Webサイト＆社内システム
「世代リスク・PHP/CMS脆弱性・SCS★★3準備度」3項目セルフ診断ツール
「数年前に作ったホームページ（WordPress）をそのままにしている」「社内のバックアップが外付けハードディスクのまま」「2026年からの経済産業省SCS評価制度（★3）で何を求められるか知りたい」——そんなお悩みを3つの質問だけで同時に点検し、具体的な処方箋をその場で表示する自己診断・シミュレーションツールです。
- 01. 中小企業が直面するサイバーリスクは、「01 公開Webサイト（古いPHP・WordPress）の改ざん」「02 社内VPN・バックアップの不備」「03 メールなりすましとSCS★3未対応」の3箇所に集約されます。
- 02. 下記の「3項目セルフ診断シミュレーター」を選ぶだけで、CVE-2024-4577等の露出リスクスコアと、優先すべき3つの対策ステップが0秒で算出されます。
- 03. Webサイトの静的化（Astro＋Rust）と不変バックアップ（小規模セキュリティ基本構成）を組み合わせることで、攻撃される侵入口そのものを減らしながら保守コストを削減できます。
なぜ「Webサイト」「社内バックアップ」「メール・SCS基準」を同時に見るのか？
Overview & 3-Vector Risk Map身近なたとえ話で考えてみましょう。お店の防犯を考えるとき、「01 表のショーウィンドウ（公開Webサイト）」「02 奥の金庫室と勝手口（社内VPNとバックアップ）」「03 お客さまに届ける封筒の消印（メールのなりすまし防止と取引先基準）」の3つは、どれか1つでも鍵が壊れていたらお店全体の信用に関わります。
PHP脆弱性（CVE-2024-4577）とCMS放置
古いPHPや更新が止まったWordPressプラグインは、攻撃ボットによる24時間自動スキャンの標的となります。静的HTML（Astro＋Rust）へ移行することで動的実行リスクを根絶できます。
常時接続HDDは感染時に同時暗号化
パスワードのみのVPN接続と、パソコンから直接書き換えられるNAS・外付けHDDの組み合わせは、ランサムウェア被害で最も復旧不能に陥りやすい危険な構成です。
DMARC未設定と2026年SCS★★3要件
自社ドメインのSPF/DKIM/DMARCが未設定だと、自社名を騙る詐欺メールが取引先に届いてしまいます。SCS評価制度（★3）でも基本対策と証跡保持が求められます。
3項目セルフ点検シミュレーター（サンプル即時体験・その場で0秒判定）
Interactive Risk Scanner現在の状態に近いものを3つ選んでください
選択を変えると、下の総合リスクスコアと3つの具体的な処方箋がリアルタイムに更新されます。
診断サマリー：公開Webの脆弱性露出と、ランサムウェア感染時のバックアップ同時暗号化リスクが重なっています
安全設計
サンプル1問・3項目試算はブラウザ内で即時動作します。学習プラットフォーム連携アカウントは現在リニューアル準備中となっており、本ページの自己点検・シミュレーター機能はそのままご利用いただけます。電話番号入力や営業連絡はありません。
現場で陥りやすい落とし穴と回避策（自己点検で見落としやすい3つのポイント）
「本体のサイトは綺麗にしたのに、数年前の特設サイト（古いWordPress）が同じサーバーに残っていた」
使われなくなったテスト用ディレクトリや古いサブドメインに残されたPHPファイルからサーバー全体へ侵入される事例が多発しています。不要な公開資産の棚卸しと削除が不可欠です。
「SPFを設定したつもりだったが、末尾の記号が緩くてなりすましメールが素通りしていた」
DNSのTXTレコードは1文字の違いで効力が失われます。SPFの厳格化とともに、DKIM電子署名とDMARCポリシー（quarantine / reject）の3点セットを揃える必要があります。
「OneDriveやDropboxで同期しているから、ランサムウェアに感染しても大丈夫だと思っていた」
リアルタイム同期フォルダは、パソコン側でファイルが暗号化されるとクラウド側へも「暗号化された状態」が即座に同期されてしまいます。必ず別系統の不変スナップショット保管を併用しましょう。
理解を深める確認クイズ（1問1答）
【問題】ある企業が「本社のホームページは新しく作り直したが、5年前に採用イベント用で作った古いWordPressが同じサーバーの別フォルダに放置されていた」場合、セキュリティ上のリスクはどうなるでしょうか？
選択肢 A：もう誰もリンクをクリックしない古いページなので、放置しておいても危険はない クリックして判定 →
大変危険です！ 攻撃者の自動巡回プログラム（ボット）は、人間がリンクを辿らなくてもサーバー上の古いWordPressやPHPを機械的に探し出して侵入し、同じサーバー内の新しいホームページまで改ざんしてしまいます。
選択肢 B：放置された古いWordPressがサーバー全体の裏口（侵入口）になるため、速やかに撤去するか静的HTMLへアーカイブ変換する必要がある クリックして判定 →
大正解です！ SCS評価制度（★3）でも「公開しているすべてのIT資産の把握と不要資産の撤去」が求められています。当社の現状点検では、こうした忘れられたサブドメインや古いプログラムの有無もあわせて点検いたします。
関連コラム・豆知識：『EPSS（悪用予測スコアリングシステム）』とは？
セキュリティの世界では、脆弱性の深刻度を表す「CVSS（0〜10点）」だけでなく、「今後30日以内に実際の攻撃者によって悪用される確率」を算出する『EPSS（Exploit Prediction Scoring System）』が重視されています。例えば `CVE-2024-4577`（PHP CGIの脆弱性）は、CVSSが9.8と極めて高いだけでなく、公開直後から実際の攻撃ボットに組み込まれたためEPSSも高水準となりました。
場面別の実務確認ポイント（あなたの目的に合わせてお読みください）
要点と3大リスク図解で全体のつながりをご確認の上、3項目セルフ診断で自社の現在地を30秒でチェックしてみてください。
3項目セルフ診断ツールをご覧ください。診断結果として出力される具体的な改善テキストを、そのまま社内会議の報告資料としてご活用いただけます。
PHPランタイム脆弱性消去証明モノグラフおよび自律型ペネトレーションテスト数理仕様にて、CVSS/EPSS統合リスクモデルを公開しています。
よくあるご質問（FAQ）
Q. この診断ツールで選択肢を選ぶと、自社の名前や診断結果が外部に送信されたり、営業電話がかかってきたりしますか？
A. いいえ、一切ございません。このセルフ診断ツールは、お使いのブラウザ（手元のパソコンやスマートフォン）の中だけで計算を行う仕組み（クライアントサイド実行）で作られており、入力・選択された内容が当社のサーバーや外部へ送信・保存されることは1バイトもありません。何度でも安心してお確かめいただけます。
Q. 「ホームページ（Webサイト）の脆弱性」と「社内のランサムウェア・SCS★3評価制度」は、なぜ一緒に診断する必要があるのですか？
A. 多くの企業様で「ホームページは制作会社任せ」「社内のパソコンやWi-Fiは事務機屋さん任せ」「メールやドメインはレンタルサーバー任せ」と管理がバラバラになっており、その『隙間の死角』がサイバー攻撃に狙われるためです。例えば、古いWordPressサイトが改ざんされて取引先にウイルスを配ってしまったり、メールのなりすまし防止設定（SPF/DMARC）が漏れていて偽の請求書メールを送られてしまうなど、Webと社内システムは密接につながっています。このラボでは3つの質問で両方の死角を一度に点検できます。
Q. 診断結果で「要注意」や「高リスク」と出た場合、まず何から手をつければよいですか？
A. いきなり高額な機器を買う必要はありません。診断結果ボックスに表示される「優先アクション01〜03」の順番どおり、まずは無料のパスワード・多要素認証点検や、現在のWebサイトURL・DNS設定の個別相談・設定確認（登録情報処理安全確保支援士が直接確認）をご活用いただくのが最も確実で経済的です。
診断結果をもとに「60秒オンライン相談」または「AI脆弱性診断・SCS★3適合証明パック」をご利用いただけます
オンラインフォーム（入力3項目・テキスト完結・営業電話なし）にて、登録情報処理安全確保支援士が丁寧にご案内いたします。