LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

お知らせ一つを直すにも制作会社に依頼し、反映まで数日待つ。そのうちに作り直しの見積もりが届き、どのCMS（コンテンツ管理システム。ページを画面上で書き換えられる仕組み）にするかを決めることになった。比べ始めると製品ごとの機能の一覧が並び、何を基準に選べばよいかが分からなくなります。

先に答えを示すと、CMSは機能の多さより、誰が更新し誰が保守するかの体制と、続けて払う費用で選びます。書く人・公開を承認する人・本体を更新する人の3つの役を決めてから比べれば、候補は2つほどに絞れます。本記事では、比べる5つの基準、種類ごとの向く体制、費用の内訳、導入の手順、契約で確かめることを順に整理します。

サイトの更新が止まると何を失うか

製品の情報やお知らせが古いまま残ると、サイトを見た取引先や見込み客は、今も同じ体制で事業をしているのかを判断できません。問い合わせの前に離れる人がいても、その数はサイトの側からは見えにくく、失った機会に気付くのが遅れます。

悩みごとに、先に読むとよい章を次の表にまとめました。

見えにくい損失はもう一つあります。IPA（情報処理推進機構）は、ウェブアプリケーションはCMSなどのソフトウェアで構成されており、脆弱性（攻撃に使われる弱点）が見つかればバージョンアップなどの対策が要ると説明しています。記事の更新を待たされる体制では、本体の更新を誰が担っているのかも見えにくくなります。

IPAの「ウェブサイトのセキュリティ対策のチェックポイント20ヶ条」は、記載した対策を「定期的に確認する必要があります」^*1としています。20の項目のうち、CMSで作ったサイトを公開した後も続ける作業を6つにまとめると、次の図のようになります。

6つのうち、CMSの種類で担い手が変わるのは、主に本体の更新とクラウドの責任範囲です。クラウド型のサービスでは一部を事業者が受け持ち、自社のサーバーに置く型では自社か保守の委託先が受け持ちます。どの型でも、残りの作業の担当を決めなければ、その欄は空いたままです。

更新が止まる原因はCMSより分担のあいまいさ

更新が遅い理由はCMSの使いにくさに求められがちですが、実際には、誰が書き、誰が公開を承認し、誰が本体を更新するかが決まっていないことが多くあります。IPAの調査には、この見立てに沿う数字があります。

IPAが従業員50人以下の企業のウェブサイトの担当者などに聞いた2020年度の調査（有効回答301件）では、脆弱性対策の判断を行う人が「特に決まっていない」とした割合は、構築時も運用時も対策をしている組織で8.2%、一切対策をしていない組織で34.5%でした。^*4 判断する人が決まっていない組織ほど、対策が止まっている傾向が読み取れます。

委託先やサービスの提供者との責任範囲についても、「明確になっている」が49.7%、「明確になっていない」が36.9%でした。^*5 外部のサービスや委託先を使う組織の4割近くで、どちらが対応するかがあいまいなまま運用されていることになります。

自社の状態は、次の3つの問いで確かめられます。

• 更新できる人が1人に偏っていないか
• 本体の更新を最後にいつ誰がしたか分かるか
• 制作会社との契約に保守の範囲が書かれているか

答えに詰まる問いがあれば、CMSを替えても同じ所で更新が止まるおそれがあります。IPAは2014年の注意喚起で、古いCMSを使い続けるサイトの問題の一つに「委託先との契約が終了するなどの理由で、ウェブサイトの管理者が不在である」^*2ことを挙げています。製品を選ぶ前に役を埋めるのは、このためです。

CMSを比べる5つの基準

候補のCMSは、次の5つの基準で並べます。製品の機能表を読み込む前に、自社の体制で埋められるかを基準ごとに書き込むのが近道です。

5つのうち、更新のしやすさと保守の分担は先に見ます。どちらも更新が止まる原因に直結し、続けて払う費用の額も、保守を誰が担うかで大きく変わるからです。

アクセシビリティ（障害のある人を含め誰もが情報を得られること）は後回しにされやすい基準です。デジタル庁のガイドブックは、2024年4月1日に改正法（障害を理由とする差別の解消の推進に関する法律）が施行され、ウェブアクセシビリティへの取り組みには環境の整備として「努力義務が課せられています」^*6と説明しています。

同じガイドブックは、画像が指し示している情報を代替テキストとして付与することを、優先して対応する必須の項目に挙げています。CMSの記事の画面に代替テキストの欄が無ければ、書く人が気を付けても入れられません。

作り直しの見積もりを2社から受けた場面

制作会社2社から作り直しの見積もりを受けた担当者が、5つの基準で判断する流れの一例です。

• 2社の見積もりを5つの基準の表に書き写す：金額だけでなく、更新の画面、保守の範囲、利用料の有無を同じ行に並べる
• 埋まらない欄に印を付ける：1社の見積もりには、本体の更新と脆弱性への対応が保守に含まれるかが書かれていない
• 埋まらない欄を質問として返す：本体の更新を誰がどの頻度で行うか、脆弱性が公表されたときにいつまでに対応するかを尋ねる
• 回答が来るまで判断を保留する：金額の安い方にすぐ決めず、保守の範囲がそろった時点で比べ直す
• 上長に上げる：5つの基準の表に、自社で担う役と委託先が担う役を書き添えて承認を求める

この流れでは、比べる対象が金額から「保守の範囲がそろっているか」に移ります。範囲の違う見積もりを金額だけで並べると、安く見えた方に後から保守費が加わることがあるためです。

選ぶ前に決めるのは更新と保守の役で、比べるのは5つの基準です。後半では、種類ごとの向き不向き、費用の内訳、導入の手順と期間、契約で決める保守の範囲を確かめられます。

CMSの種類と向く体制

自社に置く型は自由度が高い代わりに保守の手が要り、クラウド型は保守を任せられる代わりに作りの自由が狭まります。更新まで制作会社に頼む形は社内の手が要りませんが、更新の速さは依頼の手順で決まります。

IPAの20ヶ条は、クラウドやホスティングのサービスでは対策を事業者側が提供していることがあるとしたうえで、「サービス事業者側の作業範囲とセキュリティ対策を把握した上で、不足する対策は自組織で対応することを検討してください」^*1と述べています。クラウド型でも、アカウントの管理や記事の中身は自社に残ります。

IPAの脆弱性対応ガイドも、構築の前に「自組織のリソースやスキルに応じた運用形態を選定しましょう」^*3としています。種類の向き不向きは製品の優劣ではなく、自社の手でどこまで担えるかで決まります。

• 書く人が社内に複数いて更新の頻度が高い：担当者が自分で公開できる型を優先する
• 本体を更新できる人が社内にいない：クラウド型か、保守の契約を結べる委託先がある型を選ぶ
• 自社だけの機能や見た目の作り込みが要る：自社に置く型を選び、保守の担い手を契約で先に決める

更新を社内に戻すときは、書く人・承認する人・本体を更新する人の3つの役を先に決めます。アクセシビリティもこの段階で決まる部分があります。CMSに代替テキストの欄があっても、書く人が入れ方を知らなければ埋まりません。

費用の内訳と費用対効果の見方

初期費用より、数年分の利用料・保守費と社内の更新の手間を合わせて比べます。初期費用が安くても、続けて払う費用と社内の手間を足すと順位が入れ替わることがあります。

本体の版を上げたときの確認は、自社に置く型で見落とされやすい費用です。IPAの20ヶ条は、ソフトウェアをバージョンアップすると、それまで動いていたウェブアプリケーションが正しく動かなくなる場合があるため、事前の検証が要るとしています。

無料のCMSも同じ表で比べます。本体が無料でも、サーバー代と、本体の更新や動作の確認の手間は別にかかります。利用料を払い続ける型と買い切りの型の費用の考え方は、SaaSとは何か、買い切りのソフトウェアと何が違うかで取り上げています。

費用対効果は、更新が早くなることで得るものと、続けて払う費用を同じ期間で並べて見ます。得るものを金額にしにくいときは、依頼から公開までにかかっている日数と月の更新の件数を書き出すと、上長が比べやすい材料になります。

• 期間をそろえる：初期費用・続けて払う費用・社内の手間を、同じ年数で合計する
• 範囲をそろえる：候補ごとに、本体の更新や脆弱性への対応が費用に含まれるかを同じ表に書く
• 社内の時間を書く：クラウド型や委託でも残る更新とアカウント管理の時間を入れる

決裁に出す判断の材料

更新の頻度、社内で書ける人数、止まったときの影響を1枚にまとめます。決裁者が知りたいのは製品の機能より、費用をかけて何が変わり、何を避けられるかです。

止まったときの影響は、公的な資料の言葉を添えると伝わりやすくなります。IPAの20ヶ条は、情報漏えいやページの改ざんの被害が起きると、サービスの中断や損失の補償など「事業に直接的な影響が生じる恐れがあります」^*1としています。

IPAの脆弱性対応ガイドは、脆弱性対策を「特に強く望まれます」^*3とする場合の一つに、ウェブサイトの構築後にメンテナンスをしていないことを挙げています。今のサイトが長く手入れされていないなら、その事実自体が決裁の材料になります。

資料は候補を2つに絞った状態で出します。候補が多いままだと、比べる軸の説明に時間を取られ、保守の分担という論点が後ろに回ります。

導入の手順と期間

体制を決め、移すページの範囲を決めてから構築に入ります。期間は移す量で変わるため、範囲が決まる前の日程は目安になりません。

移す範囲で「閉じる」ページを決めておくのには理由があります。IPAの20ヶ条は、期間を限って出したページや不要になったサイトを公開したまま放置すると「脆弱性が発覚しても管理が及ばず」^*1影響を受ける恐れがあるとしています。作り直しは、使わないページを整理する機会です。

公開前の段階について、IPAの脆弱性対応ガイドは「使っているソフトウェアの名前やバージョンは控えておきましょう」^*3とし、できれば稼働前に脆弱性の検査を行うよう勧めています。名前と版の控えがあれば、公開後に脆弱性の情報が出たとき、自社が対象かをすぐに判断できます。

期間は、ページをそのまま移すのか、構成から作り直すのかで大きく変わります。見積もりに段階ごとの日程を書いてもらうと、どの段階で自社の判断が要るかが分かり、全体の日程も読みやすくなります。

契約と情報の扱いで確かめること

保守の範囲、脆弱性への対応の期限、問い合わせフォームの情報の扱いを契約で確かめます。保守の範囲が書かれていない見積もりは、金額を比べる前に質問を返す対象です。

IPAの脆弱性対応ガイドは、委託先と約束したセキュリティの要件は「文書にして残しておきましょう」とし、担当者と委託先の「作業範囲や責任範囲を明確にしましょう」^*3としています。口頭で聞いた範囲は、契約書か仕様書に書き写します。

更新の提供の期間は見落とされやすい点です。IPAは2014年の注意喚起で、サポートや開発が終了したCMSは「脆弱性が発見されても修正されない」^*2として、別のCMSへの移行を求めました。本体のサポート期限の調べ方は、DrupalとWordPressの違い｜サポート期限と保守の基本でも取り上げています。

同じ注意喚起によると、IPAに届け出られた古いCMSを使うサイトは累計241件で、このうち運営者に連絡が取れない、または連絡から30日以上たっても解消の目処が立たないサイトが50件ありました（2014年6月19日時点）。^*2 管理する人がいないサイトは、指摘を受けても直せません。

問い合わせフォームは、顧客の情報を受け取る入口です。IPAの脆弱性対応ガイドは、個人情報や顧客情報などの重要な情報を預かっているサイトを、脆弱性対策が特に強く望まれる場合の一つに挙げています。フォームの情報の保存先と消す時期は、保守の範囲と同じ契約の中で決めておきます。

まとめ：更新と保守の役を決めて候補を2つに絞る

企業サイトのCMSは、機能の多さより、誰が更新し誰が本体を保守するかの体制と、続けて払う費用で選びます。比べる基準は、更新のしやすさ、保守の分担、続けて払う費用、セキュリティ対策の備え、アクセシビリティの5つです。今日からは、今の更新の頻度と担当者を書き出し、5つの基準の表で候補を2つに絞ってください。

よくある質問

出典

1. *1　参考：IPA「ウェブサイトのセキュリティ対策のチェックポイント20ヶ条」（https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html）。出典：前文、(2)(4)(9)(19)ほかの各項目を参照（最終更新日2019年3月6日・確認日2026年11月6日）（2026年11月確認）
2. *2　参考：IPA「管理できていないウェブサイトは閉鎖の検討を」（国立国会図書館インターネット資料収集保存事業による保存版）（https://warp.ndl.go.jp/info:ndljp/pid/12446699/www.ipa.go.jp/security/ciadr/vul/20140619-oldcms.html）。出典：古いバージョンのCMSを使用しているウェブサイトの問題、届出の件数、対策を参照（2014年6月19日公開・確認日2026年11月6日）（2026年11月確認）
3. *3　参考：IPA「企業ウェブサイトのための脆弱性対応ガイド」改訂版（2021年3月）（https://www.ipa.go.jp/archive/files/000089537.pdf）。出典：2章（脆弱性対策を行うべきウェブサイト）、3.(3)〜(5) 構築と運用を参照（確認日2026年11月6日）（2026年11月確認）
4. *4　参考：IPA「小規模ウェブサイト運営者の脆弱性対策に関する調査報告書 概要」（2021年3月）（https://www.ipa.go.jp/archive/files/000089536.pdf）。出典：5. 対策状況による相違点について（セキュリティ対策の判断を行う人）を参照（確認日2026年11月6日）（2026年11月確認）
5. *5　参考：IPA「小規模ウェブサイト運営者の脆弱性対策に関する調査報告書」（2021年3月）（https://www.ipa.go.jp/archive/files/000089535.pdf）。出典：2.4 調査結果（セキュリティ対策に関する自社とサービス提供者の責任範囲の明確化・本調査 問4）を参照（確認日2026年11月6日）（2026年11月確認）
6. *6　参考：デジタル庁「ウェブアクセシビリティ導入ガイドブック」（https://www.digital.go.jp/resources/introduction-to-web-accessibility-guidebook）。出典：1. はじめに、3.2（必須の達成基準：代替テキスト）を参照（2025年10月16日策定・確認日2026年11月6日）（2026年11月確認）

Tweet