⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

インシデント対応支援契約書

第1部: 書式本文

第1条(目的) 〇〇〇〇(以下「甲」という。)と〇〇〇〇(以下「乙」という。)は、甲において発生した情報漏えい、不正アクセスその他の情報セキュリティインシデント(以下「本インシデント」という。)に関し、乙が甲に対して調査及び復旧の支援業務(以下「本業務」という。)を提供することについて、次のとおり契約する。

第2条(定義) 本契約において「フォレンジック調査」とは、電子的証跡の保全、収集及び解析を通じて本インシデントの原因、影響範囲及び侵入経路を明らかにする調査をいう。

第3条(業務範囲) 本業務の範囲は次のとおりとする。 一 初動対応(被害端末の切り離し方針の助言を含む。) 二 フォレンジック調査による原因究明及び影響範囲の特定 三 復旧計画の策定支援 四 甲が行う個人情報保護委員会等への報告に関する情報整理の支援 五 調査結果報告書の作成

第4条(緊急着手) 乙は、甲から本インシデント発生の一報を受けた場合、〇時間以内に着手可能な体制を確保するよう努める。着手にあたり必要な仮想通貨での対価支払や身代金交渉への関与は本業務の範囲に含まないものとする。

第5条(証拠保全) 乙は、調査対象となる機器のディスクイメージを取得する場合、取得手順、取得日時、取得者及び算出したハッシュ値を記録した証拠保全記録(チェーン・オブ・カストディ記録)を作成し、原本性を損なわないよう複製したイメージを解析に用いるものとする。

第6条(調査中の運用制約) 甲は、乙の調査が完了するまでの間、証拠保全の対象となる機器及びログについて、乙の事前の同意なく初期化、上書き又は廃棄を行ってはならない。

第7条(報告書の提出) 乙は、調査終了後〇日以内に、判明した事実、推定される原因、影響を受けた情報の範囲及び再発防止策の提案を記載した報告書(以下「本報告書」という。)を甲に提出する。

第8条(個人情報保護委員会等への報告支援) 乙は、個人情報の保護に関する法律第26条第1項に基づき甲が行う個人情報保護委員会への報告について、事実関係の整理及び報告様式への記載内容の確認に関する支援を行う。ただし、報告の要否及び内容についての最終判断は甲が行い、乙は法的判断を代行するものではない。

第9条(本報告書の開示範囲) 甲は、本報告書を監督官庁、保険会社、警察その他の第三者へ開示しようとするときは、事前に乙へ通知する。乙は、本報告書が訴訟その他の紛争において甲に不利益な証拠として用いられる可能性について、事前に甲へ説明する。

第10条(秘密保持) 甲及び乙は、本業務の遂行を通じて知り得た相手方の営業上及び技術上の情報を、本契約の目的以外に利用し、又は第三者に開示してはならない。

第11条(費用及び支払い) 甲は、乙に対し、本業務の対価として着手金〇〇円及び稼働時間に応じたタイムチャージ〇〇円(時間当たり)を、乙の請求書発行日から〇日以内に支払う。緊急対応に伴う休日・深夜の割増料金は別紙のとおりとする。

第12条(責任の制限) 乙は、本業務の遂行にあたり善良な管理者の注意をもって対応するものとし、乙の故意又は重過失による場合を除き、甲に生じた損害について、本契約に基づき甲が乙に支払った対価の総額を上限として賠償責任を負う。

第13条(契約期間及び解除) 本契約の有効期間は、本インシデントに関する本業務が完了するまでとする。甲又は乙は、相手方に本契約の重大な違反があり、催告後〇日以内に是正されないときは、本契約を解除することができる。

第14条(準拠法及び管轄) 本契約は日本法に準拠し、本契約に関する紛争については〇〇地方裁判所を第一審の専属的合意管轄裁判所とする。

第2部: 立場別・場面別の書き換えパターン

A. 支援事業者向けの修正

A-1. 調査結果の限定的保証

修正後:「乙は、収集可能な電子的証跡の範囲内で合理的な調査を行うものとし、ログの未取得又は消失により原因を完全に特定できない場合があることを甲は了承する。」 一言解説: ログの保存状況によっては原因究明に限界があるため、支援事業者側としては調査結果の確実性を保証しない前提を明記しておく必要がある。

A-2. 緊急対応の優先順位に関する留保

修正後:「乙は、複数の顧客から同時に緊急対応の要請を受けた場合、被害の重大性等を考慮のうえ対応順位を決定することができる。」 一言解説: 大規模障害時に複数案件が輻輳する事業者にとって、同時対応の限界をあらかじめ契約上明記しておくことが紛争予防になる。

B. 被害企業向けの修正

B-1. 報告期限を意識した着手時間の短縮

追加条文例:「乙は、甲から一報を受けた時刻から〇時間以内に一次対応を開始し、個人情報保護委員会への速報に必要な事実整理を〇日以内に完了させるよう努める。」 一言解説: 個人情報保護法上の速報の目安期間を踏まえ、被害企業側としては着手・一次整理の期限を具体的に設定させることが望ましい。

B-2. 第三者提供先への説明資料の作成義務化

追加条文例:「乙は、本報告書とは別に、取引先向けの説明資料(専門用語を用いない平易な要約版)を〇部作成し甲に提供する。」 一言解説: 被害企業は取引先や利用者への説明責任も負うため、技術報告書とは別に平易な説明資料の作成を支援内容に含めておくと実務上有用である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、既にインシデントが発生し、又は発生が疑われる緊急時に、外部のセキュリティ事業者へ調査及び復旧支援を委託する場面で用いる。平時から継続的にログを監視し異常を検知する業務を委託する場合は、本書式ではなくSOC監視サービス契約書等の継続的役務提供契約を用いるべきである。また、乙が弁護士でない場合、本書式は事実整理の支援にとどめ、監督官庁への報告文言の法的当否についての判断や、被害者との示談交渉の代理を業務範囲に含めてはならない点に留意する。

根拠法令 個人情報の保護に関する法律第26条第1項は、個人情報取扱事業者に対し、漏えい等が発生し個人の権利利益を害するおそれが大きい場合に個人情報保護委員会への報告義務を課しており、同法施行規則では速報を事態を知った日から概ね3日から5日以内、確報を30日又は不正アクセス等の場合は60日以内に行うことが求められている。本業務における調査は、この報告期限に間に合う情報整理を行うことが実務上の要請となる。また、証拠保全に関しては、後日の民事訴訟や刑事告訴における証拠能力を確保する観点から、フォレンジック調査の手順が科学的信頼性を備えていることが重要であり、不正アクセス行為の禁止等に関する法律に基づく捜査機関への相談を並行して行う場合は、証拠の取扱いについて捜査機関の指示との整合にも留意する必要がある。乙が弁護士資格を有しない場合、報告文言の法的解釈や交渉代理を行うことは弁護士法第72条との関係で問題となりうる。

実務でよくある失敗と対策 第一に、証拠保全の具体的手順(イメージ取得方法、ハッシュ値の記録、保管方法)を契約書に明記せず、事後的に相手方から証拠の同一性を争われる失敗がある。第5条のようにチェーン・オブ・カストディ記録の作成を明記することが対策となる。第二に、個人情報保護委員会への報告期限を意識せず着手時期や報告書提出期限を漫然と定め、速報・確報の期限に間に合わない失敗がある。第8条のように報告支援の内容と甲の最終判断権限を明確にし、期限を意識した業務範囲を定めることが対策となる。第三に、本報告書の開示先を無制限に広げ、保険会社や取引先への提出を通じて、甲に不利な事実認定を含む文書が意図せず拡散する失敗がある。第9条のように開示範囲の事前通知と紛争リスクの説明を組み込むことが対策となる。

報告義務の該当性や証拠保全の具体的な手法は事案の性質により異なるため、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 本業務の範囲(初動対応・調査・復旧支援・報告支援)を具体的に定めたか
• [ ] 緊急着手までの目安時間を定めたか
• [ ] 証拠保全の手順(イメージ取得・ハッシュ値記録)を明記したか
• [ ] 調査対象機器の初期化・廃棄禁止を明記したか
• [ ] 個人情報保護委員会への報告期限(速報・確報)を踏まえた対応期限か
• [ ] 乙が法的判断を代行しない旨を明確にしたか
• [ ] 本報告書の第三者開示に関する事前通知義務を定めたか
• [ ] 秘密保持義務の範囲を確認したか
• [ ] 費用体系(着手金・タイムチャージ・割増料金)を定めたか
• [ ] 責任制限条項の上限額を確認したか
• [ ] 準拠法・管轄裁判所を定めたか