埼玉大学の不正アクセス事案から学ぶ委託先管理のセキュリティ対策

「業務委託先のシステムがサイバー攻撃を受けたら、うちの責任になるの？」
「委託先のセキュリティをどこまでチェックすればいいのかわからない」

チップス

ボス！
埼玉大学の特許管理システムが不正アクセスを受けたってニュース見たでしゅ！
しかも委託先のシステムが原因って……。

ボス

委託先のサーバーがセットアップ直後から不正アクセス可能な状態だったという話だ。
1,516名分の個人情報が影響を受けた可能性がある。
自組織のセキュリティだけでなく、委託先の管理体制まで目を配る必要があるという典型例だな。

この記事では、埼玉大学の事案を整理し、委託先のセキュリティ管理で押さえるべきポイントを解説します。

業務委託を活用している組織の方は、自社の管理体制を見直すきっかけにしてください。

埼玉大学の不正アクセス事案の概要

まずは何が起きたのか、時系列で確認します。

発覚の経緯と被害の全容

埼玉大学は委託先の株式会社ネットワークスが運用する特許管理システム「KEMPOS」を利用していました。
2025年10月8日、委託先がサーバー点検を行った際にマイニングマルウェアの稼働が発覚。
調査を進めたところ、2025年2月上旬のセットアップ直後から不正アクセスが可能な状態だったことが判明しています。

被害の状況は以下の通りです。

約8か月間、不正アクセスが可能な状態が放置されていたことになります。
発見のきっかけが定期点検だったのは不幸中の幸いですが、検知体制の不備が長期間の侵害を招いた格好です。

チップス

8か月も気づかなかったんでしゅか……。
委託先のサーバーだと、なかなか気づけないものなんでしゅね。

ボス

だからこそ委託先の管理が重要なんだ。
「任せたから安心」ではない。
委託先のセキュリティ体制を確認し続ける仕組みが必要だ。

委託先管理で押さえるべきセキュリティ対策

今回の事案を教訓に、委託先管理の実践的な対策を整理します。

契約時と運用時の二段階チェック

委託先のセキュリティ管理は、契約を結ぶ段階と運用開始後の2つのフェーズで確認が必要です。
今回のケースでは、セットアップ直後から脆弱な状態だったことから、初期構築段階のチェックが機能していなかった可能性があります。

具体的に確認すべき項目を段階別に整理します。

侵害の早期検知体制を整える

今回は点検でたまたまマイニングマルウェアが見つかりましたが、検知の仕組みが整っていれば、もっと早く気づけたはずです。
委託先システムであっても、監視の目が届く体制を構築することが欠かせません。

早期検知のために有効な対策は以下の通りです。

マイニングマルウェアはCPUリソースを大量に消費するため、リソース監視が機能していれば早期に異常を検知できた可能性が高いといえます。

まとめ

ボス

委託先に任せたシステムで情報漏洩が起きれば、責任は委託元にも及ぶ。
「任せた」は「放置した」とは違う。
契約・構築・運用の各段階でセキュリティを確認する体制を築いておけ。

チップス

オイラも委託先との契約書、もう一回見直してみるでしゅ……。

埼玉大学の事案は、委託先システムのセキュリティ管理を怠ったときのリスクを具体的に示しています。
セットアップ直後から8か月間も侵害が続いた事実は、初期構築段階のチェックと継続的な監視がいかに大切かを物語っています。
委託先との契約にセキュリティ要件を盛り込むところから、まずは見直しを始めてみてください。