チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「業務委託先のシステムがサイバー攻撃を受けたら、うちの責任になるの？」
「委託先のセキュリティをどこまでチェックすればいいのかわからない」
チップスボス！
埼玉大学の特許管理システムが不正アクセスを受けたってニュース見たでしゅ！
しかも委託先のシステムが原因って……。
ボス委託先のサーバーがセットアップ直後から不正アクセス可能な状態だったという話だ。
1,516名分の個人情報が影響を受けた可能性がある。
自組織のセキュリティだけでなく、委託先の管理体制まで目を配る必要があるという典型例だな。
この記事では、埼玉大学の事案を整理し、委託先のセキュリティ管理で押さえるべきポイントを解説します。
業務委託を活用している組織の方は、自社の管理体制を見直すきっかけにしてください。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
まずは何が起きたのか、時系列で確認します。
埼玉大学は委託先の株式会社ネットワークスが運用する特許管理システム「KEMPOS」を利用していました。
2025年10月8日、委託先がサーバー点検を行った際にマイニングマルウェアの稼働が発覚。
調査を進めたところ、2025年2月上旬のセットアップ直後から不正アクセスが可能な状態だったことが判明しています。
被害の状況は以下の通りです。
約8か月間、不正アクセスが可能な状態が放置されていたことになります。
発見のきっかけが定期点検だったのは不幸中の幸いですが、検知体制の不備が長期間の侵害を招いた格好です。
チップス8か月も気づかなかったんでしゅか……。
委託先のサーバーだと、なかなか気づけないものなんでしゅね。
ボスだからこそ委託先の管理が重要なんだ。
「任せたから安心」ではない。
委託先のセキュリティ体制を確認し続ける仕組みが必要だ。
今回の事案を教訓に、委託先管理の実践的な対策を整理します。
委託先のセキュリティ管理は、契約を結ぶ段階と運用開始後の2つのフェーズで確認が必要です。
今回のケースでは、セットアップ直後から脆弱な状態だったことから、初期構築段階のチェックが機能していなかった可能性があります。
具体的に確認すべき項目を段階別に整理します。
| 段階 | チェック項目 |
|---|---|
| 契約時 | セキュリティ要件の明文化、脆弱性診断の実施義務、インシデント報告体制の取り決め |
| 構築時 | セットアップ完了後のセキュリティ検証、不要ポートの閉鎖確認、初期パスワードの変更 |
| 運用時 | 定期的な脆弱性スキャン、ログの監視体制、パッチ適用状況の報告 |
今回は点検でたまたまマイニングマルウェアが見つかりましたが、検知の仕組みが整っていれば、もっと早く気づけたはずです。
委託先システムであっても、監視の目が届く体制を構築することが欠かせません。
早期検知のために有効な対策は以下の通りです。
マイニングマルウェアはCPUリソースを大量に消費するため、リソース監視が機能していれば早期に異常を検知できた可能性が高いといえます。
ボス委託先に任せたシステムで情報漏洩が起きれば、責任は委託元にも及ぶ。
「任せた」は「放置した」とは違う。
契約・構築・運用の各段階でセキュリティを確認する体制を築いておけ。
チップスオイラも委託先との契約書、もう一回見直してみるでしゅ……。
埼玉大学の事案は、委託先システムのセキュリティ管理を怠ったときのリスクを具体的に示しています。
セットアップ直後から8か月間も侵害が続いた事実は、初期構築段階のチェックと継続的な監視がいかに大切かを物語っています。
委託先との契約にセキュリティ要件を盛り込むところから、まずは見直しを始めてみてください。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
