Award ForceとZoho Sitesが公開しているセキュリティ情報（認証・暗号化・バックアップなど）を整理し、基盤は事業者、運用は利用者という責任共有の考え方を解説。アカウント・権限・多要素認証・個人情報の取り扱いなど、利用者が運用で押さえたいポイントもチェックリストで紹介します。
Award ForceとZoho Sitesの
セキュリティ環境を知る
公開情報の整理と、利用者が運用で押さえておきたいポイント。「基盤は事業者、運用は利用者」という責任の分け方から、わかりやすく解説します。
SOC 2 Type II独立した監査を受けたと公表
SOC 2 Type 2 ほかZoho公式のコンプライアンスページ
この記事の内容
「責任共有」で考える
クラウドサービス（SaaS）のセキュリティは、事業者がすべてを担うものではありません。サーバーや通信の保護、脆弱性への対応、認証の取得といった基盤の部分は事業者が、アカウントの管理、権限の設定、公開する内容、データの取り扱いルールといった運用の部分は利用者が、それぞれ担います。
事業者が担う部分
- インフラ・通信・保存データの保護
- ソフトウェアの更新と脆弱性対応
- 第三者による監査・認証の取得
- 障害・インシデントへの対応体制
利用者が担う部分
- アカウントと権限の管理
- 多要素認証などの設定の活用
- 収集する情報の範囲と保管ルール
- 関係者への注意喚起・連絡体制
近年のセキュリティ被害は、基盤の突破よりも、パスワードの使い回しやフィッシング、不要になったアカウントの放置、設定の見落としといった利用側の事情から起きる例が少なくありません。事業者の対策を知ることと同じくらい、自分たちの運用を整えることが重要です。
Award Forceの公開情報を整理する
Award Forceは、アワード・コンテストの応募、審査、結果発表を管理するクラウドプラットフォームです。公式のセキュリティページに記載されている主な内容は次のとおりです。
| 項目 | 公開されている内容 | 運用での見方 |
|---|---|---|
| 認証・監査 | ISO/IEC 27001:2022、SOC 2 Type II（セキュリティ・可用性・機密性）の監査を受けたと記載。PCI DSSへの準拠も記載。 | 公開ページに監査日の記載はありません。取得時期や有効期間が必要な場合は確認が必要です。 |
| ホスティング | AWS上で運用。EU、米国、香港、カナダ、オーストラリアのリージョンがあり、データの所在地を選択できると記載。 | 応募者の所在地や主催者の規程に合わせて、導入時に選択します。 |
| 暗号化 | 保存データの暗号化。通信はTLS 1.3が既定。パスワードはbcryptでハッシュ化し、12文字以上を必須とすると記載。 | 基盤側の保護です。利用者側は、パスワードの使い回しを避ける運用が重要です。 |
| アクセス管理 | サーバーはVPC内に置き、運用者のアクセスはSSH鍵とVPN経由に限定。AWSの管理にはIAMと多要素認証を使用。FTPアクセスはないと記載。 | 事業者側の内部統制です。 |
| ロールと権限 | 応募者、審査員、コーディネーター、マネージャーなど、役割ごとに権限を設定できると記載。 | 担当者の増減に応じて、最小限の権限を割り当てます。 |
| 多要素認証 | 利用者は任意で設定でき、昇格権限を持つロールには必須にできると記載（主な方式はTOTP）。 | 管理者・コーディネーターなどには必須化を検討します。 |
| 脆弱性診断 | 第三者による脆弱性診断・ペネトレーションテストを実施。直近の証明書や結果は要請により提供すると記載。 | 稟議や監査で必要な場合は、資料の提供を依頼します。 |
| 稼働率 | 2016年以降、99.96%超と公表。 | 事業者による公表値です。 |
| インシデント時 | セキュリティインシデントやデータ侵害が起きた場合は、アカウントオーナーにメールで通知すると記載。 | 通知先メールアドレスを最新に保つ必要があります。 |
出典：Award Force 公式「Privacy, security + compliance」ページ。公開ページでは、SSO/SAML、監査ログ、データの保持期間、サブプロセッサーについての記載は確認できませんでした。これらが要件に含まれる場合は、Award Forceへの確認をお勧めします。
Zoho Sitesの公開情報を整理する
Zoho Sitesは、award-ofの本ブログをはじめ、多くのWebサイトの基盤として使われているWebサイト作成・ホスティングサービスです。Zoho Sites自体の製品ページには「保証」のような宣伝表現もあるため、本記事では、数値や仕組みが確認できるZoho全体のセキュリティ・コンプライアンス情報を中心に整理します。
| 項目 | 公開されている内容 | 運用での見方 |
|---|---|---|
| 認証・監査 | Zoho全体として、ISO/IEC 27001、27017、27018、SOC 2 Type 2などを公表。Zoho Sitesが対象製品として明示されているのは、SOC 2＋HIPAA Type 2。 | ISO認証などは「Zohoのクラウドサービス全般」の記載です。個別製品での適用範囲が必要な場合は確認します。 |
| 通信の保護 | サーバーへの接続はTLS 1.2/1.3を必須とし、HSTSを有効化。Zoho Sitesの製品ページでは無料のSSL証明書を提供と記載。 | 公開サイトの常時HTTPS化は、基盤側で用意されています。 |
| 保存データ | 機密性の高い顧客データは256ビットAESで暗号化と記載。 | — |
| バックアップ | 増分バックアップは毎日、フルバックアップは毎週。保持期間は3か月で、AES-256で暗号化と記載。 | 障害対策としての事業者側のバックアップです。サイトの控えは、利用者側でも保管すると安心です。 |
| アクセス管理 | 最小権限とロールベースの権限管理を原則とし、本番環境へのアクセスには二要素認証などを使用と記載。 | 事業者側の内部統制です。 |
| 多要素認証 | Zohoアカウントで、生体認証、プッシュ通知、QRコード、ワンタイムパスワード、セキュリティキー（YubiKey）に対応と記載。 | サイト管理者のZohoアカウントで有効にすることが基本です。 |
| 脆弱性管理 | 脆弱性は重大度に応じて優先順位をつけて対応。バグバウンティ制度を運営と記載。 | — |
| インシデント | 専用の窓口（[email protected]）で受け付け。侵害時の通知は、各地域の法令に定める期限に従うと記載。 | — |
| データの削除 | 解約後のデータは6か月ごとのクリーンアップで削除。バックアップからは3か月後に削除と記載。 | 解約後も一定期間データが残る可能性を前提にします。 |
出典：Zoho 公式「Compliance at Zoho」「Security」ページ、Zoho Sites 公式ページ。データセンターの所在地は公開情報では確認できません。
PHPなど自社運用のシステムとの違い
PHP製のCMSやプラグインを自分たちで運用する場合、サーバーやソフトウェアの更新、プラグインの管理、脆弱性情報の収集と対応は、すべて運用側の仕事になります。更新の遅れや、使われなくなったプラグインの放置が、被害の入口になりがちです。
Award ForceやZoho Sitesのようなマネージドサービスでは、これらの更新・保守を事業者が担います。Zohoの公式ページでも、更新はZohoが管理し、外部プラグインを前提としない設計であることが説明されています。利用者は、サーバーの保守から解放され、アカウントや公開内容の管理に集中できます。
ただし、リスクがなくなるわけではありません。管理画面のアカウントが乗っ取られれば被害は起こり得ますし、事業者側に脆弱性が見つかることもあります。大切なのは、事業者が問題発生時にどのような通知・対応をするかを事前に把握し、利用者側の運用を整えておくことです。
利用者が運用で考慮すべきポイント
Award Forceを運営する場合
- アカウントと権限を最小限に。運営スタッフの役割に合わせて権限を割り当て、担当替え・退任時にはすぐに削除します。アカウントの共用は避けます。
- 多要素認証を活用する。多要素認証は利用者の任意設定ですが、管理者やコーディネーターなどの高い権限には必須化できます。審査員には、負担とのバランスを見て案内します。
- データの所在地を確認する。応募者の所在地や主催団体の規程に合わせて、導入時にデータ所在地のリージョンを選びます。
- 応募者・審査員へ注意喚起する。パスワードの使い回しを避けること、公式のメールか確認すること、ログイン情報を他人と共有しないことを、案内文に入れておきます。
- 収集する情報を絞る。応募フォームの項目は必要最小限にし、保管期間と削除のルールを、募集前に決めておきます。公開情報ではデータの保持期間の記載が確認できないため、必要に応じて確認します。
- 書き出したデータを管理する。審査結果やコメントをエクスポートして共有する場合は、保管場所とメール添付のルールを決めます。外部のAIサービスなどに入力する場合のルールも、事前に定めます。
- 連絡体制を整える。インシデントの通知はアカウントオーナーのメールに届くため、連絡先を最新に保ち、迷惑メールに振り分けられていないかも確認します。社内の報告手順も決めておきます。
- 必要な資料を入手する。稟議や監査でSOC 2報告書やペネトレーションテストの証明書が必要な場合は、取得時期や有効期間とあわせて、事前に提供を依頼します。
Zoho Sitesでサイトを運営する場合
- Zohoアカウントを守る。サイト管理者のZohoアカウントで多要素認証を有効にし、パスワードは使い回さないようにします。
- 編集できる人を絞る。サイトを編集できる人は必要最小限にし、退職・異動のときに権限を見直します。
- 埋め込みコードの出所を確認する。外部のスクリプトやウィジェットを埋め込む場合は、提供元を確認し、使わなくなったものは削除します。
- フォームで集める個人情報を絞る。収集項目は必要最小限にし、送信先の管理とプライバシーポリシーの記載を整えます。
- ドメインの管理を確実に。ドメインの管理アカウントを保護し、更新期限と自動更新の設定を確認します。
- 公開前に内容を確認する。限定公開のページや資料が意図せず公開されていないか、公開前にチェックします。
- サイトの控えを持つ。事業者側のバックアップに頼りきらず、主要な内容は自分たちでも保管しておきます。
- 解約・移行のときは余裕を持つ。解約後のデータは定期的な削除処理の対象となり、すぐには消えない場合があります。削除が必要な場合は、事前に確認します。
よくあるご質問
Q. Award Forceを使えば、絶対に安全ですか？
いいえ。第三者の監査を受けた事業者の基盤を使うことでリスクは下げられますが、ゼロにはなりません。アカウントの管理や情報の取り扱いなど、運用側の対策もあわせて必要です。
Q. 稟議や監査のために、セキュリティ資料は入手できますか？
Award Forceは、一部の資料（ペネトレーションテストの証明書など）を要請により提供すると公表しています。必要な資料や確認事項がある場合は、お問合せからご相談ください。
Q. 公開されている情報は、いつの時点のものですか？
本記事は2026年10月時点の公開情報にもとづきます。認証や機能は変更される場合があるため、最新の情報は各社の公式ページでご確認ください。
- Award Force：Privacy, security + compliance
- Zoho：Compliance at Zoho
- Zoho：Security
- Zoho Sites：Website infrastructure
- Zoho Sites：WordPress alternative
award-of は、Award Force の日本正規パートナーです。本記事は一般的な情報提供を目的としており、各社の公式情報に代わるものではありません。（情報の基準日：2026年10月28日）