セキュリティ棚卸し＆優先順位
入口・重要手続き・運用を「最大損失」と「起こりやすさ」で評価すると、優先して直す順番が出ます。 経営者向けはセキュリティは「損失の期待値」を下げる投資である、用語に不安があれば専門用語ゼロでわかる：Webの安全は「カギ」じゃなく「手続き」で決まるで前提を押さえられます。入力内容はサーバーへ送信せず、この画面内でのみ計算します。
決めたい想定所要時間: 約10分カテゴリ: セキュリティ診断
このツールで決まること:限られた予算をセキュリティのどこから直すかが決まる
判断を前提→仮説→撤退線→1枚資料まで一気通貫で回したい方は
First byte Method で回す →1. 棚卸しとスコア付け
最大損失（1=ほぼ影響なし 〜 5=事業停止級） / 起こりやすさ（1=低 〜 5=高・入口露出・運用弱）
入口棚卸し（攻撃の入口＝露出面）
外から触れる・狙われやすい場所
公開Webページ
最大損失
起こりやすさ
管理画面
最大損失
起こりやすさ
API
最大損失
起こりやすさ
フォーム（問い合わせ/予約/会員登録）
最大損失
起こりやすさ
決済/請求/送金
最大損失
起こりやすさ
認証（ログイン/復旧/権限変更）
最大損失
起こりやすさ
外部連携（決済、MA、チャット、CRM、タグ、CDN、WAFなど）
最大損失
起こりやすさ
重要手続き
お金・権限・信用が動く手続き
契約/見積/請求/送金
最大損失
起こりやすさ
権限変更・復旧
最大損失
起こりやすさ
重要情報の閲覧/出力（顧客情報、会員情報）
最大損失
起こりやすさ
運用の骨格
確認・復旧・記録ができているか
二重確認があるか（別ルート/二人承認）
最大損失
起こりやすさ
復旧フローが定義されているか（誰が、条件は、ログは）
最大損失
起こりやすさ
記録（監査ログ）が残るか（誰が何をいつしたか）
最大損失
起こりやすさ
評価済み: 0 項目
注意
- 入力内容はサーバーに送信されません。この画面内でのみ計算します。
- 優先度＝最大損失×起こりやすさ。声の大きさではなく仕組みで順番を決めます。
- 期限・担当・例外理由は月次レビューで更新し、「未完理由」を残すと判断が崩れません。
このツールについて
前提：セキュリティは「知識」より「運用（反復できる判断）」が成果を決めます。棚卸しと優先順位を一度決め、期限・担当・例外理由を残す設計が、費用対効果を最大化します。
使い方：重要な入口からスコアを付け、TOP10の期限と担当を決めてから着手します。全部やろうとせず、順番が決まるだけで事故率は下がります。
解釈の注意：優先度は相対的な目安です。組織の変化や新リスクで見直してください。検知しにくさを加えるとv2でより精緻になります。
この判断のあと、次に整理する判断
1 つの判断は、次の判断の前提になります。次の判断軸を、関連ツールで言語化してください。
よくある質問
優先度が高いものから順に対策すれば安全になりますか？
回答: 完全には安全になりません。優先度は『費用対効果が高い順』であり、攻撃者の標的が変われば優先順位も変わります。半年〜1年ごとに見直してください。
中小企業でも全項目を実施すべきですか？
回答: 全項目は不要です。事業規模・取り扱うデータ・想定攻撃者で必要なものは変わります。最低ラインは『多要素認証・バックアップ・パッチ適用』の 3 つです。
対策コストが高すぎる場合の判断基準は？
回答: 『事故時の損害額 × 発生確率』とコストを比較してください。損害額が小さければ受容、大きければ移転（保険）か低減（対策）を選びます。受容する場合は『何が起きたら撤退するか』を決めます。
※ 上記は判断補助のための一般的な解説です。重要な意思決定は専門家への相談を推奨します。