開発会社や保守担当から「脆弱性の対策が必要です」と連絡が来ると、ひとまず不安になります。けれど、すぐに止めて直すべきものなのか、次の定期メンテナンスまで待ってよいものなのか、技術に詳しくないと判断する材料がありません。
「脆弱性の対策が必要と言われたけれど、すぐ対応すべきなのか、様子見でいいのか判断できない…」
先に結論をお伝えします。「すぐ対応か様子見か」は、深刻度の数字だけでは決まりません。 次の5つを開発会社に確認し、答えをそろえて判断するのが現実的です（執筆時点：2026年11月）。
- すでに攻撃に使われている（悪用が確認されている）か
- 自社のシステムが対象の製品・バージョンか
- インターネットから誰でも届く場所にあるか
- 攻撃されたら何が起きるか（個人情報・業務停止）
- 直すまでの間の回避策があるか、直すのにどれだけの作業が要るか
この記事では、脆弱性（＝ソフトウェアの設計や作りの不備で、攻撃に悪用されうる弱点）の対応を急ぐかどうかを、技術者でない発注者が開発会社と一緒に決めるための考え方を、チェックリストと質問例つきで解説します。
「そもそも自社が対象かを誰に確認するか」は、次の記事で扱っています。この記事は、その確認のあとに「どれくらい急ぐか」を決める続きです。
「深刻度が高い＝今すぐ」とは限らない3つの理由
最初に、判断を難しくしている理由を整理します。理由が分かると、確認すべきことも見えてきます。
理由1：深刻度の点数は「その弱点自体の大きさ」を示すもの
脆弱性のニュースでは、CVSS（＝脆弱性の深刻度を0〜10点で表す共通の指標）の点数がよく出てきます。点数が高いほど、弱点そのものが危険だということは確かです。
ただし、この点数は「実際に攻撃されているか」や「あなたの会社のシステムでどう使われているか」までは反映しません。同じ9点台でも、対象の機能を使っていないシステムでは実害が出にくく、逆に点数が中程度でも、すでに攻撃が広がっているものは急ぐ必要があります。
理由2：実際に攻撃されているかどうかで、急ぐ度合いが大きく変わる
米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、実際に悪用が確認された脆弱性の一覧をKEV（Known Exploited Vulnerabilities）カタログとして公開しています。CISAは、組織が脆弱性対応の優先順位を決めるときの入力としてこの一覧を使うよう呼びかけています。
📰 出典：CISA「Known Exploited Vulnerabilities Catalog」
KEVは米国の機関が作った一覧で、日本の組織向けの基準ではありません。それでも「すでに攻撃に使われているか」を確かめる材料として、開発会社との会話では役に立ちます。載っていないからといって安全とも限らないので、「載っていれば急ぐ理由が1つ増える」くらいに受け止めてください。
理由3：自社の置かれた条件で、同じ弱点でも危険度が違う
CISAは、優先順位の決め方の例として、悪用の状況・攻撃が自動化できるか・技術的な影響・影響を受ける製品がどれだけ使われているかなどを順にたどり、「通常の更新で足りる」から「可能な限り速やかに修正」までの段階に分ける判断の枠組み（SSVC）も紹介しています。
📰 出典：CISA「Stakeholder-Specific Vulnerability Categorization (SSVC)」
CISAの解説では、同じ脆弱性でも、インターネットに公開されたWebサーバー上にあるものは、社内の閉じたシステム上にあるものより優先度が上がるとされています。つまり「自社のどこにあるか」で緊急度が変わるのです。発注者は、この「自社の条件」を一番よく知る立場にいます。
すぐ対応か様子見かを決める5つの判断軸
ここからは、実際に開発会社へ確認する5つの軸です。答えが「はい」になるほど、急ぐ側に傾きます。
| 判断軸 | 急ぐ側に傾く答え | 様子見に傾く答え |
|---|---|---|
| ① 悪用の有無 | すでに攻撃に使われている（KEV掲載・公的機関が悪用を注意喚起） | 悪用の報告はなく、攻撃の手順も公開されていない |
| ② 自社が対象か | 対象の製品とバージョンを使っている | 対象外のバージョン、または対象の機能を使っていない |
| ③ 公開の範囲 | インターネットから誰でもアクセスできる | 社内ネットワークの中だけで使っている |
| ④ 被害の大きさ | 個人情報の漏えい・業務停止・金銭被害につながる | 影響が限定的で、データも重要でない |
| ⑤ 対策の手間 | 修正版があり、すぐ適用できる。または回避策がない | 修正版が未公開で、有効な回避策がある |
軸1：すでに攻撃に使われているか
最優先で確認するのはここです。「悪用が確認されている」場合は、基本的に様子見にしません。JPCERT/CC（＝日本のセキュリティ情報の調整窓口）やIPAが注意喚起を出していないかも、開発会社に見てもらいましょう。
軸2：自社が対象の製品・バージョンか
脆弱性のニュースは製品名とバージョンで書かれます。対象でなければ、急ぐ必要はありません。この確認の進め方は、前の記事のとおりです。
軸3：インターネットから届く場所にあるか
同じシステムでも、会員向けのWebサイトのように外から届くものと、社内の端末からしか使えない管理画面とでは、攻撃される可能性が違います。ただし、社内向けでも外部から接続できる設定（リモート接続など）になっていることがあるので、「内側だから大丈夫」と決めつけず、開発会社に接続の経路を確かめてもらってください。
軸4：攻撃されたら何が起きるか
顧客の個人情報を預かっているのか、止まると売上が止まるのか。ここは発注者にしか答えられません。開発会社に「このシステムが乗っ取られたら何が見られて、何が止まるか」を聞き、自社の業務の言葉で受け止めましょう。
軸5：直すまでの間の回避策と、直す手間
修正版（パッチ）がすぐ適用できるなら、急ぐ理由が重なる場面では早めの適用が現実的です。一方、修正版が出ていない、または適用でシステムの再起動や動作確認が要る場合は、一時的な回避策（機能の停止やアクセス元の制限など）でしのぎ、計画的に直す選択もあります。
判断の進め方：4つのステップ
- 開発会社に5つの軸を聞く（質問例は後述）。回答は文章で残してもらいます
- 「今日中」「今週中」「次の定期メンテナンスまで」のどれかに分ける。軸1で悪用あり、かつ軸2・3に当てはまるなら「今日中〜数日」が目安です
- 様子見にするなら、理由と見直す日を決める。「回避策を入れたうえで、修正版が出たら再判断」のように書いておきます
- 対応したら記録を残す。何を、いつ、誰が直したかを控えておくと、次回の判断が早くなります
様子見は「何もしない」ことではありません。理由と期限をつけて先送りすることです。
やりがちな失敗
- 点数だけで決める：高得点だから全部すぐ、低得点だから全部後回し、にすると、本当に危険なものを見落としたり、不要な緊急対応で費用が膨らんだりします
- 「対象外です」の一言で終わらせる：なぜ対象外なのか（バージョン違い・機能を使っていない等）の理由を聞いておくと、あとで状況が変わったときに見直せます
- 緊急対応の費用を後で揉める：保守契約に緊急対応が含まれるか、別料金かを、問題が起きる前に確かめておきましょう
- 直したあとの確認を省く：更新後にシステムが正常に動くか、画面と主要な操作を一度確かめます
発注者がやること チェックリスト
- ☐ 脆弱性の連絡を受けたら、製品名・バージョン・対策の有無を控える
- ☐ 「すでに攻撃に使われているか」を開発会社に確認する
- ☐ 自社のシステムが対象かどうか、理由つきで回答をもらう
- ☐ そのシステムがインターネットから届く場所にあるかを確認する
- ☐ 攻撃されたときに見られる情報・止まる業務を、開発会社と自社で共有する
- ☐ 「今日中・今週中・次回メンテナンス」のどれにするかを決め、理由を残す
- ☐ 様子見の場合は、回避策と見直す日を決める
- ☐ 緊急対応が保守の範囲か別料金かを、事前に確認しておく
開発会社への質問例
そのまま打ち合わせやメールで使える形にしました。
- 「この脆弱性は、すでに攻撃に使われていますか。公的機関の注意喚起や、悪用の報告はありますか」
- 「当社のシステムは対象の製品とバージョンですか。対象外なら、その理由を教えてください」
- 「このシステムはインターネットから直接アクセスできますか。外部から届く経路はほかにありますか」
- 「この弱点を突かれた場合、当社のどの情報や業務に影響が出ますか」
- 「修正版はありますか。すぐ適用できない場合の一時的な回避策と、適用にかかる作業時間・費用を教えてください」
公的な資料も使える
中小企業向けの対策の基本は、IPAの「中小企業の情報セキュリティ対策ガイドライン」にまとまっています。第4.0版が2026年3月に公開されており、経営者が決めること・社内で実践することを確かめる材料になります。
📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」
なお、個別の契約や法的な責任の判断が必要な場合は、弁護士や専門家、公式窓口に相談してください。この記事は一般的な考え方の紹介です。
まとめ：点数ではなく「攻撃されているか・自社に当たるか・外から届くか」で決める
脆弱性の対応を急ぐかどうかは、次の流れで考えられます。
- まず「すでに攻撃に使われているか」を確認する
- 次に「自社が対象か」「外から届く場所か」を確かめる
- 被害の大きさと、対策の手間・回避策をそろえて、期限つきで決める
- 様子見にするときは、理由と見直す日を残す
「どちらにするか」を決める最終判断は発注者の役割ですが、材料をそろえるのは開発会社の仕事です。5つの質問を最初のメールに入れておくだけで、次の連絡からのやり取りが変わります。
あわせて読みたい関連記事
