आउटसोर्स गरिएको सुरक्षा घटना रोक्न कसरी? अर्डर दिने पक्षको आन्तरिक नियन्त्रण प्रणालीको निर्माण र सञ्चालन व्याख्या गर्दै

जापानमा कम्पनीहरूलाई जापानी कम्पनी ऐन र वित्तीय उत्पादन व्यापार ऐन अनुसार आन्तरिक नियन्त्रण प्रणालीको विकास गर्न बाध्य गरिएको छ। ‘आन्तरिक नियन्त्रण प्रणाली’ जटिल प्रतीत हुन सक्छ, तर सरल शब्दमा भन्नुपर्दा, यो कम्पनीका कार्यहरूलाई उपयुक्त रूपमा सञ्चालन गर्ने र जोखिम निवारण गर्ने व्यवस्था हो।

त्यसो भए, बाह्य व्यापारिक साझेदारहरूसँगको सम्बन्धमा आन्तरिक नियन्त्रण प्रणाली कसरी कार्यान्वयन हुन्छ? विशेष गरी, कम्पनीहरूले लजिस्टिक्स, मर्मत आदि विभिन्न कार्यहरू बाह्य स्रोतहरूमा आउटसोर्स गर्ने प्रक्रिया धेरै चुनौतीपूर्ण हुन सक्छ।

यस लेखमा, आउटसोर्स गरिएका स्थानहरूमा आन्तरिक नियन्त्रण प्रणालीको सञ्चालन र सुरक्षा घटनाहरू रोक्नका लागि उपायहरूको विवरण दिइनेछ।

जापानमा आन्तरिक नियन्त्रण प्रणालीको परिचय

जापानमा आन्तरिक नियन्त्रण प्रणाली भन्नाले, कम्पनी वा संगठनले उपयुक्त व्यवस्थापन गर्नका लागि आवश्यक प्रणालीहरू र विधिहरूलाई जनाउँछ, जुन जापानी कम्पनी ऐन र वित्तीय उत्पादन कारोबार ऐनमा परिभाषित गरिएको छ।

जापानी कम्पनी ऐन अनुसार, निम्नलिखित कम्पनीहरूमा आन्तरिक नियन्त्रण प्रणाली विकास गर्नु पर्ने बाध्यता छ:

• ठूला कम्पनीहरू
• नामाङ्कन समिति आदि स्थापना गरिएका कम्पनीहरू
• अडिट आदि समिति स्थापना गरिएका कम्पनीहरू

त्यसैगरी, वित्तीय उत्पादन कारोबार ऐन अनुसार, सूचीबद्ध कम्पनीहरूमा आन्तरिक नियन्त्रण प्रणाली विकास गर्नु पर्ने बाध्यता छ, र प्रत्येक व्यावसायिक वर्षको अन्त्यमा आन्तरिक नियन्त्रण प्रतिवेदन पेश गर्नु पर्छ। यस आन्तरिक नियन्त्रण प्रतिवेदनलाई प्रमाणित पब्लिक अकाउन्टेन्ट वा अडिट फर्मबाट अडिट प्रमाणपत्र प्राप्त गर्नु पर्छ।

आन्तरिक नियन्त्रण प्रणालीको त्रुटिले जानकारी चुहावट जस्ता घटनाहरू भएमा क्षति हुन सक्छ, र त्यस्तो अवस्थामा कम्पनी वा निर्देशकहरूले क्षतिपूर्ति दायित्व बहन गर्नु पर्ने सम्भावना छ। जानकारी सुरक्षाका लागि आन्तरिक नियन्त्रण प्रणालीको बारेमा तलको लेखमा विस्तृत विवरण दिइएको छ, कृपया हेर्नुहोस्।

सम्बन्धित लेख: जानकारी चुहावट रोक्ने उपायहरूको विवरण र तयार पार्नुपर्ने कम्पनी नियमावलीको सामग्री[ja]

जापानमा व्यावसायिक जिम्मेवारीको समयमा आन्तरिक नियन्त्रण प्रणालीमा उत्पन्न हुन सक्ने जोखिमहरू

यद्यपि तपाईंको कम्पनीले सूचना सुरक्षा सम्बन्धी नियमावलीहरू निर्धारण गरेको छ, यदि जिम्मेवारी दिइएको कम्पनीले यस्ता नियमावलीहरू निर्धारण गरेको छैन वा तिनीहरूको सामग्री पर्याप्त छैन भने, सुरक्षा घटना उत्पन्न हुन सक्छ।

सुरक्षा घटना भएमा, यद्यपि यो जिम्मेवारी दिइएको कम्पनीमा भएको दुर्घटना हो, त्यसको प्रबन्धन जिम्मेवारी भएको मूल कम्पनीको प्रतिष्ठा घट्न सक्ने जोखिम छ।

तसर्थ, व्यावसायिक जिम्मेवारीको समयमा, जिम्मेवारी दिइएको कम्पनीमा पनि सुरक्षा घटनाहरू नभएको सुनिश्चित गर्ने प्रणाली विकास गर्नु महत्त्वपूर्ण छ।

जापानमा आन्तरिक नियन्त्रण प्रणालीमा आवश्यक व्यवस्थापन

न्यायिक निर्णयहरूको आधारमा, जानकारी सुरक्षा प्रणालीको संरचना आन्तरिक नियन्त्रण प्रणाली निर्माणमा एक महत्वपूर्ण तत्व हो।

जानकारी सुरक्षा प्रणालीमा त्रुटि भएको कारण कम्पनी वा संगठनले तेस्रो पक्षलाई क्षति पुर्‍याएमा, आन्तरिक नियन्त्रण प्रणाली निर्माणको कर्तव्य उपेक्षा गरेको भनी, निर्देशकहरूलाई पनि सावधानीपूर्वक व्यवहार गर्ने कर्तव्य उल्लंघनको आरोप लगाइन सक्छ। यसैगरी, यदि जिम्मेवारी प्राप्त व्यक्तिहरूको जानकारी सुरक्षा प्रणालीमा त्रुटि भएर तेस्रो पक्षलाई क्षति पुगेमा, जिम्मेवारी दिने कम्पनी वा निर्देशकहरूलाई पनि जिम्मेवार ठहराइन सक्छ।

तथापि, जिम्मेवारी प्राप्त व्यक्तिहरूमा प्रबन्धनमा त्रुटि भएको कारण सुरक्षा घटना भएमा, आन्तरिक नियन्त्रण प्रणाली निर्माणको कर्तव्य उल्लंघनको आधारमा सावधानीपूर्वक व्यवहार गर्ने कर्तव्य उल्लंघनको आधारमा क्षतिपूर्ति दावी स्वीकृत भएको कुनै पनि उदाहरण पत्ता लागेको छैन, तर भविष्यमा मुद्दा दायर गर्ने सम्भावना छ भन्ने कुरा मानिन्छ।

जापानमा आन्तरिक नियन्त्रण प्रणालीको महत्व सिक्ने उदाहरणहरू

यहाँ हामी व्यावसायिक जिम्मा दिने क्रममा, पुराना उदाहरणहरूको आधारमा कस्ता सुरक्षा उपायहरू अपनाउनु पर्छ भन्ने कुरा हेर्नेछौं।

जापानी पेन्सन संस्थानमा भएको जानकारी चुहावटको घटना

२०१५ (२०१५) मा, जापानी पेन्सन संस्थानमा अनधिकृत पहुँचको कारण जानकारी चुहावट भएको थियो, जसमा मूल पेन्सन नम्बर र नाम जस्ता व्यक्तिगत जानकारीहरू चुहिएका थिए।

यस घटनाको सम्बन्धमा, जापानी पेन्सन संस्थानमा अनधिकृत पहुँचबाट भएको जानकारी चुहावट घटनाको परीक्षण समिति (यसपछि ‘परीक्षण समिति’ भनिनेछ) स्थापना गरिएको थियो, र यसको विवरण समेटिएको २०१५ अगस्ट २१ (२०१५) को परीक्षण प्रतिवेदन तयार पारिएको थियो। यस प्रतिवेदन अनुसार, जापानी पेन्सन संस्थानको LAN प्रणालीमा आक्रमण भएको थियो, र साझेदारी फोल्डरमा रहेको ठूलो मात्रामा व्यक्तिगत जानकारीहरू चुहिएका थिए।

प्रणाली निर्माण गर्दा, LAN प्रणालीमा व्यक्तिगत जानकारीहरू नचलाउने नियम थियो, तर केहि शर्तहरूमा व्यक्तिगत जानकारीहरू LAN प्रणालीको साझेदारी फोल्डरमा राख्न सकिने व्यवस्था गरिएको थियो। यसका साथै, जापानी पेन्सन संस्थानको LAN प्रणाली लक्षित आक्रमणहरूलाई सामना गर्न सक्ने गरी सञ्चालन गरिएको थिएन, जसले गर्दा आक्रमण पत्ता लगाएपछि पनि स्थिति बुझ्नमा समय लाग्यो।

परीक्षण समितिले पुनः नहोस् भन्ने उपायहरूको रूपमा

• मानवीय संरचनाको व्यवस्थापन (सुरक्षा उपाय मुख्यालयको स्थापना आदि)
• कल्याण श्रम मन्त्रालयको निगरानी प्रणालीको व्यवस्थापन (कल्याण श्रम मन्त्रालयको जानकारी सुरक्षा प्रणालीको व्यवस्थापन आदि)
• प्राविधिक व्यवस्थापन (कार्यको वास्तविकता र जोखिमका आधारमा प्रणालीको व्यवस्थापन आदि)
• जापानी पेन्सन संस्थानको चेतना परिवर्तन

उल्लेख गरिएको छ।

थपमा, ठेकेदारसँगको बीचमा जानकारी सुरक्षा संरक्षणको सामान्य सहमति मात्र भएको थियो, तर वास्तविक घटना भएको बेला कुनै पनि ठोस सहमति नभएकाले प्रतिक्रिया ढिलो भयो र क्षति ठूलो भयो। (स्रोत: कल्याण श्रम मन्त्रालय ‘२०१५ अगस्ट २१ को परीक्षण प्रतिवेदन[ja]‘)

यस्ता घटनाहरू रोक्नका लागि,

• सेवा स्तर सम्झौता ठोस सामग्रीमा गर्नुपर्ने
• आपतकालीन प्रतिक्रिया ठेकेदारले गर्ने गरी स्पष्ट सहमति गर्नुपर्ने

आवश्यक छ।

सेवा स्तर सम्झौता (Service Level Agreement, SLA) भन्नाले सेवा प्रदान गर्ने पक्ष र सेवा प्राप्त गर्ने पक्षबीच सेवाको गुणस्तर, लागू क्षेत्र, प्राप्ति विधि, जिम्मेवारी र खर्च आदि सम्बन्धमा सहमति गर्ने अनुबंध हो। यसका साथै, घटना भएको बेला प्रतिक्रिया गर्नका लागि पनि अग्रिम सहमति गरेर तत्काल उपयुक्त प्रतिक्रिया दिन सकिन्छ।

जापानको बेनेसे कर्पोरेशनमा भएको व्यक्तिगत जानकारीको चुहावटको घटना

२०१४ मा, जापानको बेनेसे कर्पोरेशनमा व्यक्तिगत जानकारीको चुहावटको एक ठूलो घटना भएको थियो। यस घटनामा, एक ठेकेदार कम्पनीका कर्मचारीले ग्राहकको डाटा कपी गरी नामावली व्यापारीलाई बेचेका थिए, जसले गर्दा लगभग २९,८९,००० ग्राहकको जानकारी बाहिरिएको थियो।

यस घटनाको मुख्य कारण यो थियो कि डाटाको पहुँच अधिकार उप-ठेकेदार र त्यसका उप-उप-ठेकेदारहरूलाई दिइएको थियो, तर पर्याप्त निगरानी प्रणाली नभएकोले जानकारीको चुहावट भएको थियो।

यस घटनाको प्रतिकारका लागि तल उल्लेखित उपायहरू अपनाइन सक्छ:

• ठेकेदारको कामको दायरा र जानकारीमा पहुँचको सीमा संविदामा स्पष्ट रूपमा परिभाषित गर्ने
• ठेकेदारमा नियमित अनुगमन गर्ने
• ठेकेदारलाई निगरानी प्रणालीको बारेमा प्रतिवेदन गर्ने कर्तव्य लगाउने
• ठेकेदारमा महत्त्वपूर्ण जानकारी संचालन गर्ने व्यक्तिहरूलाई छनोट गरी उनीहरूको समीक्षा गर्ने

यस घटनापछि, एक ग्राहकले आफ्नो र आफ्नो बच्चाको व्यक्तिगत जानकारी चुहिएकोमा बेनेसे कर्पोरेशनविरुद्ध १०,००० येनको क्षतिपूर्ति माग्दै मुद्दा हालेका थिए।

पहिलो र दोस्रो अदालतमा ग्राहकले हारेका थिए तर, हेइसेइ २९ (२०१७) अक्टोबर २३ मा भएको सर्वोच्च अदालतको फैसलाले,

ग्राहकको मानसिक क्षतिको अवस्था र त्यसको गम्भीरताको बारेमा पर्याप्त छानबिन नगरी, केवल असुविधाजनक भावनाभन्दा बढी क्षति भएको भन्ने दाबी र प्रमाणित नगरिएको आधारमा मात्र ग्राहकको माग अस्वीकार गर्नुपर्ने भन्ने निर्णयलाई खारेज गर्दै

हेइसेइ २८ (२०१६) नम्बर १८९२ को क्षतिपूर्ति माग मुद्दा, हेइसेइ २९ (२०१७) अक्टोबर २३ को दोस्रो लघु अदालतको फैसला[ja]

भन्दै दोस्रो अदालतको फैसलालाई खारेज गरी ओसाका उच्च अदालतमा पुनः सुनुवाइको लागि पठाएको थियो।

२०१९ को नोभेम्बर २० मा, ओसाका उच्च अदालतले प्राइभेसीको उल्लंघन स्वीकार गर्दै बेनेसे कर्पोरेशनलाई १,००० येन भुक्तानी गर्न आदेश दिएको थियो।

पहिलो र दोस्रो अदालतमा प्राइभेसीको उल्लंघन मात्र होइन, वास्तवमा क्षति भएको थियो कि भएन भन्ने कुरा पनि महत्त्वपूर्ण थियो, तर सर्वोच्च अदालतले क्षतिको अवस्था भए नभएकोमा ध्यान नदिई प्राइभेसीको उल्लंघन भएको छ भन्ने कुरामा मात्र ध्यान केन्द्रित गर्नुपर्ने निर्णय गरेको थियो। अन्य जानकारी चुहावटका घटनाहरूमा पनि, जानकारी चुहावटका आधारमा क्षतिपूर्ति माग गर्ने मुद्दाहरूलाई स्वीकार गरिएका धेरै उदाहरणहरू छन्, र यो सर्वोच्च अदालतको फैसला पनि त्यस्तै प्रवृत्तिको अनुरूप भएको मानिन्छ।

सारांश: आन्तरिक नियन्त्रण प्रणालीको बारेमा जापानी वकिलसँग परामर्श गर्नुहोस्

कम्पनी वा संगठनको स्वस्थ प्रबन्धनका लागि आन्तरिक नियन्त्रण प्रणालीलाई उपयुक्त रूपमा निर्माण गर्नु र सञ्चालन गर्नु आवश्यक छ। यदि ठेक्का प्राप्त गर्ने पक्षले जानकारी चुहावट जस्ता सुरक्षा घटनाहरू उत्पन्न गर्छ भने, ठेक्का दिने पक्षलाई पनि जिम्मेवार ठहराइन सक्छ र कम्पनीको छवि पनि ह्रास हुन सक्छ। यस्ता अवस्थाहरूलाई टार्नका लागि, ठेक्का प्राप्त गर्ने पक्षमा पनि आन्तरिक नियन्त्रण प्रणाली प्रभावकारी रूपमा काम गर्ने गरी पहिल्यै निर्माण गर्नु पर्दछ।

जानकारी सुरक्षा प्रणाली सहितको आन्तरिक नियन्त्रण प्रणालीको निर्माण र सञ्चालनका लागि जापानी वकिलसँग परामर्श गर्नुहोस्।

मोनोलिथ कानूनी फर्मद्वारा प्रदान गरिएका उपायहरूको परिचय

मोनोलिथ कानूनी फर्म एक विशेषज्ञ कानूनी फर्म हो जुन IT, विशेष गरी इन्टरनेट र कानूनका दुवै क्षेत्रमा उच्च पेशेवरता प्रदान गर्दछ। आन्तरिक नियन्त्रण प्रणालीको निर्माण र सञ्चालनमा कानूनी जाँचको आवश्यकता बढ्दै गइरहेको छ। तलको लेखमा विस्तृत विवरण उल्लेख गरिएको छ।

मोनोलिथ कानूनी फर्मका सेवा क्षेत्रहरू: IT र स्टार्टअप्सका लागि कम्पनी कानूनी सेवाहरू[ja]