⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

インフラ運用保守契約書

第1部: 書式本文

第1条(目的) 乙(ベンダー)は、甲(ユーザー)の【クラウド基盤/オンプレミス環境/ネットワーク機器】(以下「対象インフラ」という。)について、本契約に定める運用保守業務を行う。

第2条(業務範囲) 業務範囲は次のとおりとする。 一 対象インフラの構成管理及び変更管理 二 セキュリティパッチの適用計画立案及び実施 三 バックアップの取得及び復旧テストの実施 四 容量監視及びスケーリングに関する提案 五 障害発生時の切分け及び復旧作業

第3条(業務の性質) 本業務は準委任(民法第656条)とし、乙は善良な管理者の注意(民法第644条)をもってこれを行う。

第4条(変更管理プロセス) 乙は、対象インフラの構成に影響を及ぼす変更を行う場合、事前に変更内容、影響範囲及び切戻し(ロールバック)手順を記載した変更申請書を甲に提出し、承認を得るものとする。ただし、セキュリティ上緊急性の高い変更についてはこの限りでなく、乙は事後速やかに甲に報告する。

第5条(バックアップ及び復旧) 乙は、【頻度】でバックアップを取得し、【頻度】で復旧テストを実施してその結果を甲に報告する。

第6条(委託先の監督) 対象インフラに甲の保有する個人データが含まれる場合、乙は、個人情報保護法第25条に基づく委託先としての義務を負い、甲は同条に基づく必要かつ適切な監督を行う。

第7条(セキュリティ対応) 乙は、対象インフラに関して重大な脆弱性が公表された場合、速やかに影響範囲を調査し、甲に報告のうえ、合意した計画に従いパッチ適用等の対策を実施する。

第8条(委託料) 委託料は月額【金〇円】とする。緊急対応その他別紙業務範囲を超える対応については、別途工数精算とする。

第9条(体制及び連絡窓口) 乙は、対象インフラの運用保守を担当する体制及び連絡窓口を甲に通知し、体制変更時は速やかに報告する。

第10条(監査への協力) 乙は、甲が対象インフラに関する監査(社内監査、取引先監査、認証機関による審査等)を実施する場合、合理的な範囲で必要な情報提供及び協力を行う。

第11条(契約終了時の引継ぎ) 契約終了時、乙は、甲又は甲の指定する第三者への円滑な引継ぎに協力するものとし、構成情報、運用手順書その他の資料を提供する。

第2部: 立場別・場面別の書き換えパターン

A. ベンダー向け

A-1. 変更管理における甲の承認遅延に対する免責

修正条文例:「甲が変更申請書の提出後【〇営業日】以内に承認又は却下の意思表示をしない場合、乙は当該変更の実施時期の延期について責任を負わない。」 一言解説: 承認プロセスの遅延がベンダーの責任に転嫁されることを防ぐための修正である。

A-2. 容量提案の助言義務化(結果非保証)

修正条文例:「乙が行う容量監視及びスケーリングに関する提案は助言にとどまり、当該提案の採否は甲の判断による。」 一言解説: リソース不足による障害の結果責任をベンダーが負わないようにするための修正である。

B. ユーザー向け

B-1. 復旧テスト結果の是正義務

修正条文例:「復旧テストの結果、復旧に支障が判明した場合、乙は【〇日】以内に原因を分析し、是正計画を甲に提出する。」 一言解説: 復旧テストが形式的な実施報告に終わらないよう、不備発見時の是正義務を明記する修正である。

B-2. パッチ適用の遅延に対するペナルティ

修正条文例:「重大な脆弱性について、乙が合意した計画期間内に正当な理由なくパッチ適用を完了しない場合、甲は当月の委託料の一部を減額することができる。」 一言解説: セキュリティ対応の遅延を防ぐための実効性ある牽制条項である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、クラウド基盤やオンプレミスサーバ、ネットワーク機器の日常的な運用保守(構成管理、パッチ適用、バックアップ、障害対応)を外部委託する場面で用いる。初期構築(新規環境の設計・構築)自体を委託する場合は、成果物の完成を目的とする請負契約の性質が強くなるため、本書式とは別に請負型の契約書を用意することが望ましい。

根拠法令 運用保守業務は継続的な役務提供であり、成果物の完成を目的としないため、民法第656条の準委任として整理するのが一般的である。対象インフラに個人データが含まれる場合、委託者(甲)は個人情報保護法第25条に基づき、委託先(乙)に対する必要かつ適切な監督義務を負う。監督義務の内容として、個人情報保護委員会のガイドラインは、委託先の選定基準、委託契約における安全管理措置の内容、委託先における取扱状況の把握を求めている。また、クラウド基盤を利用する場合、総務省が公表する「クラウドサービス提供における情報セキュリティ対策ガイドライン」も、責任分界点の明確化やインシデント対応体制の整備に関する実務上の参考となる。

実務でよくある失敗と対策 第一に、変更管理プロセスを定めずに運用保守を開始し、事前連絡のない構成変更によって予期しない障害が発生する失敗がある。第4条のように変更申請と承認のプロセスを明確にすることが対策となる。第二に、バックアップは取得しているが復旧テストを実施しておらず、実際の障害発生時にバックアップから復旧できないことが判明する失敗がある。第5条及びB-1のように定期的な復旧テストとその結果報告、不備発見時の是正義務を組み込む必要がある。第三に、個人データを取り扱う運用保守委託において、委託先の監督義務(個人情報保護法第25条)の内容を契約に反映せず、監督義務違反を問われるリスクを見落とす失敗がある。第6条のように監督義務の存在を明記し、安全管理措置の具体的な内容は別紙で定めることが望ましい。

第四に、契約終了時の引継ぎ義務を軽視し、後継ベンダーへの構成情報の提供が不十分なまま契約が終了し、システム移行のたびに一から構成を洗い出す事態が繰り返される失敗もある。第11条のように構成情報及び運用手順書の提供を明確な義務として定め、日頃から資料を最新の状態に維持しておくことが対策となる。

運用保守委託における責任分界点や監督義務の具体的な内容は、対象インフラの重要度や取り扱う情報の性質によって異なるため、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 業務範囲(構成管理、パッチ適用、バックアップ、障害対応等)を具体的に列挙したか
• [ ] 変更管理プロセス(申請・承認・緊急変更時の扱い)を定めたか
• [ ] バックアップの頻度及び復旧テストの実施頻度・報告方法を定めたか
• [ ] 対象インフラに個人データが含まれる場合、個人情報保護法第25条に基づく監督体制を明記したか
• [ ] 重大な脆弱性発生時の対応プロセス(調査・報告・パッチ適用計画)を定めたか
• [ ] 委託料及び業務範囲を超える対応の費用精算方法を定めたか
• [ ] 連絡窓口及び体制変更時の通知義務を定めたか
• [ ] 監査への協力義務の範囲を定めたか
• [ ] 契約終了時の引継ぎ義務(資料提供、後継ベンダーへの協力)を定めたか
• [ ] クラウド利用の場合、責任分界点をクラウド事業者との契約と整合させたか