.png)
情報漏えいのニュースが気になったら｜中小企業が保守会社に確認したい7項目
「また情報漏えいのニュース。うちの会社は大丈夫だろうか」
そう思っても、ホームページやシステムを外部に任せていると、自社で何を確認すればよいのか迷うかもしれません。
「いつもお願いしている会社が対応してくれているはず」
「専門的なことを聞かれても、自分には分からない」
そんなときは、まず任せている範囲と、今回確認してもらいたいことを整理するところから始めましょう。自分で難しい調査をする必要はありません。
この記事では、IT担当者がいない中小企業の経営者や、総務などと兼務でITを管理する方に向けて、保守会社への確認事項と、そのまま使える問い合わせ文を紹介します。
※ 2026年10月13日時点の公開情報に基づいています。以下の7項目は、関係機関の注意喚起を参考に、ITワークラボが問い合わせ用に整理したものです。公式のチェックリストそのものではありません。
政府・関係機関も注意喚起。まずは自社との接点を確認
相次ぐ不正アクセスによる情報漏えいを受け、経済産業省は2026年10月9日付で「不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼」を掲載しています。[1]
また、情報セキュリティ対策の情報を提供するIPA（独立行政法人 情報処理推進機構）は10月9日に点検・対策を案内し、サイバー攻撃への対応を支援するJPCERT/CC（一般社団法人JPCERTコーディネーションセンター）も10月8日に注意喚起を公開、翌9日に情報を追加しています。[2][3]
ただし、ニュースを見たことだけで「自社も被害に遭っている」と判断する必要はありません。一方で、「自社開発のシステムはないから関係ない」とも言い切れません。
例えば、次のようなものを使っていないでしょうか。
ホームページの更新画面や問い合わせフォーム
予約・会員管理・ネット販売のシステム
インターネット経由で利用する勤怠・顧客管理サービス
社外から会社のネットワークにつなぐ仕組み（VPN）
確認の出発点は、自社が何を利用し、誰が管理しているかです。
「保守会社に任せている」の中身は、契約によって違う
ホームページの文章や画像を直してくれる会社が、システムの更新や不正アクセスの調査まで担当しているとは限りません。
例えば、月額の保守料に「ページ修正」「バックアップ」「システム更新」のどこまで含まれるかは契約によって異なります。
異常なアクセスを調べる作業は、別途相談や見積もりが必要な場合もあります。
これは、保守会社の対応を疑う話ではありません。
お互いが想定している役割を確認し、必要な作業を依頼するための話です。
連絡先が分からなければ、契約書、請求書、導入時のメールを見てみましょう。
確認したいもの | 最初の相談先の例 |
自社ホームページ・独自の予約システム | 制作会社、開発会社、保守会社 |
月額契約の業務クラウド | 社内の契約担当者、販売代理店、サービスのサポート窓口 |
社外からの接続機器・社内ネットワーク | 導入会社、ネットワークの保守会社 |
担当が違っていても、「御社の対応範囲でしょうか。別の窓口であれば教えてください」と聞けば、次の確認につながります。
保守会社に確認したい7項目
① 何を管理してもらっているか
「当社が使っているサイトやシステムのうち、御社の管理対象を教えてください」
ホームページだけでなく、問い合わせフォームや予約機能が別の会社のサービスになっていることもあります。
自社で分かるサービス名やURLを伝え、管理対象・対象外を整理しましょう。
不明なものは、無理に判断せず「管理者未確認」として残しておきます。
② 今回の点検は、契約に含まれるか
「今回の注意喚起を受けた点検は、現在の保守契約で対応できますか」
対応できる内容、追加費用がかかる内容、別の専門会社が必要な内容を確認します。
あわせて、いつ頃までに一次回答をもらえるかも相談しておくと、その後の対応を進めやすくなります。
依頼の段階で「確認」と「有償作業の発注」を区別しておけば、費用面の行き違いも防ぎやすくなります。
③ アクセスの記録は、誰が、いつまでさかのぼって確認できるか
「アクセスや操作の記録は残っていますか。確認できる期間と担当者を教えてください」
こうした記録は「ログ」と呼ばれます。
いつ、どこからアクセスがあり、どのような操作が行われたかを調べる手がかりです。
記録される内容はシステムによって異なります。
IPAは、外部公開システムのログについて、直近1カ月、その後3カ月というように段階的に確認範囲を広げる方法を示しています。[2]
ただし、どのサービスでも3カ月分が残っているとは限りません。
まず確認できる期間を把握し、保存期限で古い記録が消える前に、必要な記録の保全を相談することが実務上のポイントです。
④ 普段と違うアクセスや、身に覚えのないアカウントはないか
「不審なログインや、作成・変更した覚えのない利用者登録はありませんか」
技術担当者には、例えば次の観点で確認を相談します。
普段よりログイン失敗が増えていないか
通常と異なる時間帯や接続元から利用されていないか
知らないアカウントや、意図しない権限変更がないか
これらは調査の手がかりです。
不審な接続元が見つかっただけで情報漏えいと決めつけず、操作内容や自社の利用状況も含めて確認してもらいます。[2][3]
⑤ 必要な更新や、公開範囲の見直しは済んでいるか
「安全上必要な更新が残っていないか、不要な管理画面などが外部に公開されていないか確認できますか」
「画面が正常に表示されること」と「安全上の対処が済んでいること」は、確認する観点が異なります。
更新が必要なら、担当者、実施予定、業務への影響を確認しましょう。
すぐに更新できない場合も、その理由と、更新までの間に取れる対策を相談します。
⑥ どんな情報が保存され、不要になった情報が残っていないか
「顧客情報や問い合わせ履歴はどこに保存されていますか。保存を続ける必要がない情報はありますか」
ここは、保守会社だけでは判断できません。
システムの担当者が保存場所や削除方法を確認し、自社が業務上の必要性を判断する、という役割分担になります。
古いデータを一律に削除するのではなく、必要な保存期間や契約上の条件を確認して整理しましょう。すでに不正アクセスが疑われる場合は、調査に必要な記録を失わないよう、削除前に調査担当者へ相談します。
⑦ 点検結果と、次に必要な対応を受け取れるか
「確認した範囲、結果、未確認の部分、追加対応をメールなどで共有してください」
長い報告書を求める必要はありません。
まずは次の内容が分かれば、社内で判断しやすくなります。
受け取りたい内容 | 記載例 |
確認した対象・期間 | 予約システム、○月○日〜○月○日の記録 |
結果 | 確認した範囲では不審な操作を認めず |
確認できなかった部分 | 保存期間外の記録は確認できず |
次の対応 | 更新作業の日程調整が必要 |
担当・期限 | 保守会社の○○さんが○日までに回答 |
「異常が見つからなかった」と「調べられなかった」を分けることが大切です。
クラウドサービスは、自社で確認できる範囲から
業務クラウドを利用している会社が、提供会社のサーバー内部まで自分で調査するわけではありません。
自社の管理者が見られる利用者一覧やログイン履歴、設定を確認し、提供会社の公式発表やサポート窓口で必要な情報を補います。
確認可能な記録は、契約プランや管理権限によっても異なります。
「利用者である自社が確認すること」と「提供会社に確認すること」を分けて相談しましょう。
そのまま使える、保守会社への問い合わせ文
以下の［ ］を置き換えて使えます。
複数の会社へ連絡する場合は、それぞれの担当範囲に合わせて調整してください。
件名：当社システムのセキュリティ点検範囲についてのご相談
いつもお世話になっております。
最近の情報漏えいに関する報道や、経済産業省・IPA等の注意喚起を受け、当社が利用している［サイト名・システム名］について、現在の対応状況を確認したくご連絡しました。
まず、以下について、現在の契約で確認可能な範囲をご教示いただけますでしょうか。
御社の管理対象となるシステム・機能
今回の点検で対応可能な内容と、追加費用の有無
アクセス・操作記録の保存期間、確認担当者、必要に応じた記録保全の可否
不審なアクセスや、意図しないアカウント・権限変更の確認可否
未実施のセキュリティ更新や、外部への公開範囲の見直しの必要性
顧客情報等の保存場所と、不要な情報を整理する際の確認方法
点検結果・未確認事項・追加対応の共有方法
点検に当たっては、確認対象と期間、確認できなかった範囲も分かる形で共有いただけますと幸いです。
有償作業が必要な場合は、着手前に内容と費用をご提示ください。
まずは対応可否と一次回答の目安をお知らせいただけますでしょうか。
他社への確認が必要な項目についても、分かる範囲で窓口をご案内いただけますと助かります。
よろしくお願いいたします。
「問題ありません」と返ってきたら、確認範囲を聞いておく
保守会社から「問題ありません」と回答があったら、次の一言を添えておきましょう。
「ありがとうございます。社内でも記録しておきたいので、確認した対象と期間、未確認の部分があれば教えてください」
例えば、
「ページの表示を確認した」
「更新状況を確認した」
「過去1カ月のアクセス記録を調べた」
では、分かることが異なります。
確認範囲を残しておけば、追加の注意喚起が出たときや、担当者が交代したときにも役立ちます。
もし不正アクセスの疑いが見つかった場合は、通常の点検依頼のまま待たず、電話などで保守会社と連絡を取り、記録の保全、被害拡大の防止、専門会社への調査依頼を相談してください。自己判断で初期化や記録の削除をしないようにしましょう。
不安を、最初の問い合わせにつなげる
情報漏えいのニュースを見るたびに、自社の対策をすべて見直すのは大変です。
まずは、気になるシステムを一つ選び、「誰が管理しているか」「どこまで確認してもらえるか」を聞いてみてください。
専門用語を覚えてから連絡する必要はありません。
任せている内容を確かめ、分からない部分を一つずつ減らしていくことが、具体的な対策につながります。
💬 ご相談はこちら
ITワークラボでは、IT担当者がいない中小企業向けに、利用中のITサービスや管理担当の整理、保守会社への確認事項の整理、回答を受けた後の対応の優先順位づけなどをサポートしています。
「どの会社に聞けばよいか分からない」
「保守会社からの回答を読んでも判断できない」
といった段階でも、お気軽にご相談ください。初回相談は無料です。
参考情報
[1] 経済産業省「サイバーセキュリティ政策」掲載情報（2026年10月9日）https://www.meti.go.jp/policy/netsecurity/index.html 注意喚起PDF：https://www.meti.go.jp/policy/netsecurity/pdf/20261009_chuuikanki.pdf
[2] IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日） https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html
[3] JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日公開、10月9日更新）https://www.jpcert.or.jp/at/2026/at260030.html
📖 あわせて読みたい
関連ページ
IT・セキュリティ体制構築の支援内容は、「サービスページ」でご案内しています。
実際のご相談事例は、「導入事例」でもご紹介しています。
ITワークラボの考え方は、「ITワークラボについて」をご覧ください。
コメント