わった後、サイトマップや管理台帳に削除の記録が残らないまま、ドメイン配下に存在し続けるケースがあります。

制作を外部に依頼していた場合、引き渡し後の管理がどちらの責任範囲かが曖昧になりやすい箇所でもあります。

計測・広告タグ、検証ページ

Google Analyticsやビジネスマネージャーなどの計測タグは、施策が終わっても埋め込みコードがHTMLに残ることがあります。A/Bテスト用に複製したページ、デザイン確認のために作った検証ページも同様です。

開発側では「作業用のもの」という認識でも、本番環境にアップされた時点で外部からアクセス可能な状態になっています。

採用サイト・別ドメインの関連ページ

採用情報ページ、キャリアサイト、イベントの告知ページ。これらはメインのコーポレートサイトとは別のチームや担当者が管理していることがあります。

同じドメイン配下にあっても、「採用は人事が管理」「イベントは広報が管理」という縦割りが、横断的な把握を難しくしています。誰も全体の一覧を持っていない状態が、ここから生まれます。

外部サービスの埋め込みコンテンツ

チャットボット、予約システム、フィードバックフォーム、動画プレイヤー。外部サービスが提供するスクリプトやiframeを埋め込んでいる場合、そのサービス自体の契約状況や更新状況が、自社のセキュリティ管理の視野に入っていないことがあります。

外部サービスに脆弱性が発見されたとき、自分のサイトにそのスクリプトが埋め込まれていると把握していなければ、対応の起点にもなれません。

---

一覧化から非公開化、診断までの流れ

ステップ1：ドメイン配下で『何が公開されているか』を記録する

最初の作業は、現在公開されているものを漏れなく書き出すことです。

スプレッドシートを一枚用意して、以下の項目を列として立てることから始められます。

• ページURL
• 公開日（わかる範囲で）
• 最終更新日
• 用途・目的
• 管理者（担当部門・担当者）
• 現在も使用中かどうか

サイトマップが存在すればそれを起点にできます。ただし、サイトマップに登録されていないページも存在する場合があります。制作会社に「現在公開されているページ・フォーム・埋め込みタグの一覧」を提供してもらうことも、有効な手段の一つです。

ステップ2：『使っていない』ものを非公開にする

一覧ができたら、各行に「現在も使用中かどうか」を確認します。「もう使っていない」「施策が終わった」「テスト用だった」と判断できるものを特定し、非公開化または削除の判断をします。

削除ではなく非公開化にしておく場合、後で必要になったときに復元しやすく、バックアップも保持できます。いずれにせよ、「外部からアクセスできる状態を終わらせる」ことが目的です。

ステップ3：残ったものだけを『更新対象』『診断対象』に登録する

非公開化を終えた後、残ったページ・フォーム・外部タグが、現在も使い続けているものの全体像です。

これを、セキュリティ更新・パッチ適用・バックアップ・脆弱性診断の「対象一覧」に正式に登録します。以降は、この一覧を起点に管理・更新・診断の予定を組みます。

一覧化と非公開化の後に診断を依頼するのは、この順序に理由があります。診断対象が確定していない状態で診断を頼むと、範囲の指定ができず、見積りの根拠も揃いません。

---

一覧があると、診断の範囲指定と見積りが変わる

診断を頼むときに『対象範囲』が明確になる

脆弱性診断を外部に依頼するとき、「このページ・このフォーム・このタグを診断してください」と具体的に伝えられるかどうかで、依頼の精度が大きく変わります。

一覧がない状態で依頼すると、診断会社はサイトを自分でクロールして対象を推定するところから始めます。その場合、本来診断してほしかったページが対象外になったり、逆に対象外にしたかったものが含まれたりする可能性があります。

一覧があれば、「診断対象に含めるもの」と「含めないもの」を明示して依頼できます。

見積りの前提が揃う

診断会社が見積りを作成するとき、診断するページ数・フォーム数・外部スクリプトの数が前提条件になります。

この前提が曖昧なままだと、見積りも「おおよその規模感」に留まります。一覧を渡すことで、診断会社は正確な見積りの根拠を持てます。また、依頼側も「どのページの診断費用か」を確認しながら意思決定できます。

『何を診断するか』が決まると、『何を更新するか』も決まる

診断対象が確定すると、連動してセキュリティ更新の対象も決まります。

CMSのバージョンアップ・プラグインのアップデート・外部スクリプトの見直しを、どのページに適用するかは、「そのページが診断対象であるかどうか」と同じ判断軸で整理できます。

一覧は、診断の準備だけでなく、継続的な更新管理の基盤にもなります。

公開物の種類	それが生まれたきっかけ	一覧に記録する項目
キャンペーンLP・応募フォーム	新規獲得キャンペーン期間中に作成	ページURL、公開日、キャンペーン終了日、現在の使用状況
計測タグ・広告タグ	Google Analytics・広告プラットフォームの計測用に埋め込み	タグの種類、埋め込み箇所、計測対象、管理者
検証ページ・テストページ	A/Bテスト・デザイン検証用に作成	ページURL、テスト期間、テスト目的、現在の使用状況
採用情報・イベント告知ページ	採用活動・イベント開催時に作成	ページURL、公開日、施策終了日、管理部門
外部サービスの埋め込みコンテンツ	チャットボット・予約システム・フィードバックフォーム等を導入	サービス名、埋め込み箇所、契約状況、管理者

---

発注側と制作側の両方を見てきたからこそ、この順序が重要

制作側だけの経験では見えない『運用側の課題』

制作会社の多くは、サイトを作ることに熟練しています。ただ、「作った後、そのサイトがどう運用されていくか」という視点は、発注側・運用側の経験がなければ持ちにくいものです。

キャンペーン終了後のLPやフォームが放置されるのは、制作の問題ではなく運用の問題です。施策が終わった後の「後片付け」を、誰の仕事として設計するかが決まっていないまま、次の施策が始まります。

発注側として複数の施策を並走させてきた経験があると、この「隙間」がどこに生まれるかが見えます。制作の段階から「施策終了後の管理」を視野に入れた提案ができるのは、その経験があるからです。

600件を超えるLP制作から見えた『公開物の把握漏れ』

600件を超えるLP・ホームページ制作に関わる中で、施策終了後も公開されたままになっているページ・フォームが、後のセキュリティ上の課題につながる場面を見てきました。

LP制作の現場では、「公開する」ことへの注力は高い一方で、「公開を終わらせる」手順が設計されていないことが少なくありません。

この記事で「一覧化から始める」という順序を強調しているのは、そこから来ています。診断の前に把握が必要であり、把握の前に一覧がなければ始まらない。

---

コーポレートサイトのセキュリティ、始める前に気になること — よくある質問

一覧化に何日くらいかかりますか？

サイトの規模によって異なります。コーポレートサイト＋キャンペーンLPが数十ページの場合は数日程度、複数のドメイン・サブドメインがある場合はそれ以上かかる可能性があります。最初は「現在公開されているページ」「使用中のフォーム」「埋め込まれているタグ」の3つに分けて整理すると進めやすいです。

非公開にしたページは、後で復活させることはできますか？

可能です。ただし、削除ではなく「非公開化」にしておくことを検討する価値があります。非公開化であれば、後で必要になった場合に復元しやすく、削除前のバックアップも保持できます。

セキュリティポリシーを作ってから一覧化しても遅くないですか？

ポリシーを作る際に「対象範囲」を決める必要があります。その時点で「何が公開されているか」が把握できていないと、ポリシーの対象範囲が不完全になる可能性があります。ポリシー策定と並行して、または先に一覧化を進めることをお勧めします。

外部の制作会社に作ってもらったサイトの場合、一覧化は誰が担当すべきですか？

最終的には、サイトを運用・管理する側（貴社）が「何が公開されているか」を把握する必要があります。制作会社に「現在公開されているページ・フォーム・タグの一覧」を提供してもらい、それを基に整理・確認することをお勧めします。

一覧化した後、診断会社に何を伝えればいいですか？

「診断対象に含めるページ・フォーム・外部タグ」「診断対象から除外するもの」「各ページの用途・管理者」などを、一覧と共に提供します。これにより、診断会社は正確な見積りを出せ、診断の範囲も明確になります。

---

この記事を読んだ今夜、画面を閉じる前に一つだけ。「うちのサイト、今何ページ公開されているだろう」と、スプレッドシートを新しく開いてみてください。URLを1行書くだけでいい。それが一覧化の最初の一行です。

---

私は、LP・Webサイトの制作に加えて、公開後の運用改善まで一体で支援しています。

• 600件を超えるLP制作
• D2C企業のEC事業担当・事業本部長としての発注側経験
• D2C・単品リピート通販に特化

「何から始めればいいか分からない」という段階からのご相談を承っています。

今のLPが「どこで・なぜ」成果を落としているのか。その一点を一緒に見るところから始めます。