「一度対策した」が最も危ない理由
「半年前にセキュリティ会社に診断してもらった。だから大丈夫。」——このように考える経営者は少なくありません。しかし、それは大きな誤解です。
Webのセキュリティは、一度確認して終わりにできるものではありません。理由は単純です。毎週、新しい脆弱性（CVE）が世界中で公開されているからです。
- 2025年に公開されたCVE（脆弱性情報）は年間2万件超：1日平均50件以上の新脆弱性が発見・公開されています。
- 古いWordPressプラグインは半年で「危険」になる：半年前に安全だったプラグインが、今日は既知の攻撃手法で侵入できる状態になっている場合があります。
- SSL証明書の有効期限は90日が主流に：Let's Encryptの普及でSSL証明書は90日更新が当たり前。更新を忘れると突然「保護されていない接続」と表示されます。
「一度診断した」はスナップショットに過ぎません。診断した翌日から、新しいリスクは積み上がり続けます。
なぜセキュリティ対策は「続かない」のか
「継続しなければ」とわかっていても、多くの企業でセキュリティ対策が途中で止まります。その原因は意志の問題ではなく、構造的な問題です。
原因①：専門知識がないと何をすればいいかわからない
「TLS 1.3に対応すべき」「Content-Security-Policyを設定せよ」と言われても、エンジニアが社内にいなければ何をすればいいかわかりません。知識がなければ、問題が存在することにすら気づけません。
原因②：毎月チェックする仕組みがない
「月1でチェックしよう」と決めても、日常業務が優先になります。担当者が変われば引き継ぎも難しく、「後でやる」が積み重なって1年放置、というケースが実際に多く見られます。
原因③：新しい脅威情報を追えない
CVE情報を毎日追い続けるのは、専任のセキュリティエンジニアがいても大変な作業です。中小企業が片手間でできるものではありません。
原因④：問題を見つけても直し方がわからない
脆弱性を発見しても、「どのファイルの何行目を、どう修正するか」がわからなければ対処できません。エンジニアへの依頼コストと時間で、対応が先延ばしになります。
これらの4つの壁を越えない限り、セキュリティ対策は「一度きり」で終わります。
継続監視を「仕組み」にするとどう変わるか
4つの壁を自力で乗り越えようとする必要はありません。AIに任せて、仕組みとして回し続ける——それが唯一の現実解です。
SELF-CONSULTINGの「Custos（クストス）」は、先ほどの4つの壁をそれぞれ直接解決するために設計されています。
壁①「何をすればいいかわからない」→ AIが判断してレポートで届ける
SPF・DKIM・DMARCのメール認証設定、HaveIBeenPwnedによる情報漏洩チェック——専門用語を知らなくても、Custosが自動で確認して日本語レポートにまとめます。「何が問題か」を知るために専門家は不要です。
壁②「毎月チェックする仕組みがない」→ 担当者がゼロでも止まらない
月次スキャンは自動で実行されます。担当者が変わっても、業務が忙しくても、監視は止まりません。「後でやる」が消滅します。
壁③「新しい脅威情報を追えない」→ CVEアラートで即時通知
NVD（米国国立脆弱性データベース）と連携し、あなたのサイトに影響する新しい脆弱性が公開された瞬間にアラートが届きます。世界中のセキュリティ情報を追い続けるコストがゼロになります。
壁④「問題を見つけても直し方がわからない」→ 月次レポートで優先順位まで整理
毎月の監視結果を危険度レベル別に整理した日本語レポートとして送信します。「何を先に直すか」が一目でわかり、エンジニアへの依頼書としてそのまま使えます。役員報告・社内共有にも対応しています。
4つの壁がすべて消える。それがCustosの継続監視プランです。情報漏洩1件あたりの対応費用が平均3〜5億円と言われる中、月額¥7,980で「守られている状態」を維持できます。
