学びのマーケットプレイスwebサイトの、サーバー管理・保守

>>SSL/バックアップ、インフラ関連緊急時の対応等、システムインフラネットワークの管理・更新・保守、機能追加（月に一度程度）時の対応

>>そもそもどれくらいの時間が必要な作業なのか

サーバはレンタルということで考えてよろしいでしょうか？

これはあくまで請け負う側からの考え方で書きますね。

SSLの作業というのがよくわからないので飛ばして、バックアップは自動スクリプトなどを作ればあまり作業時間はかからないと思います。機能追加やOSのセキュリティパッチについてもyumで行ったり、phpのファイルの書き換え（機能追加作業は別ですよね？）程度であればこれも1時間程度ではないかと思います。

ここまでであれば、月に数時間レベルの作業なので、5千円/月程度の相場観ではないでしょうか。

ただし…

管理・保守の一番怖いところはトラブルが起きたときの対応ですよね。例えばサーバがダウンしたときに、復旧を優先させるのであれば、至急にバックアップのサーバを立ち上げて、バックアップからデータを戻して動かす。稼働してたサーバがダウンした原因を究明する。原因を取り除く。再稼働させる。といった手順になると思いますが、ダウンした原因により究明には時間がかかりますし、その原因を取り除くことも、OSレベルの話なのか、アプリケーションレベルの話なのかによって、対応時間は大きく違います。これならば、時間と技術料として換算すると数万円〜数十万円レベルになってもおかしくないと思っています。

考え方にもよると思いますが、1〜2年に一度は「きっとトラブルが起きるのではないか？」と予想されるのであれば、月々1〜3万円でトラブル対応まで含むということもできると思います。でも、こればっかりは保険や警備会社みたいなものなので、発注者の方がトラブルというものをどう捉えるか？だと思います。

私は技術系出身なので「技術的トラブルは絶対に起きる」と考えていますし、安かろう悪かろうでWebサービスの品質や評判を落としてしまうことを考えるかもしれません。

初めまして。株式会社しらこばとシステムサービスと申します。

murayamdさまが考える機密性、保全性、可用性の保ち方によって作業の詳細やかかる時間、費用は異なります。
カラクリスタジオ小笠原さんが回答した通り、単純なブログ運用では5千円/月～　と思います。
監視やセキュリティ対策を含む場合は内容により1万円/月～　と思います。

ただし、サーバの情報を見ると、メールアドレス等の個人情報が含まれています。
そのため、情報漏えい発生時の責任をmurayamdさまが引き受けるなら、責任をともわない作業のためその分費用は安くなると思います。
murayamdさまがセキュリティ対策をしっかりと指示して業務を委託する場合は、作業の証跡とインシデント発生に備えての追跡能力の確保が要求されるため、作業内容が増え、費用は高くなると思ってください。

情報システムを運用する場合、機密性(情報が組織や個人によって定められたルールどおりに保護できること)・保全性(情報の正確性や完全性が維持されること)・可用性(システムを必要に応じて利用・制御ができること)が要求されます。
それぞれの脅威には以下のようなものがあり、それぞれに対する対策が管理・更新・保守に求められます。
機密性の脅威：情報漏えい・なりすましや著作権侵害など
保全性の脅威：不正アクセスや誤動作など
可用性の脅威：不正アクセスやDoS攻撃、ウイルスや天災

①そもそもどれくらいの時間が必要な作業なのか
　・サーバ動作監視：システムを止めたくない時間があるならば張り付きます。
　　　定期動作確認(朝・昼・夜)ならばその時間帯
　　　不正アクセス監視、バックアップ・作業報告書作成等を行います。
　　　また、バックアップしたデータのリカバリテストを行う時もあります。
　・セキュリティ対策：対策内容によって異なります。
　　　手順書を作成(最初に数日位)
　　　手順書に従ったパッチ当てやログ解析(数時間)、
　　　トラブル発生時の原因切り分け調査・対策(数時間～数日)
　　　インシデント対応(数日～数か月)
②それにかかる費用のイメージ
　・サーバ動作監視：稼働時間分の人件費
　・セキュリティ対策：対策内容によって費用は異なります。
　　　セキュリティパッチ当て：数時間×作業者時給
　　　ログ解析、インシデント対応はスポットでもありますが私が知る限り10万/件～が相場です。(100万の例もありました)

以上、ご参考にしてください。

記載いただきました「１．依頼したい事項」「２．サイト規模」「３．その他備考」
は非常に重要な情報となりますが、以下もご検討いただくと良いかと思います。


システム運用（管理・更新・保守）のでは、さまざまな作業が対象に入ってくるか
と思います。
例えば、以下のような作業もご依頼されたい内容に含まれてくる可能性はあるかと
思いますがいかがでしょうか？
・SSL証明書の更新手続き一式を行ってほしい。
・システムの正常稼働を監視して、システム障害時にはメール通知してほしい。
・バックアップを取っている場合、有事にリストアまで対応してほしい。
・設定変更は、万が一を想定して切り戻しまで想定した準備をした上で
　作業を進めてほしい。

※ 上記載以外も多々あるかと思います。


また、障害対応などのインシデント対応が求められる場合は、金額には以下も関係
してくると思います。
・求められるサービスレベル（障害対応における初動の早さなど）
・復旧後の原因調査と対策立案、実際の変更対応の必要性

なお、長期でシステムを運用していると、色々相談したい事も出てくると思います
ので、相談しやすさなども重視されると良いと思います。


①そもそもどれくらいの時間が必要な作業なのか
　・各作業における要求レベルによっては、工数換算は難しい場合があります。
　・障害対応（インフラ関連緊急時の対応等）については、見込み数や
　　システム構成を事前に意識合わせした上で算出する事になるかと思います。

②それにかかる費用のイメージ
　・台数やシステム構成、求められる作業内容、各作業における役割分担に
　　よってお値段は変わってくるかと思います。
　・スタートアップしたばかりのサイトという事ですので、予算感に合わせた
　　金額提示を頂ける可能性もあります。


システムを運用していく上でどのような作業が必要か、いくらかかるのかは、
対応いただけそうなベンダー様等にご提案いただくと良いかと思います。

必要でしたらお声掛けください。
よろしくお願いいたします。

株式会社しらこばとシステムサービスです。

>一点、更に伺いたいのは、不正アクセスや動作確認などの作業はサーバー単位で起きるものではないかと思うのですが、レンタルサーバーだと持ち主が持つ責任というのは、サービス提供者によってまちまちなのでしょうか？

レンタルサーバーの場合プランによります。
占有型ではドメイン所有者＝一戸建て(サーバ一)の賃貸、共有サーバではドメイン所有者＝アパート(サーバ)の賃貸のイメージです。
そのため、サーバ全体に対する外部からのアクセスの遮断やサーバのリブートなどは共有サーバでは他の住人の迷惑になるため、行えません。
また、悪意を持つ第三者が不正アクセスの対象をサーバを標的にするか、個々のドメインを標的にするかで事情が異なります。
サーバが標的の場合はサービス提供者の責任、ドメインが標的の場合はドメイン所有者の責任と考えていれば間違い無いと思います。

よく聞くWebサイトの改ざんはドメインを標的にしています。
不正アクセスによって情報システムが改ざんされ重要な情報が漏えいするのも怖いですが、踏み台にされ他のサーバに不正アクセスを行った場合、それを証明しなければ不正アクセスを行ったのはドメインの持ち主となります。
そのため、サイバー犯罪では多くの誤認逮捕が報道されています。

弊社のWebサーバにも5月に入ってから国内外からのドメインを標的にした不正アクセスが増えています。
検出し次第、対象者のアクセスを禁止しています。
(「パスワードを複雑にする」対策は、不正アクセスを防ぐ方法ではなく、成功まで時間稼ぎをしてその間に対策を行うためにあります。6文字パスワードは最短17秒で破られるという報告もあります。)


>また、サーバーの持ち主がどの程度の対応をしているか、というのは我々借りている側のサーバー管理・更新・保守をどの程度行うべきか、に影響ありますか？

多くのレンタルサーバは規約によって、有限の責任しか負っていません。
不正アクセス対策の詳細は明らかにしていないサーバ会社が多いため、サーバ会社は最低限の対策しか行っていない前提で借主は対策を行う必要があります。
何も対策していなければ、ほぼ無限責任となり損害賠償の支払い、信用失墜などの影響が大きいといえます。
対策は保険と一緒なので費用対効果が見えない部分があります。
どの程度行うべきかは、守るべき情報の価値・被害額・脅威・脅威の発生頻度を良く考慮して決定します。
(福島原発を見ても分かるとおり、天災の場合は被害額は高くなりますが、実際がどうであれ発生頻度が低いと見積もった場合はその対策は後回しになります。)

以上、ご参考にしてください。

>一点、更に伺いたいのは、不正アクセスや動作確認などの作業はサーバー単位で起きるものではないかと思うのですが、レンタルサーバーだと持ち主が持つ責任というのは、サービス提供者によってまちまちなのでしょうか？また、サーバーの持ち主がどの程度の対応をしているか、というのは我々借りている側のサーバー管理・更新・保守をどの程度行うべきか、に影響ありますか？

株式会社しらこばとシステムサービス様も書かれているとおり、専用サーバの場合などで管理者権限（root）まで解放しているということであれば、サーバ業者は最低限のことしかやっていないと考えるべきだと思います。root権限を解放しているということは、サーバレベルでのセキュリティ対策は借り主が行わないとならないと理解するべきだと思います。