ニュースやIPAの注意喚起で「脆弱性（＝システムの弱点）が見つかりました」と流れてくるたびに、経営層から「うちは大丈夫なのか」と聞かれる。けれど、社内にも開発会社にも即答できる人がいない。情シスを兼任している担当者の方から、よく聞く悩みです。
「脆弱性の注意喚起が出るたびに、うちが対象かどうか誰も答えられない。社内でどう確認する体制にすればいいのか分からない」
先に結論をお伝えします。「対象かどうか」を答えられるようにする近道は、ニュースを追いかける人を増やすことではなく、「使っているソフトの一覧」と「確認の窓口（開発会社・保守会社）」を先に決めておくことです。一覧と窓口さえあれば、注意喚起が出たときに「一覧を見て、窓口に1通メールする」だけで、30分ほどで一次回答を出せます。
この記事では、情シス兼任の担当者が今日から整えられる確認の体制を5つのステップで解説します。そのまま使えるチェックリストと、開発会社への質問例も付けています。
なぜ「うちは対象？」に誰も答えられないのか
答えられないのは、担当者の知識が足りないからではありません。多くの会社で、次の3つが決まっていないことが原因です。
理由1：何を使っているかの一覧がない
脆弱性の注意喚起は、「◯◯というソフトのバージョン△△以前」のように、製品名とバージョンで対象が書かれます。自社が使っている製品とバージョンが手元になければ、照らし合わせることができません。
特に、Webサイトや業務システムは、開発会社が選んだ部品（フレームワークやライブラリ）の集まりでできています。発注者側から見えるのは画面だけで、中身の部品名は分からないのが普通です。
理由2：確認する人と、確認を頼む先が決まっていない
「誰が注意喚起を見るのか」「対象かどうかを誰が調べるのか」が決まっていないと、全員が「誰かが見ているだろう」と考えます。開発会社との保守契約に、脆弱性の確認が含まれているかどうかも、意外と契約書を読み返さないと分かりません。
理由3：自分たちが把握していない機器やサービスがある
公的な調査でも、この問題が指摘されています。IPA（情報処理推進機構）は2026年3月、中小企業126社を対象に、外部から見えるIT資産と脆弱性を調べる診断（ASM診断）の結果を報告しました。
📰 出典：@IT「『止めたはずのDB』実はネットにダダ漏れ？ ASM診断で分かった“見えないIT資産”の実態」（IPAの調査報告を紹介した記事、2026年5月18日）
この記事によると、調査した126社のすべてで何らかの脆弱性が見つかったとされています。また、クラウド移行後に止め忘れたバックアップ用のデータベースや、以前使っていたサブドメイン（＝会社名の後ろに付く別のWebアドレス）のように、会社が把握しないままインターネットに公開され続けている資産が見つかった例も紹介されています。
把握していないものは、注意喚起が出ても「対象かどうか」を確かめようがありません。だからこそ、最初の一歩は「一覧づくり」になります。
「うちは対象？」に答えられる体制を作る5ステップ
ステップ1：使っているソフトとサービスを「一覧」にする
まずは、次の3つの区分で、名前とバージョンを書き出します。完璧でなくて構いません。分かる範囲から始めましょう。
| 区分 | 書き出すもの | 分からないときの聞き先 |
|---|---|---|
| 社員のパソコン・社内機器 | OS（Windowsなど）、Office、ブラウザ、ルーターなどの機器 | 社内の台帳、購入履歴 |
| 自社のWebサイト・業務システム | 使っているCMS（WordPressなど）、フレームワーク、PHPなどの言語のバージョン | 開発会社・保守会社 |
| 契約しているクラウド・SaaS | サービス名、管理者のアカウント、契約している人 | 経理の支払い履歴、契約書 |
IPAの「中小企業の情報セキュリティ対策ガイドライン」には、付録として資産管理台帳のサンプル（Excel）が用意されています。ゼロから表を作るより、これを使うほうが早く始められます。
📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版、2026年3月公開）
機器の一覧の作り方については、次の記事でも詳しく解説しています。
また、Webサイトや業務システムが使っているPHPなどのバージョンは、自分で確認する方法があります。
ステップ2：「情報を見る人」を1人、「代わりの人」を1人決める
注意喚起を毎日すべて読む必要はありません。見る先を絞り、人を決めます。
- 見る先の例：IPAの「重要なセキュリティ情報」、使っている製品の提供元（Microsoftなど）のお知らせ、開発会社からの連絡
- 見る頻度の例：週に1回、決まった曜日に10分
- 担当：メインの1人と、休んだときの代わりの1人
ポイントは、「すべてのニュースを追う」のではなく、ステップ1の一覧に載っている製品の情報だけを見ることです。一覧があるからこそ、見る範囲を絞れます。
ステップ3：注意喚起が出たら、「一覧と照らし合わせる」手順を決める
注意喚起が出たときの動きを、あらかじめ3つの質問にして決めておきます。
- 自社の一覧に、その製品名はあるか（なければ「対象外」で終了）
- あるなら、バージョンは対象に入っているか（分からなければ窓口へ確認）
- すでに悪用が確認されているか（確認済みなら優先度を上げる）
たとえば、IPAは2026年10月14日に、Microsoft製品のセキュリティ更新プログラムについて注意喚起を出しています。この中の1件は、提供元が「悪用の事実を確認済み」と公表したもので、IPAは至急の更新適用を呼びかけています。
📰 出典：IPA「Microsoft 製品の脆弱性対策について(2026年10月)」（2026年10月14日）
こうした注意喚起が出たとき、一覧に「Windows搭載パソコン◯台」とあれば、答えは「対象。更新の適用状況を確認する」とすぐ決まります。通常はWindows Updateで自動的に適用されますが、再起動が必要な更新もあるため、「適用済みか」を確認する作業が必要です。
ステップ4：開発会社・保守会社への「問い合わせ窓口」を決めて、保守契約で確認する
自社のWebサイトや業務システムについては、発注者が自力で「対象かどうか」を調べるのは難しいのが実情です。そこで、開発会社や保守会社に確認を依頼する窓口と手順を決めておきます。
保守契約では、次の点が曖昧になりがちです。契約書や見積書を見直して、どこまでが保守の範囲なのかを確認しましょう。
| 確認すること | 確認の観点 |
|---|---|
| 脆弱性情報の監視 | 開発会社側で情報を見てくれるのか、発注者から依頼したときだけ調べるのか |
| 影響調査 | 「対象かどうか」の調査は保守費に含まれるのか、別料金か |
| 修正（更新）作業 | 更新作業の費用と、対応にかかる期間の目安 |
| 緊急時の連絡 | 悪用が確認された場合の連絡先・対応時間 |
「対象かどうかの調査」と「修正作業」を分けて考えるのがコツです。調査は短時間で終わることが多く、修正作業は内容によって費用や期間が変わります。分けて確認しておくと、見積もりの話もしやすくなります。
ステップ5：結果を残して、一覧を更新する
注意喚起への対応が終わったら、次の4点を1行で記録します。
- 日付と対象の注意喚起（名称・番号）
- 自社が対象だったか
- 誰が、いつまでに、何をしたか
- 一覧を更新した内容（バージョンが上がった、など）
記録を残すと、「前回はどう対応したか」を後から引き継げますし、担当者が替わっても体制が続きます。経営層への報告も「今月は3件確認し、1件対象で対応済み」のように、短く済みます。
優先順位の付け方：全部に慌てなくていい
注意喚起のたびにすべてを緊急対応にすると、現場が疲れてしまいます。一般的には、次の観点で優先度を考えます。
- 悪用がすでに確認されている：優先度が高い。至急の対応が必要になる
- インターネットから直接見える部分（Webサイト、公開しているシステム）が対象：社内だけで使う部分より優先する
- 個人情報や取引先の情報を扱うシステムが対象：被害が大きくなりやすいため優先する
- 該当はするが、悪用の確認がなく、社内限定の機器：定期の更新作業にまとめてよい場合もある
ただし、どこまで急ぐかの最終判断は、システムの構成や契約によって変わります。迷ったときは、開発会社や保守会社、IPAの相談窓口などの専門家に確認してください。
やりがちな失敗
- ニュースを見る担当者だけ決めて、一覧は作らない：見ても「対象かどうか」を判断できず、結局は誰かに聞くことになります
- 「ベンダーがやってくれているはず」と思い込む：保守契約の範囲に脆弱性の確認が含まれていないケースがあります。含まれているかを必ず確認しましょう
- 「見えないIT資産」を放置する：昔作ったキャンペーンサイト、止めたつもりのサーバーなど、使っていないものほど更新されません。使わないものは止める・消す判断も体制の一部です
- 一覧を一度作って終わりにする：機器やサービスが増減するたびに更新しないと、すぐに古くなります
発注者がやることチェックリスト
- ☐ パソコン・社内機器・Webサイト・業務システム・クラウドサービスの一覧（製品名とバージョン）を作った
- ☐ 一覧にない「止めたはずのサーバーや古いサイト」がないか、開発会社や経理の支払い履歴で確認した
- ☐ 注意喚起を見る担当者と、代わりの担当者を決めた
- ☐ 見る先（IPA・製品提供元・開発会社の連絡）と、見る頻度を決めた
- ☐ 「一覧にあるか→バージョンは対象か→悪用は確認されているか」の3つの質問を、手順として社内に共有した
- ☐ 保守契約で、脆弱性情報の監視・影響調査・修正作業の範囲と費用を確認した
- ☐ 対応結果を記録する場所（共有フォルダの表など）を決めた
開発会社への質問例
そのまま打ち合わせやメールで使える質問です。
- 「脆弱性の注意喚起が出たとき、当社のシステムが対象かどうかの確認は、保守契約に含まれていますか？ 含まれない場合は、1回あたりの費用の目安を教えてください」
- 「当社のWebサイト・システムが使っているCMS・フレームワーク・言語（PHPなど）の名前とバージョンを一覧にしていただけますか？」
- 「重大な脆弱性が公表されたとき、御社から当社へ連絡をいただくことはできますか？ その場合の連絡の流れと、対応までの目安期間を教えてください」
- 「今回のような注意喚起について、『対象か』『対象なら、いつまでに何をするか』を、1枚のメモで回答いただくことは可能ですか？」
- 「当社が把握していない、公開されたままのサーバー・データベース・サブドメインなどが残っていないか、棚卸しをお願いできますか？」
こうした質問への答え方からは、その開発会社が保守にどこまで関わる体制なのかも見えてきます。
まとめ：「ニュースを追う」より「一覧と窓口を決める」
注意喚起のたびに慌てずに済む体制は、難しい仕組みではなく、次の5つで作れます。
- 使っているソフトとサービスを一覧にする
- 情報を見る人を1人、代わりの人を1人決める
- 「一覧にあるか→バージョンは対象か→悪用は確認されているか」の手順を決める
- 開発会社・保守会社への問い合わせ窓口と、保守契約の範囲を確認する
- 対応結果を記録し、一覧を更新する
最初から完璧な一覧を目指す必要はありません。まずはパソコンとクラウドサービスだけでも書き出し、開発会社に「Webサイトの中身の一覧をください」と1通メールするところから始めてみてください。それだけで、次の注意喚起への答え方がぐっと変わります。
なお、本記事は2026年10月時点の情報をもとにした一般的な考え方の紹介です。個別のシステムの対応は、開発会社・保守会社や専門家にご相談ください。
あわせて読みたい関連記事
