「脆弱性が見つかったので、サーバーのOSを更新する必要があります」。開発会社や運用会社からこう連絡が来るたびに、「それは誰がやるの？」「保守費に入っているはずでは？」と戸惑う方は少なくありません。
「脆弱性のニュースが出るたびにサーバーのOS更新が必要と言われるけれど、誰がやるのか、保守費に含まれているのか分からない…」
先に結論をお伝えします。OS更新を誰がやるかは、システムの置き方（サーバーの種類）と、保守契約に何が書いてあるかで決まります。「保守費を払っているから当然やってくれる」とも「別料金のはず」とも言い切れません。だからこそ、更新が必要になる前に、契約書と見積書で「OS更新は誰が・いつまでに・いくらで」を確認しておくことが大切です。
この記事では、OS更新（＝サーバーの基本ソフトを新しい状態にすること）の担当が決まる仕組みと、発注者が確認したい5つのこと、開発会社にそのまま聞ける質問例を解説します。内容は2026年10月時点の一般的な考え方で、個別の契約の解釈は契約書の文面や専門家への確認が必要です。
なぜ「誰がやるのか」があいまいになりやすいのか
最初に、あいまいになる理由を押さえましょう。理由が分かると、確認すべき場所も見えてきます。
理由1：「保守」という言葉が指す範囲が会社ごとに違う
「保守」には、不具合の修正、問い合わせ対応、サーバーの監視、OSやソフトの更新など、さまざまな作業が含まれえます。ところが契約書に「システム保守一式」としか書かれていないと、どこまで含むのかが読み取れません。開発会社は「アプリの不具合対応が保守」と考え、発注者は「サーバーの面倒も全部見てもらえる」と考える。こうしたずれが、あいまいさの正体です。
理由2：サーバーの置き方で「誰の持ち物か」が変わる
OSを更新する担当は、サーバーをどう用意したかで大きく変わります。たとえばAWSは、責任の分け方を「責任共有モデル」として公表しています。
📰 出典：AWS「責任共有モデル」
この説明では、仮想サーバー（EC2）を使う場合、ゲストOS（＝利用者が使うサーバー上のOS）の更新やセキュリティパッチ（＝不具合や弱点を直す修正プログラム）の適用は利用者側の責任とされています。一方、AWSがOSやプラットフォームまで運用するタイプのサービスでは、OSの更新はサービス側が担い、利用者はデータの管理やアクセス権限などに責任を持つ形になります。
つまり、同じ「クラウド」でも、OS更新の担当は構成によって変わります。「クラウドだから全部お任せ」とは限らないのです。
理由3：脆弱性のニュースは「いつ」「急いで」来る
OS更新は、あらかじめ予定を組める定期作業と、ニュースをきっかけに急いで行う緊急作業に分かれます。契約で想定されているのは前者だけ、ということがよくあります。緊急対応は夜間・休日になることもあり、「契約外の別料金」と扱われやすい部分です。なお、サーバーの脆弱性ニュースが出たときの最初の動き方は、次の記事も参考になります。
発注者が確認したい5つのこと
1. サーバーの種類：誰がOSを持っているシステムか
まず、自社のシステムが次のどれに近いかを確認します。
| 置き方 | OS更新の担当の目安 | 発注者の確認ポイント |
|---|---|---|
| 仮想サーバー・VPS・レンタルサーバーの専用プランなど（OSを自分たちで管理するタイプ） | 利用者側（＝開発会社・運用会社に頼むなら、その会社） | 保守契約にOS更新が入っているか |
| マネージドサービス・PaaS・サーバーレスなど（OSをサービス側が管理するタイプ） | 主にサービス提供事業者 | アプリ側のライブラリ更新は誰か |
| 共用レンタルサーバー | 主にサーバー提供事業者 | 利用者側で更新が必要なもの（CMS等）は誰か |
| 自社設置・データセンターの機器 | 自社または委託先 | 機器の保守契約の範囲 |
目安なので、最終的には構成図や契約で確認してください。「うちはどれですか？」と開発会社に聞くのが最も早い方法です。
2. 保守契約の範囲：OS更新は「含む」「含まない」「別途」のどれか
契約書・見積書・保守の仕様書で、次の言葉を探します。
- 「OS」「ミドルウェア」「セキュリティパッチ」「脆弱性対応」といった文言
- 「定期」「緊急」の区別
- 「作業は別途見積もり」「対象外」と書かれた項目
書かれていなければ「含まない」と決めつけず、「含まれるか書面で確認したい」と伝えましょう。役割分担や対象範囲は、契約で明確にしておくことが基本です（個別の解釈は契約書の文面や専門家への確認が必要です）。
3. 費用の扱い：定期更新と緊急対応で単価が違うか
次の3点を聞いておくと、後で金額に驚くことが減ります。
- 月額の保守費に、定期のOS更新（例：月1回）は含まれているか
- 緊急の更新は、月の工数枠内か、別途請求か
- 夜間・休日の作業に割増があるか
「いくら」だけでなく「どの条件で」かかるのかを確認するのがポイントです。
4. 対応の流れとスピード：いつまでに、誰の承認で行うか
OS更新は、再起動などでシステムが一時的に止まることがあります。そのため、実施前に発注者の承認が必要かも決めておくとスムーズです。
- 緊急度が高い脆弱性のとき、通知から何日以内に対応するか
- 停止が必要な作業の事前連絡は、何日前か
- 更新後の動作確認は誰が行い、結果をどう報告してくれるか
IPAは、ウェブサイトの運用面で取り組むべき対策も整理して公開しています。
📰 出典：IPA「安全なウェブサイトの作り方」
この資料は、アプリの作り方の対策に加えて、運用面の取り組みもあわせて扱っています。OSやソフトを新しい状態に保つ運用は、システムを作ったあとも続く大切な仕事だと分かります。
5. 記録と報告：やったことが後から分かるか
更新作業は、やったかどうかが外から見えにくい作業です。次の記録を残してもらうと、引き継ぎや監査のときにも役立ちます。
- いつ、どのサーバーの、何を、どのバージョンからどのバージョンへ更新したか
- 更新できなかったものと、その理由（古すぎて更新できない等）
- 次回の予定
「サポートが終わったOSを使い続けている」ような場合は、更新そのものができないこともあります。その場合の考え方は、次の記事で扱っています。
やりがちな失敗
- 「保守費を払っているから大丈夫」と思い込む：契約に書かれていないと、作業されていないことがあります
- 逆に「毎回別料金を取られる」と疑う：緊急対応を別枠にするのは、人員を確保する必要があるなど、開発会社側にも事情があるためです。疑う前に、条件を確認しましょう
- 担当が決まらないまま、ニュースが出てから慌てる：緊急時は連絡や判断に時間がかかります。平常時に決めておくほうが安全です
- 開発会社が変わったときに引き継がれない：誰が更新をしていたのかが分からなくなります。記録をもらっておきましょう
発注者がやることチェックリスト
- ☐ 自社のシステムのサーバーの置き方（OSを誰が管理するか）を開発会社に聞いた
- ☐ 保守契約書・見積書で「OS」「パッチ」「脆弱性対応」の記載を探した
- ☐ 定期更新と緊急更新で、費用の扱いが違うか確認した
- ☐ 更新時に止まる可能性と、事前の連絡・承認の流れを決めた
- ☐ 更新の記録をどんな形で受け取るか決めた
- ☐ 脆弱性のニュースが出たとき、連絡する人（社内・開発会社）を決めた
- ☐ サポートが終了したOS・ソフトを使っていないか確認した
開発会社への質問例
打ち合わせやメールで、そのまま使える質問です。
- 「うちのシステムでは、OSの更新は誰が担当になりますか？ 保守契約に含まれていますか？」
- 「定期のOS更新と、脆弱性が出たときの緊急対応は、それぞれ月額に含まれますか？ 別途の場合の目安も教えてください」
- 「緊急度の高い脆弱性が出たとき、連絡から対応までの目安の日数と、事前の承認の流れを教えてください」
- 「更新したときの記録（対象・バージョン・日時・結果）は、どんな形でいただけますか？」
- 「サポートが終了しているOSやソフトが使われていないか、一度棚卸しをお願いすることはできますか？」
答え方から、その会社がどこまで運用を見ているかも見えてきます。「状況によります」だけでなく、条件と一緒に説明してくれるかを確認してみてください。
まとめ：ニュースが出る前に「誰が・いつ・いくらで」を決めておく
OS更新の担当は、保守費を払っているかどうかではなく、システムの置き方と契約の文面で決まります。
- サーバーの種類で、OSを管理する担当が変わる
- 保守契約に「OS」「パッチ」「脆弱性対応」があるか確認する
- 定期と緊急で費用・スピードの扱いを決めておく
- 更新の記録を受け取る
脆弱性のニュースは、予告なくやってきます。慌てる前に、一度契約書と構成を見ながら、開発会社と確認する時間を取ってみてください。
あわせて読みたい関連記事
