Crisis Management
委托开展网络事件调查：确定范围、交付成果及追加费用
发生事件时，必须在短时间内决定是否委托调查。但是，如果在未明确“调查旨在查明什么”的情况下委托调查，可能要到收到报告后才发现，报告中并不包含报告、说明以及责任判断所需的事实。本文讨论如何根据调查目的确定调查的范围、交付成果及追加调查的条件，由谁审批委托调查及其变更，以及应记录哪些内容。本文不涉及证据保全的具体步骤。
审核：吉川景司律师、专利代理师（第一东京律师会）
目录
以下为虚构情景。A公司（一家正在准备股票上市、有员工300名的制造商）的订单及库存系统出现异常，负责运营维护外包业务的供应商B公司也报告称，其业务使用的环境疑似遭到非法访问。A公司正在考虑在B公司进行的调查之外，另行委托独立的调查服务商D公司进行调查。目前尚不清楚是否有信息泄露，也不清楚入侵路径。
本文中的A公司、B公司及场景中的其他要素均为虚构，仅用于说明目的，并非描述本所处理的实际案件。
必须迅速委托进行调查的情况
在事件应对初期，会同时出现两种需求：尽快恢复和查明发生了什么。如果为优先恢复而重置设备，调查所需的信息可能会丢失。如果优先调查，业务停止的时间就会延长。恢复方法与证据保全应一并考虑。
此外，可用于调查的信息会随着时间推移而丢失。日志的保存期限有限，被覆盖的日志无法恢复。NPO法人数字取证研究会的《证据保全指南》也论及延迟开始证据保全所带来的影响。
在部门职能分立的公司中，信息系统部门可能会出于技术上的原因先行选定并委托服务商，而法务部门到合同审查阶段才参与。在这种情况下，应确认调查目的是否包括报告、说明和责任判断所需的事项。如果调查仅以查明技术原因为目的进行，所需的事实就不得不事后补充。
确认调查目的、调查对象及现有资料
首先决定调查的目的
调查的目的大致分为五类。
- 确定是否需要向当局报告或通知有关个人
- 向交易伙伴和企业客户作出说明
- 确定是否可以进行恢复
- 研究责任所在，并为费用索赔或追偿请求做准备
- 制定防止再次发生的措施
不同的目的需要不同的事实。为防止再次发生，查明入侵路径和漏洞是核心；而为向交易伙伴作出说明，则需要确定该交易伙伴委托给公司的数据是否被访问。
在委托调查之前，先写下“本次调查旨在使哪些判断成为可能”。这将成为随后界定范围和明确交付成果的出发点。
这里需要注意的是向主管机关等报告的判断。即使在技术调查查明全貌之前，也应根据当时已知的事实，判断该情况是否属于《个人信息保护法》规定的应报告事态（包括存在泄露等可能性的情形）。公司知悉应报告事态后，应根据当时已知的信息进行初步报告，而无需等待技术调查完成。
确认调查范围及日志保存期限
确认调查对象系统、可获取的日志种类及其保存期限。
使用云服务时需要注意。这是因为可获取的信息范围取决于合同条款和服务规格。在公司自有设备上可以获取的信息，在云端可能只能在服务商提供的范围内获取。关于这一点，已结合《证据保全指南》第10版另行公布了参考资料。
以A公司为例，订单及库存系统运行在公司自行管理的基础设施上，但部分业务使用另外的SaaS服务。这两种环境在可获取的信息范围和获取程序上都有所不同。
确认已获取的资料
在委托调查之前，先确认手头已有的资料。其中包括B公司已进行的调查结果、日常收集的监控日志，以及其他公司提供的信息。
重复进行调查工作会增加费用；而且如果B公司与D公司的调查在前提或范围上不同，日后就无法比较其结果。
确定调查范围、交付成果及追加调查的条件
确定交付成果应包含的内容
报告的规格应在委托调查时商定。本文建议就交付成果确认以下四项内容。应根据调查的目的和阶段，与服务商商定详细程度和交付时间。
- 已确定的事实
- 无法确定的事实和原因
- 调查的前提和限制
- 所用方法和所涵盖的范围
务必明确要求提供第二项。如果缺少这一项，交付成果可能无法让人事后区分“未调查的事项”与“已调查但未能查明的事项”。报告内容的范围和详细程度也可以根据其用途和接收方进行调整，但应注意避免对调查的范围或结果造成误导性印象。这一区分在向交易伙伴作出说明和讨论责任时都很重要。
还应决定是否需要中期报告以及何时提交。如果流程设计为只等待最终调查报告，在此期间的决策就会停滞。
事先共享调查的限制条件
由于日志已不存在、保存期限已届满或事项不在调查范围内，某些事项可能无法查明。应共享委托时预见到的限制条件，并事先决定调查开始后发现限制条件时的报告方法。
在此，应将调查范围或环境所带来的限制与调查质量问题区分开来。即使调查范围或可用资料存在限制，这些限制本身也不能决定调查服务商是否负有责任。是否负有责任，应根据所约定的服务内容、对限制条件的说明、资料的保全和获取方式、调查的实施方式等因素，个案判断。
事先确定追加调查的条件
预先规定进入追加调查的条件、费用上限及审批人，以便在需要就追加调查作出决定时进行确认。
决定如何使用报告
收到的报告能否提供给交易伙伴、保险公司或主管机关？如果合同中有关于向第三方提供报告的条款，应确认其范围。如果公司计划将报告提供给他人，在委托时就此达成一致，可以提高确定性。
仅仅将报告或资料交给律师，并不会自动使其免于被要求提交或披露。这是因为日本法律并未规定可以概括性拒绝提交与律师之间通信的制度。不要以“只要交给律师，就不必提交”为前提来设计资料的流转。
将调查目的与调查事项相对应
| 需要向D公司要求的事项 | 虽有未决问题仍需作出决定 | 决定的最后期限或时间 | A公司的负责部门示例 |
|---|---|---|---|
| 对相关信息以及访问痕迹或其他活动痕迹的初步评估 | 即使尚未查明全貌或原因，也根据已知事实判断是否需要进行初步报告 | 知悉应报告事态后迅速* | 法务部门、信息系统部门 |
| 对C公司影响的中期评估 | 即使恢复日期等细节尚未确定，也研究合同上的通知以及可以答复的事项 | 合同规定的通知期限／与交易伙伴约定的答复日期 | 法务部门、销售部门 |
| 调查未查明事项的方法、对象及所需资料 | 判断是否需要追加调查及其优先顺序，同时不因等待追加调查而搁置已有必要进行的报告 | 确认需要追加调查时（同时考虑资料的保存期限等因素） | 信息系统部门、法务部门 |
| 最终报告所需的事项及仍不明确的事项 | 即使调查尚未完成，也在期限内进行报告，并管理必要的补充报告 | 最终报告的期限之前* | 法务部门、信息系统部门 |
注：以上是虚构情景下的示例。*初步报告的标准是“迅速”，以大约3–5天以内为参考标准。但这并不意味着可以等待那么久。对法人而言，起算点是其任何一个部门知悉应报告事态之时。最终报告原则上应在30日以内提交；属于《个人信息保护法施行规则》第7条第3项规定类型的，应在60日以内提交。如果尽了一切合理努力仍有部分事项不明，应在期限内报告已知信息，并在这些事项查明后尽快补充报告。仅凭信息不足这一点，并不会使所有事件都成为应报告事态。
由谁审批委托及变更？
在本情景中，由信息系统部门和法务部门确认调查范围、交付成果及合同条款，再由预算的有权审批人批准委托调查。如果范围或费用超出审批条件，应另行取得追加审批，之后记录变更理由。
在紧急情况下委托调查时，工作可能在双方交换书面合同之前就已开始。在这种情况下，应通过订购单、报价单、电子邮件或类似记录，与交易相对方确认调查目的、范围、交付成果、费用计算方法、保密义务及报告的允许用途等主要条件，并将已达成一致的条件与尚未达成一致的事项分开记录。制作记录与就条件与交易相对方达成一致，是两回事。
如果公司投保了网络保险，有些保单将支出前取得保险公司的同意作为调查费用等获得赔付的条件。在委托调查之前，应确认适用的保险条款和特约条款中关于服务商选择、费用及联络程序的条件。事件的通知、支出的同意以及服务商的选择条件，是各自独立的事项。
保留委托、变更及资料交接的经过记录
记录以下事项：
- 请求的日期和时间以及请求的内容
- 相关设备或日志的获取方式（由谁、从哪台设备、于何时获取）
- 提供和收到的材料一览表
- 变更内容及变更理由
- 批准者
其中，资料的获取方式是日后说明该资料为何物的依据。如果没有记录获取资料的人员、获取的日期时间及相关设备，即使资料内容准确，说明其来龙去脉也会更加费力。
如果调查对象包括发放给员工的设备或工作邮件，则需要另行研究内部规定、取得同意等事项。
当调查的条件不符合其目的时
遇到以下情况时，建议结合对法律问题的分析一并进行研究。
- 当报告或解释所需的事实被排除在调查范围之外时
- 只能获得供应商的调查结果，而公司无法自行核实时
- 与交易相对方就调查费用的负担或报告可提供给他人的范围存在分歧时
- 预计将调查结果用于日后的索赔或追偿请求时
在以调查服务商的技术评估为基础，找出为判断通知、说明和索赔而需要追加确认的事项的阶段，律师可以在某些方面提供协助。
Contact
提出咨询
请在可能的范围内告知以下事项：委托调查的进展情况；您希望确认的事项；以及在调查范围、交付成果和费用方面需要作出决定的要点及其期限。
联系表单在首次联系时，请告知贵公司名称、相关当事人的名称及事项概要。我们将在核查利益冲突等事项后，告知能否提供咨询。本表单并非紧急联络窗口，信息发送后，我们可能无法立即查看或回复。
我们可以通过中文电子邮件与您沟通。由于能够使用中文进行面谈的人员有限，安排面谈日程可能需要较长时间。
本文仅提供一般性信息，不构成针对任何具体事项的法律意见。有关您的具体情况，请与我们咨询。内容依据最后更新日期时有效的法律法规编写。