会社サイトに「安全です」と書ける？確認済みの対策と相談先の伝え方

「安全です」の一言を、対象と根拠のある説明へ分ける

会社サイトでは、安全性を一言で保証するより、どのサービスについて、何を確認できているかを具体的に説明します。資料に書かれた事実と、そこからまだ言えないことを分けるのが出発点です。

取引先から「安全性を教えてください」と聞かれても、知りたい内容は同じとは限りません。問い合わせ情報を誰が受け取るか、管理者の権限を誰が見直すか、監査資料を確認できるかなど、質問の対象をまず特定します。サイト全体へ「安全です」と足すだけでは、その質問に答えたことになりません。

対象のサービス名、説明したい作業、根拠となる資料の該当部分を並べます。資料に版や確認日があれば、現在のサービスに適用されるかも読みます。日付が不明な資料へ今日の日付を付けて最新の確認にしたり、同じ会社の別サービスの対策を移したりしません。

根拠には、作業記録、運用手順、契約上の役割、認証の対象を示す資料などがあります。ただし、資料名があるだけでは足りません。何を、どの範囲と時点について裏付けるかを該当箇所から読みます。認証は、定められた対象や基準に関する確認です。対象の会社・サービス・範囲・有効期間を確かめず、別の対象まで認証済みと書きません。

IPAのウェブサイト運用管理の20ヶ条は、運用する組織や管理者による対策の確認、サービス提供者との責任範囲、定期的な診断・監査を扱っています。2019年3月6日更新の運用確認資料で、公開文の承認書ではありません。チェック項目を読んだことと、自社がその対策を実施したことは別です。

担当メモから作る文案と、根拠がなく保留する文を比べる

担当が資料に記載されていれば、その事実を説明する候補は作れます。ただし、実施状況まで述べる文は追加照合が必要です。根拠資料を取得できていない断定や認証表示は、確認前に公開文へ移しません。

最初の架空例は、法人向け予約サービス会社のWeb担当です。「架空の運用確認メモ第1版」には、問い合わせ窓口と権限点検の担当が記されています。資料から確認できた範囲は、この担当の記載です。点検が実際に行われた日、認証、監査報告書は未確認です。

照合前の文案候補

問い合わせ受付と管理権限の点検は担当を決めて行います。個別の確認は情報管理窓口へ。

この候補のうち、「行います」は担当の存在だけでなく作業の実施を表します。公開前に、現在の対象サービスで本当にその作業を行う運用か、窓口がその用件に対応できるかを事実担当へ確かめます。今回の資料だけで、実施済み・継続実施・公開承認まで進めることはできません。

資料から言える最小限の説明を分けると、「確認メモには、問い合わせ窓口と管理権限の点検担当が記載されています」となります。これは資料の記載についての説明例で、利用者向けページの完成文ではありません。運用や窓口の対応を確認できなければ、上の候補の該当語を保留し、確認した資料の説明を会社の実施宣言へ置き換えないようにします。

別の架空のWeb制作会社には、「安全です」とだけ書かれた旧下書きがあり、根拠資料は未取得です。認証取得済みとの記述も確認できません。この場合、断定文と認証表示を保留し、対象、根拠資料、版、確認窓口を調べます。「認証を確認できない」は「認証を取得していない」でも「危険である」でもありません。

図で見る問い：担当の記載があるメモから、どこまで文案にできるでしょうか。資料、候補文、確認待ちの語の対応と、根拠未取得の別下書きで保留する箇所を見てください。

原寸画像を開く

図の二つは別会社の記録です。一方を改善すると他方になる順番ではありません。メモがある例でも候補は最終照合前で、両方とも実公開は未確認です。資料に何があるかと、公開してよい文かを別に判断します。

公開ページの短い説明と、個別確認に回す資料を分ける

公開ページには、確認できた対象・取組みの範囲・相談先を、読み手が理解できる短い説明にします。資料そのものを誰に渡せるかは、内容と公開権限を確認して別に判断します。

Web担当は、候補文の一文ごとに裏付けをたどります。「対象サービスは何か」「何を行うという文か」「その表現を支える記載や実施記録はどこか」「現在も同じ条件か」を確かめると、文章の広げすぎを見つけられます。形容詞だけを弱めても、実施していない作業を述べていれば修正は終わりません。

たとえば担当の記載を確認しただけなら、点検頻度や実施日、常時監視を足しません。認証を紹介する場合も、取得対象と有効な期間が分からないまま、認証マークや「すべてのサービスで取得済み」という文を載せません。確認できた範囲が狭ければ、その範囲へ文を絞るか、必要な裏付けがそろうまで該当する主張を保留します。

問い合わせ先は、実際に答えられる役割につなぐ

相談先の記載は、会社に情報管理窓口が存在し、対象の用件を扱えるかを確認してから行います。架空例の「情報管理窓口」を、そのまま実会社の窓口名やメールアドレスとして使いません。一般窓口が受け付け、専門担当へ取り次ぐ運用なら、その役割が伝わる案内にします。返答時間や資料提供を約束する場合には、その約束を実際に守れる条件も必要です。

資料があることと、一般公開できることは別

設定値、認証情報、詳細な防御構成、個人情報などを含む資料を、文章の裏付けとして見たからといって、そのままサイトへ添付しません。公開してよい説明範囲と、特定の相手への提供可否は、資料を管理する担当と確認します。別の会社が監査報告書を特定条件で共有していても、自社が同じ条件で渡せるとは限りません。

公開ページへ詳細を載せない場合にも、問い合わせ方法と、どの種類の確認を相談できるかを実態に合わせて示します。ただし、未実施の対策を隠すために曖昧な保証へ戻したり、資料提供を確約したりしません。相手から質問を受けたら、必要な確認内容と、説明できる範囲を担当間で合わせます。

問い合わせフォームで扱う個人情報の目的や窓口を整理したい場合は、会社サイトのプライバシーポリシーの準備を参照してください。本稿では、取り扱いの制度全般ではなく、運用の根拠と公開する一文の対応を確かめます。

事実の確認・掲載の承認・公開表示を別に確かめる

事実担当が運用を確認し、公開を判断する担当が表現と開示範囲を承認し、反映後は実際のページを読み返します。メールの「確認しました」だけで、三つが済んだと解釈しないでください。

1. 事実を確かめる。候補文、対象サービス、根拠資料の該当箇所を一緒に示し、何を実施しているか、どの時点まで確認したかを聞きます。資料の担当名だけで作業実施を推定しません。
2. 公開してよい文を確定する。対象と限定が読者に伝わるか、資料の開示範囲を超えないか、窓口が実際に対応できるかを確認します。文章の体裁を見た承認と、事実を照合した回答は分けます。
3. 承認した版を反映し、公開先で読む。編集画面の文だけでなく、実URLで見出し、本文、画像内の語、認証表示、窓口リンクを読み返します。下書きが正しいことと、公開先へ同じ文が出たことは別です。

最初の架空例への質問なら、「メモには担当が記載されています。候補文の『行います』は、現在のサービスで実施する運用として確認できますか。確認した時点と資料、公開する窓口名、個別確認に対応できる範囲を教えてください」と具体化できます。これは質問例であり、今回実際に会社へ送ったものではありません。

根拠が未取得の別例では、文の語尾だけを整える前に、どのサービスの何を説明する文か、記載を裏付ける資料はあるかを尋ねます。回答がなければ、承認済みとして公開担当へ渡さず、該当する断定を保留します。別の確認済みの説明まで、同時に未確認へ戻す必要はありません。

図で見る問い：資料の確認、文章の掲載承認、実ページの読み返しは、何が違うでしょうか。三つの対象を見分け、今回まだ終わったといえないものを確認してください。

原寸画像を開く

この図はこれから行う確認の役割を説明しています。矢印や並びは、今回の架空例で承認・公開が完了した証拠ではありません。事実が確認できなければ候補の該当語へ戻り、掲載範囲が未承認なら反映を保留し、公開文が違えば反映した対象と版を確認します。

スマートフォンとPCで、限定の文が見出しや画像から離れすぎていないかも読みます。「安全」という大きな見出しだけが見え、条件が隠れていれば、本文を正確に書いても別の印象を与えます。窓口へのリンクが正しいページへ進むかを確認し、入力・送信の実試験が必要な場合は、認められたテスト方法と担当を別に決めます。

サービス・担当・根拠資料が変わったら、対応する文を見直す

新しい資料や担当変更が出たら、その事実に依存する文を見直します。ページを公開した日だけを、対策の実施日や監査日として使わないでください。

たとえば問い合わせ受付の担当が変われば、窓口説明とリンク先が現在の用件を受けられるかを確認します。点検する範囲が変われば、何を行うという文がその範囲に合うかを照合します。認証や監査資料を紹介している場合は、その対象や版、有効な時点が変わっていないかを資料から確認します。これらは見直す場合の説明で、今回の二社に変更が起きたという記録ではありません。

日付には役割があります。資料の作成日、運用を確認した日、公開ページの更新日は、同じとは限りません。どの日付を表示するかは何を伝えるためかで決め、分からない確認日を公開日で埋めません。架空例の両記録には確認日がないため、最新の運用として認定していません。

情報が古いと分かった文、根拠を取り出せない文、窓口が対応できなくなった文は、対象を特定して確認します。実態が確認できない断定をそのまま残すことも、会社全体が危険だと結論づけることも避け、公開判断を行う担当と、その文の保留・修正範囲を決めます。

技術的な対策そのものを調べる場合は、WordPressの更新通知・管理者・バックアップの確認方法を参照してください。担当が行う点検と、その点検について外部へ説明する文は、つながっていても別の確認です。本稿を読んだことやページを書き換えたことを、実際の診断・監査の実施に置き換えません。

まとめ：「安全」の断定より、根拠で支えられる一文を作る

会社サイトの安全性は、対象サービス、確認した運用事実、その範囲と時点、実際に対応できる相談先を限定して説明します。担当が記載された資料から実施状況まで推定せず、根拠や認証が未確認の断定は保留します。

架空の担当メモがある例でも、「行います」という候補文には最終照合が残っています。根拠資料が未取得の別会社の下書きは、認証なし・危険という結論へ変えません。事実確認、掲載の承認、公開先での表示確認を分けて進めます。

サイトに載せる説明の範囲や、資料と文章の対応を整理したい場合は、対象ページと確認できている資料の種類、未確認の点を添えてご相談ください。機密資料や認証情報を、最初の問い合わせに添付する必要はありません。支援範囲・費用・受付可否は個別に確認します。

会社サイトの説明文と確認範囲を相談する