2019in law security_ito
•Download as PPTX, PDF•
1 like•1,592 views
情報ネットワーク法学会2019年研究大会 分科会「セキュリティ要件におけるベンダ・ユーザの責任分界点」
Recommended
More Related Content
Similar to 2019in law security_ito
Similar to 2019in law security_ito (7)
2019in law security_ito
- 2. 過去の研究大会振り返り • 2016年 システム開発契約・紛争全般 請負／準委任の境界，モデル契約，プロジェクトマネジメント責任等 • 2017年 プロジェクトマネジメント義務・協力義務 事例の分析等を通じて • 2018年 プロジェクトの中止の見極め タイミングと手法，法的分析 ©Masahiro Ito 2
- 7. 契約不適合と脆弱性 • 脆弱性あるシステムの開発者は契約不適合責任を負うか パッケージソフトのライセンスは検討の対象外 • 脆弱性 コンピュータのOSやソフトウェアにおいて，プログラムの不具合や設 計上のミスが原因となって発生した情報セキュリティ上の欠陥（総務 省ウェブサイト） • 契約不適合責任 引き渡された目的物が種類，品質又は数量に関して契約の内容に適合 しない場合において，負担する責任 追完（562条），代金減額（563条），損害賠償（564条，415条）， 解除（564条，541条，542条） ©Masahiro Ito 7
- 9. セキュリティに関する契約条項 • 経済産業省「情報システム・モデル取引・契約書＜第1版＞」 セキュリティ要件をシステム仕様としている場合には、「システム仕 様書との不一致」に該当し、本条の「瑕疵」に含まれる。（29条―瑕 疵担保責任） 「乙が納入する本件ソフトウェアのセキュリティ対策について、甲及 び乙は、その具体的な機能、遵守方法、管理体制及び費用負担等を協 議の上、別途書面により定めるものとする。」（50条―セキュリ ティ） ©Masahiro Ito 9 契約書・仕様書に明記した対策を怠った場合には， 契約不適合責任を負うことについて争いはないと思われる
- 10. 脆弱性＝契約不適合？ • 「なかなか顧客に理解されにくいソフトウェア等の脆弱性と瑕 疵の区別を理解していただくための啓発にも活用可能であると 考える」 • 「脆弱性をコンピュータ・ウィルス、コンピュータ不正アクセ ス等の悪意の存在によって初めて顕在化する、機能、性能を損 なう問題個所と定義し、ソフトウェア製品の脆弱性と瑕疵（品 質不良、バグ等）を区別している。これにより、脆弱性を瑕疵 の問題として製品開発者だけに対策を求めるのではなく､社会 的な枠組として各パートナーが共同して解決するべきだという 社会的合意を形成しようとしている。」 ©Masahiro Ito 10 （JISA／JEITA「SI 事業者における脆弱性関連情報取扱に関する体制と手順整備のためのガイダンス(第1版)」2005年）
- 11. 脆弱性＝契約不適合？（承前） • 「SI 成果物としての納入システムに潜んだ新規の脆弱性につい てはSI 事業者の瑕疵とは区別したい」 • 「既知の脆弱性とその重大性に対する著しい認識不足、ウェブ アプリケーションでの必要な設定漏れや設定ミス等で顧客シス テムで事件・事故が発生した場合は､SI 事業者の瑕疵（品質不 良、バグ等）として真摯に対応する必要がある｡」 ©Masahiro Ito 11 （JISA／JEITA「SI 事業者における脆弱性関連情報取扱に関する体制と手順整備のためのガイダンス(第1版)」2005年）
- 12. 脆弱性と修補責任について • ソフトウェアの提供時において通常備えられている「セキュリ ティ」の程度を備えていない場合には，債務の本旨に従った履 行とはいえない • 後日判明した欠点や脆弱性を責任の対象とするのは妥当でない ©Masahiro Ito 12 （IPA 「情報システム等の脆弱性情報の取扱いにおける法律面の調査報告書改訂版」2019年）
- 13. 脆弱性と契約書の記載 ©Masahiro Ito 13 IPA「情報システム等の脆弱性情報の取扱いに関する研究会 2007年度報告書」
- 14. 脆弱性と契約不適合責任 ©Masahiro Ito 14 既知 未知 記 載 あ り 記 載 な し シ ス テ ム 仕 様 書 契約締結時点における驚異の存在 契約不適合責任あり N/A ？？ 原則として責任なし グレー ゾーン グレーゾーン