自治体サイトのWordPressのメンテナンス

⾃治体サイトの
WordPressの
メンテナンス前川昌幸（株式会社イー・ネットワークス）
ENETWORKS.JP
WordCamp
Kyoto2017

WordCampKyoto2017
⾃治体サイトのWordPressのメンテナンス
⾃⼰紹介
前川昌幸
株式会社イー・ネットワークス
WordBench倉敷モデレーター
okayama-js 主宰

アジェンダ
WordCampKyoto2017
1.経緯と事象
2.契約の内容
3.メンテナンスでの事象と課題
4.⾃治体との仕事について
5.まとめ
※ 複数の事案を混ぜてお話しています

経緯と事象
WordCampKyoto2017
WCK歴0001年
某サイトが改ざん被害を受ける
サーバー管理会社のバックアップで復旧
当時の詳細な状況は不明だが、パスワードクラックの模様

経緯と事象
WordCampKyoto2017
地域のイベント開催が決定
現状で再び改ざんなどが起きないか不安

経緯と事象
WordCampKyoto2017
WCK歴0002年
弊社に相談
現状で問題ないか調べてほしい
他にもできることはないか教えて欲しい
（とりあえずイベント期間だけは絶対に事故は避けたい‥‥）

経緯と事象
WordCampKyoto2017
状況
依頼者
サーバー
コンテンツ
コンテンツ
コンテンツ
弊社
コンテンツは要件ごとに各会社と契約
初期の制作は売り切り

経緯と事象
WordCampKyoto2017
第⼀次対応
依頼者
サーバー
コンテンツ
コンテンツ
コンテンツ
弊社
サーバーにWAFを導⼊を交渉
弊社でバックドアなど仕掛けられてい
ないか調査
調査のみの契約

経緯と事象
WordCampKyoto2017
第⼀次対応結果
サーバー：WAF導⼊へ
弊社：問題点をいくつか発⾒

経緯と事象
WordCampKyoto2017
PHPのプログラムが‥‥
uploadsディレクトリに存在
メール送信スクリプト
スパム送信の踏み台にされた？される？
.htaccessや既存のファイルなどの改変はなし

経緯と事象
WordCampKyoto2017
アップデートがされていない
改ざんを受けた直後には⾏った模様
それ以降は⾏っていない
プラグインも同様

経緯と事象
WordCampKyoto2017
他
同じプラグインが複数バージョン存在（*****_bkとかでpluginsディレクトリに‥‥）
開発の⽌まっているプラグインが存在
利⽤しないプラグインが存在

経緯と事象
WordCampKyoto2017
第⼀次対応終了
報告書を提出
随時電話などで説明・解説・相談にのる
放置がいかに危ないかは理解してもらった模様
が、担当者さん異動‥‥

経緯と事象
WordCampKyoto2017
第⼆次対応へ
担当者間の引き継ぎ項⽬として共有されていた
期間内の継続的なメンテナンスの契約を締結

契約の内容
WordCampKyoto2017
メンテナンス契約
⼀定期間ごとのアップデートを含めたメンテナンス作業
作業⽤の検証環境構築
疎通監視
緊急時のベストエフォート対応
各作業後の報告

メンテナンスでの事象
WordCampKyoto2017
アップデート作業
WordPress本体はマイナーアップデートを適⽤
プラグインのアップデートは基本的に最新版にアップデート
検証環境でアップデート、確認後リリース

WordCampKyoto2017
⻑期間アップデートされていなかったプラグインの問題
メジャーアップデートでコンテンツが従来通り表⽰できない
コンテンツ（テーマ）の管理が別会社、弊社は⼿出しできず
アップデートを⾏わずに経過観察に

WordCampKyoto2017
2017年2⽉のWordPress4.7/4.7.1の脆弱性問題
マイナーアップデート対応のため特に影響なし
4.7利⽤サイトは情報公開時に緊急アップデート
↑定期作業型の契約のために被害を受けたところもあるのでは？

WordCampKyoto2017
プラグインのセキュリティ問題
緊急事案として対応
よりによって経過観察中のプラグイン
コンテンツの閉鎖も検討→利⽤状況的に不可能
瑕疵とは⾔えないため、別会社との交渉も不調に
最終的にプラグインのコードを修正して対応

WordCampKyoto2017
継続した課題
WordPressのメジャーアップグレード
前述のようなプラグインの課題
リニューアル時に解決できるように課題意識を共有

⾃治体との仕事について
WordCampKyoto2017
随意契約のケース
⼊札のイメージが強いが、予備費などの場合、担当者の判断で決めるケースも
年度ごとの予備費の増減は⼤きい
⾦額しだいでは、相⾒積もりすらいらない場合も
年度毎の契約で、毎年承認が必要（⾃動更新の契約は難しい？）

WordCampKyoto2017
⾒積もりの注意点
追加の請求を通すハードルは⾼い（バッファをとる）
特定業者と取引件数が増えることには慎重になる？
予算に対する柔軟性を確保する
⼀式⾒積もりからの値引きではなく、項⽬ごとの⾒積もり
担当者が調整をしやすくなる

WordCampKyoto2017
担当者との関係
リテラシーは着任後ついていくもの
必要なときはメール・電話などしっかりと連絡を
「説明」だけでなく「解説」も
リテラシーがついてくると、こちらもやりやすく
引き継ぎ項⽬になれる存在に
単年契約であることは⾃覚しておく

まとめここまでを振り返って
WordCampKyoto2017

メンテナンス重要ツケは貯めれば貯めるほど払うコストは⼤きくなります
⾃治体とかこれは全く関係ありません
WordCampKyoto2017

限界を認知しておく決まっている枠組みを越えるのは難しい
そこを無理に越えようとしたり、抵抗をしない
WordCampKyoto2017

⼀⽅で柔軟に「制約の中でこそプロの仕事が⽣きる」とか
「制約があるからこそその中で⾃由にできる」とか
ちょっとかっこいいことを考えてみましょう
WordCampKyoto2017

最後は信頼関係⺠間だろうとお役所だろうと⼈同⼠の関係です
しっかりと仕事をし、対価をしっかりと請求しましょう
WordCampKyoto2017

THANKYOU!2017年8⽉5⽇(⼟)WordBench倉敷第2回勉強会
https://wbkurashiki.connpass.com/event/54069/
Twitter:@maepon
WordCampKyoto2017

Recommended