Crisis Management
委託先のサイバー事故――自社への影響を判断するための情報要求
委託先から事故の連絡を受けても、「調査中です」「影響は確認されていません」という説明にとどまり、自社が報告や通知、取引先への説明を判断できないことがあります。本記事では、自社の判断に必要な事実を特定し、追加の質問、資料の抜粋、代替的な確認をどう選び、情報が得られないまま期限が迫るときに何をするかを扱います。
監修：吉川 景司（弁護士・弁理士／第一東京弁護士会）
目次
以下は架空の事例です。 A社（製造業、従業員300名、上場準備中）は、受注・在庫システムの運用保守をB社に委託しています。B社から「作業用環境への不正アクセスの疑いがある。現在調査中」との連絡がありました。A社は、自社のどのデータが対象になりうるのか、法人顧客のC社に説明すべき事態なのかを判断しなければなりませんが、B社からの説明はそれ以上進みません。
本稿のA社・B社等は、説明のための架空設定です。当事務所の実際の受任案件を紹介するものではありません。
委託先の説明だけでは判断できない場面
委託先からの連絡が、次のような状態にとどまることがあります。
- どのデータが対象になりうるのかが特定されていない
- 「確認されていない」とあるが、どの範囲をどう確認したのかが示されていない
- 調査がいつ終わるのかが示されていない
- 報告書の提供を求めても、応じられないと言われる
このとき自社の側では、別の時計が動いています。当局への報告や本人への通知を検討する期限、取引先から示された回答の期限、そして社内での報告の期限です。
契約、対象データ、これまでの回答を確認する
契約上の根拠を確認する
最初に、何を根拠に求めるのかを確認します。
業務委託契約には、事故時の報告に関する条項、監査や立入りに関する条項、再委託の可否と再委託先に関する条項が置かれていることがあります。IPAが公表している「情報システム保守運用委託基本モデル契約書」でも、事故や障害時の連絡体制は仕様書や別途の書面で定める形になっており、条項そのものが報告の期限や範囲を具体的に定めているとは限りません。まず自社の契約がどう定めているかを確認してください。
個人データの取扱いを委託している場合には、委託元として委託先を必要かつ適切に監督する義務があります（個人情報保護法25条）。ただし、この監督義務だけから、委託先が保有する調査報告書の全文提出を当然に請求できるとはいえません。必要な情報を把握できるよう、契約上の報告・資料提供の条項や、準委任に該当する場合の報告義務（民法645条。同法656条により準用されます）を確認し、全文の提供、必要な部分の抜粋、書面での回答等による情報の取得を検討します。民法上の報告義務も、あらゆる既存の文書の全文の引渡しと同義に扱うことはできません。
自社が判断に必要とする事実を先に特定する
委託先の調査の完了や報告書の受領は、自社の報告判断の前提条件ではありません。自社で把握した事実と委託先からの情報を基に、個人情報保護法上の報告対象事態への該当性を判断し、対象であれば、把握している内容で速報を行います。
そのうえで、情報の取得は「報告書がほしい」からではなく、どの判断のために、どの事実が必要なのかから出発します。全文の提供の可否に協議が偏ると、必要な事実の確認が進まなくなることがあります。取引先への説明のためであれば、その取引先の預託データに接触があったかどうかが必要になります。必要な事実が特定できれば、報告書という形の成果物がなくても、書面での回答や作業の記録で足りる場面が出てきます。
これまでに受けた回答を整理する
口頭での説明、メール、定例会での報告を時系列に並べ、確認済みの事項と未回答の事項に仕分けます。
この作業には二つの意味があります。重複した質問を避けられることと、何が回答されていないのかを相手方に示せることです。「先般ご説明いただいた内容のうち、○○については回答をいただいていません」という形で示すほうが、漠然と資料を求めるより進みます。
委託先に確認する事項と、待たずに進める判断
| B社へ要求・確認する事項 | 未判明でも進める判断 | 判断の期限・時点 | A社の担当例 |
|---|---|---|---|
| A社の対象情報、確認した範囲、アクセス等の痕跡 | B社の最終報告を待たず、A社の速報の要否を判断する | A社が報告対象事態を知った後、速やかに※ | 法務・情報システム |
| B社の報告予定、A社への通知内容、共同報告等の手配 | B社が報告するというだけで処理済みとせず、A社分の報告方法を確認する | A社の速報を遅らせない時点 | 法務・委託管理担当 |
| 報告書全文の提供が難しい場合の書面回答・抜粋等 | 未回答の事項を区別し、代替の確認とC社への説明内容を検討する | 契約上の通知期限／調整した回答日から逆算 | 法務・情報システム・営業 |
| 未回答事項の追加確認の方法・回答予定日 | B社の調査が終わらなくても、A社の確報・追完を進める | A社についての確報の期限まで※ | 法務・委託管理担当 |
※架空事例の記入例です。※速報は「速やかに」が基準で、概ね3〜5日以内が目安です。その期間待ってよいという意味ではありません。法人では、いずれかの部署が報告対象事態を知った時点を基準とします。確報は原則30日以内、個人情報保護法施行規則7条3号の類型では60日以内です。合理的な努力を尽くしても未判明の事項は、判明している内容を期限内に報告し、判明次第追完します。
追加の質問、報告書の抜粋、代替的な確認を選ぶ
報告書が作成されているとは限らない
そもそも、委託先が外部の調査事業者に調査を委託し、報告書が作成されているとは限りません。委託先が自社の要員で確認を進めている場合、調査の要否をなお検討している場合、規模や影響から外部への委託を見送っている場合には、提供を求める対象としての報告書が存在しません。
そこで、先に確認するのは、外部の調査を実施しているか、報告書等の成果物が作成される予定か、作成されるとすればいつか、という点です。ここを確かめずに報告書の提供を求めると、委託先は「まだない」という趣旨の回答しかできず、やり取りが進みません。報告書が存在しないこと自体は、それだけで不自然とも不誠実ともいえません。
報告書がない段階でも、書面での回答、作業の記録やログの提供、担当者への聞き取り、自社側での追加調査といった方法があります。必要な事実を特定してから求めるという順序は、この場合も変わりません。
報告書があっても、全文提出の要求から始めない
報告書が作成されている場合でも、最初に全文の提出を求めることが適切とは限りません。委託先の調査報告書には、自社に関係のない情報が含まれていることがあります。他の顧客の情報、委託先自身の秘密情報、第三者から提供された情報です。これらが含まれる場合、開示の範囲の調整に時間を要することがあります。
そして、提出を断られたことをもって、隠蔽や過失の証拠と扱うことはできません。断る理由には、正当なものが含まれうるためです。
取得の方法には幅がある
| 方法 | 向いている場面 |
|---|---|
| 質問書への書面回答 | 必要な事実が特定できている場合 |
| 報告書の該当部分の抜粋・マスキング版 | 記載の内容そのものを確認したい場合 |
| 閲覧のみ（写しは取らない） | 委託先が資料の流出を懸念している場合 |
| 担当者への聞き取りと議事録の相互確認 | 書面の成果物がまだない場合 |
| 第三者（調査事業者）による確認 | 技術的な評価が必要な場合 |
| 自社側での追加調査 | 委託先からの取得に見込みが立たない場合 |
※架空事例の記入例です。
このうち質問書は、回答を書面で残せる点で優れています。後から「そのようには説明していない」という食い違いが生じにくくなります。報告書が作成されていない場合には、上表のうち書面回答・聞き取り・自社側での追加調査が中心になります。
受け取った情報の取扱い条件を決める
資料を受け取る前に、二次的な提供の相手・目的・範囲・条件を確認し、必要な合意を得ます。第三者の秘密や個人情報の取扱いも別途確認してください。
あわせて、資料の保存が可能な期間と、法令への対応や紛争への対応に必要な控えの保存条件を確認し、協議しておきます。 返還や廃棄の条件をそのまま受け入れると、後に費用の請求や責任の分担を検討する段階で、裏づけとなる資料が手元に残っていないことがあります。無断で保管を続けることを勧める趣旨ではありません。
要請の担当と、共有条件の承認者を決める
照会の窓口と質問の事項を調整します。情報システム部門と法務が別々に照会を出すと、委託先の側で対応が分散することがあります。
通常の情報要求は委託管理責任者が承認します。追加の費用の負担や、秘密保持の条件の変更を伴う場合は、その事項の決裁権者にも承認を求めます。
取引の継続や責任について並行して協議する場合も、情報を取得する目的、必要な事項、回答の期限は、区別して示します。
要求、回答、未回答の事項と期限を残す
残す項目は次のとおりです。
- 要請した日
- 要請した事項
- 要請の根拠（契約条項、法令）
- 回答のあった日と、その内容
- 未回答の事項
- リマインドの記録
- 期限
このうち、未回答の事項の一覧を維持することが要になります。後日、責任の分担を検討する場面でも、自社が説明責任を果たしたかが問われる場面でも、「求めたが得られなかった」という経過を示せるかどうかで、説明のしやすさが変わります。
情報が不足し、協力が得られないときは
次のような場面では、法的な整理を交えて検討されることをお勧めします。
- 報告や通知の期限までに、判断に必要な事実が確定しない場合
- 委託先が協力せず、契約上の措置を検討する必要がある場合
- 委託先が同時に責任追及の相手方となりうる場合に、情報の取得と請求の準備をどの順序で進めるかを検討するとき
- 開発や保守の契約そのものに争いがある場合
委託先や調査事業者から得た情報を、自社の報告・説明・請求の判断に使える形に整理する段階で、弁護士がお手伝いできる部分があります。
Contact
ご相談にあたって
委託先から受けた説明の概要、追加で求めている情報と未回答の事項、自社で判断・回答する必要がある期限を、分かる範囲でお知らせください。
お問い合わせフォームへ初回は会社名・関係当事者名・ご相談事項の概要をお知らせください。利益相反等を確認の上、ご相談の可否をご案内します。本フォームは緊急受付窓口ではなく、送信後すぐに確認・返信できるとは限りません。
本記事は一般的な情報提供を目的とするものであり、個別の事案に関する法的助言ではありません。具体的な対応については、当事務所までご相談ください。記事の内容は、最終更新日の時点で施行されている法令等に基づいています。施行前の改正法を取り上げる場合は、本文にその旨を示しています。