会員制Webサイトの構築を依頼する前に｜会員区分・公開範囲・運用体制の決め方

会員制Webサイトの構築を依頼する前に整理したいのは、「誰が会員になれるか」「どの情報に、どの操作を許すか」「登録後の変更・停止を誰が扱うか」です。ログイン画面や必要な機能を挙げるだけでは、会員ごとの公開範囲や運営の手順までは決まりません。

会員制ホームページの作成を検討している場合も、まずは利用者、情報、操作、運営担当を具体化するところから始めましょう。この記事では、公開範囲の整理例と運営上の確認事項を通じて、制作・開発先へ何を伝えればよいかを説明します。完成した要件定義書がなくても、決まっていることと相談したいことを分ければ、依頼の準備を進められます。

誰が、何のために使う会員サイトかを決める

最初に、「誰に、何をしてもらうためのサイトか」を一文で表してみてください。顧客に共通の資料を配布するサイトと、取引先ごとに異なる資料を共有するサイトでは、必要な公開範囲や管理方法が変わります。

次に、個人単位で利用するのか、企業単位で情報を共有するのかを確認します。同じ会社に所属する担当者でも、それぞれが自分の情報だけを扱うのか、社内で共通の資料を使うのかによって、許可する操作を分ける必要があります。

このとき、会員区分、所属企業、利用状態を混ぜずに整理すると、条件を説明しやすくなります。たとえば、説明用の架空例として「取引先／A社／承認待ち」という会員を考えると、それぞれの意味は次のように異なります。

• 会員区分：取引先 — どのような立場で利用する人か。
• 所属企業：A社 — どの企業の情報を扱う人か。
• 利用状態：承認待ち — 現在、利用を許可されている段階か。

同じ取引先でも、所属企業が違えば見せる資料を分けたい場合があります。また、同じA社の担当者でも、承認前と利用開始後で許可範囲が変わることがあります。

目的は区分名を増やすことではありません。「この人とあの人で、見られる情報やできる操作に違いがあるか」を明らかにすることです。

ログイン後に見せる情報と、許可する操作を整理する

ログインできることと、すべての会員向け情報を利用できることは別です。認証は利用者を確認すること、認可はその利用者に何を許可するかを確認すること、と分けて考えると整理しやすくなります。

IPA「アクセス制御や認可制御の欠落」の1.11.2でも、認証機能に加えて、利用者に操作を許可する認可処理を設けることが示されています。

依頼前には、サイトで扱う情報を、公開情報、会員共通資料、企業別資料、本人情報、運営者向け情報などに分けてみましょう。そのうえで、誰に閲覧、ダウンロード、登録、編集、削除を許可するかを組み合わせます。自社で使わない情報区分や操作まで、すべて用意する必要はありません。

以下は、企業別に資料を配布するサイトを想定した架空の整理例です。許可内容は説明のためのもので、推奨設定やKizashiの標準仕様を示すものではありません。

この表で確認したいのは、利用できる場面と利用できない場面の両方です。「A社会員はA社向け資料を読める」だけでなく、「他社向け資料は読めない」まで伝えると、公開範囲の境界が明確になります。

資料ファイルについても確認が必要です。画面上のリンクを隠すだけでは、ファイルのURLを直接開いた場合の扱いまでは決まりません。会員限定の資料は、直接アクセスした場合にも権限が確認されるかを制作・開発先に確認しましょう。

OWASPのAuthorization Cheat Sheetは、利用者・対象資源・操作の組み合わせを検討し、必要最小限の権限を付与することを推奨しています。各リクエストや保護対象ファイルの権限確認、公開後の権限の見直しも、同資料の技術上の推奨に含まれています。

登録から変更・停止までの手続きを決める

登録方法と承認担当を決める

登録方法は、利用目的に合わせて選びます。広く利用者を受け付けるなら自由登録、対象者をあらかじめ把握しているなら招待、所属や取引関係を確認してから利用を認めるなら申請承認、といった検討ができます。

申請承認にする場合は、承認機能の有無だけでなく、誰が何を確認して判断するかを決めましょう。申請内容に不足があった場合の連絡担当や、承認を待つ間に利用できる範囲も整理します。ログインできないという問い合わせを誰が受けるかも、登録手続きとあわせて決めておく事項です。

登録項目には、それぞれ利用目的が必要です。氏名、連絡先、所属企業などについて、何のために集め、誰が利用するのかを確認してください。個人情報保護委員会「ガイドライン（通則編）」の3-1-1でも、個人情報の利用目的をできる限り特定することが示されています。

有料会員制にする場合は、これらに加えて課金と利用状態の関係も検討します。資料共有などが目的であれば、有料会員を前提に要件を増やす必要はありません。

所属変更・担当者交代・退会時の扱いを決める

登録後には、連絡先の変更、所属企業の変更、担当者交代、利用停止、退会が発生し得ます。それぞれについて、本人が変更できる範囲と、運営者が確認して変更する範囲を分けましょう。

先ほどの架空例で、A社の担当者が別の企業に移った場合を考えてみます。所属名を変更するだけでよいのか、変更前のA社向け資料へのアクセスを終了するのか、新しい所属先を確認するまで利用を保留するのか。通常の登録だけを考えていると、このような判断が抜けやすくなります。

また、アクセスを終了することと、保存済みのデータを削除することは、別々に決めます。 利用停止後に会員資料を開けなくする条件と、登録情報や履歴をいつまで保管するかという条件を分けて伝えてください。

個人情報保護委員会の通則編3-4-1では、利用の必要がなくなった個人データを遅滞なく消去することは努力義務とされています。退会時にすべてのデータを即時削除するという一律の扱いではなく、取扱内容や適用される条件に応じて、保管する理由と削除の条件を整理しましょう。

公開後の運営を、自社と委託先で分担する

公開後の運営は、「保守を依頼する」という言葉だけでまとめず、具体的な作業に分けて担当を確認します。

• 会員承認： 所属や利用資格を確認し、承認・差し戻しを判断する。
• 資料更新： 掲載する資料を用意し、公開先を確認して更新する。
• 問い合わせ対応： 会員情報の変更やログインの問題を受け付け、必要に応じて委託先へ引き継ぐ。
• 権限の見直し： 所属変更、担当者交代、利用終了に応じて、会員と運営者の権限を確認する。
• 障害・保守対応： 障害の連絡先、システム更新、バックアップ、復旧を担当する範囲を決める。

とくに資料更新では、ファイルを掲載する担当と、公開してよい相手を判断する担当が同じとは限りません。誰が公開範囲を確認してから更新するのかまで決めると、日常の作業手順を制作・開発先へ伝えやすくなります。

権限は公開時の設定で固定せず、担当者の異動や業務の変更にあわせて見直す機会を設けましょう。運営者側の権限も対象に含めます。

個人データの取扱いを委託する場合には、委託先への必要かつ適切な監督も求められます。個人情報保護委員会の通則編3-4-4を踏まえ、委託する業務とデータの範囲、管理状況の確認方法を相談事項に含めてください。

障害時の対応時間、復旧目標、バックアップの対象、保守に含まれる作業は、契約前に個別に確認する条件です。日常運営の依頼範囲とあわせて確認しておきましょう。

依頼時には、初期範囲と例外時の動きを伝える

制作・開発先には、ここまで整理した内容に加えて、最初の公開でどこまで実現したいかを伝えます。初期対象の会員と資料、企業別公開の有無、既存会員データの有無、ほかのシステムとの連携が必要かを共有しましょう。

機能をすべて同時に盛り込むのではなく、公開時に必要なものと、後から検討できるものを分けます。たとえば、会員共通の資料配布が最初の目的なら、企業別の細かな機能をいつ必要とするかは別の判断として残せます。まず利用場面を伝え、それに合う実現方法を相談する順序です。

完成後の確認条件には、通常の操作に加えて、許可しない操作も含めます。先ほどの架空例なら、次のように伝えられます。

• 利用中のA社会員は、A社向け資料を閲覧できる。
• 別企業の会員は、A社向け資料を閲覧できない。
• 承認待ちの会員は、会員限定資料を開けない。
• 利用停止後は、保護対象の資料をURLから直接開こうとしても利用できない。

このような条件は、制作・開発先が仕様を整理する際にも、自社が完成後に確認する際にも使えます。

会員管理、承認、既存データとの接続が関わる場合は、見えるページの制作に加えて、業務上の処理やデータの扱いをどこまで依頼するかも確認しましょう。Kizashiは業務／Webシステム開発を提供しています。会員の申請から承認、情報変更までを誰がどう処理したいかを整理し、会員管理や承認業務を含むWebシステム開発の対応範囲を確認することが、相談先を検討する際の次の一歩になります。

決まったことと未決事項を分けて、構築の相談へ進む

会員制Webサイトの構築を相談する前に、次の事項について、決まっていることと判断に迷っていることを分けてみてください。

• 利用者と目的：誰が、何のために使うのか。
• 情報と操作：誰が、何を閲覧・変更できるのか。
• 登録後の手続き：承認、所属変更、停止・退会をどう扱うのか。
• 運営担当：自社と委託先で、どの作業を分担するのか。
• 初期範囲：最初に必要な機能と、後から検討する機能は何か。

すべてを決め切ってから相談する必要はありません。「取引先に資料を配りたいが、企業ごとに分ける必要があるかは未定」のように、利用場面と迷っている点を伝えることから始められます。

Kizashiでは、Webサイト制作と業務／Webシステム開発を提供しています。公開ページで何を伝えるか、会員向けに何を使えるようにするか、運営者がどの作業を行うかを整理すると、ページ設計と業務機能の両面から相談範囲を具体化できます。

まずは、公開ページの情報整理からWebサイト制作の対応範囲を確認するところから進めてください。そのうえで、自社の利用目的と公開範囲、運営上の未決事項を伝え、どこまでを制作・開発の対象にするか相談しましょう。