情報漏えいは、ベンダーが作ったシステムのせい？：「訴えてやる！」の前に読む IT訴訟徹底解説（17）（2/2 ページ）

東京高等裁判所 IT専門委員として数々のIT訴訟に携わってきた細川義洋氏が、IT訴訟事例を例にとり、トラブルの予防策と対処法を解説する本連載。今回は「情報が漏えいしたら、システムを作ったベンダーはどこまで責任を負うべきか」を、裁判例を基に解説する。

[ITプロセスコンサルタント細川義洋，＠IT] PC用表示関連情報

LINE

Hatena

前のページへ | 　　　　　　

たとえ却下されようとも、言うべきことは言わねばならない

　しかし、ベンダーがいくら専門家責任を発揮してさまざまなセキュリティ提案を行っても、ユーザー側が受け入れてくれない場合もかなりある。特に要件定義後に必要性に気付いたセキュリティ対策は、プロジェクトのスケジュールやコストを悪化させることもある。そのため提案が受け入れられないことが多く、下手すれば詐欺師呼ばわりされることすらある。

　しかし、それでもベンダーは提案すべきである。この判決は、後半でこうも述べている。

東京地方裁判所平成26年1月23日判決より抜粋して要約（続き）

　ユーザーは、セキュリティ上は顧客のクレジットカード情報をデータベースに保持しない方が良いことを認識し、ベンダーから改修の提案を受けていながら、何ら対策を講じずにこれを放置した（これはユーザー側の責任である）。

　たとえ採用されなくても、「提案」していれば、責任はユーザー側に移る。この判決ではこれによって、ベンダー側の責任が3割ほど減じられた。個人情報漏えいの損害賠償額は、数億、数十億に上る場合がある。その金額をユーザーとベンダーのどちらが負うべきか考えると、この判決の考え方は非常に参考になる。

　提案すべきことは、追加費用が発生しようと、本稼働時期が遅れようと、臆せずに提案しなければならない。一時的には、ユーザーの不興を買うことがあっても、実際に情報漏えいが起きてしまった後の責任を考えれば安い物だ。

日々是学習

　ベンダーにとって大切なことは、常日ごろから最新のセキュリティ情報とその対策を勉強し続けることだ。いくら提案をしたくても、知識がなければ何もできない。

　念のため申し上げておくが、裁判所に「私たちはITベンダーだが、この分野については知識がないので専門家ではない」といった言葉は通用しない。ITベンダーとして看板を掲げ、それなりの技術、知識を要する仕事を請け負う以上、裁判所は専門家として扱うからだ。

　JP-CERTや各種セキュリティベンダーなどから日々情報を収集し、対策と共に組織内で共有する。セキュリティに関する発表や講演に積極的に参加する。組織内でセキュリティに関する勉強会を定期的に開催する――これらを行わないベンダーは、今日のような危険な時代を生き残れない。逆に、セキュリティ対策について一定の評価を受けるベンダーは、それ自体が売り上げの拡大に寄与することになる。そんな時代が、すぐそこに来ている。

「「訴えてやる！」の前に読む IT訴訟徹底解説」バックナンバー