三芳町のWebサイト、安全対策に具体的な改善を確認しました

住民からの指摘と町の対応、そして生成AIを「最初の一歩」に使うということ

確認・執筆日：2026年10月5日

三芳町の公式Webサイトについて、先月、公開情報から行える範囲で安全対策を点検し、改善をお願いしました。本日、財政デジタル推進課から回答が届きました。回答を読むだけでなく、前回と同じ14ページを中心に改めて確認したところ、主要な指摘について具体的な改善を確認できました。

まず、この対応を率直に評価したいと思います。担当課と保守事業者の皆さんが、指摘を受けて確認し、実際の修正につなげてくださったことに感謝します。［1］［2］

これまでの経緯

私は三芳町のDX・AI活用とWebサイトの改善を継続して調べています。最初の点検では、安全対策だけでなく、古い情報や添付資料、住民にとっての使いやすさ、更新や問い合わせの仕組みなどについて改善をお願いしました。

2026年9月14日付の回答では、不要になったページを削除したとの説明がある一方、サイト全体の台帳整備や全体を点検する計画はなく、改善計画と進捗を公表する考えも示されませんでした。私は、継続して改善する見通しがもう少し必要ではないか、と感じました。これは回答を読んだ私の受け止めです。［3］

その後、2026年9月20日に、生成AIを活用して安全対策を別途点検しました。行ったのは、公開ページや公開されている部品、ブラウザーが受け取る設定などの確認です。サーバー内部に立ち入ったり、侵入を試みたりする検査ではありません。結果を6ページの資料にまとめて郵送し、2026年9月22日には町の問い合わせフォームでも要点と郵送した旨を伝えました。［4］［5］

そして2026年10月5日、町から今回の回答が届きました。問い合わせフォームへの送信から13日後です。回答には、実施した修正と、今後取り組む方針、運用体制についての説明がありました。［1］

回答と実際の改善を照らし合わせる

今回、外部から確認できた改善は大きく三つあります。

一つ目は、前回指摘した古いソフトウェア部品の更新です。対象だった12ページでは、該当する部品が更新されていました。

二つ目は、通信の安全性を高めたり、ページが読み込む内容を制限したりする保護設定の追加です。前回と同じ14ページすべてで、その設定を確認できました。

三つ目は、翻訳機能へのリンクを暗号化通信に統一したことです。この点も回答と実際の変更が一致しました。［1］［2］

単に「検討します」という回答だけでなく、目に見える修正が行われたことが、今回評価したい点です。安全対策の具体的な設定値や、悪用の手掛かりになり得る技術上の細部は、ここには掲載しません。

「100％解決」とは言わず、進んだことを評価する

一方、今回の確認をもって「このサイトにはもう問題がない」と宣言することはできません。対象は代表的なページと公開情報に限られますし、サーバー内部、認証や権限、委託先の実際の運用などは外部からの閲覧だけでは分かりません。

町は、部品の更新を保守業者と調整して計画的に進め、脆弱性診断についても実施に向けて検討すると回答しています。また、監視、事故時の連絡、定期的なバックアップ、復旧の体制について説明がありました。これらは町からの説明として受け止めます。診断が実施済みだという回答ではなく、復旧テストの実績まで私が確認できたわけでもありません。［1］

したがって、今回の評価は「前回の主要な指摘について、外部から確認できる範囲で具体的な改善を確認した」です。今後は、診断や継続保守の方針が実行に移され、定期的な確認が続くことを期待します。以前お伝えした、情報の整理や使いやすさなどの課題についても、安全対策とは分けて引き続き確認していきます。

町の回答に、前向きな変化を感じた

9月の回答と今回の回答では、質問の対象が異なります。そのため、町全体のWebサイトへの考え方が一挙に変わった、とまでは言えません。以前にも個別の修正は行われていました。

それでも、今回の安全対策については、具体的な実施と説明が示され、実際の変更も確認できました。この点を私は前向きな変化として受け止めています。

住民が町に問題点を伝え、町が確認して改善し、その対応を住民に説明する。そして、指摘した住民も改善状況を確かめ、町の対応をブログなどで読者に伝える。こうしたやり取りを積み重ねることが、よりよい行政サービスにつながるのではないでしょうか。指摘した側にも、修正された点を公平に評価する姿勢が必要だと思います。

生成AIは、安全対策に着手するための助けになる

今回の経験から、現在の高性能な生成AI、いわゆるフロンティアモデルは、Webサイトの安全対策について「何から始めればよいか」を整理する有用な手段になると感じました。

専門家を常時置きにくい小規模な組織では、技術の話を理解することや、保守会社に何を確認すべきかを整理すること自体が負担になります。AIは、公開情報を読み解き、専門用語を説明し、確認事項を並べ、相談文や依頼書の下書きを作る作業を助けます。職員や経営層も同じ資料を読みながら、判断に必要な知識を学べます。

今回も、公開情報の整理、一次資料との照合、町へ伝える文案、回答後の比較にAIを利用しました。ただし、AIに何ができるかは、使う製品・モデル、利用できる道具や権限によって異なります。AIなら誰でも完全な診断ができる、費用を掛けずに安全になる、という話ではありません。また、一つの事例だけで、あらゆる組織で同じ成果が得られるとまでは言えません。

AIに相談しながら、実際の対応へ進む

町の職員など、組織の担当者が自分たちのWebサイトを点検する場合は、次のような進め方が考えられます。

1. まず点検の対象と担当者の権限を確認する。組織の担当者は、自分たちが管理するサイトと保守会社の担当範囲を整理し、公開情報や手元の保守資料から確認を始めます。実際の攻撃を模して安全性を調べる「侵入試験」を行う場合は、サイトの管理責任者の明示的な許可を得たうえで、保守会社や診断事業者と対象・方法・実施時間を取り決めてから行います。
2. 担当者がAIに確認項目の整理を依頼する。その際、担当者はAIに「確認できた事実」「推測」「未確認の事項」を区別し、それぞれの判断の根拠となる公式資料を示すよう指示します。AIが挙げた資料を担当者自身が開き、出典が実在するか、説明が資料の内容と一致しているかを確かめます。
3. 保守会社への依頼を具体化する。何を調べるか、優先順位、作業の範囲、費用、停止の可能性、更新後の動作確認、問題があった場合の戻し方などを、AIと相談しながら質問書にまとめる。見積額そのものは、実際の構成と作業条件を示して事業者に確認します。
4. 必要な診断・修正は、管理者と専門家が責任を持って実施する。試験環境、バックアップ、作業後の確認を含めて計画し、対処した項目を再確認する。AIの助言は、その判断や作業の補助として使います。
5. 継続する仕組みをつくる。更新の担当者と確認周期を決め、部品更新、監視、事故時の連絡、バックアップからの復旧確認を続ける。安全対策は一度の修正で終わりません。［6］

たとえばAIには、「当組織のWebサイトについて、公開情報と提示した保守資料から、確認済み・推測・未確認を分けてください。根拠となる一次資料と、保守会社に尋ねるべき質問を整理してください」と依頼できます。資料を渡す際は、個人情報、認証情報、秘密の設定などを安易に入力せず、組織で認められた利用環境と取扱いルールに従う必要があります。

専門の事業者を探す際には、IPA（独立行政法人情報処理推進機構）が公開する情報セキュリティサービスのリストも参考になります。ただし、掲載の有無だけで決めず、対象範囲、費用、報告内容、修正後の再確認まで確かめることが大切です。［7］

追記：AIは、専門家と相談する力を支えられる

2026年10月5日追記

今回の取り組みを通じて、私は生成AIのもう一つの価値を感じました。それは、住民や組織の担当者が「専門家に何を尋ねればよいか分からない」という壁を越えるための助けになることです。

専門業務を外部に委託することは合理的です。その際、依頼する側も、作業の目的や範囲を理解し、説明を受けた結果について必要な確認ができると、協力の質を高められます。高性能な生成AIを相談相手に使えば、専門用語を学び、資料を読み解き、保守会社への質問を具体化しやすくなると考えます。

例えば、担当者がAIと確認事項を整理したうえで、保守会社に次のように尋ねることができます。

• 「部品を更新しました」という説明には、更新した範囲、更新後の動作確認、今後の更新を誰が確認するかを尋ねる。
• 「バックアップしています」という説明には、そのデータから実際に復旧する試験をしたか、業務再開までにどの程度かかるかを尋ねる。
• 「診断には費用がかかります」という説明には、見積もりに含まれる検査、優先して調べる部分、修正後の再確認が含まれるかを尋ねる。

ここでいう「対等に相談できる」とは、説明の意味を理解し、判断の根拠を尋ね、優先順位や費用について協議できることです。保守会社にとっても、依頼する側が何を求めているかが明確になり、必要な作業を提案しやすくなるはずです。

もちろん、AIを導入すれば専門家と同じ技能や経験が身に付くわけではありません。AIには、もっともらしい誤答や誤った根拠を示す問題があり、渡されていない内部構成や実際の運用状況も分かりません。米国国立標準技術研究所（NIST）も、生成AIの誤情報と、それを信じて行動する危険を指摘しています。実際の診断・修正・復旧確認は、管理者と専門家が責任を持って進める必要があります。［8］

私が特に期待するのは、担当者が実務を進めながら学べることです。保守会社から回答を受け、分からない箇所をAIに説明させ、原資料で確かめ、次の質問を考える。その記録や判断の理由を共有し、引き継げば、担当者が替わっても組織に知識を残せます。管理職や首長、企業なら経営者も、同じ資料を基に必要性や優先順位を理解しやすくなるでしょう。

こうした使い方が定着すれば、小さな組織でも、専門家の力を借りながら自分たちで判断する力を育てていけます。そのための学習や相談を、日常の仕事の中で繰り返し行えるようになる。ここに、私は「革命」と呼び得る可能性を感じます。

改善を確かめる活動を続けたい

今回、AIは住民が状況を理解し、町へ問題を伝えるための助けになりました。そして、実際に町のサイトを直したのは、担当する職員と保守事業者です。それぞれの役割がつながって改善に至ったことを、前向きに受け止めたいと思います。

今後も、できていない点だけでなく、対応された点も確かめながら、必要な提案を続けていきます。今回は、具体的な改善が確認できたことを報告し、町の対応を評価します。

参考資料・出典

［1］「三芳町ホームページについて」／三芳町財政デジタル推進課／2026年10月5日受信。本文の要点を紹介。メール原文と署名の個人情報は掲載していません。

［2］三芳町公式Webサイトの再点検記録／筆者・AI支援／2026年10月5日。公開14ページ等を非侵入的に比較。技術上の詳細は非公開。対象サイト：三芳町公式サイト

［3］Webサイト改善提案への回答書／三芳町（担当：秘書広報室・財政デジタル推進課）／2026年9月14日。筆者保管の回答書を要約。

［4］三芳町公式Webサイトの非侵入的セキュリティ点検資料／筆者・AI支援／2026年9月20日。町に提出した6ページの資料。技術上の詳細は非公開。

［5］「秘書広報室への問い合わせ」送信完了メール／LoGoフォーム／2026年9月22日。筆者保管。

［6］ウェブサイトの安全性を維持するためのチェックポイント20ヶ条／IPA／2019年更新、2026年10月5日確認。IPAのチェックポイント

［7］情報セキュリティサービス基準適合サービスリスト／IPA／2026年10月5日確認。IPAのサービスリスト

［8］Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile（生成AIリスク管理プロファイル）／米国国立標準技術研究所（NIST）／2024年7月。第2.2節「Confabulation（誤った内容の生成）」参照。2026年10月5日確認。