委託先管理とソフトウェア部品の脆弱性対応（SBOM・再委託・事故報告・署名）

問　委託先及びソフトウェア部品の管理に関する次の記述を読んで，設問に答えよ。

〔K社の概要〕

　K社は，従業員700名の物流会社である。K社の情報システム課（以下，情シ課という）は5名で，社内システムの企画・運用と情報セキュリティ管理を担当している。情シ課のN主任は，情報処理安全確保支援士である。

　K社の主要な業務システムは配送管理システム（以下，配送システムという）であり，次の三つのサブシステムから成る。

• 荷主ポータル：荷主がインターネット経由で出荷依頼や配送状況の照会を行うWebアプリケーション。IaaS上で稼働する。
• 配車API：荷主ポータルとドライバー用スマートフォンアプリから呼び出されるAPI。インターネットに公開している。
• 夜間バッチ：配送実績を集計し，社内で作成した帳票を画像に変換する。社内のサーバセグメントで稼働し，インターネットからはアクセスできない。

　配送システムの開発・保守は，P社に委託している。P社は運用監視（死活監視とアラート通知）をQ社に再委託しており，K社はこの再委託を書面で承認している。K社の委託先管理表の抜粋を表1に，P社との保守契約の抜粋を表2に示す。

表1　委託先管理表（抜粋）

注記　p-maint は，P社の保守要員3名が共用している。アカウントのパスワード変更はP社が行い，K社は利用者を把握していない。VPN装置では接続元IPアドレスを制限していない。

表2　P社との保守契約の抜粋

〔脆弱性の公表〕

　2026年9月14日，オープンソースのXML解析ライブラリである部品Cの脆弱性が公表された。N主任が収集した脆弱性情報を表3に，P社が初回納品時に提出したSBOMの抜粋を表4に，配送システムのリリース履歴を表5に示す。

表3　N主任が収集した脆弱性情報（抜粋）

注記　部品Cは，単独で利用されるほか，データ連携ライブラリである部品Dの4.0〜4.7版に，1.0〜1.6のいずれかの版が同梱されている。部品D 4.8 で，修正済みの部品C 1.7 が同梱された。

表4　SBOMの抜粋（作成者：P社，作成日：2025年4月10日）

注記　P社は，配送システムが直接利用する部品だけを記載している。表4は2025年4月10日時点の内容であり，その後の部品の変更は表5のリリース履歴にだけ記録されている。

表5　配送システムのリリース履歴

　N主任は，表4に部品Cが記載されていないことから，当初は影響がないと考えた。しかし，表3の注記を読み直し，表5と照合して，①V-2の影響を受けるサブシステムを特定した。同時に，表4の部品Aの版が，現在稼働している版と異なることにも気付いた。

　次に，N主任は対応の優先度を検討した。CVSS v4.0の評価区分では，V-2の基本値8.7は【 a 】に該当し，V-1の9.3より低い。しかし，EPSSは今後【 b 】日間に悪用が観測される確率の推定値であり，V-2はEPSSが高く，KEVカタログにも掲載されていることから，N主任はV-2を最優先とした。一方，②V-1は，V-2の対応完了後に，通常のリリースで対応することにした。

〔P社とのやり取り〕

　N主任がP社に影響調査を依頼したところ，P社からは「第12条により費用は別途協議となる。見積りに5営業日を要する」との回答があった。部品Dを4.8に更新するには，回帰テストを含めて10営業日掛かる見込みである。K社は，見積りを待たずに調査を発注し，それまでの暫定策として，配車APIのXMLファイル取込機能を停止するとともに，荷主ポータルでは外部から送信されるXMLをWAFで遮断した。

〔侵入の痕跡の調査〕

　V-2は悪用が確認されていることから，N主任は配送システムへの不審な接続がないかを調べた。VPN装置の接続ログの抜粋を表6に示す。

表6　VPN装置の接続ログ（抜粋）

　N主任がP社に問い合わせたところ，次のことが分かった。

• P社は，リリース1.2以降，配車APIの改修の一部をR社に委託しており，R社の要員にもp-maintのパスワードを伝えていた。
• K社は，R社への委託について承諾を求められておらず，承諾もしていない。
• 9月12日に，R社の要員のPCでマルウェアが検知されていた。P社は，配送システムへの影響があるか，事故に当たるかをまだ判断できておらず，原因と影響範囲を調査中であったため，K社に報告していなかった。

　N主任は，③表6の接続ログだけでは，項番1，3，4の操作をした者を個人として特定できないことを課長に報告した。また，④第13条の規定のままでは，今回のように報告が遅れると指摘した。

〔リリースパッケージの配布経路〕

　現在，P社は，P社のCIサーバでビルドしたリリースパッケージを，インターネット上のファイル転送サービスを使ってK社に送付し，情シ課が本番サーバに適用している。パッケージには署名がない。N主任は，P社がコード署名用の秘密鍵でパッケージに署名し，情シ課が適用前にP社の公開鍵で署名を検証する運用を提案した。

〔契約と運用の見直し〕

　K社は，予算と人員の制約から，全ての委託先の契約を一度に改定することはせず，配送システムの保守契約の次回更新（2027年4月）で，表2の条項を見直すことにした。N主任は，次の方針で改定案を作成した。

• 第9条：⑤アカウントの発行と管理の方法を改める。
• 第11条：⑥SBOMの記載範囲と提出時期を改める。
• 第13条：報告の契機と期限を明確にする。
• 第15条：⑦監査の対象と方法を拡大する。