Vahinkoja kyberhyökkäyksissä. Mikä on järjestelmätoimittajan vahingonkorvausvastuu? Sopimustekstin esimerkkejä selitetään

Viime vuosina yrityksiin kohdistuvat kyberhyökkäykset ovat lisääntyneet jatkuvasti.

Japanin Verkkoturvallisuusyhdistyksen (Japanese Network Security Association, JNSA) tutkimuksen mukaan henkilötietojen vuotojen osuus luvattomista pääsyrityksistä oli vuonna 2013 (Heisei 25) vain 4,7 %, mutta vuoteen 2018 (Heisei 30) mennessä se oli kasvanut 20,3 %:iin (2018 tietoturvapoikkeamien tutkimusraportti[ja]).

Tässä artikkelissa selitämme, millainen vastuu järjestelmätoimittajalla on kyberhyökkäyksen sattuessa, aiempien oikeustapausten pohjalta. Lisäksi selitämme, mitkä roolit ja vastuut toimittajan ja käyttäjän tulisi sopia sopimuksessa yhdessä kyberhyökkäysten torjumiseksi, mallisopimuksen pohjalta.

Onko järjestelmätoimittajalla korvausvastuu kyberhyökkäyksen aiheuttamista vahingoista?

Kun yritys käyttäjänä joutuu kyberhyökkäyksen kohteeksi ja vahinkoja syntyy, ensisijaisesti vastuuseen asetetaan kyberhyökkäyksen tekijä. Kuitenkin, jos järjestelmän kehityksen tai käytön laiminlyönnit ovat mahdollisesti tehneet hyökkäyksestä helpomman, käyttäjä saattaa vaatia korvauksia järjestelmätoimittajalta.

Järjestelmätoimittajan korvausvastuun perusteet voivat olla seuraavat:

• Sopimuksen vastainen vastuu
• Huolellisuusvelvollisuuden rikkominen

Kuitenkin, käyttäjän oma laiminlyönti saattaa myös laajentaa vahinkoja. Tällöin myös käyttäjän vastuu voidaan tunnustaa. Todellisissa oikeudenkäynneissä tämä on otettu huomioon vahingonkorvausvastuun vähentämisenä järjestelmätoimittajalle.

Liittyvä artikkeli: Mitä ovat kyberrikosten kolme luokkaa? Asianajaja selittää kunkin mallin vahingonhallintatoimenpiteet[ja]

Järjestelmätoimittajan vahingonkorvausvastuu ja sopimuskirjauksen esimerkit

Järjestelmätoimittajan ja käyttäjäyrityksen välisen IT-järjestelmäsopimuksen tyypillisiä esimerkkejä ovat seuraavat kolme:

1. Ohjelmistokehityssopimus
2. Järjestelmän ylläpito- ja käyttösopimus
3. Cloud-palvelun käyttösopimus

Vahingonkorvausvastuu määräytyy alkuperäisen sopimuksen perusteella, joten alla selitämme sen sopimustyypin mukaan.

Ohjelmistokehityssopimus

Ohjelmistokehityssopimus on sopimus, joka tehdään, kun käyttäjäyritys ulkoistaa oman järjestelmänsä kehitystyön ohjelmistotoimittajalle.

Jos käyttäjäyritys joutuu kyberhyökkäyksen kohteeksi ja ohjelmiston haavoittuvuus aiheuttaa vahingon laajenemisen, käyttäjä voi vaatia toimittajalta vastuuta.

Järjestelmätoimittajan vastuu riippuu ohjelmistokehityssopimuksen tyypistä ja se voidaan jakaa kahteen osaan:

• Urakkasopimus: sopimuksen mukaisuusvastuu
• Alisopimus: huolellisuusvelvollisuuden rikkominen

Urakkasopimus

Urakkasopimus on sopimus, jossa luvataan järjestelmän valmistuminen ja siitä maksetaan korvaus.

Jos luovutettu tuote ei “vastaa sopimuksen tarkoitusta”, urakoitsijalla on sopimuksen mukaisuusvastuu (siviililaki 559 §, 562 §[ja]) tietyn ajanjakson ajan luovutuksen jälkeen.

Toisin sanoen, jos kyberhyökkäys aiheuttaa helposti järjestelmähäiriön, tuotetta ei pidetä “sopimuksen mukaisena”, ja käyttäjä voi vaatia sopimuksen mukaisuusvastuun perusteella vahingonkorvausta.

Se, hyväksytäänkö tämä vaatimus, riippuu siitä, mitä ohjelmiston turvallisuustasoa osapuolet ovat alun perin sopineet.

Alisopimus

Alisopimuksessa ei sovelleta sopimuksen mukaisuusvastuuta, koska siinä ei ole velvollisuutta saattaa tuotetta valmiiksi. Sen sijaan se edellyttää “huolellisuusvelvollisuuden noudattamista tehtävän suorittamisessa” (huolellisuusvelvollisuus).

Jos kyberhyökkäys aiheuttaa järjestelmähäiriön, jopa jos turvallisuustasoa ei ole määritelty sopimuksessa, se, että tällainen järjestelmä on kehitetty, voidaan katsoa “huolellisuusvelvollisuuden rikkomiseksi” (siviililaki 656 §, 644 §[ja]), ja se voi johtaa vahingonkorvausvaatimukseen.

Järjestelmän ylläpito- ja käyttösopimus

Järjestelmän ylläpito- ja käyttösopimus on sopimus, jossa yritys ulkoistaa olemassa olevan ohjelmiston ylläpito- ja käyttötehtävät ohjelmistotoimittajalle. Ylläpito- ja käyttösopimuksen solmimisen yhteydessä on yleistä sisällyttää sopimukseen vaadittava turvallisuustaso esimerkiksi liiketoimintaspecifikaatiossa.

Jos kyberhyökkäyksen seurauksena syntyy vahinkoa ja järjestelmän turvallisuustaso on sopimushetkellä sovittua tasoa alhaisempi, sopimuksen sopimattomuuden ehtoa voidaan käyttää perusteena velvollisuuden laiminlyönnin vastuun peräämiselle.

Kuitenkin, jos turvallisuustasoa ei ole määritelty etukäteen, järjestelmän ylläpito ja käyttö, joka on haavoittuvainen kyberhyökkäyksille, voidaan katsoa rikkovan hyvän hallintotavan velvollisuutta, ja siitä voidaan seurata vastuun perääminen.

Pilvipalveluiden käyttösopimus

Pilvipalveluiden käyttösopimus on sopimus, joka tehdään, kun käytetään palveluntarjoajan tarjoamia pilvipalveluita. Koska palveluntarjoajan oletetaan tarjoavan samaa palvelua useille käyttäjille, sopimus tehdään usein palveluntarjoajan määrittelemien käyttöehtojen mukaisesti.

Yleisesti ottaen, tässä sopimuksessa on etukäteen määritelty vastuu, jos palvelua ei voida tarjota kyberhyökkäyksen seurauksena.

Pilvipalveluiden käyttösopimuksessa määritellään yleensä seuraavat asiat sopimuksen tekohetkellä:

• SLA (Service Level Agreement): Laadun takuu ja toimintasäännöt
• Vastuunrajoitusehdot: Palveluntarjoajan vastuu vahingon sattuessa

SLA on asiakkaan vaatimustason ja palveluntarjoajan toimintasääntöjen kirjallinen määrittely. Jos tässä määriteltyä palvelua ei voida tarjota, voidaan tehdä vahingonkorvausvaatimus osittaisen sopimusrikkomuksen perusteella. Lisäksi sopimuksessa voidaan määritellä etukäteen ehdot, joilla palveluntarjoaja voi joutua vastuuseen sopimusrikkomuksesta, ja rajoittaa korvausmäärää “vastuunrajoitusehdoilla”, vaikka vastuu tunnustettaisiin.

Kuitenkin, koska vastuunrajoitusehdot ovat usein palveluntarjoajan kannalta edullisia, ne voivat olla rajoitettuja Japanin oikeuskäytännön mukaan, jos niistä tulee kiista.

Järjestelmätoimittajan vahingonkorvausvastuun arviointiperusteet

Kun käyttäjäyritykselle aiheutuu vahinkoa kyberhyökkäyksen seurauksena, missä tilanteissa järjestelmän kehittäneen toimittajan vastuu saattaa tulla kyseeseen?

Alla selitämme asiaa käyttäen esimerkkinä oikeustapauksia, joissa järjestelmätoimittajan vastuu on kyseenalaistettu.

Onko kehityshetken teknisen tason mukaisia toimenpiteitä toteutettu?

Kun vastuu kyseenalaistetaan oikeudenkäynnissä, painotetaan sitä, onko järjestelmätoimittaja toteuttanut turvatoimenpiteitä, jotka vastaavat viranomaisten tai alan järjestöjen ohjeistuksia ja manuaaleja kehityshetkellä.

On olemassa oikeustapauksia, joissa järjestelmätoimittajalle on määrätty vahingonkorvaus kyberhyökkäyksen aiheuttamien vahinkojen vuoksi.

Vuonna 2014, kyberhyökkäysten pääasiallinen menetelmä oli “SQL-injektiohyökkäys”, ja talous-, kauppa- ja teollisuusministeriö oli julkaissut asiakirjan “Huomautus henkilötietojen turvallisen hallinnan toimenpiteistä henkilötietojen suojelulain (Japanin henkilötietojen suojelulaki) mukaisesti[ja]“, jossa se korosti kyberuhkia ja kehotti vahvistamaan järjestelmiä.

Tuomio tunnusti järjestelmätoimittajan vastuun, joka ei ollut toteuttanut toimenpiteitä, ja määräsi vahingonkorvauksen. Toisaalta, käyttäjäyritykselle myönnettiin myös virhe, ja 30% virheen vähennys hyväksyttiin.

Onko käyttäjäyrityksellä laiminlyöntejä?

Järjestelmän kehityksen tilaavalla käyttäjäyrityksellä on myös velvollisuuksia, ja jos se laiminlyö ne, se saattaa joutua kantamaan koko vastuun.

Alla on esimerkki oikeustapauksesta, joka ei liity kyberhyökkäykseen, mutta jossa käyttäjäyrityksen vastuu tunnustettiin kokonaan ja sille määrättiin vahingonkorvaus.

Tämä oikeustapaus liittyy tilanteeseen, jossa käyttäjäyritys perui sopimuksen järjestelmän kehityksen viivästymisen vuoksi, ja molemmat osapuolet vaativat toisiltaan korvauksia.

Tuomiossa todettiin, että kehityksen viivästymisen syy oli se, että käyttäjäyritys ei kuunnellut järjestelmätoimittajan varoituksia, ja käyttäjäyritykselle myönnettiin 100% vastuu. Käyttäjän vaatimus hylättiin. Toimittajalla on velvollisuus hallita projektin etenemistä niin, että se valmistuu ajoissa, eli “projektinhallintavelvollisuus”. Käyttäjällä on puolestaan “yhteistyövelvollisuus”, ja jos se laiminlyö sen, se saattaa joutua kantamaan koko vastuun. Todellisissa oikeudenkäynneissä korvausvastuu määräytyy näiden suhteiden perusteella.

Kolme kohtaa turvallisen järjestelmäkehityksen varmistamiseksi

Kyberuhkien varalta on tärkeää, että sekä käyttäjät että toimittajat työskentelevät yhdessä riskienhallinnassa.

Alla selitämme, mitä toimenpiteitä toimittajat ja käyttäjät voivat toteuttaa omasta näkökulmastaan.

Ymmärrä kyberuhkat, joita viranomaiset ovat tuoneet esiin

Järjestelmätoimittajien tulisi tarkistaa ohjeet, jotka ovat peräisin asiantuntijaorganisaatioilta, kuten Japanin talous-, kauppa- ja teollisuusministeriöltä (Japanese Ministry of Economy, Trade and Industry) ja Japanin tietojenkäsittelyn edistämisvirastolta (Japanese Information-technology Promotion Agency, IPA), ymmärtääkseen nykyiset kyberuhkat ja niiden torjuntakeinot ennen kehitystyön ja toiminnan aloittamista.

Lisäksi ei vain toimittajien, vaan myös käyttäjäyritysten tulisi ymmärtää ohjeiden sisältöä jonkin verran ja pyytää ohjeiden mukaista kehitystyötä ja toimintaa, sekä sisällyttää turvallisuustason lausekkeet sopimukseen.

Viite: Japanin talous-, kauppa- ja teollisuusministeriö | Kyberturvallisuuden johtamisohjeet Ver 2.0[ja]

Viite: Japanin tietojenkäsittelyn edistämisvirasto | Turvallisen verkkosivuston luominen[ja]

Erityisesti rahoitussektorilla ja muilla aloilla lainsäädäntö ja ohjeet saattavat vaatia korkeatasoista turvallisuutta. Kryptovaluuttojen turvallisuustoimenpiteistä kerrotaan yksityiskohtaisemmin alla.

Liittyvä artikkeli: Mitä ovat kryptovaluuttojen turvallisuustoimenpiteet? Selitys kolmen vuodon tapauksen yhteydessä[ja]

Molempien osapuolten on ymmärrettävä turvallisuuden tarve

Japanin talous-, kauppa- ja teollisuusministeriön “Kyberturvallisuuden johtamisohjeet Ver2.0[ja]” toteaa selvästi, että kyberturvallisuustoimenpiteet ovat johtamiskysymys.

Yritysten ei tulisi jättää turvallisuutta toimittajien huoleksi vain siksi, että he eivät ymmärrä sitä, vaan heidän tulisi pitää riskienhallintaa osana johtamista ja ottaa vastuu toimenpiteistä.

Osapuolet käsittelevät yhdessä kyberhyökkäyksiä

Kyberhyökkäyksen sattuessa sekä tilaajan että toimittajan tulisi tehdä yhteistyötä vahinkojen minimoimiseksi sen sijaan, että he siirtäisivät vastuun toisilleen.

Kuitenkin järjestelmäkehityksen tilaajien ja toimittajien välillä tilaajan asema on usein vahvempi, ja järjestelmäkehitys etenee keskittyen kustannuksiin ja aikatauluun. Toimittajat eivät ehkä saa riittävästi rahaa tai aikaa, eivätkä heidän turvallisuusehdotuksiaan ehkä hyväksytä.

Kuitenkin ohjeissa todetaan, että käyttäjäyritysten tulisi nähdä turvallisuustoimenpiteiden toteuttaminen ei “kustannuksena”, vaan “investointina”, joka on välttämätön tulevalle liiketoiminnalle ja kasvulle.

Järjestelmäkehityksessä on tärkeää, että toimittajat ja käyttäjät käsittelevät yhdessä kyberhyökkäyksiä tasavertaisesta asemasta.

Yhteenveto: Konsultoi lakimiestä järjestelmäkehityssopimuksen laadinnassa

Jos kyberhyökkäyksen seurauksena syntyy vahinkoa, järjestelmän kehittämiseen osallistunut toimittaja voi joutua vastuuseen, jos he ovat laiminlyöneet kyberriskien hallinnan, ja asiakasyritys voi vaatia heitä vastuuseen.

Kuitenkin, myös asiakasyrityksellä, joka on laiminlyönyt yhteistyövelvollisuutensa toimittajaa kohtaan, on vastuunsa.

Kyberhyökkäysten aiheuttamien vahinkojen minimoimiseksi on tarpeen määritellä sopimuksessa järjestelmän taso ja kunkin vastuualue.

Järjestelmän kehittämiseen liittyvien sopimusten laadinnassa kannattaa konsultoida lakimiestä, jolla on syvällistä asiantuntemusta, kuten ymmärrystä ohjeiden sisällöstä ja nykyisistä kyberriskeistä.

Esittely toimenpiteistämme toimistossamme

Monolith Lakitoimisto on lakitoimisto, jolla on korkea asiantuntemus IT:ssä, erityisesti internetissä ja laissa. Järjestelmän kehityssopimuksen yhteydessä on tarpeen laatia sopimus. Toimistossamme laadimme ja tarkistamme sopimuksia erilaisiin tapauksiin, aina Tokyo Stock Exchange -listatuista yrityksistä startup-yrityksiin. Jos tarvitset apua sopimuksen kanssa, katso alla oleva artikkeli.

Monolith Lakitoimiston käsittelemät alueet: Järjestelmän kehitykseen liittyvät oikeudelliset asiat[ja]