「〇〇に深刻な脆弱性」というニュースを見ても、システムを作った会社にはもう連絡がつかない。誰に聞けば自社が対象か分かるのか、見当もつかない。担当者が代わった、会社が事業を畳んだ、保守契約が切れたまま、といった事情で、こうした状況になっている中小企業は少なくありません。
「作った会社と連絡が取れなくて、脆弱性のニュースが出ても誰に聞けばいいか分からない…」
先に結論をお伝えします。連絡が取れない開発会社の代わりに必要なのは、「全部分かる1社」を探すことではなく、「聞く相手ごとに分けた相談先の一覧」を作ることです。システムの中身（OSやフレームワークなど）、動いている場所（サーバー）、ドメイン（＝Webサイトの住所のようなもの）は、それぞれ別の会社が握っていることが多く、契約書や請求書をたどれば、聞ける相手は意外と見つかります。
この記事では、脆弱性（＝ソフトウェアの欠陥のうち、攻撃に悪用されうるもの）のニュースが出たときに慌てないよう、窓口を作り直す5ステップを、そのまま使えるチェックリストと質問例とあわせて解説します。なお、ニュースを見た直後の確認の流れは、次の記事で解説しています。この記事は「そもそも聞く相手が不在」の場合に絞っています。
作った会社に連絡が取れなくなると、なぜ脆弱性対応で困るのか
まず、困りごとの構造を整理します。担当者の努力不足ではなく、仕組みとして起きやすいことです。
理由1：システムの「中身の情報」が、作った会社にしか残っていない
どのバージョンのソフトを使い、どの部品（ライブラリ＝便利な機能の部品）を組み込んでいるかは、設計書や構築時の記録に書かれています。その資料が発注者の手元になく、作った会社だけが持っていると、会社と連絡が取れなくなった時点で「何を使っているか」を示す手がかりがなくなります。
理由2：保守契約が自動で終わっていることがある
保守契約は、期間満了で終了するもの、更新の手続きが必要なものなど、契約によって異なります。気づかないうちに保守の対象外になっていて、脆弱性の影響調査を頼める相手がいない、というケースもあります。契約の内容は一般論では判断できないため、手元の契約書で確認が必要です。
理由3：窓口が1社に集中していて、代わりが決まっていない
「何かあったらあの会社に聞く」という運用は、その会社が応じられなくなると全体が止まります。これは相手を責める話ではなく、窓口を1社に頼り切っていた状態そのものが弱点になる、という話です。
窓口を作り直す5ステップ
ステップ1：契約書・請求書・メールから「関わった会社」を洗い出す
まず、システムに関わった会社をすべて書き出します。見るのは次の3か所です。
- 契約書・発注書・見積書（作った会社、保守の会社）
- 請求書・クレジットカードの明細（サーバー、ドメイン、クラウドの月額費用）
- 過去のメールの送信元（担当者が使っていた会社名やツール名）
請求書は特に重要です。サーバーやドメインの費用は、作った会社を通さずに自社で直接払っているケースも多く、「動いている場所」を知る手がかりになります。
ステップ2：「誰に何を聞けるか」を役割ごとに表にする
次に、洗い出した会社を、聞ける内容ごとに整理します。1社で全部を答えられなくても、分担すれば足ります。
| 聞きたいこと | 聞ける相手の例 | 手がかり |
|---|---|---|
| どのソフト・バージョンを使っているか | システムを作った会社、保守会社、後任の担当者 | 契約書、納品資料 |
| サーバーの種類・OSの更新状況 | レンタルサーバーやクラウド（AWS など）の提供元 | 請求書、管理画面（コンソール） |
| ドメイン・証明書の管理 | ドメイン管理会社（レジストラ） | 更新案内のメール |
| ニュースが自社に関係するか | 現在の保守会社、または新たに頼む専門会社 | 保守契約、問い合わせ |
表の空欄は、そのまま「まだ誰も把握していない部分」を表しています。空欄が見えるだけでも、次に何をすべきかが決まります。
ステップ3：管理画面に「自分たちで入れるか」を確かめる
サーバーやドメイン、WordPress などの管理画面に、自社で入れる権限があるかを確認します。ログインできるのが退職した担当者や作った会社だけ、という状態だと、緊急時に何もできません。
- 管理者アカウントの登録メールアドレスが、今も使える自社のものか
- パスワードの再設定を、自社で受けられるか
- 契約者名義が自社になっているか
名義が作った会社になっている場合は、名義変更の手続きが必要になることがあります。手続きの条件は提供元ごとに異なるため、各社のサポートに確認してください。
ステップ4：代わりの保守先を探すときの「頼み方」を決める
ここで初めて、新しい保守先の話になります。いきなり「全部引き継いでください」と頼むより、段階を分けるほうが、双方にとって現実的です。
- 現状調査だけを頼む：使っているソフトとバージョン、公開されている範囲を調べてもらう（期間と費用の上限を決めて依頼する）
- 脆弱性の影響調査を頼む：ニュースが出たときの確認を、スポットで頼む
- 継続の保守契約を結ぶ：調査の結果を見て、必要な範囲だけを契約する
調査の結果、古すぎて部品の更新自体が難しいシステムだと分かることもあります。その場合は「更新して延命する」か「作り直す」かの判断が必要になります。費用に大きな差が出るため、複数の会社から話を聞いて比べるのが一般的です。
ステップ5：技術的な相談先と、公式情報の入口を把握しておく
どの会社にも頼めない緊急時のために、公的な窓口と情報源を調べておきます。
- 脆弱性の情報：IPAとJPCERT/CCが運営する脆弱性情報ポータル「JVN」で、公表された脆弱性の情報を製品名から調べられます。
- 技術的な相談：IPAには、情報セキュリティに関する技術的な相談を受け付ける窓口があります。企業・組織は企業・組織向けの窓口を使う形になっており、受付時間や相談できる範囲は決まっています。個別の調査や契約の相談は対象外のことがあるため、利用前に公式ページで確認してください。
- 自社の体制づくり：IPAの「中小企業の情報セキュリティ対策ガイドライン」には、自社診断や、事故が起きたときの対応の手引きなどが付録としてまとまっています。
📰 出典：JVN（Japan Vulnerability Notes）
📰 出典：IPA「情報セキュリティ安心相談窓口」
📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」
上記の窓口は、受付時間や相談範囲が変わることがあります（執筆時点：2026年11月）。利用の際は、各ページの最新の案内を確認してください。
やりがちな失敗
- 最初から「全部の引き継ぎ」を1社に頼む：調査前に範囲が決まらず、見積もりが大きくぶれます。まず現状調査から始めると、判断材料が揃います。
- 連絡が取れない会社に、何度も同じ宛先へ連絡し続ける：担当者のメールアドレスが変わっている場合は、会社の代表窓口や契約書記載の連絡先にも、期限を添えて連絡しておくと記録が残ります。
- ニュースを見て、管理画面で設定を自己流に変更する：影響範囲が分からないまま設定を変えると、サイトが動かなくなるおそれがあります。変更の前に、専門家に確認しましょう。
- 契約上の責任の話を、担当者だけで決めてしまう：引き継ぎの条件や責任の所在は、契約によって異なります。必要なときは、弁護士などの専門家に確認してください。
発注者がやること チェックリスト
- ☐ 契約書・請求書・メールから、システムに関わった会社を書き出した
- ☐ サーバー、ドメイン、保守の契約者名義と、請求の流れを確認した
- ☐ 管理画面に、自社のメールアドレスでログインできることを確認した
- ☐ 「誰に何を聞けるか」の表を作り、空欄を見える形にした
- ☐ 現状調査だけを頼む場合の、期間と費用の上限を社内で決めた
- ☐ JVN など、脆弱性の公式情報の入口を、社内で共有した
- ☐ 保守契約がまだ有効か、契約書で確認した
新しい保守先候補への質問例
候補の会社に相談するときに、そのまま使える質問です。
- 「まず、使っているソフトとバージョン、インターネットに公開されている範囲を調べる『現状調査』だけをお願いできますか。期間と費用の目安を教えてください。」
- 「脆弱性のニュースが出たとき、影響があるかどうかを、どのくらいの期間でご連絡いただけますか。」
- 「現状調査の結果、更新が難しいと分かった場合に、延命と作り直しのどちらがよいか、比較して説明していただけますか。」
- 「引き継ぎ後の作業内容と連絡の窓口を、書面で残していただけますか。」
- 「管理画面の権限やサーバーの契約者名義の整理も、あわせて相談できますか。」
まとめ
- 連絡が取れない開発会社の代わりに必要なのは、聞く内容ごとに相手を分けた「相談先の一覧」
- 契約書・請求書・メールをたどれば、サーバー、ドメイン、保守の相手が見つかることが多い
- まず確かめるのは、自社が管理画面に入れるかと、契約者名義
- 新しい保守先は、現状調査 → スポット対応 → 継続契約の順に段階を踏むと判断しやすい
- JVN や IPA など、公的な情報の入口を決めておくと、緊急時に迷いにくい
最初の一歩として、今日はステップ1の「関わった会社の書き出し」だけ試してみてください。契約書と請求書を見比べるだけで、聞ける相手が何社か見えてくるはずです。なお、個別のシステムが実際に影響を受けるかの判断や、契約上の責任については、システムの内容や契約によって異なります。この記事は一般的な考え方の紹介です。個別の判断は、開発会社や専門家、公式の窓口に確認してください。
あわせて読みたい関連記事
