第１ 本記事の対象と資料の読み方
GMOインターネットグループの令和８年１１月２日の会見では，お名前.com デスクトップクラウドについて，令和６年に専門会社から改善点の指摘を受け，対策を実施したものの，その深さと速さが十分ではなかったと説明された。
診断を受けたこと，対策を実施したこと，指摘された問題の解消を確認したことは，それぞれ異なる。
本記事は，この違いを会見の説明に即して整理し，企業の実務で残すべき記録を検討するものである。
本記事の基準日は令和８年１１月２日の会見である。
会見のスライドと登壇者の回答は会社側の説明を示す資料であり，非公開の診断報告書や調査報告書の内容を独立して認定したものではない。
会社や役員の法律上の責任が，この会見だけで確定したとするものでもない。
出典：１１月２日の会見映像。
第２ 指摘後に何が行われたと説明されたか
１ 改善点の指摘と４回の緊急メンテナンス
会見資料２３頁は，令和６年４月２４日にグループ会社であるGMOサイバーセキュリティ byイエラエの専門家が改善点を指摘し，診断結果の報告会とエンジニア詳細説明会を実施したとしている。
その後，同月２６日から同年５月２０日までに，計４回の緊急メンテナンスを行ったと説明されている。
資料は，それでも対策は十分ではなく，深さと速さの両面で不足したとしている。
この説明から確認できるのは，指摘後に対応したとの会社の説明と，その対応が十分ではなかったとの自己評価である。
４回という数字はメンテナンスの回数であり，４回の警告を受けたという意味ではない。
対策を一切行わなかったとも，４回行ったので必要な対策を尽くしたとも，この数字だけからは判断できない。
２ 再診断と別の対象の診断
質疑では，指摘を受けた対象について，同じ再診断は行っていなかったと回答された。
他方，申込みやコントロールパネルに関するＷｅｂアプリケーションの脆弱性診断は行っていたとの説明もある。
出典：再診断をめぐる質疑。
診断の実施歴を評価するときは，対象，確認した問題，手法及び実施時点をそろえて比較する必要がある。
別のＷｅｂアプリケーションを診断したという事実だけでは，過去に指摘された問題（その具体的内容は会見では明らかにされていない）が解消したことの確認にはならない。
これは診断の価値を否定する趣旨ではなく，何についての確認結果なのかを明確にするという問題である。
第３ 組織図と経営報告を分けて考える
１ ＣＩＳＯや対策室の存在
会見では，グループＣＩＳＯ，グループセキュリティ対策室，各事業会社のＣＩＳＯ，専門会社による技術支援等の体制が紹介された。
安全管理を重視する方針の周知や，社是への反映についても説明された。
こうした体制や方針の存在と，個々の指摘について是正が完了したかを確認する仕組みが機能していたかは，分けて検討すべきである。
実務では，専門家が問題を指摘する役割，対策を実施する役割，未解消のまま運用する判断をする役割，その判断を監督する役割を確認することが考えられる。
組織図上の名称だけでなく，誰が期限を設定し，誰が未対応を把握し，誰が運用の制限等を判断できるかを明らかにすることが重要である。
これは本記事の実務上の提案であり，会見で会社の内部規程を確認できたという意味ではない。
２ 誰が知り，誰へ報告されたのか
会見では，事業会社側で過去の指摘を把握していたことが説明された一方，GMOインターネットグループ代表の熊谷正寿氏は，今回の問題の発覚まで当該指摘の報告を受けていなかったと説明した。
同氏は，指摘をした専門会社は各社に対する指示命令権がない立場であったとも述べている。
また，どの脆弱性を取締役会に報告するかという基準についての質問に対しては，当時その基準は設けられておらず，現時点でも定量的な基準はなく今後の検証課題であるとの回答があった。
指摘を取締役会で共有したかどうかについては，確認して回答するとされ，会見中には回答されていない。
出典：経営への報告をめぐる質疑，取締役会への報告基準をめぐる質疑。
この点を会社の誰も問題を知らなかったという説明に置き換えることはできない。
現場の認識，事業会社の経営陣の認識，グループ経営陣への報告を分け，報告の対象・経路・判断時点を具体的に確認する必要がある。
第４ 診断後の管理で残したい記録
１ 是正の対象と完了条件
企業が診断後の管理を行う際には，診断対象のシステムと版，指摘内容，影響範囲，対策の担当者及び期限を一つの記録で追えるようにすることが考えられる。
対策の実施日だけでなく，どの確認によって完了と判断するのかを先に定め，確認結果と未解消事項を残すことも有用である。
再診断が適切な確認方法となるか，別の検証を組み合わせるかは，指摘の内容や変更の範囲によって検討することになる。
例えば，対策後に同じ条件で問題が再現しないことを確かめる場合でも，対象から外した環境や未確認の設定があれば，その範囲を明記する。
作業完了の報告と，残っている危険の評価を同じ意味で扱わないことが重要である。
２ 対応を先送りするときの判断
会見では，対策によるサービスへの影響等を考慮していたことも説明されている。
実務上は，対策を直ちに適用しない場合の理由，代わりの措置，見直しの期限及び判断者を記録しておくことが考えられる。
サービスを止めないという判断にも影響があり，止めるという判断にも影響があるため，判断に使った情報と未確認事項を残すことに意味がある。
こうした記録は，対策を行ったかどうかだけでなく，その時点で何を認識し，どの選択肢を検討したかを後から確認する材料となる。
記録を作ったことだけで法的責任を免れるという趣旨ではない。
第５ 今回の会見だけでは決められないこと
２０２４年の指摘の具体的内容と，今回の攻撃に使われた経路との対応関係は，診断報告書等を踏まえて検討すべき事項である。
ＲＤＰの共有機能の問題と，当時の診断で指摘された問題も，同一のものとして扱うことはできない。
会見では，共有機能の問題は当時の指摘には含まれていなかったとの説明がある。
また，今回の攻撃にＡＩが使われた証拠はないとの回答があったが，同じ回答の中で，攻撃者がＡＩを使っていないということもおそらくないだろうとの見方も示されている。
ＡＩによる一般的な脅威の増加という議論を，今回の攻撃の具体的な原因や会社の免責理由に置き換えることはできない。
出典：ＡＩの使用をめぐる質疑。
被害者への補償，契約上の責任制限，会社・役員の責任を判断する際には，会社側の説明と，契約・技術的な記録その他の証拠を分けて整理する必要がある。
補償の具体的な内容は，お名前.comのＦＸ損失と補償に関する記事を参照されたい。
第６ 関連記事と出典
Ｗｅｂ制作・保守会社の更新責任と責任制限条項
子会社管理と親会社への報告・監査
ＡＢＥＭＡニュース【公式】による令和８年１１月２日の会見映像（特に資料２３頁，２８頁，対策・再診断・経営報告に関する質疑）。
GMOインターネット株式会社の第４報。