サイバーセキュリティ法務
攻撃の兆候を認知した時点から、法的な判断は始まっています。
被害が確定してから法務部門が動く体制では、報告期限に間に合いません。
平時の規程・契約の整備から、有事の初動対応・刑事事件化までを、一貫して担当いたします。
令和8年10月1日、サイバー対処能力強化法の主要規定が施行されました。同法のインシデント報告義務は、個人情報保護法や各業法が「漏えい」や「役務の重大な支障」といった結果の発生を要件とするのに対し、不正な通信の受信や認証情報の不正な入力といった事象を認知したこと自体を、報告の引き金とします。実害が確認されていない段階でも義務が立ち上がるという点が、既存の制度との決定的な違いです。
これは、企業のインシデント対応の順序そのものを変える変更です。従来、法務部門がインシデントに関与するのは、被害の範囲がある程度固まり、開示や通知の要否を判断する段階からでした。この前提が、根本から変わります。
モノリス法律事務所は、法律とIT技術の双方に専門性を有する組織として、平時の規程・契約の整備から、インシデント発生時の初動対応、行政への報告、対外的な説明、そして刑事事件化までを、一貫して担当いたします。
MENU
法律・IT・刑事の専門性
モノリス法律事務所は、元ITエンジニア・経営者としてIT法務に専門性を有する代表弁護士の率いる30名の弁護士、元東京高検検事の新庄健二弁護士（顧問）、現役のITエンジニアを含む12名のITコンサルタントのチームによって、サイバーセキュリティに関する法務を提供しています。
当事務所のサイバーセキュリティ法務
サイバーセキュリティに関する法務は、大きく4つに分かれます。平時に整えておくべきものと、有事に必要となる対応です。
契約関係の整備
委託先への通知期限、ログの保全と提供、原因調査への協力義務、費用負担。これらを業務委託契約や保守契約に具体的に定めます。多くの既存契約にある「速やかに通知する」という文言では、法令上の確定期限から逆算した対応を担保できません。クラウドサービスの約款の確認も含めて対応いたします。
規程・規約関係の整備
インシデント対応規程、情報セキュリティ規程、端末・アカウント管理規程、生成AIの利用規程、そして利用規約やプライバシーポリシー。法令の条文をそのまま現場に渡しても、運用はできません。監視部門が検知した事象を、報告要否の観点から振り分けられる形にまで落とし込みます。
インシデント対応
攻撃の兆候を検知した段階から、証拠の保全、事実関係の調査、各制度に基づく行政への報告、取引先や顧客への説明、そして刑事事件化までを担当します。初動を誤れば、後に採り得る選択肢そのものが失われます。技術的な復旧と、法的な証拠保全を同時に走らせる必要がある局面です。
個人情報漏洩時の対応
サイバー攻撃による被害の多くは、最終的に個人データの漏えいという形で現れます。個人情報保護委員会への報告と本人への通知には法令上の期限が定められており、事実関係の調査と並行して、短期間で判断を下す必要があります。委託先の立場での対応、GDPRが関わる場合の対応にも実績を有しております。
AI時代における攻撃と防御の非対称性の拡大
不正アクセスの認知件数は増加を続けており、企業が被害に遭う可能性は、年々高まっています。そして、生成AIの普及は、攻撃する側と防御する側の双方に影響を及ぼしていますが、その恩恵の受け方は、対称ではありません。
攻撃側にとって、生成AIは攻撃の単価を下げます。不自然さのないフィッシングメールの文面作成、脆弱性の探索、マルウェアの亜種生成。従来は一定の技術水準を要した工程が、自動化されつつあります。攻撃の総量が増え、かつ一件あたりの精度も上がるという方向に働きます。
防御側にとっても、AIは検知の精度を上げます。もっとも、検知できる事象が増えるということは、判断すべき事象が増えるということでもあります。そして、「この事象は報告対象に該当するか」「この段階で法務部門に上げるべきか」という判断は、AIが代替できる領域ではありません。
つまり、技術的な検知と、法的な判断との間のギャップが、広がり続けているということです。検知の数が増えるほど、法的な判断を要する場面も増えます。従来のように、被害が確定してから法務部門が関与するという順序では、この量に対応できません。
サイバーセキュリティが、もはや情報システム部門だけの問題ではなくなっている理由は、ここにあります。実際に発生した事案から、企業がどのような対応を迫られるのかをご覧ください。
サイバー対処能力強化法のインシデント報告義務
令和8年10月1日、サイバー対処能力強化法（正式名称「重要電子計算機に対する不正な行為による被害の防止に関する法律」）の主要規定が施行されました。いわゆる能動的サイバー防御を実現するための法律です。
企業にとって重要なのは、同法が課すインシデント報告義務の構造です。下記の4点を把握しておく必要があります。
義務の引き金は「結果」ではなく「認知」
基幹インフラ事業者は、特定重要電子計算機のサイバーセキュリティが害されたこと、またはその原因となり得る一定の事象を認知したときに、報告を行わなければならないとされています。個人情報保護法上の漏えい等報告が個人データへの影響を起点とし、各業法上の事故報告が役務の重大な支障を要件とするのに対し、保護対象への影響が確認されていなくても、不正な行為またはその兆候を認知した時点で義務が発生します。攻撃の全体像が判明する前、被害の有無すら確定していない段階で、国への報告が求められるということです。
「認知」はアラートの検知と同義ではない
制度の解説では、「認知」は単にアラートやイベントを検知した時点を指すのではなく、その内容等を踏まえて報告対象に該当すると合理的に判断できる状態をいうものと整理されています。したがって、どの事象を検知した段階で該当性の判断を開始し、どの時点で認知に至ったと評価するのかを、社内であらかじめ整理しておく必要があります。認知した時刻と、その判断に至った経緯を記録に残すことが、報告期限の起算点をめぐる事後的な争いを防ぎます。
直接の義務者は限られるが、影響は止まらない
直接の義務を負うのは、経済安全保障推進法に基づく特定社会基盤事業者のうち、特定重要電子計算機を使用する事業者です。もっとも、報告に必要な事実——侵入経路、影響範囲、攻撃の手口——は、システムを実際に構築し運用している委託先の手元にしかないことが少なくありません。元請となる事業者は、契約を通じて委託先を義務履行の体制に組み込まざるを得ず、結果としてITベンダー、システムインテグレーター、クラウドサービス事業者が、契約上の義務を負う立場に置かれることになります。
対象機器の範囲は想定より広い
特定重要電子計算機は、基幹業務を直接担う設備に限られません。インターネットとの接続箇所に置かれるファイアウォールやVPN装置、認証サーバー、アクセスを制御する機器、踏み台サーバーや監視サーバー、さらに認証情報やネットワーク構成図といった重要データを保存する機器までが類型として示されています。情報系と制御系の双方にまたがるため、資産の棚卸しは想定以上の作業量となります。
なお、報告対象事象の具体的な範囲や報告様式については、なお整理が進んでいる領域があります。最新の公表資料を確認しながら対応を進める必要があります。
複数の報告義務の期限管理
サイバーインシデントが発生したとき、企業は複数の制度の下で、それぞれ異なる期限の報告義務を同時に負います。そして、その期限は揃っていません。
制度ごとに担当部署が分かれていると、この管理ができません。報告義務を一体として捉える視点が必要です。
| 制度 | 報告の引き金 | 第一報の期限 | 詳細報告の期限 |
|---|---|---|---|
| サイバー対処能力強化法 | 事象の認知 | 認知後速やかに | 認知日から30日以内 |
| 個人情報保護法 | 漏えい等の発生・おそれ | 速やかに（概ね3日から5日以内） | 30日以内（不正の目的によるおそれがある場合は60日以内） |
| 各業法 | 役務の重大な支障等 | 制度により異なる | 制度により異なる |
とりわけ注意を要するのが、外部からの不正アクセスによる個人データの漏えいです。この場合、個人情報保護法上の確報期限は60日以内に延びますが、サイバー対処能力強化法上の詳報は認知日から30日以内です。長い方の期限に意識が向き、短い方を徒過するという事故が、構造的に起こり得ます。
インシデント発生直後の初動対応
インシデントを検知したとき、何から手をつけるべきか。おおよその順序は、下記のとおりです。
なお、下記の時間は、法令上の期限ではなく実務上の目安です。法令上の期限は、前項の表に記載したとおりです。
| 時点 | 行うべきこと | 法的な論点 |
|---|---|---|
| 検知直後 | 対象となる機器と事象の内容を確認し、報告対象に該当するかを一次的に判定する | 「認知」の時点をどう記録するか。アラートを検知した時刻、内容を確認した時刻、報告対象に該当すると判断した時刻を区別して記録しておかなければ、報告期限の起算点が後から争いになる |
| 数時間以内 | 判断に迷う事象を法務部門へエスカレーションし、外部の弁護士へ連絡する | 被害の範囲が固まってから法務が動くという従来の順序では、報告期限に間に合わない。調査の過程で作成される資料の扱いと、秘匿性の確保についても、早い段階で整理しておく必要がある |
| 24時間以内 | ログと端末の証拠保全を行い、委託先に対して一次通知と先方環境におけるログの保全を求める | 初動において最も失われやすいのが、証拠である。サーバーの再構築、ログのローテーション、端末の初期化は、いずれも善意で行われながら、原因究明や責任追及に必要な記録を失わせる。技術的な復旧と法的な証拠保全は、同時に走らせなければならない |
| 3日から5日以内 | 個人データの漏えいまたはそのおそれがある場合、個人情報保護委員会への速報を行う | 「おそれ」の段階で報告が必要となる。事実関係が確定するまで待つという判断は、この制度の下では成り立たない |
| 30日以内 | 各制度に基づく詳細報告を準備し、提出する | 報告書の作成には委託先からの調査結果が必要となる。詳報の期限から逆算すると、委託先の調査はそれよりかなり前に完了していなければならない。この逆算を可能にするのが、平時に整備しておく委託先契約である |
インシデント対応の全体像と出口
インシデント対応は、初動だけで終わりません。調査、報告、対外的な説明、再発防止、そして責任追及。どこまでを行うかによって、必要な作業も費用も大きく変わります。
そして、採り得る出口は、初動の段階で決まってしまいます。
| 段階 | 主な作業 | 判断を要する点 |
|---|---|---|
| 事実の確定 | ログの解析、影響範囲の特定、侵入経路の究明 | 自社で行うか、フォレンジック事業者に委託するか |
| 行政対応 | 各制度に基づく報告、当局からの追加照会への回答 | 制度ごとの期限管理 |
| 対外的な説明 | 取引先・顧客への通知、公表の要否と時期、問合せ窓口の設置 | 公表によって攻撃者を利することにならないか |
| 内部の処理 | 役職員の関与の有無の調査、懲戒処分の要否 | 外部からの攻撃と内部の不正は、初動では区別がつかないことがある |
| 責任追及 | 委託先への請求、攻撃者に対する刑事告訴・損害賠償請求 | 費用対効果、証拠の有無 |
| 再発防止 | 規程・契約の見直し、体制の改善 | 同種の事象が再発した場合の説明責任 |
たとえば、刑事告訴まで視野に入れるのであれば、初動の段階で保全すべき証拠の範囲が変わります。委託先への責任追及を考えるのであれば、契約上の義務違反を立証できる記録を残す必要があります。公表を予定するのであれば、説明可能な事実関係が固まるまでの時間を見込まなければなりません。
初動の段階では、まだ出口が見えていないのが通常です。だからこそ、ありうる出口をすべて潰さない形で初動を進める必要があります。この判断には、それぞれの出口に何が必要かを知っていることが前提になります。
個人情報の漏えいが発生した場合の対応
サイバー攻撃による被害の多くは、最終的に個人データの漏えいという形で現れます。この場合、個人情報保護委員会への報告と本人への通知について、法令上の期限が定められています。事実関係の調査と並行して、短期間で判断を下さなければなりません。
当事務所は、個人情報保護法に関する業務を主要取扱分野の一つとしており、平時の体制整備から、漏えい時の行政対応までを一貫して担当しています。委託元から個人データの取扱いの委託を受けている立場での対応、EU一般データ保護規則（GDPR）が関わる場合の対応についても、実績を有しております。
※各種業務を取り扱っているため、専用ページを用意しております。
刑事事件化という選択肢
不正アクセスや不正なデータ持ち出しの被害に遭った場合、警察に被害を訴えれば、警察が自ら捜査して犯人を特定し、逮捕・起訴してくれる。これが「普通の市民感覚」だと思われます。
しかし残念ながら、人間の生命や身体に関わらない経済的事件、特にサイバー犯罪に関して、警察の捜査リソースは実際問題として限られています。被害者側が十分な調査を行い、「報告書」といった形で大量の書面等を作成しなければ、警察による捜査等を実効的に促すことはできないというのが実情です。
一度告訴状や被害届を提出した後も、警察の求めに応じて様々な詳細資料を随時作成し、提出し、捜査や逮捕を促さなくてはなりません。「サイバー犯罪の被害に遭った企業による、その被害の刑事事件化」は、「システム開発など、IT関連の大型訴訟」と同程度に、必要な書面の量が多く、求められる専門性が高く、法律事務所としての稼働も大きい、「巨大」なプロジェクトなのです。実際、当事務所が担当する場合でも、50時間以上の稼働となることが通常です。
そして、その書面を作成するためには、ITに関する高度な知識と、その法的意味の分析が必要です。一例を挙げれば、不正アクセスの事案では、Apache等のログを読解して問題のアクセスを特定したうえで、それが何故「不正」アクセスと言えるのかを法的観点から検討し、論理一貫した書面として記載する必要があります。
なお、刑事事件化は、インシデント対応の中でも最後にたどり着く選択肢です。初動の段階でログが失われていれば、そもそも立証が成り立ちません。刑事告訴を視野に入れるのであれば、その前の段階から証拠の保全を設計しておく必要があります。
契約関係の整備
サイバー対処能力強化法が定めるのは、自社が国に対して負う期限です。委託先の通知期限は法令に書かれておらず、その期限を守るために自社が契約で設計すべき事項にあたります。契約の整備とは、法令上の期限から逆算した時間軸を、取引関係の中に組み込む作業です。
業務委託契約・保守契約
多くの既存契約には、「速やかに通知する」「遅滞なく報告する」といった抽象的な条項が置かれています。30日という確定期限から逆算した対応を、この文言で担保することはできません。検知からの通知期限、ログの保全と提供（保存期間・対象・方法）、原因調査への協力義務を、具体的に定める必要があります。フォレンジック調査への立会いや資料提供の範囲まで含めて設計します。
クラウドサービス利用契約
事業者が用意した約款を前提とする契約であり、個別の交渉が難しい場合があります。だからこそ、約款がどこまでを保証し、どこから先を利用者の責任としているかを、契約の前に把握しておく必要があります。インシデント発生時のログの提供範囲、通知の時期、責任の上限を確認し、現実に自社が負うリスクを明らかにします。
秘密保持と情報提供の整理
報告書に委託先のシステムに関する技術情報が含まれる場合、国への情報提供が、契約上の秘密保持義務と抵触しないかを事前に整理しておく必要があります。これは見落とされやすい論点であり、報告の段階で初めて問題となれば、調整に時間を要し、期限内の対応ができなくなります。
費用負担と責任分担
通知、ログの提供、調査への協力。これらの義務の履行には費用が生じます。誰が負担するかを定めていなければ、インシデント発生という最も交渉しにくい局面で、費用の議論を始めることになります。あわせて、損害賠償の上限、免責の範囲、サイバー保険の付保義務についても検討します。
規程・規約関係の整備
サイバー対処能力強化法は、報告対象該当性の判断基準やエスカレーション経路を、社内で定めておくことを事実上求めています。もっとも、法令の条文をそのまま現場に渡しても、運用はできません。監視部門が検知した事象を、報告要否の観点から一次的に振り分けられる形にまで落とし込む必要があります。
インシデント対応規程
検知から報告までのプロセスを定める、本体にあたる規程です。どの事象を検知した段階で該当性の判断を開始するか、誰が判断するか、迷う事象をどの経路でエスカレーションするか、そして「認知」の時点をどう記録するかを定めます。義務の起点が認知である以上、認知時刻の記録方法まで落とし込んでおかなければ、報告期限の起算点について事後的な齟齬が生じます。
情報セキュリティ基本規程・管理規程
情報資産の分類、アクセス権限、持出しの制限、ログの取得と保存期間を定めます。ログの保存期間は、技術的な都合だけで決めるべきではありません。インシデント発生時に原因を究明し、責任を追及できる期間が確保されているかという観点が必要です。また、営業秘密として法的保護を受けるには秘密としての管理が前提となるため、この規程の内容が、後の不正競争防止法上の主張を左右します。
端末・アカウント管理と生成AI利用
貸与端末の利用範囲、私物端末の業務利用、リモートアクセスの条件、退職時のアカウント停止手順を定めます。モニタリングを行う場合、就業規則等の整備が不十分であると違法となる可能性があります。あわせて、生成AIについて、利用を許容するツールと業務の範囲、入力してよい情報の種類を定めます。この規程は、情報セキュリティ規程における機密情報の定義と連動していなければ機能しません。
利用規約・プライバシーポリシー
自社がサービスを提供する側である場合、利用規約における免責の範囲と、インシデント発生時の通知義務が問題となります。プライバシーポリシーには、取得する情報の範囲、安全管理措置、漏えい時の対応を記載することになります。規約の記載と実際の運用が食い違っていれば、インシデント発生時に、その点自体が責任の根拠となり得ます。
整備業務の進め方と成果物
契約と規程の整備について、作業の流れと成果物は下記のとおりです。対象こそ異なりますが、工程は共通します。
この表でお伝えしたいのは、「本文の作成」が全体の一部に過ぎないという点です。
| 段階 | 作業の内容 | 成果物 |
|---|---|---|
| 現状把握 | 既存の契約・規程の収集とレビュー、情報資産の棚卸し状況の確認、現在の対応フローのヒアリング | 現状の課題整理メモ |
| 対象判定 | 自社が各制度の義務対象に該当するか、どの機器・データ・契約が対象となるかの判定 | 対象判定の結果と根拠 |
| 設計 | 新設・改訂すべき契約条項と規程の特定、既存規程との整合の確認 | 体系図、改訂方針 |
| 起案 | 契約条項・規程本文の作成、様式およびチェックリストの作成 | 契約条項案、規程案、報告様式、判断フロー図 |
| 交渉・現場への落とし込み | 委託先との交渉（契約）、監視部門が参照できる判断基準の作成（規程） | 覚書、運用手順書、研修資料 |
| 運用後の見直し | 法令改正、組織変更、インシデント発生を踏まえた改訂 | 改訂版 |
規程を作ること自体は、ひな形を用いれば短時間で可能です。しかし、自社が義務の対象かを判定し、既存規程との矛盾を解消し、現場が運用できる形に落とし込むという前後の工程を欠けば、文書が存在するだけで機能しない規程になります。
なかでも最も労力がかかるのが、既存規程との整合性を取ることです。情報セキュリティ規程、個人情報取扱規程、内部通報規程、就業規則。これらは別々の時期に、別々の担当者によって作成されていることが多く、用語の定義や報告経路が食い違っていることも珍しくありません。新しい規程を足すだけでは、矛盾が増えるだけです。
当事務所では、これらの整備業務に研修資料の作成まで含めることをお勧めしています。規程は、読まれなければ意味がありません。とりわけインシデント対応規程は、普段使わない文書でありながら、使うときには時間的余裕がないという性質を持ちます。平時に内容を共有しておく必要があります。
委託先・ITベンダーの立場から見たサイバーセキュリティ法務
ここまでの記述は、インシデントの被害を受ける企業の立場で書かれています。しかし、ITベンダー、システムインテグレーター、クラウドサービス事業者、受託開発会社にとっては、自社が「委託先」として契約上の義務を負う側になります。
この立場で生じる主な論点は、次の5点です。まず、発注者から提示された通知期限が現実的に守れる水準であるか。次に、ログの保全義務の範囲や期間が自社の運用と整合しているか。さらに、原因調査への協力義務にどこまでの作業が含まれるかや、国への情報提供が他顧客との秘密保持義務に抵触しないかも重要です。そして何より、これらの義務履行に伴う費用を、誰が負担するのかという点が挙げられます。
「受けられない条件を受けてしまう」ことが、この局面での最大のリスクです。契約締結時には問題にならなくとも、インシデントが発生した段階で、履行できない義務を負っていたことが明らかになります。
当事務所は、IT企業の顧問弁護士を多数務めており、発注者側・受託者側の双方の立場で、この種の契約を検討した経験があります。片側の立場しか知らなければ、どこが交渉可能で、どこが譲れないかの判断ができません。
なお、電子計算機やプログラムの供給者については、整備法によりサイバーセキュリティ基本法上の責務規定が拡充され、利用者のサイバーセキュリティ確保のための設計や開発、供給後の情報の継続的な提供に努めることが求められています。契約上の負担とは別に、こうした責務が及ぶ点にも留意が必要です。
弁護士とITコンサルタントのチーム
サイバーセキュリティに関する法務には、ITに関する高度な知識と、その法的意味の分析が、同時に必要になります。規程を現場が運用できる形に落とし込む作業も、インシデント発生時に技術的な復旧と証拠保全を両立させる判断も、片方の知識だけでは成立しません。
そのためには、ITに関するエンジニアと同水準の知識と、特にIT領域に関する法律のスペシャリストとしての知識、双方が必要不可欠です。
モノリス法律事務所は、元ITエンジニア・ウェブ系企業経験者である代表弁護士の下、弁護士30名、及び、現役のITエンジニア等のITコンサルタント12名を含むスタッフ85名の所属する組織です。
その組織を有するモノリス法律事務所だからこそ、ワンストップソリューションを提供することが可能なのです。
仮想事例1：営業秘密の持ち出し
貴社の営業秘密を、従業員が持ち出し、ライバル企業に好待遇で引き抜かれようとしているとの情報を入手した。
「容疑者」は事実上判明しているが、当該従業員は情報持ち出しやライバル企業との連絡を否定している。
こうした状況下では、単に「現時点で存在している証拠を元に刑事事件化を行う」だけではなく、証拠収集、そのための準備等、当該従業員や相手方企業との法的交渉、再発防止策などを、同時並行的に行う必要が高い。
仮想事例1を解決するための手段は…
IT技術によるPC監視
容疑者に貸与しているPCやスマートフォンに監視アプリを導入し、情報の持ち出しやライバル企業との連絡の痕跡を調査します。
就業規則の策定・改定
もっとも、PC監視は、就業規則等の整備が不十分だと違法となる可能性があります。事前の精査や改定が不可欠です。
データ復元・検証
容疑者が利用していたPCやスマホの削除済みデータを復元すると、情報漏洩に係る「証拠」を取り出せるケースがあります。
容疑者との交渉
監視や復元によって「証拠」を発見できた場合、雇用契約上の義務違反として、容疑者との法的交渉を行うこととなります。
刑事告訴・ライバル企業との交渉等
不正競争防止法は、「営業秘密」の不正取得を禁止しています。ライバル企業に情報持ち込みが行われた場合は、使用の差止請求や刑事事件化を検討することになります。
情報管理体制の整備
もっとも、不正競争防止法の対象たる「営業秘密」は、法律上の要件を満たす情報のみです。そこで事前に、当該情報が営業秘密に該当するよう、管理体制を整備しておく必要があります。
仮想事例2：ドメイン窃取とウイルス拡散
貴社が利用していたECサイトに関して、ドメインの更新を忘れたためドメインが失効し、氏名不詳の第三者が当該ドメインを取得してしまった。
「犯人」は、当該ドメインにて、貴社が運用していたのと外見上そっくりな偽サイトを開設し、そのサイト上でコンピュータウイルスを拡散している。
こうした状況下では、海外に居住等している可能性の高い「犯人」について、諦めずに追跡等を行うことはもちろん、現に今発生している被害をどのように除去するか、ドメインの「取り返し」など、根本的な解決をどのように図るかといった各種問題について、狭義の法的手段、狭義のIT的手段、それらの混合的手段など、あらゆる手段を選択肢として捉えた上で、最短・確実な決着を目指すべきである。
仮想事例2を解決するための手段は…
ドメインの使用差止・損賠（訴訟）
不正競争防止法は、いわゆるサイバースクワッティングやドロップキャッチが行われた場合に、ドメインの差止（使用禁止）や損害賠償請求を可能にし得る規定を用意しています。もっとも、訴訟を提起するには、相手方を特定する必要があります。
ドメインの取り戻し（紛争処理）
ドメインの取り戻しは、裁判所を用いる訴訟の他に、日本知的財産仲裁センターなどを通じた紛争処理によって行う方法もあります。もっとも、ドメイン名それ自体が貴社の商標等を含んでいるケースでないと認められない可能性があります。
当該第三者の特定（IT的調査）
ドメインを取得した第三者をIT技術によって特定します。ドメイン登録者はwhoisによって確認することが基本ですが、匿名での登録が行われている場合も、必ずしも諦める必要はありません。サイト上の「痕跡」から、可能な限りの追跡を行います。
当該第三者の特定（法的調査）
「弁護士会照会」という弁護士のみがなし得る方法を用い、「犯人の正体を把握しているであろう者」に対し、その正体を開示するよう求めます。…では、「犯人の正体を把握しているであろう者」とは誰でしょうか？これを検証するのはIT技術です。
サイトの削除請求
「外見上そっくりな偽サイト」は、貴社の有する著作権や商標権を侵害している可能性が高いと言えます。法的請求により、ホスティングサーバーに対してサイトの削除を求めます。もっとも、ドメインを取られたままでは、他のサーバーに「逃げられる」可能性はあります。
偽サイトの更新妨害（IT的施策）
偽サイトは、botによって貴社サイトをコピーし続けていると考えられます。そこで、botによるアクセスの際には貴社サイトのデータを渡さないようにすることで、偽サイトの更新を妨害する措置も行うべきです。
SEO・逆SEO
偽サイトを貴社サイトと認識してアクセスする顧客がいると、貴社の売上や評判に悪影響が生じます。暫定的に新サイトを構築し、当該新サイトの検索結果順位を上げ、偽サイトの順位を下げることで、こうした悪影響を緩和することができます。
刑事告訴
犯人による一連の行動を業務妨害と捉え、警察に対して捜査権の発動を促します。ただ、海外のドメインレジストラやサーバーが用いられている場合、日本の警察の捜査権が及ばない可能性があります。
犯人の他の行動に関するIT的調査
この事件の犯人は、無関係な第三者でしょうか？事業上のライバル等であるなら、今回のドメイン窃取の他にも、従前に何らかの攻撃を行っていた可能性があります。各種ログを検証し、貴社に対する攻撃、その痕跡を探すべきかもしれません。
どの手段も、一つ一つは「常に万能」ではありません。
各手段の意味と限界を、ITと法律の両面から理解した者が、
具体的状況を細かに検証した上で「戦略」を立案し、
各手段を実施する必要があります。
危機管理顧問契約
ここまでに述べた3つの業務——インシデント対応、契約関係の整備、規程・規約関係の整備——を、月額の顧問契約としてまとめたものです。
第一に、インシデントは予告なく発生します。発生してから弁護士を探し、事情を一から説明し、見積りを取り、委任契約を締結する。この間にも、報告期限は進みます。「発生時に最優先で対応する」という約束そのものが、この分野では価値を持ちます。
第二に、平時の関与があるからこそ、有事の対応が速くなります。顧問契約の下で規程や契約を整備していれば、インシデント発生時に、貴社のシステム構成、委託先との契約関係、報告義務の有無を、既に把握している状態で対応に入れます。事情説明の時間が不要になるということは、そのまま初動の速さになります。
第三に、法改正への継続的な対応です。サイバーセキュリティに関する法制度は、現在も動いています。サイバー対処能力強化法は施行後の運用がなお固まっておらず、個人情報保護法も改正が続いています。一度整備した規程や契約は、改正のたびに見直しが必要です。
規程や契約の整備を入口としてご依頼いただき、その後、危機管理顧問契約へ移行していただくという形も、数多くお引き受けしております。
サイバーセキュリティの法制度の詳細
サイバーセキュリティに関する法制度は、現在も動いています。サイバー対処能力強化法は令和8年10月に施行されたばかりであり、運用の指針もなお整理が進んでいる段階です。個人情報保護法についても、改正が続いています。
当事務所は、こうした法制度の動向と、実際のインシデント事例について、解説記事を公開しています。
関連記事
料金体系
危機管理顧問契約
月額5.5万円(税込)インシデント発生時、発生時に最優先で対応
平時のご相談、法改正情報の共有を含みます
※実稼働に関しては、下記のタイムチャージを申し受けます。
契約・規程作成
1時間3.85万円(税込)~委託先契約の見直し、各種規程・規約の作成・改訂
対象判定から現場への落とし込みまでを含みます
※作業範囲が確定した段階で、費用の上限を設定することも可能です。
インシデント対応
1時間5.5万円(税込)~発生時の初動対応、行政への報告、対外的な説明、刑事事件化
他の案件に優先して着手いたします
※刑事事件化は、本頁記載のとおり50時間以上の稼働となることが通常です。
