Crisis Management
サイバー事故の調査発注――範囲・成果物・追加費用をどう決めるか
事故が起きると、調査の依頼は短い時間で決めることになります。しかし「何を明らかにしたいのか」を整理しないまま発注すると、報告書を受け取った後になって、報告や説明、責任の判断に必要な事実が含まれていないと分かることがあります。本記事では、調査の目的から、範囲・成果物・追加調査の条件をどう決め、誰が発注と変更を承認し、何を記録に残すかを扱います。保全の操作そのものの手順は扱いません。
監修：吉川 景司（弁護士・弁理士／第一東京弁護士会）
目次
以下は架空の事例です。 A社（製造業、従業員300名、上場準備中）の受注・在庫システムに異常が生じ、運用保守を委託するB社からも、作業用環境への不正アクセスの疑いがあると連絡がありました。A社は、B社が行う調査とは別に、独立した調査事業者D社への発注を検討しています。漏えいの有無も、侵入経路も、まだ分かっていません。
本稿のA社・B社等は、説明のための架空設定です。当事務所の実際の受任案件を紹介するものではありません。
調査を急いで依頼することになる場面
事故対応の初期には、二つの要請が同時に来ます。早く復旧させることと、何が起きたかを明らかにすることです。復旧を優先して機器を初期化すれば、調査に必要な情報が失われる場合があります。調査を優先すれば、業務の停止が長引きます。復旧の方法と証拠の保全は、併せて検討することになります。
さらに、調査に使える情報は時間とともに失われます。ログの保存期間には上限があり、上書きされれば戻りません。デジタル・フォレンジック研究会「証拠保全ガイドライン」も、保全の着手が遅れることによる影響を扱っています。
部門が分かれている企業では、技術的な必要から情報システム部門が先に事業者の選定と発注を進め、法務が関与するのは契約書の確認段階になることがあります。その場合には、調査の目的に、報告・説明・責任の判断に必要な事項が含まれているかを確認してください。目的が技術的な原因究明に限定されたまま進むと、後から必要な事実を足すことになります。
調査の目的、対象、既存の資料を確認する
何のために調査するのかを先に決める
調査の目的は、おおむね五つに分かれます。
- 当局への報告や本人への通知が必要かを判断するため
- 取引先や顧客企業に説明するため
- 復旧してよいかを判断するため
- 責任の所在を検討し、費用の請求や求償に備えるため
- 再発防止策を立てるため
目的が違えば、必要な事実も違います。 再発防止のためであれば侵入経路と脆弱性の特定が中心になりますが、取引先への説明のためであれば、その取引先の預託データに接触があったかどうかが必要になります。
発注の前に、「この調査で何を決められるようにしたいのか」を書き出してください。これが後の範囲の設定と、成果物の仕様の出発点になります。
ここで注意が必要なのは、当局等への報告の判断です。技術調査で全容が判明する前であっても、その時点で把握している事実から、漏えい等のおそれを含む、個人情報保護法上の報告対象事態への該当性を判断します。報告対象事態を知った場合、速報はその時点で把握している内容で行い、技術調査の完了を待ちません。
対象の範囲と、ログの保存期限を確認する
対象とするシステム、取得できるログの種類、そしてログの保存期間を確認します。
クラウドサービスを使っている範囲では、注意が必要です。取得できる情報の範囲が、契約の内容とサービスの仕様に左右されるためです。自社の設備であれば取得できる情報が、クラウドでは事業者の提供する範囲でしか得られないことがあります。証拠保全ガイドライン第10版には、この点についての参考情報が別途公表されています。
A社の例では、受注・在庫システムは自社の管理する基盤にありますが、一部の業務には別のSaaSを使っています。この二つは、取得できる情報の範囲も、取得の手続も異なります。
既に取得されている資料を確認する
発注の前に、手元にあるものを確認します。B社が既に実施した調査の結果、日常的に取得している監視のログ、他社から提供された情報などです。
重複して調査すれば費用が増えますし、B社の調査とD社の調査で前提や範囲が違えば、後で結果を突き合わせられません。
調査の範囲、成果物、追加調査の条件を決める
成果物に何を書いてもらうかを決める
報告書の仕様は、発注の時点で合意しておきます。本記事では、次の四項目を成果物についての確認項目として提案します。 記載の詳しさや提出の時期は、調査の目的と段階に応じて事業者と協議してください。
- 確認できた事実
- 確認できなかった事実と、その理由
- 調査の前提と限界
- 用いた手法と、対象とした範囲
二つ目を明示的に要求することが重要です。これをしないと、調査しなかったのか、調査したが分からなかったのかが、後から区別できない成果物になるおそれがあります。報告書の利用目的や提供先に応じて記載の範囲・詳しさを調整する場合もありますが、調査範囲や結果について誤解を招かないようにします。この区別は、取引先への説明でも、責任の議論でも意味を持ちます。
中間報告の要否と時期も、あわせて決めます。最終報告だけを待つ設計にすると、その間の判断が止まります。
調査の制約をあらかじめ共有する
ログが残っていない、保存期間を過ぎている、対象の範囲外であるといった理由で、確認できない事項が生じる場合があります。発注の時点で予想される制約を共有し、調査の開始後に判明した制約の報告方法も決めておきます。
このとき、調査の範囲や環境に由来する制約と、調査の品質の問題は区別してください。調査範囲や利用できる資料に制約がある場合でも、そのことだけで調査事業者の責任の有無が決まるわけではありません。 合意した業務の内容、制約についての説明、資料の保全・取得や調査の実施状況等を踏まえて、個別に検討することになります。
追加調査の条件を整理しておく
追加調査に移る条件、費用の上限、承認する者をあらかじめ整理し、追加調査の判断が必要になった時点で確認できるようにしておきます。
報告書をどこまで使えるかを決める
受け取った報告書を、取引先、保険会社、当局へ提供してよいか。契約に第三者提供に関する条項があれば、その範囲を確認します。提供を予定しているのであれば、発注の時点で合意しておくほうが確実です。
なお、報告書や資料を弁護士に送付したというだけで、提出や開示の対象から当然に外れるわけではありません。日本法では、弁護士との通信を一律に提出拒否できる制度にはなっていないためです。「弁護士に渡しておけば出さなくて済む」という前提で資料の流れを設計しないでください。
目的から調査項目への対応を整理する
| D社へ依頼する事項 | 未判明でも進める判断 | 判断の期限・時点 | A社の担当例 |
|---|---|---|---|
| 対象情報・アクセス等の痕跡についての初期所見 | 全容や原因が未確定でも、判明している事実から速報の要否を判断する | 報告対象事態を知った後、速やかに※ | 法務・情報システム |
| C社への影響についての中間所見 | 復旧日等が未確定でも、契約上の通知と回答できる事項を検討する | 契約上の通知期限／取引先と調整した回答日 | 法務・営業 |
| 未判明の事項を調べる方法・対象・必要資料 | 追加調査の要否と優先順位を決める。既に必要となった報告を追加調査待ちにしない | 追加調査の必要が判明した時点。資料の保存期限等も考慮 | 情報システム・法務 |
| 確報に必要な事項と、なお判明しない事項 | 調査が未完了でも期限内の報告を進め、必要な追完を管理する | 確報の期限まで※ | 法務・情報システム |
※架空事例の記入例です。※速報は「速やかに」が基準で、概ね3〜5日以内が目安です。その期間待ってよいという意味ではありません。法人では、いずれかの部署が報告対象事態を知った時点を基準とします。確報は原則30日以内、個人情報保護法施行規則7条3号の類型では60日以内です。合理的な努力を尽くしても未判明の事項は、判明している内容を期限内に報告し、判明次第追完します。情報が不足していることだけで、すべての事故が報告対象になるわけではありません。
発注と変更を、誰が承認するか
本事例では、情報システム部門と法務が調査の範囲・成果物・契約条件を確認し、予算の決裁権者が発注を承認します。対象の範囲や費用が承認の条件を超える場合は、追加の承認を得たうえで、変更の理由を記録します。
緊急の発注では、作業を先に開始し、契約書の取り交わしが後になることがあります。その場合には、調査の目的、対象の範囲、成果物、費用の算定方法、秘密保持、報告書の利用範囲といった主要な条件を、発注書・見積書・メール等で相手方と確認し、合意済みの条件と、未合意の事項を区別して記録します。記録に残すことと、相手方との間で条件が合意されたこととは別です。
サイバー保険に加入している場合、調査等の費用について、支出前の保険会社の承認を補償の条件とする商品があります。発注の前に、適用される約款・特約で、事業者の選定、費用、連絡の手続に関する条件を確認してください。事故の通知、費用支出の承認、事業者選定の条件は、それぞれ別の事項です。
依頼、変更、資料の受渡しの履歴を残す
残す項目は次のとおりです。
- 依頼した日時と依頼の内容
- 対象機器やログの取得の経緯（誰が、どの機器から、いつ取得したか）
- 授受した資料の一覧
- 変更した内容と、その理由
- 承認者
このうち取得の経緯は、後からその資料が何であるかを説明するための材料になります。取得した人、日時、対象機器が記録されていない資料は、内容が正しくても、位置づけの説明に手間がかかります。
なお、従業員の貸与端末や業務メールを調査の対象に含める場合には、社内規程や同意の取得など、別の検討が必要になります。
目的と調査の条件が合わないときは
次のような場面では、法的な整理を交えて検討されることをお勧めします。
- 報告や説明に必要な事実が、調査の範囲外とされた場合
- 委託先が実施した調査の結果しか得られず、自社で確認できない場合
- 調査の費用の負担や、報告書の提供範囲について、相手方と意見が分かれている場合
- 調査の結果を、後の請求や求償に用いることを見込んでいる場合
調査事業者の技術的な所見を基に、通知・説明・請求の判断に必要な追加の確認事項を整理する段階で、弁護士がお手伝いできる部分があります。
Contact
ご相談にあたって
調査の発注状況、確認したい事項、調査範囲・成果物・費用について判断が必要な点と期限を、分かる範囲でお知らせください。
お問い合わせフォームへ初回は会社名・関係当事者名・ご相談事項の概要をお知らせください。利益相反等を確認の上、ご相談の可否をご案内します。本フォームは緊急受付窓口ではなく、送信後すぐに確認・返信できるとは限りません。
本記事は一般的な情報提供を目的とするものであり、個別の事案に関する法的助言ではありません。具体的な対応については、当事務所までご相談ください。記事の内容は、最終更新日の時点で施行されている法令等に基づいています。施行前の改正法を取り上げる場合は、本文にその旨を示しています。