साइबर आक्रमणबाट क्षति। प्रणाली विक्रेताको क्षतिपूर्ति दायित्व के हो? सम्झौतापत्रमा उल्लेख उदाहरणको व्याख्या

हालका वर्षहरूमा, जापानमा कम्पनीहरू विरुद्धको साइबर आक्रमणहरू निरन्तर रूपमा बढ्दै गइरहेका छन्।

विशेष गैर-नाफामूलक संस्था जापान नेटवर्क सेक्युरिटी एसोसिएसन (JNSA) को अनुसन्धान अनुसार, व्यक्तिगत जानकारी चुहावट घटनाहरूमा अनधिकृत पहुँचको अनुपात 2013 (हेइसेई 25) मा 4.7% थियो, तर 2018 (हेइसेई 30) मा यो 20.3% सम्म बढेको छ (2018 (हेइसेई 30) को जानकारी सुरक्षा घटना सम्बन्धी अनुसन्धान प्रतिवेदन[ja])।

यस लेखमा, जापानमा साइबर आक्रमणको शिकार हुँदा सिस्टम विक्रेता पक्षले लिनुपर्ने जिम्मेवारीको दायरा, विगतका न्यायिक उदाहरणहरूका आधारमा व्याख्या गरिनेछ। साथै, विक्रेता र प्रयोगकर्ताले साइबर आक्रमणको सामना गर्न संयुक्त रूपमा काम गर्नका लागि, सम्झौतामा निर्धारण गर्नुपर्ने भूमिकाहरू र जिम्मेवारीको दायराबारे पनि मोडेल सम्झौताका आधारमा व्याख्या गरिनेछ।

जापानमा सिस्टम विक्रेता साइबर आक्रमणको क्षतिपूर्ति दायित्व वहन गर्छन्?

जब प्रयोगकर्ता पक्षको कम्पनीले साइबर आक्रमणको सामना गर्दा क्षति हुन्छ, पहिलो जिम्मेवारी साइबर आक्रमणको अपराधीलाई दिइनुपर्छ। तर, यदि सिस्टम विकास वा सञ्चालनको त्रुटिका कारण आक्रमणको सम्भावना बढेको छ भने, प्रयोगकर्ता पक्षले सिस्टम विक्रेता पक्षलाई क्षतिपूर्ति दाबी गर्न सक्ने सम्भावना रहन्छ।

सिस्टम विक्रेता पक्षलाई क्षतिपूर्ति दाबीको आधारमा तलका कुराहरू समावेश छन्:

• सम्झौता अनुपयुक्तता दायित्व
• सद्गुणपूर्ण ध्यान दायित्वको उल्लङ्घन

तर, प्रयोगकर्ता पक्षको त्रुटिका कारण क्षति बढ्न सक्छ। यस्तो अवस्थामा प्रयोगकर्ता पक्षको जिम्मेवारी पनि मान्य हुनेछ। वास्तविक अदालतमा, यो त्रुटि कटौतीको रूपमा विचार गरिन्छ, र सिस्टम विक्रेता पक्षलाई क्षतिपूर्ति दाबी सीमित गरिएका घटनाहरू पनि छन्।

सम्बन्धित लेख: साइबर अपराधको ३ वर्गीकरण के हो? प्रत्येक ढाँचाको क्षति रोकथामको उपाय वकिलले व्याख्या गर्छन्[ja]

जापानमा प्रणाली विक्रेता (System Vendor) को क्षतिपूर्ति दायित्व र सम्झौता पत्रको उदाहरण

प्रणाली विक्रेता र प्रयोगकर्ता कम्पनीबीचको IT प्रणाली सम्झौताका प्रतिनिधि उदाहरणहरूमा जापानमा निम्न तीन प्रकारका सम्झौताहरू समावेश छन्:

1. सफ्टवेयर विकास सम्झौता
2. प्रणाली मर्मत र सञ्चालन सम्झौता
3. क्लाउड सेवा प्रयोग सम्झौता

क्षतिपूर्ति दायित्व प्रारम्भिक सम्झौताद्वारा निर्धारण गरिन्छ, त्यसैले हामी तल प्रत्येक सम्झौता प्रकारको लागि व्याख्या गर्नेछौं।

सफ्टवेयर विकास सम्झौता

सफ्टवेयर विकास सम्झौता भनेको, प्रयोगकर्ता पक्षको कम्पनीले आफ्नो प्रणालीको विकास कार्य सफ्टवेयर विक्रेता कम्पनीलाई सुम्पने क्रममा गरिने सम्झौता हो।

यदि प्रयोगकर्ता पक्षको कम्पनीले साइबर आक्रमणको सामना गर्दा सफ्टवेयरको कमजोरीले क्षति विस्तारको कारण बन्यो भने, प्रयोगकर्ताले विक्रेता विरुद्ध जिम्मेवारीको माग गर्न सक्छ।

सिस्टम विक्रेता पक्षले लिनुपर्ने जिम्मेवारी, सफ्टवेयर विकास सम्झौताको प्रकार अनुसार तलका दुई प्रकारका हुन्छन्।

• उपक्रम सम्झौता: सम्झौता असंगत जिम्मेवारी
• अर्ध-प्रतिनिधि सम्झौता: सुशासन ध्यान दायित्व उल्लंघन

उपक्रम सम्झौता

उपक्रम सम्झौता भनेको, प्रणालीको पूर्णता सुनिश्चित गर्ने र त्यसको परिणामस्वरूप पारिश्रमिक भुक्तानी गरिने सम्झौता हो।

यदि हस्तान्तरण गरिएको परिणाम “सम्झौताको उद्देश्यसँग मेल खाएन” भने, हस्तान्तरणको निश्चित अवधि भित्र, उपक्रमकर्तालाई सम्झौता असंगत जिम्मेवारी (जापानी नागरिक संहिता धारा 559, 562[ja]) लाग्न सक्छ।

अर्थात्, साइबर आक्रमणले सजिलै प्रणालीको समस्या उत्पन्न गर्ने स्तरको परिणाम “सम्झौताको उद्देश्यसँग मेल नखाने” मानिन्छ, र प्रयोगकर्ता पक्षले सम्झौता असंगत जिम्मेवारीको आधारमा क्षतिपूर्ति दाबी गर्न सक्छ।

यो दाबी स्वीकार गरिने वा नगर्ने कुरा, पक्षहरू बीच पहिले नै तय गरिएको सफ्टवेयरको सुरक्षा स्तरमा निर्भर गर्दछ।

अर्ध-प्रतिनिधि सम्झौता

अर्ध-प्रतिनिधि सम्झौतामा, सम्झौता असंगत जिम्मेवारीको लागू हुँदैन। किनभने यसमा परिणामको पूर्णता दायित्व हुँदैन। यसको सट्टा, “सुशासन ध्यान दायित्व” (善管注意義務) लिनुपर्छ।

साइबर आक्रमणले प्रणालीको समस्या उत्पन्न गर्दा, सम्झौताको समयमा सुरक्षा स्तर तय नगरेको भए पनि, उक्त स्तरको प्रणाली विकास गर्नु “सुशासन ध्यान दायित्व उल्लंघन” (जापानी नागरिक संहिता धारा 656, 644[ja]) मानिन्छ, र क्षतिपूर्ति दाबीको सम्भावना रहन्छ।

सिस्टम मर्मतसम्भार र सञ्चालन सम्झौता

सिस्टम मर्मतसम्भार र सञ्चालन सम्झौता भनेको, कम्पनीहरूले सफ्टवेयर विक्रेतालाई विद्यमान सफ्टवेयरको मर्मतसम्भार र सञ्चालन सम्बन्धी कार्यहरू委託 गर्ने सम्झौता हो। जापानमा सम्झौता गर्दा, पूरा गर्नुपर्ने सुरक्षा स्तरलाई कार्य विवरण पत्र जस्ता दस्तावेजहरूमा समावेश गरेर सम्झौतामा समावेश गर्ने प्रचलन छ।

जापानमा साइबर आक्रमणका कारण क्षति भएमा, यदि सिस्टमको सुरक्षा स्तर सम्झौता गर्दा सहमति भएको स्तरभन्दा तल छ भने, सम्झौता असंगतताको धारा आधारमा, दायित्वको उल्लंघनको जिम्मेवारी माग गरिन्छ।

तर, यदि पहिले नै सुरक्षा स्तरलाई निर्दिष्ट गरिएको छैन भने, साइबर आक्रमणको सामना गर्न कमजोर प्रणालीको मर्मतसम्भार र सञ्चालन गर्नु राम्रो व्यवस्थापकको ध्यानको कर्तव्यको उल्लंघन मानिनेछ र यसका लागि जिम्मेवारी माग गरिनेछ।

जापानमा क्लाउड सेवा प्रयोग सम्झौता

क्लाउड सेवा प्रयोग सम्झौता भनेको, जब कुनै विक्रेता क्लाउडमा सेवा प्रदान गर्छ, त्यसलाई प्रयोग गर्दा गरिने सम्झौता हो। विक्रेताले धेरै प्रयोगकर्ताहरूलाई एउटै सेवा प्रदान गर्ने अपेक्षा गरिन्छ, त्यसैले प्रायः विक्रेताले निर्धारण गरेको प्रयोग नियमावली अनुसार सम्झौता गरिन्छ।

सामान्यतया, यस सम्झौतामा, साइबर आक्रमणका कारण सेवा प्रदान गर्न नसकिएको अवस्थामा जिम्मेवारीको बारेमा पहिले नै उल्लेख गरिएको हुन्छ।

क्लाउड सेवा प्रयोग सम्झौतामा, सामान्यतया, सम्झौता गर्दा तलका कुराहरू निर्धारण गरिन्छ:

• SLA（Service Level Agreement）：गुणस्तरको ग्यारेन्टी र सञ्चालन नियमहरू
• जिम्मेवारी सीमितता धारा：क्षति भएको अवस्थामा विक्रेता पक्षको दायित्वको सीमा

SLA भनेको, प्रयोगकर्ता पक्षको माग स्तर र प्रदायक पक्षको सञ्चालन नियमलाई स्पष्ट पारिएको हो। यहाँ निर्दिष्ट गरिएको सेवा प्राप्त गर्न नसकिएमा, आंशिक दायित्व नपुगेको रूपमा क्षतिपूर्ति दाबी गर्न सकिन्छ। साथै, सम्झौतामा विक्रेता पक्षले दायित्व नपुगेको दाबी प्राप्त गर्ने शर्तहरू पहिले नै सीमित गरिन्छ, र जिम्मेवारी स्वीकार गरिए पनि त्यस क्षतिपूर्तिको रकमलाई सीमित गर्ने “जिम्मेवारी सीमितता धारा” राखिएको हुन्छ।

तर, जिम्मेवारी सीमितता धारा प्रायः विक्रेता पक्षलाई लाभदायक हुने भएकाले, विवाद भएमा जापानी न्यायिक निर्णयद्वारा केही सीमा लाग्न सक्छ।

जापानमा सिस्टम विक्रेता पक्षको क्षतिपूर्ति दायित्वको दायरा निर्धारण गर्ने मापदण्ड

साइबर आक्रमणका कारण प्रयोगकर्ता कम्पनीमा क्षति पुगेको अवस्थामा, कुन अवस्थामा सिस्टम विकास गर्ने विक्रेता पक्षको जिम्मेवारी उठ्न सक्छ?

तल, जापानमा सिस्टम विक्रेता पक्षको जिम्मेवारी उठेको केही न्यायिक उदाहरणहरूमा आधारित व्याख्या गरिएको छ।

विकासको समयमा प्रचलित प्रविधि स्तर अनुसारको उपाय अपनाइएको छ कि छैन

वास्तविक न्यायिक मामिलामा जिम्मेवारी विवादित हुँदा, सिस्टम विक्रेता पक्षले विकासको समयमा जापानी सरकारी निकाय वा उद्योग समूहहरूको चेतावनी वा म्यानुअल अनुसारको सुरक्षा उपाय अपनाएको थियो कि थिएन भन्ने कुरामा जोड दिइन्छ।

साइबर आक्रमणबाट भएको क्षतिमा, सिस्टम विक्रेता पक्षलाई क्षतिपूर्ति दिन आदेश दिएको तलको जस्तो न्यायिक उदाहरणहरू छन्।

2014 (हेजी 26) मा, साइबर आक्रमणको रूपमा “SQL इन्जेक्शन आक्रमण” प्रचलित थियो, र जापानी अर्थव्यवस्था, व्यापार र उद्योग मन्त्रालयले “व्यक्तिगत जानकारी संरक्षण ऐन अन्तर्गत व्यक्तिगत डाटा सुरक्षा व्यवस्थापन उपायको कडाईमा ध्यानाकर्षण[ja]” भन्ने दस्तावेज प्रकाशित गरी साइबर जोखिमको संकेत गर्दै सिस्टम सुदृढीकरणको आह्वान गरेको थियो।

निर्णयले, उपाय नगरेको सिस्टम विक्रेता पक्षको जिम्मेवारीलाई मान्यता दिँदै क्षतिपूर्ति आदेश दिएको छ, जबकि प्रयोगकर्ता कम्पनीलाई पनि गल्ती मान्दै 30% गल्ती कटौती गरियो।

प्रयोगकर्ता पक्ष कम्पनीमा गल्ती छ कि छैन

सिस्टम विकासको अर्डर दिने प्रयोगकर्ता पक्ष कम्पनीमा पनि दायित्व हुन्छ, र गल्ती भएमा सम्पूर्ण जिम्मेवारी लिनुपर्ने सम्भावना हुन्छ।

तलको उदाहरण साइबर आक्रमणको होइन, तर प्रयोगकर्ता पक्ष कम्पनीको सम्पूर्ण जिम्मेवारी मान्दै क्षतिपूर्ति आदेश दिएको न्यायिक उदाहरण हो।

यो न्यायिक मामिला, सिस्टम विकास ढिलाइका कारण प्रयोगकर्ता पक्षले सम्झौता रद्दको सूचना दिएको, र प्रयोगकर्ता पक्ष र विक्रेता पक्षले एकअर्कालाई क्षतिपूर्ति दाबी गर्दै मुद्दा हालेको घटना हो।

निर्णयमा, सिस्टम विक्रेता पक्षको चेतावनीलाई प्रयोगकर्ता पक्षले बेवास्ता गरेको कुरा विकास ढिलाइको कारण मान्दै, प्रयोगकर्ता पक्षलाई 100% जिम्मेवारी मानियो, र प्रयोगकर्ता पक्षको दाबीलाई अस्वीकार गरियो। विक्रेता पक्षमा, समयमै पूरा गर्न प्रोजेक्टको प्रगति व्यवस्थापन गर्ने “प्रोजेक्ट व्यवस्थापन दायित्व” हुन्छ। जबकि प्रयोगकर्ता पक्षमा पनि “सहयोग दायित्व” हुन्छ, र यसलाई बेवास्ता गर्दा सम्पूर्ण जिम्मेवारी लिनुपर्ने हुन्छ, र वास्तविक न्यायिक मामिलामा त्यसको अनुपात अनुसार क्षतिपूर्ति जिम्मेवारी निर्धारण गरिन्छ।

जापानमा सुरक्षित प्रणाली विकासका लागि ३ वटा महत्वपूर्ण बुँदाहरू

साइबर जोखिमहरू जस्ता समस्याहरूको सामना गर्न, प्रयोगकर्ता र विक्रेता दुवै पक्षले मिलेर उपायहरू अपनाउनु महत्त्वपूर्ण छ।

तल, विक्रेता र प्रयोगकर्ताले आ-आफ्नो स्थानबाट गर्न सक्ने उपायहरूको व्याख्या गरिएको छ।

जापानमा सरकारी निकायहरूले औंल्याएका साइबर जोखिमहरू बुझ्नुहोस्

प्रणाली विक्रेता पक्षले जापानको अर्थव्यवस्था, व्यापार र उद्योग मन्त्रालय (METI) वा स्वतन्त्र प्रशासनिक संस्था सूचना प्रशोधन प्रवर्द्धन संस्था (IPA) जस्ता विशेषज्ञ संस्थाहरूबाट जारी गरिएका दिशानिर्देशहरूलाई ध्यानमा राखेर, हालका साइबर जोखिमहरू र तिनका उपायहरू बुझेर विकास र सञ्चालनमा लाग्नुपर्छ।

साथै, विक्रेता पक्ष मात्र नभई प्रयोगकर्ता पक्षका कम्पनीहरूले पनि दिशानिर्देशहरूको सामग्रीलाई केही हदसम्म बुझेर, तिनका आधारमा विकास र सञ्चालनको अनुरोध गर्नुपर्छ र सम्झौतामा सुरक्षा स्तरका धाराहरू समावेश गर्नुपर्छ।

सन्दर्भ: अर्थव्यवस्था, व्यापार र उद्योग मन्त्रालय｜साइबर सुरक्षा व्यवस्थापन दिशानिर्देश Ver 2.0

सन्दर्भ: सूचना प्रशोधन प्रवर्द्धन संस्था｜सुरक्षित वेब साइटको निर्माण विधि[ja]

विशेष गरी, वित्तीय क्षेत्रहरूमा कानूनी प्रावधानहरू वा दिशानिर्देशहरूमा उच्च सुरक्षा आवश्यक हुन सक्छ। क्रिप्टो सम्पत्तिहरूको सुरक्षा उपायहरूको बारेमा तल विस्तृत व्याख्या गरिएको छ।

सम्बन्धित लेख: क्रिप्टो सम्पत्तिहरू (भर्चुअल मुद्रा) सम्बन्धी सुरक्षा उपायहरू के हुन्? ३ वटा चुहावट घटनासँगै व्याख्या[ja]

दुवै पक्षले सुरक्षा आवश्यकताको बारेमा बुझ्नुहोस्

अर्थव्यवस्था, व्यापार र उद्योग मन्त्रालयको “साइबर सुरक्षा व्यवस्थापन दिशानिर्देश Ver2.0” मा “साइबर सुरक्षा उपायहरू व्यवस्थापन समस्या हो” भनेर स्पष्ट गरिएको छ।

सुरक्षाको बारेमा थाहा नभएको भन्दै विक्रेता पक्षलाई मात्र जिम्मा नदिई, कम्पनी पक्षले पनि यसलाई व्यवस्थापनको एक हिस्सा मानेर जिम्मेवारीपूर्वक उपायहरू अपनाउनु पर्छ।

दुवै पक्षले मिलेर साइबर आक्रमणको सामना गर्नुहोस्

साइबर आक्रमणको सामना गर्दा, अर्डर दिने पक्ष र विक्रेता पक्षले एकअर्कालाई दोष नदिई, मिलेर क्षति न्यूनतम गर्न प्रयास गर्नु पर्छ।

तर, प्रणाली विकासको अर्डर दिने पक्ष र प्राप्त गर्ने पक्षमा अर्डर दिने पक्षको स्थान बलियो हुने र प्रणाली विकास लागत र समयसीमामा केन्द्रित हुने प्रवृत्ति हुन्छ। विक्रेता पक्षलाई पर्याप्त पैसा र समय नदिइने र सुरक्षा सम्बन्धी प्रस्तावहरू स्वीकार नगरिने पनि हुन सक्छ।

तर, दिशानिर्देशमा, प्रयोगकर्ता पक्षका कम्पनीहरूले सुरक्षा उपायहरूको कार्यान्वयनलाई “लागत” नभई भविष्यको व्यापार गतिविधि र विकासका लागि आवश्यक “लगानी” को रूपमा लिनु पर्छ भनेर औंल्याइएको छ।

प्रणाली विकासमा, विक्रेता र प्रयोगकर्ता समान स्थानमा रहेर मिलेर साइबर आक्रमणको सामना गर्नु महत्त्वपूर्ण छ।

सारांश: जापानमा प्रणाली विकास सम्झौता तयार गर्न वकिलसँग परामर्श गर्नुहोस्

यदि साइबर आक्रमणको कारण क्षति हुन्छ भने, प्रणाली विकासमा संलग्न विक्रेता (vendor) ले साइबर जोखिमको उपायहरूमा लापरवाही गरेको आरोपमा प्रयोगकर्ता कम्पनीले जिम्मेवारीको माग गर्न सक्छ।

तर, विक्रेतासँगको सहयोगको कर्तव्यमा लापरवाही गर्ने प्रयोगकर्ता कम्पनी पनि जिम्मेवार हुन्छ।

साइबर आक्रमणको क्षति न्यूनतम राख्नका लागि, सम्झौतामा प्रणालीको स्तर र प्रत्येकको जिम्मेवारीको दायरा निर्धारण गर्नु आवश्यक हुन्छ।

प्रणाली विकास जस्ता सम्झौता तयार गर्न, मार्गनिर्देशनको सामग्री र हालको साइबर जोखिमको जानकारी राख्ने उच्चस्तरीय विशेषज्ञता भएका जापानी वकिलसँग परामर्श गर्नुहोस्।

हाम्रो फर्मद्वारा प्रदान गरिने उपायहरूको जानकारी

मोनोलिथ कानूनी फर्म, विशेष गरी इन्टरनेट र कानूनी क्षेत्रमा उच्च विशेषज्ञता भएको एक जापानी कानूनी फर्म हो। जापानमा प्रणाली विकास सम्झौताका लागि सम्झौता पत्रको तयारी आवश्यक हुन्छ। हाम्रो फर्मले, टोक्यो स्टक एक्सचेन्जमा सूचीबद्ध कम्पनीहरूदेखि उद्यमशील कम्पनीहरूसम्म, विभिन्न परियोजनाहरूको लागि सम्झौता पत्रको तयारी र समीक्षा गर्दै आएको छ। यदि तपाईं सम्झौता पत्रको बारेमा समस्यामा हुनुहुन्छ भने, कृपया तलको लेखलाई सन्दर्भ गर्नुहोस्।

मोनोलिथ कानूनी फर्मको कार्यक्षेत्र: जापानमा प्रणाली विकास सम्बन्धी कानूनी सेवा[ja]