⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

SOC監視サービス契約書

第1部: 書式本文

第1条(目的) 〇〇〇〇(以下「甲」という。)と〇〇〇〇(以下「乙」という。)は、乙が甲のネットワーク及び情報システムに関するログを継続的に監視し、脅威を検知して甲に通知するサービス(以下「本サービス」という。)の提供について、次のとおり契約する。

第2条(定義) 本契約において「アラート」とは、乙の監視システムが定めた基準に基づき異常の可能性を検知した際に発する通知をいい、「セキュリティイベント」とは、アラートのうち乙の分析担当者が甲への報告を要すると判断したものをいう。

第3条(監視対象) 本サービスの監視対象は、別紙記載の甲のファイアウォール、サーバ、エンドポイント及びクラウド環境から出力されるログとし、対象の追加又は変更は甲乙協議のうえ書面により行う。

第4条(監視方法) 乙は、SIEM(Security Information and Event Management)その他の分析基盤を用い、〇時間体制でログを収集及び相関分析し、既知の攻撃パターン及び異常な通信挙動を検知する。

第5条(通信ログの取扱い) 乙が収集するログに甲の役職員及び利用者の通信内容又は通信履歴が含まれる場合、甲は、乙による当該ログの取得及び分析について、電気通信事業法第4条に定める通信の秘密の保護に反しないよう、社内規程の整備及び対象者への周知等必要な措置を自ら講じるものとし、乙は甲が示す取扱規程の範囲内でのみログを利用する。

第6条(通知) 乙は、セキュリティイベントを検知した場合、重大度に応じて別紙に定める時間内(緊急度が高いものについては検知後〇分以内)に甲の指定する連絡先へ一次通知を行う。

第7条(誤検知の取扱い) 乙は、セキュリティイベントとして通知した事象が調査の結果誤検知(フォールスポジティブ)であったと判明した場合、速やかにその旨を甲に報告し、検知基準の見直しに反映する。

第8条(ログの保存及び消去) 乙は、収集したログを本サービスの提供に必要な期間として〇か月間保存し、当該期間経過後又は本契約終了後〇日以内に、甲の指示に従いログを甲に返還し、又は復元不可能な状態で消去する。

第9条(再委託) 乙は、本サービスの全部又は一部を第三者に再委託しようとするときは、事前に甲の書面による承諾を得るものとし、再委託先に本契約における乙と同等の秘密保持義務及び安全管理措置を遵守させる。

第10条(安全管理措置) 乙は、収集したログ及びこれに含まれる個人情報について、個人情報の保護に関する法律第23条に定める安全管理措置に準じ、アクセス制御、暗号化その他の技術的・組織的措置を講じる。

第11条(秘密保持) 甲及び乙は、本サービスの遂行を通じて知り得た相手方の情報を、本契約の目的以外に利用し、又は第三者(前条の再委託先を除く。)に開示してはならない。

第12条(費用) 甲は、乙に対し、本サービスの対価として月額〇〇円(監視対象ログ量が別紙の基準を超過した場合の従量課金〇〇円を含む。)を、毎月末日までに翌月分を支払う。

第13条(責任の制限) 乙は、本サービスの提供にあたり善良な管理者の注意義務を負うものとし、乙の故意又は重過失による場合を除き、アラートの見落とし又は通知の遅延により甲に生じた損害について、直近〇か月分の月額料金の合計額を上限として賠償責任を負う。

第14条(契約期間及び解除) 本契約の有効期間は契約締結日から〇年間とし、期間満了の〇か月前までにいずれかの当事者から書面による終了の申出がない限り、同一条件で〇年間自動更新する。

第15条(準拠法及び管轄) 本契約は日本法に準拠し、本契約に関する紛争については〇〇地方裁判所を第一審の専属的合意管轄裁判所とする。

第2部: 立場別・場面別の書き換えパターン

A. 監視事業者向けの修正

A-1. 検知精度に関する努力義務化

修正後:「乙は、当該時点で乙が利用可能な検知シグネチャ及び分析手法に基づき合理的な監視を行うものとし、未知の攻撃手法(ゼロデイ攻撃を含む。)を確実に検知することを保証しない。」 一言解説: 監視事業者としては、検知技術の限界を踏まえ「確実な検知」を約束しない前提を明示することで、過度な結果保証を回避できる。

A-2. 通知手段が到達しなかった場合の免責

修正後:「乙が甲の指定した連絡先へ通知を行ったにもかかわらず、甲側の通信障害又は担当者の不在により通知が確認されなかった場合、乙は当該遅延について責任を負わない。」 一言解説: 通知後の甲側の受領体制に起因する遅延まで監視事業者が負担しないよう、責任範囲を明確に切り分ける修正である。

B. 利用企業向けの修正

B-1. 通知SLA未達時のペナルティ追加

追加条文例:「乙が第6条に定める通知時間を正当な理由なく超過した場合、甲は当該月の月額料金の〇%を減額することができる。」 一言解説: 利用企業側としては、検知後の通知が遅れることが被害拡大に直結するため、SLA未達時の実効的なペナルティを設けることが望ましい。

B-2. 監視範囲の拡大時の事前レビュー

追加条文例:「乙は、監視対象システムの構成変更を検知した場合、甲に対し監視ルールの見直しの要否について〇日以内に助言を行う。」 一言解説: システム構成の変更により監視の死角が生じることを防ぐため、変更検知時の見直し提案を義務付ける修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、24時間365日又はこれに準じる体制でログを継続的に監視し、脅威検知時に通知する継続的役務提供の場面で用いる。既に発生したインシデントの原因調査や復旧作業のみを単発で委託する場合には、本書式ではなくインシデント対応支援契約書等の緊急対応型の契約を用いるべきである。

根拠法令 本サービスの中核的な論点は、通信ログの取得が電気通信事業法第4条の通信の秘密の保護に抵触しないかという点にある。同条は電気通信事業者の取扱中に係る通信の秘密を侵してはならない旨を定めており、甲が電気通信事業を営む場合はもとより、そうでない場合であっても、社内ネットワークを流れる通信内容の監視は労働者のプライバシーとの関係で問題となりうるため、監視の目的、範囲及び手段について就業規則等における周知が推奨される。また、収集したログに個人情報が含まれる場合には、個人情報の保護に関する法律第23条の安全管理措置及び同法第25条の委託先監督(乙が甲から個人データの取扱いの委託を受ける構成をとる場合)との関係を整理する必要がある。JIS Q 27001が求めるログ管理及び監視に関する管理策も、監視範囲や保存期間を定める際の参考になる。

実務でよくある失敗と対策 第一に、通信ログの収集について社内での同意取得や周知の手続を欠いたまま監視を開始し、後日従業員から通信の秘密又はプライバシー侵害を指摘される失敗がある。第5条のように甲が自ら取扱規程を整備する義務を明記することが対策となる。第二に、検知後の通知までの時間(SLA)を定めず、実際には通知が遅延しても契約上の債務不履行を問えない失敗がある。第6条及びB-1のように重大度別の通知時間とペナルティを明記することが対策となる。第三に、ログの保存期間や契約終了時の返還・消去の手順を定めず、契約終了後に証拠となるログが失われ、又は逆に不要なログが乙の側に残存し続ける失敗がある。第8条のように保存期間と返還・消去の期限を明記することが対策となる。

通信の秘密に関する規律の適用範囲は監視対象システムの構成によって異なるため、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 監視対象のログ・システムの範囲を別紙で特定したか
• [ ] 監視体制(時間帯・人員)を明記したか
• [ ] 通信の秘密に関する社内周知・同意取得の手続主体を明確にしたか
• [ ] 重大度別の通知時間(SLA)を定めたか
• [ ] 誤検知時の報告・検知基準見直しの手順を定めたか
• [ ] ログの保存期間及び契約終了時の返還・消去手順を定めたか
• [ ] 再委託の可否及び再委託先への義務承継を定めたか
• [ ] 収集ログに含まれる個人情報の安全管理措置を確認したか
• [ ] 責任制限条項の上限額を確認したか
• [ ] 費用体系(月額・従量課金)を確認したか
• [ ] 契約期間・自動更新条項を確認したか