⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

ペネトレーションテスト実施同意書

第1部: 書式本文

〇〇〇〇(以下「甲」という。実施者)と〇〇〇〇(以下「乙」という。対象システム保有者)とは、乙が保有するシステム(以下「対象システム」という。)に対する疑似的な侵入攻撃(以下「本テスト」という。)の実施について、次のとおり同意書(以下「本同意書」という。)を締結する。

第1条(目的) 本テストは、対象システムに対し実際の攻撃者が用いる手法を模して侵入を試み、脆弱性の存在及びその実際の悪用可能性を検証することを目的とする。

第2条(実施範囲の特定) 1. 本テストの対象となるシステム、IPアドレス範囲、URL及び攻撃対象となる業務システムは別紙のとおりとする。 2. 甲は、乙の明示的な承諾がない限り、別紙に定める範囲外のシステム(取引先システム、クラウド事業者の共有インフラ等)に対して調査又は攻撃を行ってはならない。

第3条(実施手法の特定) 1. 本テストにおいて甲が用いる手法(ソーシャルエンジニアリング、フィッシングメールの送付、物理的侵入試行等を含むか否か)は別紙のとおりとする。 2. サービス運用妨害(DoS/DDoS)を模した攻撃手法を含める場合、その旨及び対象システムへの影響の見込みを別紙に明記する。

第4条(明示的な承諾及び刑事責任との関係) 1. 乙は、甲が別紙に定める範囲及び手法の限度で対象システムに対して行う行為について、明示的に承諾する。 2. 甲及び乙は、本同意書に基づく承諾の範囲内で行われる行為が、不正アクセス禁止法第3条にいう不正アクセス行為及び刑法第234条の2(電子計算機損壊等業務妨害罪)にいう業務妨害行為のいずれにも該当しないことを相互に確認する。 3. 甲は、別紙に定める範囲を逸脱する行為(承諾のない範囲へのアクセス、承諾のない手法の使用等)を行ってはならない。

第5条(実施期間及び実施時間帯) 本テストの実施期間及び実施時間帯(業務時間外に限定するか等)は別紙のとおりとする。

第6条(緊急連絡体制) 1. 甲及び乙は、本テストの実施期間中、相互に連絡可能な緊急連絡窓口を指定する。 2. 甲は、本テストの実施中に、対象システムの正常な稼働に重大な支障が生じるおそれがあると判断した場合、直ちにテストを中断し、乙に報告する。 3. 乙は、対象システムに予期しない障害が発生した場合、本テストによるものか否かを甲に確認することができ、甲は速やかに調査に協力する。

第7条(社内関係者への周知の限定) 乙は、本テストの実施をあらかじめ知らせることで対応が形骸化するおそれのある部門(セキュリティ監視部門等)に対しては、本テストの実施を秘匿したうえで実施することができる。この場合であっても、乙の経営層又は情報システム部門の責任者は本テストの実施を認識しているものとする。

第8条(証拠保全と報告) 1. 甲は、本テストの実施過程で取得した証跡(スクリーンショット、ログ等)を、報告書の作成に必要な範囲でのみ保管し、テスト終了後、乙の指示に従い廃棄する。 2. 甲は、本テスト終了後、発見された侵入経路、脆弱性及び対策案を記載した報告書を乙に提出する。

第9条(秘密保持) 甲及び乙は、本テストの実施及び結果に関する情報を、相手方の事前の書面による承諾なく第三者に開示してはならない。

第10条(免責) 甲は、本テストが別紙に定める範囲及び手法の限度で適切に実施された場合において、対象システムに生じた軽微な影響(一時的な負荷等)について、乙に対し責任を負わない。

第11条(合意管轄) 本同意書に関する紛争については、〇〇地方裁判所を第一審の専属的合意管轄裁判所とする。

第2部: 立場別・場面別の書き換えパターン

A. 実施者向けの修正

A-1. 承諾書の携行義務と提示要求への対応

追加条文例:「甲は、本テストの実施期間中、乙が発行した本同意書の写し又は実施許諾を証する書面を常時携行し、乙の関係者又は捜査機関等から求められた場合に提示できる状態にしておく。」 一言解説: 侵入試行中に偶発的にシステム管理者以外の担当者や警備員等から不審者として扱われた場合に備え、適法性を即座に示せるようにする実施者側の修正である。

A-2. ソーシャルエンジニアリング実施時の対象者保護

修正後:「甲がフィッシングメールの送付等、乙の従業員を対象とした手法を実施する場合、対象となる従業員個人が懲戒等の対象とならないよう、乙は結果を人事評価に利用しない。」 一言解説: 疑似攻撃に引っかかった従業員が不利益を受けることを避け、組織的なセキュリティ意識向上という本来の目的に沿った運用を確保する修正である。

B. 対象システム保有者向けの修正

B-1. DoS攻撃を模した手法の原則禁止

修正後:「本テストにおいて、サービス運用妨害(DoS/DDoS)を模した攻撃手法は、乙の書面による個別の追加承諾がない限り実施してはならない。」 一言解説: 実際にサービス停止を引き起こしかねない手法は、通常のペネトレーションテストの範囲から除外し、必要な場合のみ個別承諾を要求する保有者側の慎重な修正である。

B-2. テスト実施のリアルタイム監視権の追加

追加条文例:「乙は、本テストの実施状況をリアルタイムで監視できるよう、甲に対し実施ログの共有又は監視用アカウントの提供を求めることができる。」 一言解説: テストの進行状況を保有者側が把握できるようにすることで、予期しない影響が生じた際に迅速に判断・対応できるようにする修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、実際の攻撃者の手法を模した侵入試行(ペネトレーションテスト)を実施する場面で用いる。単純な既知の脆弱性パターンの検査(スキャンによる自動診断が中心)にとどまる場合には、脆弱性診断業務委託契約書を用いるのが一般的であり、本書式はより実践的かつ影響の大きい手法(認証情報の窃取試行、権限昇格の試行等)を伴う場面に特化している。

根拠法令 ペネトレーションテストは、その性質上、通常であれば違法となりうる行為(他人の管理する電子計算機への不正アクセス、電子計算機の正常な機能を妨害する行為)を模擬的に行うものであるため、対象システム保有者からの明確かつ具体的な承諾が、行為の適法性を基礎付ける決定的な要素となる。不正アクセス禁止法第3条は、アクセス制御機能による制限を免れて他人の識別符号を用いる等の行為を禁止するが、正当なアクセス権限を有する者(アクセス管理者)の承諾がある場合には、そもそも「不正」な行為に該当しない。また、刑法第234条の2は、人の業務に使用する電子計算機を損壊し、又は虚偽の情報若しくは不正な指令を与える等して、電子計算機に使用目的に沿うべき動作をさせず、又は使用目的に反する動作をさせて、人の業務を妨害する行為を処罰する。DoS攻撃を模した手法など、実際にサービスの正常な稼働を妨げうる手法を用いる場合には、この罪の構成要件に文言上該当しうる行為となるため、承諾の範囲及び影響の見込みについて特に慎重に取り決める必要がある(第3条第2項、B-1)。承諾の対象・範囲を明確に特定し、これを書面化しておくことは、後日の紛争予防だけでなく、実施者・保有者双方が刑事上・民事上のリスクを適切にコントロールするための基礎となる。

実務でよくある失敗と対策 第一に、実施範囲を「本番環境全体」といった曖昧な記載にとどめたため、対象システムがクラウド事業者の共有インフラを利用している場合に、クラウド事業者の管理する範囲にまでテストが及んでしまい、クラウド事業者との関係で問題が生じる失敗がある。第2条のように対象範囲を具体的なIPアドレスやURL単位で特定することが対策となる。第二に、フィッシングメール等のソーシャルエンジニアリング手法を含む場合に、引っかかった従業員が懲戒処分や不利益な人事評価の対象とされ、組織的な学習の機会にならないばかりか従業員の萎縮や不信感を招く失敗がある。A-2のように結果を人事評価に利用しない旨を明記することが対策となる。第三に、DoS攻撃を模した手法を実施した結果、想定以上にサービスが停止し、実際の顧客対応や取引先への説明を要する事態に発展する失敗がある。B-1のように、影響の大きい手法については個別の追加承諾を要求することが対策となる。

承諾範囲を逸脱した行為による刑事上・民事上のリスクは重大であるため、実施範囲・手法の設定については、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 対象システムの範囲(IPアドレス・URL)を具体的に特定したか
• [ ] 使用する攻撃手法(ソーシャルエンジニアリング・DoS模擬等)を明記したか
• [ ] DoS/DDoSを模した手法について個別の追加承諾要否を確認したか
• [ ] 承諾が不正アクセス禁止法及び刑法上の正当化根拠となることを相互に確認したか
• [ ] 実施期間・実施時間帯を明確にしたか
• [ ] 緊急連絡体制及びテスト中断の判断基準を定めたか
• [ ] ソーシャルエンジニアリングの対象者を人事評価に利用しない旨を確認したか
• [ ] 取得した証跡の保管期間及び廃棄方法を定めたか
• [ ] 報告書の秘密保持及び第三者開示制限を明記したか
• [ ] クラウド事業者等第三者インフラへの影響の有無を確認したか