注意喚起は「修正」と「侵害の確認」を分けている

NetScalerの注意喚起は、修正済みバージョンの適用と侵害有無の調査を別に案内しています。2026年9月28日に公開され、10月2日に調査情報が追記されました。対象はNetScaler ADC・NetScaler Gatewayの特定バージョンなどで、脆弱性によって設定条件が異なります。

F5 BIG-IP APMの注意喚起も、修正用ホットフィックスと侵害検出方法を別に説明しています。2026年9月24日の公表情報で、OAuth Authorization Serverとして構成され、仮想サーバーにAPM access policyとOAuth profileが設定されている場合、という条件があります。

いずれも、利用する製品・版・設定を最新の開発元情報と照合する必要があります。社内で「VPN」と呼んでいるだけでは、対象かどうかは分かりません。修正の適用は、過去の侵害がなかったことを示す調査結果の代わりにはなりません。 一方、注意喚起の存在だけで自社が侵害されたとも断定できません。

この記事では確認の分担を提案します。攻撃手順や調査コマンドは掲載せず、製品に応じた実際の調査は保守先・専門担当者に引き継ぎます。

最初に、機器と管理する人を特定する

経営者や総務担当者は、機器台帳、導入時の資料、保守契約を確認し、分からない項目を窓口へ問い合わせます。管理画面の操作を自己判断で始める必要はありません。

確認項目 保守窓口に聞くこと
機器の特定 製品名・型番・設置拠点・用途は何か。対象となる機器はほかにないか
管理主体 自社・委託先・サービス提供元の誰が更新と記録の保管を担当するか
対象条件 稼働中の版と設定が、どの注意喚起の条件に当たるか
修正の記録 何をいつ適用し、適用後の版・修正内容を誰が確認したか
調査の分担 保守契約に侵害調査が含まれるか。含まれなければ、誰に引き継ぐか

更新を行う会社と、侵害の有無を調べる会社が同じとは限りません。「保守を契約しているから調査も済んでいる」と考えず、依頼した範囲と返ってくる報告を確認します。記録にはパスワード・秘密鍵を入れず、詳細な構成や調査資料の閲覧範囲も限定してください。

修正と調査は、別の欄で記録する

確認表は次のように分けます。「対応済み」という一つの状態だけにすると、更新完了が調査完了として伝わるおそれがあります。

  • 修正の欄： 対象の注意喚起、適用する修正、作業日時、適用後の確認、未適用の機器、確認担当を残します。作業予定と適用完了も分けます。
  • 調査の欄： 調査担当、対象機器と期間、確認できた資料、結果、確認できなかった範囲、追加対応の要否を残します。
  • 判断の欄： 利用継続・制限・停止などの方針、判断者、理由、再判断に必要な情報、回答期限を残します。

調査で痕跡が見つからなかったという報告も、確認した範囲と資料の限界とセットで受け取ります。ログが残っていない期間まで「侵害なし」と広げません。不審な点が報告された場合は、専門担当者に追加調査や対応方針を確認し、原因・攻撃者・漏えいの範囲を推測で埋めないようにします。

更新や再起動、初期化などを進める際は、業務への影響と調査資料の保全を保守先・調査担当と調整します。総務担当者が独断でログを消したり、機器を初期化したりしないことが大切です。

想定シナリオ：卸売会社が「更新完了」の連絡を受けたら

以下は未実施の想定シナリオです。拠点間の業務でVPNを使う卸売会社が、委託先から「更新完了」と連絡を受けた場面を考えます。実在企業の事故やhirostaの対応を再現したものではありません。

総務が、連絡の対象を確認する

総務は機器台帳と作業報告を並べ、対象拠点、製品、適用した修正、適用後の確認を委託先に聞きます。同じ会社の別拠点に対象機器があるかも確認します。

社内の管理表では「修正：適用確認済み」「侵害調査：契約範囲を確認中」「利用方針：責任者に確認中」と別々に表示します。この画面項目は運用案であり、実際に管理表を作って検証したものではありません。

調査の担当と、回答期限を決める

委託先が更新だけを担当しているなら、総務は調査対応の可否、引き継ぎ先、必要な資料、見積りと回答予定を確認します。「ログがない」という回答は調査済みにせず、保管されている期間と確認できない期間を分けてもらいます。

調査担当に渡す資料は承認された経路で共有します。機器の詳細やログを、一般向けの問い合わせフォームや社外のAIへそのまま貼り付けません。

経営者が、未確認事項と業務への影響を見て判断する

総務は経営者へ「修正の確認結果／調査できた範囲と不足／保守先の推奨／VPNを制限した場合に止まる業務／代替手順」を渡します。侵害の判断は専門担当者へ確認し、業務の継続方針は責任者が決めます。

調査の回答を待つ間も、未確認のまま無期限に利用を続ける方針にせず、責任者が保守先と対応と回答期限を決めます。制限や停止が必要な場合の仮受付・再開時の照合は、業務継続と再開の手順も参考にできます。

費用と期間は、更新・調査・業務継続を分けて考える

更新作業の料金だけで、対応全体の費用は決まりません。見積りは「修正の適用」「侵害調査」「調査結果に応じた追加対応」「停止中の代替業務」に分けます。保守契約に含まれる作業、別途依頼が必要な作業、報告書に残す範囲を確認してください。

期間も、作業日時を調整する時間、資料を集めて調査する時間、結果を受けて再開を判断する時間を分けます。機器の数、記録の保管状況、調査範囲、業務を止められる条件で変わるため、一律の日数や費用は示しません。

まず必要なのは、機器の管理主体と調査窓口の確認です。担当交代で残す資料は業務ツールの保守・引き継ぎ、事故情報を読む際の判断は漏えい事故の件数と被害の読み方で整理しています。

hirostaへの相談は、AI業務改善ガイドやサービス・料金で支援範囲を確認したうえで、相談窓口へ業務の概要をお伝えください。この記事はVPNの診断サービスや侵害調査の提供を案内するものではありません。

よくある質問

Q. VPNに接続できれば、更新も調査も完了したと言えますか？ 接続できることは動作の確認です。対象の修正の適用と侵害調査は、それぞれ担当者の記録・報告で確認します。

Q. 製品名が分からないときは、何から始めますか？ 導入資料、機器台帳、保守契約から管理する人と窓口を特定します。対象かどうかを推測せず、製品・版・設定を管理者に確認してください。

Q. 調査に必要な記録が残っていない場合はどうしますか？ 確認できない期間と範囲を未確認として残します。調査担当へ追加で確認できることを聞き、責任者が保守先と利用方針・代替手順・次の判断に必要な情報を決めます。