Internet Cleanup Foundation の記事は、かなりパンチのあるタイトルから始まります。
「欧州政府のサイトで、tracking cookies が3,000件、phpMyAdmin が1,000件、メールの99%が暗号化不足」。
数字だけ見ると煽りにも見えますが、この記事が言いたいのは単純な炎上ではなく、政府のWebセキュリティを継続的に見える化する仕組みが必要だということです。
その新しい取り組みが SecurityBaseline.eu。
2026年5月13日に公開されたこのサイトは、オランダの Basisbeveiliging という長年続く取り組みの“スピンオフ”です。
Basisbeveiliging は10年以上、政府の基礎的なセキュリティ状況を監視してきたらしく、しかも単なる民間の活動ではなく、政府政策の一部にもなっているそうです。ここはかなり興味深い点です。
「民間のセキュリティ監視」ではなく、政府自身がベースラインを作る文化があるわけで、こういう土壌があるからこそ欧州全体に展開できるのだと思います。
さらに記事によれば、公開の3か月前に欧州各国政府へ数万通のメールを送り、事前に結果を確認する時間を与えたとのこと。
このやり方はかなりフェアです。いきなり公表して吊し上げるのではなく、先に知らせる。私はこういう「透明性は保つ、でも改善の余地は与える」という姿勢は、かなり筋がいいと思います。
SecurityBaseline は、政府サイトの安全性を 21の metrics で測っています。
metrics とは、ざっくり言うと「評価項目」です。たとえば暗号化、DNS、cookie、公開されている管理画面など、Webサイトの基礎体力を見るための指標ですね。
測定対象はかなり広く、
を含む 32か国。
ただし 英国は含まない としています。
面白いのは、結果の見せ方です。
SecurityBaseline は、各国・各指標を地図で表示します。これが単なる数字の羅列よりずっとわかりやすい。
「どの地域に問題が集中しているか」が直感的に見えるので、行政向けのダッシュボードとしてかなり相性がよさそうです。
ただし、地図作成は国によって難しさが違うようです。
たとえばドイツは行政区分が複雑すぎて、正しく検証できる地図を作るのが大変らしい。逆にスウェーデンは比較的単純。
こういう話は、データ分析が「数字を取れば終わり」ではなく、行政区分の設計そのものが壁になることを思い出させてくれます。
記事では、毎晩 1,827枚の地図 を再生成しているとあります。
その元になるデータは、約20万のインターネットドメイン を日夜収集し、6万7千の地方自治体をまたいで集めているそうです。
ここで少し補足すると、ドメイン は Webサイトの住所のようなものです。
例えるなら「市役所の公式サイト」「その下にあるサブサイト」まで含めて見ているイメージです。
記事は、実際の政府系ドメイン数はもっと多く、本当はその10倍くらいあるのではないかと述べています。
特に、
などの「プロジェクト用サイト」が抜けやすいとのこと。
これ、かなりわかる話です。
行政サイトって、トップページだけが公式サイトではなく、イベント用、事業用、キャンペーン用など、いろんな派生サイトが増殖しがちです。
そしてそういう「本体以外のサイト」ほど、セキュリティ管理がゆるくなりやすい。たぶん、どこの組織でも似た問題があるのではないでしょうか。
SecurityBaseline の地図は、信号機の色で表示されます。
しかも、1つでも問題があればオレンジか赤 になります。
つまり、緑になるのは意外と難しい設計です。
この「甘くない」基準は好感が持てます。相対評価ではなく、**“安全は安全であるべき”** という考え方だからです。セキュリティに順位をつけても意味は薄い、という主張には強くうなずけます。
このサイトの21指標の中から、記事は特に気になる3つを取り上げています。
記事によると、3,081件の欧州政府サイト が、同意なしで tracking cookies を設置していたそうです。
tracking cookies とは、ユーザーの行動を追跡するための cookie のことです。cookie はWebサイトがブラウザに保存する小さな情報ですが、tracking 用に使うと、閲覧履歴や行動の追跡につながります。
ここで重要なのは、GDPR（EUの個人情報保護規則）では、同意は自由意思・具体的・十分な情報に基づき・明確でなければならない とされている点です。
つまり、ただ「このサイトを使うなら同意してね」では不十分で、ちゃんとした説明と選択が必要。
記事はさらに、そもそも政府が市民に対して監視技術を使う理由はない とかなり強く言っています。
これはちょっと言い切りが強いですが、私はかなり本質を突いていると思います。
政府サイトは広告事業ではないのだから、民間サイトと同じ感覚で tracking を入れるのはやはり筋が悪い、ということです。
なお記事は、こうした tracking の原因は多くの場合「悪意」ではなく、使いやすいけど広告由来のコストを含んだ技術をそのまま使ってしまうことだと述べています。
つまり、担当者が「追跡したい」と思っているというより、標準設定やテンプレートに引きずられているケースが多いのだろう、という見方です。これはかなりありそうです。
記事では、国によって tracking cookies の割合にかなり差があるとしています。
例えば、ドイツは 0.59%、フランスは 3.88% と大きく違うそうです。
人口やサイト数とは相関がない、とも書かれています。
この手の差は面白いですね。
つまり、問題は国の規模ではなく、運用文化と政策にかなり左右されるということです。
セキュリティは「大きい国ほど危ない」「小さい国ほど安全」といった単純な話ではない、というのがよくわかります。
記事は、cookie 同意バナーがあっても安心ではない、と釘を刺しています。
過去の研究では、少なくとも30%のバナーは効果がなく、それでも tracking cookies が漏れていたとのこと。
これは地味に怖い話です。
「表示されているからOK」ではなく、実際に送信されていないかを見ないといけない。法令対応もWeb実装も、見た目だけではダメという典型例です。
記事では tracking cookies の出どころとして、
が挙げられています。
特に YouTube が多いのは、埋め込み動画を使うサイトが多いからでしょう。
便利な一方で、外部サービスの読み込みは追跡とセットになりやすい。
政府サイトでも「動画を載せたい」という気持ちはわかるのですが、便利さの代償が大きいのが悩ましいところです。
記事タイトルにもある phpMyAdmin は、データベースをブラウザから管理するための有名なツールです。
便利ですが、インターネットから誰でも到達できる状態だと、かなり危険です。
管理画面を玄関ドアの外に出しっぱなしにしているようなものだと思っていいです。
本文のこの指標は、かなり危機感をあおる内容です。
公開到達可能な管理画面が多いということは、設定ミスや放置、あるいは資産管理の甘さが広く残っている可能性を示します。
記事ではこの点について詳しい数値の全体像は、抜粋部分ではそこまで多く示されていませんが、少なくとも**“1,000件超”** という規模感は無視できません。
個人的には、tracking cookies よりもこちらの方が、直接的な事故につながりやすいので怖いと感じます。
これもかなり衝撃的です。
記事は、政府メールの99%が適切に暗号化されていない と述べています。
メールの暗号化は、途中で内容をのぞかれにくくする仕組みです。
ただし、メールは仕組み上、昔から暗号化が“標準で完全”というわけではなく、設定や運用の積み上げが必要です。
この数字が事実なら、かなり大きな問題です。
政府は国民に対してさまざまな情報を送る立場にあるわけで、その通信が弱いのは、やはりまずい。
「メールなんて今さら」と思う人もいるかもしれませんが、実務では今でもメールは主流です。だからこそ、ここが弱いと影響は大きいです。
この記事の価値は、単に「政府サイトがダメだった」と言っている点ではありません。
むしろ、
という仕組みづくりの話になっているのが面白いです。
特に、以下の姿勢は印象的です。
つまり、「今の問題を潰して終わり」ではなく、変化し続ける前提で運用せよと言っています。
これはWebセキュリティ全般に通じる考え方で、私はかなり重要だと思います。
率直に言うと、この調査はかなり刺激的です。
タイトルは挑発的ですが、内容はちゃんと測定・公開・改善提案に根ざしていて、ただの煽り記事ではありません。
特にいいなと思ったのは、政府に対して「ちゃんと自分で基準を作り、公開し、直せるようにしよう」と迫っているところです。
政府サイトのセキュリティは、一般企業よりもなおさら「説明責任」が求められます。だからこそ、こうした透明性のある監視は意味があるはずです。
一方で、この記事の数字はかなり強烈なので、読む側としては「本当にそこまで広く問題があるのか？」と一瞬身構えるかもしれません。
でも、少なくとも政府サイトでも驚くほど基本的なミスが残っていることは、こういう調査から見えてくる。そこは目をそらせない現実だと思います。
SecurityBaseline.eu は、欧州の政府サイトを対象にしたセキュリティの“健康診断”のようなものです。
しかもその結果がかなり厳しい。
こうした問題は、どれか1つだけなら「うっかり」で済むかもしれません。
でも、広い範囲で積み重なっているとなると、やはり構造的な問題です。
個人的には、この取り組みは「政府向けのセキュリティ可視化のあるべき姿」にかなり近いと思います。
地図で見せる、数値で追う、改善を促す。
地味だけど、こういう継続的な仕組みがいちばん効くのではないでしょうか。
