サイバー攻撃の被害調査は誰に頼む？フォレンジック業者・弁護士と調査契約

「保守会社から、調査会社を紹介できると言われました。復旧も急ぐので、まず見積書にサインして進めてよいですか？」

ランサムウェア被害が判明した翌朝、情報システム部長から法務にこんな相談が入った、という場面を考えます。見積書には「インシデント調査一式」とだけ書かれ、裏面に約款が付いています。法務が確認すると、次のことが決まっていませんでした。

• 依頼するのは被害調査なのか、復旧作業なのか
• 漏えい（外部への持ち出し）の有無まで調べるのか
• 調査会社に誰が作業を指示するのか
• 保守会社自身の設定・運用も調査対象になるのか
• サイバー保険の保険会社の承認が必要なのか
• 調査報告書を当局や取引先へ提出できるのか

1．被害調査は「技術調査・法的評価・復旧」を分けて考える

「調査」という言葉の中には、性質の違う3つの仕事が混ざりがちです。何が起きたかを技術的に明らかにする技術調査、その事実が法令・契約上どういう意味を持つかを判断する法的評価、そして業務を元に戻す復旧です。担い手ごとに整理すると、次のようになります。

表は横にスクロールできます。

復旧と調査は並行できるが、「作業前の保全」を挟む

復旧と調査は同時に進むのが通常です。ただし、サーバの初期化、バックアップからの上書き復元、端末の再イメージ化、ログの自動ローテーション（古いログの上書き）などは、侵入経路や外部送信の痕跡を消してしまうことがあります。クラウドサービスや機器のログは保存期間が短い場合もあります。

そこで、復旧ベンダーが作業に入る前に、少なくとも次を調整しておきます。

• 調査会社が先に保全すべき対象（被害サーバのディスクやメモリ、VPN機器・ファイアウォール・認証基盤のログ、クラウドの監査ログ等）
• 保全を待てない作業がある場合、その作業内容と時刻の記録
• 保守会社・社内担当者が行った操作の記録の保存

何をいつ確保するかの考え方は、企業不祥事シリーズ第6話：企業不祥事の証拠保全｜メール・チャット・PCをいつ確保する？の「保全→選別→閲覧・分析」の整理が参考になります。

2．フォレンジック業者を選ぶときの確認事項

調査会社の選定は「有名かどうか」「紹介されたかどうか」で終わらせず、今回の事案に対応できるかを確認します。緊急時は時間がないため、電話やオンライン面談で次の項目を確認し、回答をメモに残すだけでも判断の質が変わります。

参考材料として、経済産業省の「情報セキュリティサービス基準」に適合すると審査されたサービスを掲載した、IPAの「情報セキュリティサービス基準適合サービスリスト」があり、「デジタルフォレンジックサービス」の区分が設けられています。ただし、リストへの掲載は法令上の要件ではなく、個別事案での調査品質を保証するものでもありません。候補を絞る手がかりの一つとして使います。

保守会社の紹介先を使ってよいか

保守会社の紹介先であることだけで、不適切とはいえません。現場の構成を知っている会社と連携できるため、着手が早くなる利点もあります。

問題になるのは、保守会社の設定・運用そのものが調査対象になり得る場合です。たとえば、侵入経路として保守会社が管理するVPN機器が疑われているときは、次のように管理します。

• 調査会社との契約・報告は被害企業と直接結ぶ（または被害企業が直接受け取る）
• 保守会社の作業ログ・設定変更履歴も調査対象に含めることを明記する
• 調査会社が保守会社経由でしか情報を得られない状態を避け、必要なログは被害企業から直接提供する
• 保守会社への報告書の共有範囲は被害企業が決める
• 紹介関係・取引関係を事前に開示してもらう

なお、一般の企業について、法令上、常に独立した第三者による調査が求められるわけではありません。独立性をどこまで確保するかは、原因に関わる当事者の有無、対外説明の必要性、取締役会への説明責任などを踏まえて判断します。

3．誰が依頼し、誰が指示を出すか

契約形態の比較

表は横にスクロールできます。

どの形態が常に正解ということはありません。判断の軸は、被害企業が調査範囲と報告書の利用条件を把握・コントロールできるか、そして緊急対応を円滑に進められるかです。③で着手する場合でも、調査範囲・報告書の受領・利用条件については被害企業と調査会社が直接確認できる状態をつくっておくと安全です。

指示主体を一本化する

形態にかかわらず、社内で「調査会社に指示を出す人」を決めます。技術面の窓口（情報システム部長等）と、調査範囲・報告書・外部提供に関する窓口（法務責任者等）を分け、追加調査や範囲変更の承認権限を明確にします。複数の部署が別々に指示すると、費用の膨張や、調査対象の取り違えにつながります。

親会社がグループとして調査会社を手配する場合も、被害を受けた法人、契約当事者、データの提供者、費用負担者がそれぞれ誰かを確認します。グループ会社であっても別法人であり、個人データの提供や報告書の共有では法人ごとの整理が必要になるためです。

弁護士を通すと調査報告書は守られるのか

「弁護士経由で依頼すれば、報告書は外に出さなくて済む」と言われることがあります。ここは、次の3つを区別して考えます。

1. 弁護士の守秘義務：弁護士は職務上知り得た秘密を保持する権利と義務を負います（弁護士法23条）。これは弁護士自身の義務であり、会社が保有する文書の提出を拒める制度ではありません。
2. 契約上の秘密保持：調査会社との秘密保持条項は当事者間の約束です。法令に基づく提出要求や裁判所の命令に対しては、例外条項が置かれるのが通常です。
3. 訴訟・捜査等での提出・開示：民事訴訟では、弁護士が職務上知った事実で黙秘の義務が免除されていないものが記載された文書は、文書提出義務の除外事由になり得ます（民事訴訟法197条1項2号、220条4号ハ）。ただし、文書の内容、作成の経緯、誰が所持しているかによって判断は分かれ、技術的事実を記載した報告書が当然に対象になるわけではありません。刑事手続の押収拒絶権（刑事訴訟法105条）も、弁護士が業務上委託を受けて保管・所持する物で、他人の秘密に関するものについての制度であり、本人の承諾等の例外もあります。公正取引委員会の「判別手続」は、不当な取引制限（カルテル等）の事件調査に限った仕組みです。

4．緊急着手でも先に合意したい調査契約の条件

二段階で考える

着手前に全条件を交渉していては、ログの消失や被害拡大を招きかねません。そこで、

• 緊急着手前：今すぐ動いてもらうために最低限必要な条件（調査目的、当面の範囲、初期予算と上限、データの扱い、報告書の利用予定など）を、発注書・合意メール・覚書で確定する
• 本契約・追加調査：調査範囲の拡大、成果物の詳細な利用条件、責任制限などを詰める

という二段階に分けます。緊急着手前の最低条件は、末尾の「実務ツール②」にチェック表として整理しました。

本契約で詰める確認事項

あわせて、調査会社が調査で得た攻撃技術情報（通信先、マルウェアの特徴等）を、被害企業が特定されない形に加工して他の専門組織と共有することを認めるかも確認します。経済産業省は、この点について秘密保持契約に盛り込むべきモデル条文を公表しています。被害拡大防止に役立つ一方、被害企業として受け入れ可能な範囲かを確認しておく項目です。

「漏えいしていないことの保証」は求めない

「48時間以内に漏えいがないことを証明する」といった条件は、ログの有無や攻撃手法によって実現できないことがあり、求めるべきではありません。契約で約束してもらうべきなのは、合意した範囲・方法での調査の実施、報告の時期、確認できなかった事項と調査の限界を明示することです。

準委任か請負か

調査契約は、多くの場合、一定の事務処理を委ねる準委任（民法656条・643条）として整理されますが、契約の名称だけで決まるわけではありません。報告書の納品を「仕事の完成」として約束するような内容なら請負（民法632条）に近づき、成果に対して報酬を支払う準委任（民法648条の2）として組み立てる場合もあります。何を約束してもらうのかを業務内容の記載で具体化しておくことが、後の紛争予防になります。

冒頭の見積書の約款も、責任制限、報告書の利用制限、再委託の可否が書かれていることが多いため、サイン前に確認します。

保険会社への確認は着手判断と並行させる

サイバー保険では、保険会社が指定・推奨する調査会社の利用、費用の事前承認、通知の方法や時期などの条件が契約ごとに異なります。保険会社への連絡は、調査会社の選定と同時に進めます。保険会社の承認を待つ間に被害拡大防止まで止めるべきではありませんが、緊急に支出した費用が補償されるかどうかも保険契約次第です。連絡日時と回答内容は記録しておきましょう。詳細は第13話：サイバー保険の通知・承認・保険金請求で扱います。

5．ログ・個人データ・認証情報を渡すときの注意点

ログにも個人データが含まれ得る

調査会社に渡すログやディスクの複製には、顧客データベース、従業員のメール、アクセスログに記録された氏名・アカウントID等が含まれることがあります。

ここで、個人情報保護法の「個人情報」（生存する個人に関する情報で特定の個人を識別できるもの等）と、「個人データ」（個人情報データベース等を構成する個人情報）を区別します。第三者提供の規制や委託先の監督義務がかかるのは、主に個人データです。

委託として整理できる場合

利用目的の達成に必要な範囲内で個人データの取扱いを委託し、それに伴って提供する場合は、第三者提供の本人同意は不要とされています（個人情報保護法27条5項1号）。一方で、委託元は委託先を必要かつ適切に監督しなければなりません（同法25条）。個人情報保護委員会の通則編ガイドラインでは、適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握が挙げられています。

調査会社が個人データを含むデータを解析するのであれば、通常は委託として監督義務を意識した契約・管理が必要です。個人情報保護委員会のQ&Aは、保守事業者が個人データを用いて不具合を再現・検証する場合などを委託の例として挙げる一方、閲覧可能になるだけで記録・印刷等を防止する措置が講じられている場合などは提供に当たらないとしています（Q7-55）。実態でみて判断するということです。

国外が関わる場合

調査会社の海外拠点のアナリストが解析する、海外の親会社・提携先に再委託する、といった場合は、外国にある第三者への提供の規制（個人情報保護法28条）を確認します。この規制は委託に伴う提供にもかかり、本人同意、基準に適合する体制の整備（同法施行規則16条）等のいずれかによる必要があります。基準に適合する体制を根拠とする場合は、提供後も相当措置の継続的な実施を確保するための措置等が必要です（同法28条3項）。

国外で解析する場合は、誰が、どこで、個人データを取り扱うかを確認します。自社の海外支店への移動と、別法人である海外子会社への提供は区別が必要です。また、他の日本法人の外国支店へ直接提供する場合も、外国にある第三者への提供に該当し得ます（Q&A Q12-9）。調査会社の名称や法人の設立国だけでなく、契約関係と実際の取扱体制を確認してください。

これに対し、単に国外のサーバにデータが保存されるだけで、サービス提供者が個人データを取り扱わないこととなっている場合は、提供に当たらないと整理されています（Q&A Q7-53）。ただしこの場合も、自社の安全管理措置として、保存先の国の制度を把握したうえでの対応が求められます。「国外サーバを使うこと」と「外国の第三者がデータを取り扱うこと」は分けて確認しましょう。

認証情報の渡し方

調査用に管理者権限等を渡す場合は、次の点を決めておきます。

• 既存の管理者アカウントを共有せず、調査専用アカウントを発行する（既存アカウント自体が侵害されている可能性があるため）
• 必要最小限の権限とし、対象システムを限定する
• 利用期間を区切り、多要素認証を設定する
• 操作ログを取得し、作業記録の提出を受ける
• パスワード等をチャットやメールに平文で書かない
• 作業終了後に失効・変更し、その事実を記録する

6．調査報告書を誰に、どこまで共有するか

用途に応じて文書を分ける

表は横にスクロールできます。

文書を分けるのは、事実を隠したり、都合の悪い結果を削ったりするためではありません。攻撃手法や未対策の脆弱性の詳細が広まれば再攻撃のリスクになるため、用途に必要な記載範囲と機密性を管理するための整理です。総務省・経済産業省等の「サイバー攻撃被害に係る情報の共有・公表ガイダンス」も、攻撃技術情報と被害内容・対応情報を分けて扱う考え方を示しています。取締役会への報告の在り方は第14話：初動判断・取締役会報告・再発防止、公表文の作り方は第12話：公表のタイミングと文面で扱います。

報告書に明記してもらう事項

調査報告書には、少なくとも次を明記してもらうよう依頼します。

• 調査対象（システム、期間、データ）
• 調査方法
• 確認できた事実
• 未確認の事項
• 調査の限界（ログの欠損、保存期間切れ、取得できなかった端末等）
• 暫定版か確定版か、作成日と版数

報告書の権利と第三者提供

調査会社が報告書の著作権等を保持し、利用を「依頼者の社内利用」に限定する約款もあります。その場合でも、当局、保険会社、弁護士、監査人、取引先、親会社等へ提供・引用できるかを契約で確認しておきます。後から取引先に「調査結果を見せてほしい」と求められたとき、提供できる範囲が決まっていれば、要約版の作成や秘密保持契約を条件とした開示で対応できます。

7．実務ツール

① 調査依頼書の記入例

② 緊急着手前の契約チェック表

まとめ