「脆弱性（＝ソフトウェアの弱点）のニュースが出たので、うちのシステムが対象か調べてほしい」と開発会社に頼んだら、「それは保守の範囲外なので別途お見積もりです」と言われた。毎月保守費を払っているのに、なぜ？と戸惑う方は少なくありません。
「開発会社に頼んでいる保守に、脆弱性が出たときの影響調査まで含まれているのか分からない。別料金なのか」
先に結論をお伝えします。影響調査が保守に含まれるかどうかは、契約書や保守内容の資料にどう書かれているかで決まります。 「含まれて当然」とも「別料金で当然」とも言い切れません。大切なのは、問題が起きてから揉めるのではなく、「調べる」「直す」「確かめる」「報告する」の4つの作業を分けて、どこまでが月額に入っているかを事前に文書で確認しておくことです。
この記事では、システム保守で脆弱性が出たときの作業の分け方、別料金になりやすい境目、契約前や更新前に開発会社へ聞く質問例を、発注者の立場で整理します。法律や契約の個別判断は、弁護士など専門家へご相談ください。
保守契約で「脆弱性の影響調査」が別料金になりやすい3つの理由
まず、なぜ「保守に入っているはず」という期待と、開発会社の認識がずれやすいのかを見ておきましょう。開発会社を悪者にする話ではなく、契約の構造によるものです。
理由1：保守の中身が「障害対応」だけで決められていることがある
保守契約は、「システムが止まったときに復旧する」「問い合わせに答える」といった障害対応を中心に作られているものが少なくありません。この場合、ニュースで脆弱性が話題になったという、まだ何も起きていない段階の調査は、契約上の作業として想定されていないことがあります。
理由2：影響調査は、システムごとに作業量が大きく違う
影響調査とは、「そのニュースの脆弱性が、自社のシステムで使っている部品（ライブラリ・フレームワーク・OS・サーバーソフトなど）に当てはまるか」を確かめる作業です。部品の数が少なく、一覧が整理されたシステムなら短時間で済みます。一方、一覧がなく、何を使っているか確認するところから始める場合は、調査そのものが数日かかることもあります。月額の保守費に「いつでも何件でも調査する」を含めるのは、開発会社にとってリスクが大きいため、回数や時間の上限を決めたり、別料金にしたりする会社が多いのです。
理由3：「調査」と「対応」が一緒くたに説明されがち
「脆弱性対応」という言葉には、調べる・修正する・動作を確認する・本番に反映する・報告するといった複数の作業が含まれます。どこまでを指しているのかが曖昧なまま「脆弱性対応は保守に含みます」と書かれていると、いざ頼んだときに「調査は含むが、修正は別」「修正まで含むが、テストは別」と、解釈が分かれてしまいます。
脆弱性が出たときの作業を4つに分けて考える
契約を確認するときは、次の4つに分けると、どこが月額に入っていてどこが別料金かが見えやすくなります。
| 作業 | 内容 | 別料金になりやすさの目安 |
|---|---|---|
| ① 影響調査 | 自社のシステムが脆弱性の対象かを調べる | 回数や時間の上限つきで含む場合と、別料金の場合がある |
| ② 修正（アップデート） | 部品のバージョンを上げる、設定を変えるなど | 軽微なものは含み、大きな変更は別料金とする場合が多い |
| ③ 動作確認（テスト） | 修正後に、今までの機能が動くかを確かめる | 範囲が広いと別料金になりやすい |
| ④ 本番への反映と報告 | 本番環境に反映し、何をしたか報告する | 反映作業は含み、報告書の作成は別という場合もある |
これはあくまで一般的な整理の例です。実際の扱いは会社や契約ごとに異なるので、お手元の契約書・仕様書・保守内容の資料で確かめてください。
契約前・更新前に確認したい5つのこと
ここからは、実際に開発会社へ確認するときの進め方です。口頭ではなく、メールや契約書の付属資料など、文書に残る形でやり取りしてください。
1. 保守内容の資料に「脆弱性」という言葉があるかを探す
まず、今の保守契約書や保守内容の資料（サービスレベルを示す資料など）を開き、「脆弱性」「セキュリティ」「アップデート」「パッチ（＝修正プログラム）」といった言葉がどこに、どう書かれているかを探します。書かれていなければ、含まれているかどうかは契約上はっきりしていないということです。この状態が、後から揉めやすい一番の原因です。
2. 「調査」「修正」「テスト」「報告」を、それぞれ含むか別料金かで聞く
先ほどの4つの作業について、「含む」「回数・時間の上限つきで含む」「別料金」のどれなのかを、1つずつ確認します。別料金の場合は、単価（人月・時間単価など）や、目安の工数の出し方も聞いておくと、見積もりが出たときに比べやすくなります。
3. 「誰が・いつ」脆弱性に気づくのかを決める
実は、ここが最も見落とされやすい点です。開発会社が脆弱性情報を日常的に見張ってくれているのか、発注者が気づいて連絡するのを待っているのかで、対応の速さが大きく変わります。IPA（情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン」でも、中小企業が段階的に対策を進めるための考え方が示されています。
📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」（執筆時点：2026年11月。第4.0版が2026年3月に公開）
こうした公的なガイドラインを参考に、「情報を集める役」「判断する役」「作業する役」を、発注者と開発会社のどちらが担うのかを決めておくと、いざというときに慌てません。
4. 緊急のときの連絡方法と、作業を始める基準を決める
深刻な脆弱性は、公表から悪用までの期間が短いことがあります。「別料金の見積もりを取って、承認して、それから着手」という手順を毎回踏むと、その間に時間が過ぎてしまいます。そこで、緊急度が高いと判断したときの連絡先と、一定の金額や時間までは事前承認なしで着手してよいかを、あらかじめ決めておく方法があります。ただし、金額の上限などは会社ごとの考え方があるため、契約の話として開発会社と合意しておく必要があります。
5. 調査のために必要な情報を、発注者の側でも持っておく
影響調査が高くなる大きな原因は、「システムが何を使っているか」の一覧がないことです。次のような情報があれば、調査は短くなり、費用も抑えやすくなります。
- 使っているフレームワーク・ライブラリ・OS・サーバーソフトの名前とバージョンの一覧
- 運用しているサーバーやクラウドの構成がわかる資料
- 外部のサービス（決済・メール配信など）との連携の一覧
こうした一覧は、納品時にもらう、または保守の中で最初に作ってもらうよう、契約に入れておくことをおすすめします。
やりがちな失敗
- 「保守に入っているはず」と思い込んで、確認せずに依頼する：後から別料金と言われて関係がぎくしゃくします。
- 「脆弱性対応は含む」とだけ書かれた契約で安心する：4つの作業のどこまでかが曖昧なままです。
- 別料金を恐れて、ニュースを見ても連絡しない：対応が遅れ、結果的に被害や費用が大きくなるおそれがあります。
- 開発会社を疑う気持ちで質問する：責める口調になると、情報が出にくくなります。「次回から困らないよう、範囲を確認させてください」という姿勢のほうがうまくいきます。
発注者がやること チェックリスト
- ☐ 今の保守契約書・保守内容の資料を開き、「脆弱性」「アップデート」の記載を探した
- ☐ 影響調査・修正・テスト・報告の4つが、それぞれ「含む」か「別料金」かを確認した
- ☐ 別料金の場合の単価や、工数の目安の出し方を聞いた
- ☐ 脆弱性の情報を見張る役と、判断する役を、発注者と開発会社のどちらが担うか決めた
- ☐ 緊急時の連絡先と、事前承認なしで着手できる範囲を決めた
- ☐ 使っている部品とバージョンの一覧が、手元にあるか確認した
- ☐ 決まったことを、メールや契約書の付属資料として文書に残した
開発会社への質問例
そのまま打ち合わせで使える質問です。
- 「脆弱性のニュースが出たとき、自社のシステムが対象かどうかの調査は、保守費に含まれていますか。含まれる場合は、回数や時間に上限がありますか」
- 「調査の結果、修正が必要になった場合、修正とテストはどこまでが保守費の範囲で、どこからが別料金になりますか」
- 「別料金になる場合、単価と、見積もりの出し方（工数の目安）を事前に教えていただけますか」
- 「脆弱性の情報は、御社のほうで継続的に見ていただけますか。それとも、こちらからお知らせする形でしょうか」
- 「緊急度が高いと判断したときは、見積もり承認の前に調査だけ先に着手していただくことは可能でしょうか。その場合の上限金額の決め方も相談したいです」
まとめ
脆弱性の影響調査が保守に含まれるかどうかは、契約書や保守内容の資料の書き方次第です。「調べる」「直す」「確かめる」「報告する」の4つに分けて、どれが月額に入っていて、どれが別料金なのかを、文書で確認しておきましょう。あわせて、誰が情報を見張るのか、緊急時にどう動くのかを決めておくと、いざというときに慌てずに済みます。
契約書の解釈や、別料金が妥当かどうかの個別判断は、弁護士や専門家にご相談ください。
脆弱性のニュースを見たときに、自社が対象かを誰がどう確認するかは、次の記事でも整理しています。
また、脆弱性への対応を「すぐやる」か「様子見」かで迷ったときの判断軸は、こちらで解説しています。
あわせて読みたい関連記事
