セキュリティー上の欠陥について

こんにちは。すぐ使える株式会社の井上と申します。
システム開発会社の立場からとなってしまいますが、お答えしますね。

以下の2つの点から判断すると、システム改修はandy3さんの会社負担となります。

○開発を依頼する際にセキュリティー要件を定めた訳ではありません
○瑕疵担保責任の期間も過ぎています

ただ、現在保守契約を結んでいらっしゃるとのことですので、契約内容にセキュリティ上の問題の改修が含まれていればその範囲での対応が可能かと思います。

契約内に対応が明示されていない場合は、問題の性質や改修の規模により個別の交渉になりますね。
一部の画面にケアレスミスの様な形の欠陥があるのであれば保守契約範囲内で対応させることも交渉の余地があると思いますが、最近出てきた攻撃手法への対応が甘いというような場合は、それを開発会社がすべて負担するというのは少し難しいかも知れません。

一般論ですが、基本的には、システム開発を発注した時の契約内容と、保守契約の内容に、セキュリティ要件が明記されていなければ、開発者側の責任とするのは難しく、費用負担を開発会社負担とするのは難しいと思います。

開発会社は、どんなシステムが欲しいか？という要望を満たすためのプログラムを作ってくれますが、要望になかった事に関して作る義務はありません。
要望されなかった内容を作り込むには、それなりのコストがかかりますが、その負担を、発注者側に求めねばなりませんが、発注者が要望していない以上、その費用は認められないでしょう。

優秀な開発会社であれば、発注者側が要望していなかったとしても、「こういうことに気をつける必用があると思います。そんために、これだけの追加コストが必用ですが、どうしますか？」といった提案が、契約前にあると思いますが、開発案件の価格競争が厳しい中では、なかなか言い出すことができない会社も多くあります。

システム発注前、あるいは、保守契約において、こうしたセキュリティ要件についての協議がなかったとすると、開発会社側は、依頼内容（契約内容）に含まれていないので、責任はないと主張すると思います。