制作会社にサーバー管理を任せる前に確認する契約項目

制作会社の見積書に「サーバー保守一式」と書かれていても、実際に何をしてもらえるかは分かりません。WordPress更新は含むが障害復旧は別料金という契約もあります。受付は常時でも、調査開始や復旧目標は営業時間内だけかもしれません。

契約前には、対象・通常作業・変更作業・緊急対応を分けます。誰が承認し、どの成果物が会社へ残り、契約終了時に何を受け取るかも決めます。任せる範囲を明確にするほど、制作会社を信頼して依頼しやすくなります。

「管理一式」を対象と作業へ分解する

最初に管理対象を特定します。サーバーだけなのか、ドメイン・DNS・メール・CDN・WordPressまで含むのかを契約別紙へ書きます。サービス名と契約IDを示し、追加されたサイトや外部サービスをどう契約へ加えるかも決めます。

次に通常作業を具体化します。監視・バックアップ確認・更新・アカウント管理・問い合わせ対応は別の作業です。「毎月確認」の場合は、何を見てどの記録を提出するかまで決めます。

ページ追加やDNS変更など、都度見積もりになる変更作業も区別します。月額内の作業時間だけでなく、承認前に費用を知らせる条件を決めます。会社側が用意すべき情報と回答期限も契約に接続します。

障害時には、連絡を受け付ける時間と調査を始める時間を分けて確認します。返信の目標と復旧の目標も同じではありません。表示停止・メール停止・管理画面の不具合など、重要度を分ける基準を合意します。

制作会社がサーバー会社へ代理問い合わせできるかも確認します。本人確認や契約者承認が必要なら、会社側の連絡担当者を決めます。夜間に停止判断や追加費用の承認が必要な場合は、経営判断を行う社内窓口が必要です。

復旧できなかった場合の責任だけを先に争わず、切り戻しと連絡の手順を決めます。バックアップの取得者・復元判断者・復元作業者を分けます。目標時間は対象サイトと契約料金に見合う現実的な条件にします。

サーバーやドメインを誰の名義で契約するかは、終了時の引き継ぎへ影響します。原則として会社が契約者となり、制作会社へ作業用権限を渡す形を検討します。制作会社名義が必要な場合は、移管条件と費用を契約前に決めます。

制作会社へ契約者IDや共用の管理者パスワードをそのまま渡しません。作業者ごとのアカウントと必要な権限を使います。担当者変更時の削除、認証情報の保管、多要素認証の回復を誰が行うかも確認します。

会社側にも管理状況を確認できる権限を残します。ただし日常作業を妨げる変更を無断で行わないルールが必要です。制作会社へ任せることと、会社が契約や資産を把握しないことは別です。

月額保守では、作業したことを何で確認するかを決めます。更新した版・作業日時・結果・残る問題が分かる報告を受け取ります。「異常なし」だけでは、確認範囲と次の判断が分かりません。

会社へ残す成果物も明記します。ソースコード・データベース・設定一覧・契約一覧・ライセンス情報・バックアップの所在を確認します。制作会社独自のツールを使う場合は、契約終了後にサイトが動く条件を聞きます。

IPAの情報システム・モデル取引・契約書には、保守運用の契約と仕様書を検討する資料があります。ひな型をそのまま貼るのではなく、自社の規模と依頼内容へ合わせます。法改正や個別条項は専門家へ確認します。

脆弱性情報を誰が確認し、更新を誰が承認するかを決めます。事故が疑われる場合の通知期限と、ログや証拠の保全も確認します。制作会社がすべてのリスクを負うという曖昧な表現では、実際の初動を決められません。

IPAの委託先を含む対策案内は、委託先の対策状況の把握と役割・責任範囲の明確化を示しています。制作会社が別の保守会社やクラウドサービスを使う場合は、再委託の範囲と情報の保存先を確認します。

秘密保持だけでなく、アクセスできるデータと作業端末の管理も具体化します。個人情報を検証環境へ複製する条件や、事故時に会社へ伝える内容を決めます。会社側にも承認・連絡・情報提供の責任が残ります。

終了通知の期限と、引き継ぎ支援の期間・費用を確認します。アカウント、データ、設定記録をどの形式で受け取るかを決めます。後任会社からの質問へ回答する範囲も合意します。

最終バックアップの基準日と、契約終了後のデータ削除を確認します。ドメインやサーバーの移管が終わる前に旧契約を止めません。ライセンスを継続利用できない場合は、代替手段を移行計画へ入れます。

契約書はトラブル時だけに開く文書ではありません。担当者が変わっても、依頼できる作業と承認が必要な作業を判断する運用資料です。契約本文と実際の管理対象がずれたら、年次確認や構成変更の時点で別紙を更新します。