⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

脆弱性診断業務委託契約書

第1部: 書式本文

〇〇〇〇(以下「甲」という。診断事業者)と〇〇〇〇(以下「乙」という。発注者)とは、乙が保有するウェブアプリケーション又はネットワーク(以下「対象システム」という。)の脆弱性診断について、次のとおり契約(以下「本契約」という。)を締結する。

第1条(目的) 甲は、民法第656条に定める準委任契約として、乙の依頼に基づき対象システムの脆弱性診断(以下「本診断」という。)を実施し、その結果を報告する。

第2条(診断対象及び診断方法) 1. 診断対象となるシステム、IPアドレス、URL及び診断項目は別紙のとおりとする。 2. 診断方法(ツール診断、手動診断の別)及び診断の深度は別紙のとおりとする。

第3条(実施許諾の範囲) 1. 乙は甲に対し、別紙に定める範囲及び期間において、対象システムに対する疑似的な攻撃を含む調査行為を行うことを許諾する。 2. 甲は、別紙に定める範囲を超える対象システムへのアクセス又は調査を行ってはならない。

第4条(不正アクセス禁止法との関係) 乙は、本契約に基づき甲が行う本診断が、乙の承諾に基づく正当な行為であり、不正アクセス禁止法第3条にいう不正アクセス行為に該当しないことを、別紙に定める許諾範囲の限度において確認する。甲は、当該許諾範囲を逸脱する行為を行ってはならない。

第5条(実施時期及び事前調整) 1. 本診断は、別紙に定める期間内に実施する。 2. 乙は、本診断の実施日時及び方法について、対象システムを運用するインフラ事業者(クラウド事業者等)の利用規約上、事前の許諾又は届出が必要とされる場合、当該手続を自らの責任において完了させる。

第6条(業務中止の要請) 乙は、本診断の実施により対象システムの正常な稼働に重大な支障が生じるおそれがあると判断した場合、甲に対し診断の一時中止を要請することができ、甲はこれに応じる。

第7条(報告書の提出) 1. 甲は、本診断の終了後、別紙に定める期限までに、発見された脆弱性の内容、深刻度及び対策案を記載した報告書(以下「本報告書」という。)を乙に提出する。 2. 甲は、必要に応じて本報告書の内容について乙に説明する報告会を実施する。

第8条(本報告書の秘密保持及び二次利用の制限) 1. 乙は、本報告書の内容を、対象システムの脆弱性対応の目的以外に利用してはならない。 2. 甲及び乙は、本報告書の内容(発見された脆弱性の詳細)を、相手方の事前の書面による承諾なく第三者に開示してはならない。 3. 甲は、本診断を通じて知り得た乙のシステム構成に関する情報を、他の顧客への営業活動その他本契約の目的以外に利用してはならない。

第9条(善管注意義務) 甲は、本診断の実施にあたり、善良な管理者の注意をもって行い、診断作業自体によって対象システムに不必要な支障が生じないよう合理的な配慮を行う。

第10条(対価) 乙は、本診断の対価として、別紙に定める金額を甲に支払う。

第11条(免責) 甲は、本診断の実施により発見できなかった脆弱性が存在すること、又は本診断後に新たに発見された脆弱性が存在することについて、責任を負わない。

第12条(合意管轄) 本契約に関する紛争については、〇〇地方裁判所を第一審の専属的合意管轄裁判所とする。

第2部: 立場別・場面別の書き換えパターン

A. 診断事業者向けの修正

A-1. 診断による障害発生時の免責範囲拡大

修正後:「甲が合理的な注意を払って本診断を実施したにもかかわらず、対象システムに一時的な負荷又は不具合が生じた場合、甲はこれについて責任を負わない。」 一言解説: 脆弱性診断は一定の負荷をかける調査行為を伴うため、通常の注意を尽くしていれば生じうる軽微な影響について免責を明確化する診断事業者側の修正である。

A-2. 許諾範囲の書面化の徹底

追加条文例:「甲は、本契約の締結及び診断開始前に、乙から診断対象範囲及び実施期間を明記した許諾書(乙の代表者印又は権限を有する者の署名を付したもの)を取得しなければ、本診断を開始しない。」 一言解説: 不正アクセス禁止法上の同意の存在を後日客観的に証明できるよう、許諾書の取得を診断開始の前提条件とする修正である。

B. 発注者向けの修正

B-1. 診断中の緊急連絡体制の明記

追加条文例:「甲は、本診断の実施期間中、乙からの緊急連絡に24時間以内に対応できる担当者を指定し、乙に通知する。」 一言解説: 診断中にシステム障害が疑われる事象が発生した場合に、迅速に原因(診断によるものか否か)を切り分けられるようにする発注者側の修正である。

B-2. 報告書の他部門・グループ会社への共有許諾

修正後:「乙は、本報告書を、乙のグループ会社及び関連する業務委託先(秘密保持義務を負う者に限る。)に共有することができる。」 一言解説: 対象システムの改修を別のベンダーに依頼する場合等に備え、報告書の共有範囲を柔軟にする発注者側の修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、ウェブアプリケーションやネットワークインフラに対し、既知の脆弱性パターンに基づく検査(スキャンツールによる自動診断や手動での確認)を実施する場面で用いる。実際の侵入を模した攻撃シナリオに基づく高度な検証(ペネトレーションテスト)を実施する場合には、攻撃手法や範囲がより広範かつ実践的になるため、ペネトレーションテスト実施同意書を別途用いるのが実務上一般的である。

根拠法令 本契約で最も重要な法的論点は、不正アクセス禁止法(不正アクセス行為の禁止等に関する法律)第3条との関係である。同条は、アクセス制御機能を有する電子計算機に対し、当該機能による制限を免れて特定利用をし得る状態にさせる行為等を禁止しているが、当該アクセス管理者(通常はシステムの正当な権限者である発注者)の承諾を得て行う行為は、そもそも同条の禁止する「不正」な行為に該当しない。したがって、脆弱性診断業務においては、発注者からの明確かつ範囲を特定した承諾(第3条、第4条)が、診断事業者の行為の適法性を基礎付ける最も重要な要素となる。診断対象の範囲外にあるシステムへのアクセスや、承諾された期間外の実施は、この正当化根拠を欠くこととなり、不正アクセス禁止法上の問題が生じうる。また、対象システムがクラウドサービス上で稼働している場合、クラウド事業者の利用規約において、セキュリティテストの実施に事業者への事前届出や許諾を要求していることが多く、発注者・診断事業者間の契約とは別に、この手続を履行しておく必要がある(第5条第2項)。

実務でよくある失敗と対策 第一に、診断対象の範囲(IPアドレス、URL等)を口頭やメールでの簡易な合意にとどめ、書面での明確な許諾範囲の特定を怠った結果、対象範囲を巡る認識の齟齬や、不正アクセス禁止法上の同意の存在の立証に支障が生じる失敗がある。A-2のように、署名済みの許諾書の取得を診断開始の前提条件とすることが対策となる。第二に、クラウド事業者への事前届出手続を発注者・診断事業者のいずれが行うか曖昧なまま診断を実施し、クラウド事業者の規約違反としてアカウント停止等の措置を受ける失敗がある。第5条第2項のように、届出義務者を明確にすることが対策となる。第三に、診断により発見された脆弱性情報を記載した報告書が、社内で適切に管理されず流出し、対象システムへの攻撃の手引きとして悪用されるリスクが生じる失敗がある。第8条のように、報告書の目的外利用禁止及び第三者への開示制限を明記することが対策となる。

診断対象範囲の適切な設定及び不正アクセス禁止法上の適法性の確保については、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 診断対象(IPアドレス・URL・システム範囲)を別紙で具体的に特定したか
• [ ] 実施期間及び実施時間帯(業務時間外か等)を明確にしたか
• [ ] 発注者からの許諾範囲を書面(署名済み)で取得する手続を定めたか
• [ ] クラウド事業者への事前届出の要否及び実施責任者を確認したか
• [ ] 診断中の緊急連絡体制及び中止要請の手続を定めたか
• [ ] 報告書の提出期限及び報告会の実施有無を定めたか
• [ ] 報告書の秘密保持義務及び目的外利用の禁止を明記したか
• [ ] 報告書の共有範囲(グループ会社等)を確認したか
• [ ] 診断により発見できない脆弱性が残る可能性について免責を明記したか
• [ ] 診断による対象システムへの影響(負荷・不具合)についての責任分担を確認したか