開発会社から「脆弱性（＝システムの弱点）の修正が必要です」と見積もりが届き、金額を見て「今回は見送ろう」と判断した。そのあとで、もし悪用されたらどうなるのかが急に不安になった。そんな相談は少なくありません。
「脆弱性の修正を高いからと先送りにした。もし悪用されたら、費用や責任は誰が負うのか不安」
先に結論をお伝えします。費用や責任の分担は、事故が起きてから決まるのではなく、契約と、先送りを決めた時点の記録でほぼ決まります。そして、先送りは「やってはいけないこと」ではありません。「リスクを理解したうえで、期限を決めて判断した」という記録を残し、代わりの対策を打てば、現実的な選択肢になります。
この記事では、先送りした脆弱性が悪用された場合に何が問題になるのかを一般論として整理し、発注者が今日から決められる5つのことを、チェックリストと開発会社への質問例とあわせて解説します。個別の契約や事案の法的な判断は、弁護士などの専門家に確認してください。
先送りした脆弱性が悪用されたとき、何が起きるのか
まず、起こりうることを3つに分けて考えると整理しやすくなります。
| 起こること | 主な内容 | 負担の考え方（一般論） |
|---|---|---|
| 被害の復旧 | 調査、システムの停止・復旧、再発防止の作業 | 契約内容と、誰が何を決めたかで変わる |
| 利用者・取引先への対応 | お知らせ、問い合わせ窓口、損害への対応 | システムを運営している事業者（発注者）が窓口になることが多い |
| 行政への報告 | 個人データの漏えい等が起きた場合の報告 | 法律上の義務は、個人データを扱う事業者（発注者）にかかる |
ここで大切なのは、開発会社に作業を任せていても、利用者や取引先から見た責任の窓口は、サービスを運営している発注者になりやすいという点です。「開発会社が悪いから自分は関係ない」とは、通常なりません。
個人データが漏れた場合の報告義務
個人情報保護委員会によると、個人データの漏えい等が起きた場合、次のようなときは報告が義務になります（執筆時点：2026年11月）。
- 要配慮個人情報（＝病歴など、取り扱いに特に配慮が必要な情報）を含む場合
- クレジットカード番号など、財産的な被害が生じるおそれがある場合
- 不正アクセスなど、不正な目的による場合
- 本人の数が1,000人を超える場合
報告の期限は、速報が発覚から3〜5日以内、確報が30日以内（不正目的の場合は60日以内）とされています。
📰 出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」
不正アクセスによる漏えいは、人数にかかわらず報告の対象になりえます。先送りした脆弱性が悪用された場合、短い期限で動くことになるため、事前の備えが大切です。
費用と責任は何で決まるのか：3つの分かれ目
責任の分担は、事案ごとに事情を見て判断されます。ここでは、一般的に分かれ目になりやすい点を紹介します。
分かれ目1：保守契約に「何が含まれているか」
保守契約に脆弱性への対応が含まれているのか、含まれていないのかで、「誰が修正する責任を持っていたのか」が変わります。含まれていない場合、追加の見積もりが出るのは契約上の自然な流れです。一方、契約書に書かれていない部分は、お互いの認識が食い違いやすいところです。
分かれ目2：脆弱性を知らされていたか、判断の記録があるか
開発会社が脆弱性を発注者に伝え、発注者が見送りを決めた場合、その経緯が記録に残っているかどうかが重要になります。メールや議事録に「リスクの説明を受けたうえで、いつまでに再検討する」と書かれていれば、あとから経緯を説明できます。記録が無いと、「説明を受けていない」「伝えた」の言い合いになりがちです。
分かれ目3：先送りの間に、代わりの対策を打っていたか
修正を見送っても、被害を小さくする方法はあります。たとえば、問題のある機能を一時的に止める、外部からのアクセスを制限する、バックアップを取る、といった対策です。こうした対策を講じていたかどうかも、あとから振り返るときの材料になります。
なお、開発会社側にも事情があります。修正に作業が必要なら費用が発生しますし、動作確認が不十分なまま修正すれば別の不具合を招くこともあります。見積もりが高く見えても、どちらかが悪いと決めつけず、中身を確認することが出発点です。
発注者が先に決めておく5つのこと
1. 先送りにする脆弱性の「深刻度」と「期限」を決める
すべての脆弱性を同じ重さで扱う必要はありません。IPA（情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン」も、経営者が認識して対策を進めることを求めています。
📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」
開発会社に深刻度（外部から悪用されやすいか、重要な情報に触れるか）を聞き、深刻度が高いものは先送りせず、低いものは期限を決めて見送る、という線引きをします。
2. 先送りの判断を、書面（メール）で残す
「いつ、誰が、どんな説明を受けて、何を決めたか」を残します。口頭の打ち合わせだけで済ませず、決定後にメールで要点を送っておくと確実です。
3. 修正の代わりに打てる対策を、開発会社に出してもらう
「修正は見送るが、その間にできることは何か」を聞きます。機能の停止、アクセス元の制限、監視の強化などが候補です。費用がかからない、または小さい対策もあります。
4. 修正費用を「分けて」見積もってもらう
見積もりが高い理由は、調査・修正・動作確認・公開作業のどこに作業がかかるかによります。内訳を分けてもらい、必須の部分と、後回しにできる部分を切り分けます。分割して段階的に進める提案が出ることもあります。
5. 事故が起きたときの連絡体制と、契約上の役割を確認する
夜間・休日に誰に連絡するか、開発会社はどこまで調査を手伝うか、その費用は保守契約に含まれるかを、事前に確認します。契約書に書かれていない場合は、更新のタイミングで書き足せないか相談します。
やりがちな失敗
- 見積もりの金額だけを見て、脆弱性の深刻度を確認しないまま見送る
- 「そのうち対応する」と口頭で伝えただけで、期限も記録も残さない
- 先送りした脆弱性のことを、時間がたつと社内の誰も覚えていない
- 修正しないまま、代わりの対策も打たない
発注者がやること チェックリスト
- ☐ 見送っている脆弱性を一覧にし、深刻度と再検討の期限を書き出した
- ☐ 見送りを決めた日付と、説明を受けた内容をメールで残した
- ☐ 修正の代わりに打てる対策を開発会社に確認した
- ☐ 修正費用の内訳を、作業ごとに分けて出してもらった
- ☐ 個人データを扱っている場合、漏えい等が起きたときの報告の流れを社内で確認した
- ☐ 夜間・休日の連絡先を、開発会社と共有した
- ☐ 保守契約の更新時に、脆弱性への対応範囲を確認する予定を入れた
開発会社への質問例
- 「今回見送る脆弱性は、外部から悪用される可能性はどのくらいありますか。深刻度の根拠も教えてください」
- 「修正の代わりに、すぐに打てる対策はありますか。費用はかかりますか」
- 「見積もりの内訳を、調査・修正・動作確認・公開に分けてもらえますか」
- 「もし悪用された場合、調査や復旧は保守契約の範囲に含まれますか。含まれない場合の費用の目安も教えてください」
- 「見送った脆弱性を、いつ、どのように再確認するのがよいでしょうか」
まとめ
- 先送りした脆弱性が悪用されたときの費用や責任は、契約の内容・判断の記録・代わりの対策で、大きく左右されます
- 個人データが関わる場合、法律上の報告義務は発注者側にもかかります
- 先送りは選択肢の1つ。ただし深刻度と期限を決め、記録を残し、代わりの対策を打つことが前提です
- 責任の個別の判断は、弁護士などの専門家に確認してください
製品や制度の情報は執筆時点（2026年11月）のものです。最新の情報は、各機関の公式ページで確認してください。
あわせて読みたい関連記事
