Bị thiệt hại do tấn công mạng. Trách nhiệm bồi thường thiệt hại của nhà cung cấp hệ thống là gì? Giải thích ví dụ về việc ghi chú trong hợp đồng

Gần đây, số lượng cuộc tấn công mạng đối với doanh nghiệp đang ngày càng tăng.

Theo một nghiên cứu của Hiệp hội An ninh Mạng Nhật Bản (JNSA), tỷ lệ các vụ việc rò rỉ thông tin cá nhân do truy cập trái phép chiếm 4.7% tổng số vụ việc vào năm 2013 (năm Heisei 25), nhưng đã tăng lên đến 20.3% vào năm 2018 (năm Heisei 30) (Báo cáo điều tra về sự cố an ninh thông tin năm 2018[ja]).

Trong bài viết này, chúng tôi sẽ giải thích phạm vi trách nhiệm mà nhà cung cấp hệ thống phải chịu khi bị tấn công mạng, dựa trên các ví dụ vụ kiện trước đây. Ngoài ra, chúng tôi cũng sẽ giải thích về vai trò và phạm vi trách nhiệm mà nhà cung cấp và người dùng cần xác định trong hợp đồng để cùng nhau đối phó với cuộc tấn công mạng, dựa trên mẫu hợp đồng.

Nhà cung cấp hệ thống có phải chịu trách nhiệm bồi thường thiệt hại từ cuộc tấn công mạng không?

Khi một công ty phía người dùng bị tấn công mạng và gây ra thiệt hại, người đầu tiên phải chịu trách nhiệm là kẻ gây ra cuộc tấn công mạng. Tuy nhiên, nếu có khả năng bị tấn công do lỗi trong quá trình phát triển và vận hành hệ thống, thì có thể chấp nhận yêu cầu bồi thường thiệt hại từ phía người dùng đối với nhà cung cấp hệ thống.

Cơ sở cho yêu cầu bồi thường thiệt hại đối với nhà cung cấp hệ thống bao gồm:

• Trách nhiệm vì không tuân thủ hợp đồng
• Vi phạm nghĩa vụ quản lý tốt

Tuy nhiên, có thể có trường hợp thiệt hại mở rộng do lỗi của phía người dùng. Trong trường hợp đó, trách nhiệm của phía người dùng cũng được công nhận. Trong các phiên tòa thực tế, đã có trường hợp xem xét việc giảm thiểu trách nhiệm bồi thường đối với nhà cung cấp hệ thống dưới dạng giảm bớt lỗi.

Bài viết liên quan: Phân loại 3 loại tội phạm mạng là gì? Luật sư giải thích các biện pháp đối phó với thiệt hại cho từng mô hình[ja]

Trách nhiệm bồi thường thiệt hại và ví dụ về việc ghi trong hợp đồng của nhà cung cấp hệ thống

Có ba ví dụ đại diện cho hợp đồng hệ thống IT giữa nhà cung cấp hệ thống và doanh nghiệp là người dùng như sau:

1. Hợp đồng phát triển phần mềm
2. Hợp đồng bảo dưỡng và vận hành hệ thống
3. Hợp đồng sử dụng dịch vụ đám mây

Trách nhiệm bồi thường thiệt hại được xác định dựa trên hợp đồng ban đầu, vì vậy dưới đây là giải thích cho từng loại hợp đồng.

Hợp đồng phát triển phần mềm

Hợp đồng phát triển phần mềm là hợp đồng được ký kết khi một công ty (người dùng) ủy thác công việc phát triển hệ thống của mình cho nhà cung cấp phần mềm.

Nếu sự yếu kém của phần mềm trở thành nguyên nhân mở rộng thiệt hại khi công ty người dùng bị tấn công mạng, việc truy cứu trách nhiệm từ người dùng đến nhà cung cấp sẽ được chấp nhận.

Trách nhiệm mà nhà cung cấp hệ thống phải gánh chịu phụ thuộc vào loại hợp đồng phát triển phần mềm và có hai loại sau:

• Hợp đồng thầu: Trách nhiệm không phù hợp với hợp đồng
• Hợp đồng ủy thác: Vi phạm nghĩa vụ quản lý tốt

Hợp đồng thầu

Hợp đồng thầu là hợp đồng hứa hẹn hoàn thành hệ thống và trả tiền cho sản phẩm cuối cùng.

Nếu sản phẩm cuối cùng được giao “không phù hợp với mục tiêu của hợp đồng”, trong một khoảng thời gian nhất định sau khi giao hàng, người thầu sẽ phải chịu trách nhiệm không phù hợp với hợp đồng (Điều 559 và 562 của Bộ luật dân sự Nhật Bản[ja]).

Điều này có nghĩa là, nếu sản phẩm dễ gây ra sự cố hệ thống do tấn công mạng, nó có thể được coi là “không phù hợp với mục tiêu của hợp đồng”, và có thể có nguy cơ bị yêu cầu bồi thường thiệt hại do trách nhiệm không phù hợp với hợp đồng từ phía người dùng.

Việc yêu cầu này có được chấp nhận hay không phụ thuộc vào mức độ bảo mật phần mềm mà các bên đã thỏa thuận trước đó.

Hợp đồng ủy thác

Trong hợp đồng ủy thác, không áp dụng trách nhiệm không phù hợp với hợp đồng vì không có nghĩa vụ hoàn thành sản phẩm. Thay vào đó, họ phải chịu “nghĩa vụ xử lý công việc ủy thác với sự chú ý của một người quản lý tốt” (nghĩa vụ quản lý tốt).

Nếu có sự cố hệ thống do tấn công mạng, ngay cả khi không xác định mức độ bảo mật khi ký hợp đồng, việc phát triển hệ thống đến mức đó có thể được coi là “vi phạm nghĩa vụ quản lý tốt” (Điều 656 và 644 của Bộ luật dân sự Nhật Bản[ja]) và có thể phải đối mặt với yêu cầu bồi thường thiệt hại.

Hợp đồng Bảo dưỡng và Vận hành Hệ thống

Hợp đồng Bảo dưỡng và Vận hành Hệ thống là loại hợp đồng mà doanh nghiệp ủy thác công việc liên quan đến bảo dưỡng và vận hành phần mềm hiện có cho nhà cung cấp phần mềm. Khi ký kết hợp đồng bảo dưỡng và vận hành, thông thường sẽ đưa mức độ bảo mật cần đạt được vào trong hợp đồng thông qua các tài liệu như sổ đặc tả công việc.

Khi thiệt hại xảy ra do tấn công mạng, nếu mức độ bảo mật của hệ thống thấp hơn mức đã thỏa thuận khi ký hợp đồng, trách nhiệm vi phạm nghĩa vụ sẽ được đặt ra dựa trên điều khoản không phù hợp của hợp đồng.

Tuy nhiên, nếu không xác định mức độ bảo mật từ trước, việc bảo dưỡng và vận hành hệ thống yếu kém trước các cuộc tấn công mạng có thể bị coi là vi phạm nghĩa vụ quản lý tốt, và có thể phải chịu trách nhiệm.

Hợp đồng sử dụng dịch vụ đám mây

Hợp đồng sử dụng dịch vụ đám mây là hợp đồng được ký kết khi sử dụng dịch vụ do nhà cung cấp (vendor) cung cấp trên đám mây. Do nhà cung cấp dự kiến cung cấp cùng một dịch vụ cho nhiều người dùng, nên thường sẽ ký kết hợp đồng theo điều khoản sử dụng do nhà cung cấp quy định.

Thông thường, trong hợp đồng này, trách nhiệm khi dịch vụ không thể cung cấp do tấn công mạng sẽ được ghi rõ trước.

Trong hợp đồng sử dụng dịch vụ đám mây, thường quy định những điều sau khi ký kết hợp đồng:

• SLA (Service Level Agreement): Bảo đảm về chất lượng và quy tắc hoạt động
• Điều khoản giới hạn trách nhiệm: Phạm vi trách nhiệm không thực hiện nợ của nhà cung cấp khi xảy ra thiệt hại

SLA là văn bản hóa yêu cầu của người sử dụng và quy tắc hoạt động của nhà cung cấp. Nếu không nhận được dịch vụ quy định tại đây, bạn có thể yêu cầu bồi thường thiệt hại do không thực hiện nợ một phần. Ngoài ra, trong hợp đồng, nhà cung cấp có thể giới hạn trước các yêu cầu không thực hiện nợ mà họ nhận được và giới hạn số tiền bồi thường ngay cả khi trách nhiệm được công nhận bằng “điều khoản giới hạn trách nhiệm”.

Tuy nhiên, vì điều khoản giới hạn trách nhiệm thường có nhiều quy định có lợi cho nhà cung cấp, nếu có tranh chấp, có thể bị hạn chế một phần theo lý thuyết pháp lý của phán quyết Nhật Bản.

Tiêu chí xác định phạm vi trách nhiệm bồi thường thiệt hại của nhà cung cấp hệ thống

Khi doanh nghiệp người dùng phải chịu thiệt hại do tấn công mạng, trong trường hợp cụ thể nào thì có thể đặt câu hỏi về trách nhiệm của nhà cung cấp đã phát triển hệ thống?

Dưới đây, chúng tôi sẽ giải thích dựa trên các ví dụ vụ án thực tế mà trách nhiệm của nhà cung cấp hệ thống đã bị đặt câu hỏi.

Đã thực hiện các biện pháp phù hợp với mức độ kỹ thuật tại thời điểm phát triển hay không?

Trong trường hợp tranh chấp trách nhiệm trong một phiên tòa thực tế, việc nhà cung cấp hệ thống đã thực hiện các biện pháp bảo mật theo mức độ tuân theo các hướng dẫn và hướng dẫn của cơ quan chính phủ và tổ chức ngành tại thời điểm phát triển sẽ được coi trọng.

Có các ví dụ vụ án sau đây mà nhà cung cấp hệ thống đã được ra lệnh bồi thường thiệt hại do tấn công mạng.

Vào năm 2014, “tấn công SQL Injection” là phương pháp tấn công mạng chủ yếu, và Bộ Kinh tế, Thương mại và Công nghiệp đã công bố một tài liệu gọi là “Cảnh báo về việc thực hiện các biện pháp quản lý an toàn dữ liệu cá nhân dựa trên Luật bảo vệ thông tin cá nhân Nhật Bản[ja]“, chỉ ra rủi ro mạng và kêu gọi tăng cường hệ thống.

Phán quyết đã công nhận trách nhiệm của nhà cung cấp hệ thống không có biện pháp và ra lệnh bồi thường thiệt hại, trong khi cũng công nhận rằng công ty người dùng có lỗi và giảm 30% trách nhiệm.

Có lỗi nào từ phía doanh nghiệp người dùng không?

Doanh nghiệp người dùng đặt hàng phát triển hệ thống cũng có nghĩa vụ phải chịu, và nếu có lỗi, có thể phải chịu toàn bộ trách nhiệm.

Dưới đây là một ví dụ vụ án không phải là một ví dụ về tấn công mạng, nhưng đã công nhận toàn bộ trách nhiệm của doanh nghiệp người dùng và ra lệnh bồi thường thiệt hại.

Vụ án này là một sự kiện mà cả hai bên, người dùng và nhà cung cấp, đã kiện nhau yêu cầu bồi thường sau khi người dùng thông báo hủy hợp đồng do sự chậm trễ trong việc phát triển hệ thống.

Trong phán quyết, nguyên nhân của sự chậm trễ trong việc phát triển đã được xác định là việc người dùng không chú ý đến cảnh báo từ nhà cung cấp hệ thống, công nhận 100% trách nhiệm của người dùng và từ chối yêu cầu từ người dùng. Đối với nhà cung cấp, có “nghĩa vụ quản lý dự án” để đảm bảo dự án tiến triển đúng hạn. Ngược lại, người dùng cũng có “nghĩa vụ hợp tác”, và nếu họ bỏ qua nó, họ có thể phải chịu toàn bộ trách nhiệm, và trên thực tế, trách nhiệm bồi thường được quyết định dựa trên tỷ lệ đó.

3 Điểm quan trọng cho việc phát triển hệ thống an toàn

Để chuẩn bị cho các rủi ro mạng, quan trọng là cả hai bên, người dùng và nhà cung cấp, cùng nhau thực hiện các biện pháp phòng ngừa.

Dưới đây, chúng tôi sẽ giải thích về các biện pháp mà nhà cung cấp và người dùng có thể thực hiện từ góc độ của mình.

Hiểu rõ các rủi ro mạng mà các cơ quan chính phủ và tổ chức khác đã chỉ ra

Nhà cung cấp hệ thống nên xác nhận các hướng dẫn từ các cơ quan chuyên môn như Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản (Japanese Ministry of Economy, Trade and Industry) và Tổ chức Xúc tiến Xử lý Thông tin (Information Processing Promotion Organization – IPA), hiểu rõ các rủi ro mạng hiện tại và cách phòng ngừa chúng trước khi tiến hành phát triển và vận hành.

Ngoài ra, không chỉ nhà cung cấp mà cả các doanh nghiệp người dùng cũng nên hiểu rõ nội dung đến một mức độ nào đó, yêu cầu phát triển và vận hành theo hướng dẫn, và đưa các điều khoản về mức độ bảo mật vào hợp đồng.

Tham khảo: Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản｜Hướng dẫn quản lý an ninh mạng Ver 2.0[ja]

Tham khảo: Tổ chức Xúc tiến Xử lý Thông tin｜Cách tạo một trang web an toàn[ja]

Đặc biệt, trong lĩnh vực tài chính và các lĩnh vực khác, có thể yêu cầu mức độ bảo mật cao theo luật pháp và hướng dẫn. Chúng tôi giải thích chi tiết về các biện pháp bảo mật liên quan đến tài sản mã hóa dưới đây.

Bài viết liên quan: Biện pháp bảo mật liên quan đến tài sản mã hóa là gì? Giải thích cùng với 3 vụ việc rò rỉ[ja]

Cả hai bên cần hiểu về tầm quan trọng của bảo mật

Trong “Hướng dẫn quản lý an ninh mạng Ver2.0” của Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản, nói rõ rằng “Biện pháp an ninh mạng là vấn đề quản lý”.

Không phải vì không hiểu về bảo mật mà giao phó hoàn toàn cho nhà cung cấp, doanh nghiệp cũng nên coi việc quản lý rủi ro là một phần của quản lý và chịu trách nhiệm trong việc thực hiện các biện pháp.

Cả hai bên cùng nhau đối phó với cuộc tấn công mạng

Khi bị tấn công mạng, cả hai bên, người đặt hàng và nhà cung cấp, nên cố gắng hợp tác để giảm thiểu thiệt hại tới mức tối thiểu, thay vì đẩy trách nhiệm cho nhau.

Tuy nhiên, trong việc phát triển hệ thống, người đặt hàng thường có vị thế mạnh hơn và việc phát triển hệ thống thường được tiến hành với trọng tâm là chi phí và thời hạn. Có thể nhà cung cấp không được cung cấp đủ tiền và thời gian, và đề xuất về bảo mật có thể không được chấp nhận.

Tuy nhiên, theo hướng dẫn, các doanh nghiệp người dùng nên coi việc thực hiện các biện pháp bảo mật không phải là “chi phí” mà là một yếu tố cần thiết cho hoạt động kinh doanh và sự phát triển trong tương lai, và coi nó như một “khoản đầu tư”.

Trong việc phát triển hệ thống, quan trọng là nhà cung cấp và người dùng cùng nhau đối phó với cuộc tấn công mạng từ một vị trí ngang bằng.

Tóm tắt: Hãy thảo luận với luật sư khi soạn thảo hợp đồng phát triển hệ thống

Trong trường hợp bị tấn công mạng và gây ra thiệt hại, nhà cung cấp đã tham gia vào việc phát triển hệ thống có thể bị truy cứu trách nhiệm từ phía doanh nghiệp người dùng nếu họ đã bỏ qua các biện pháp phòng chống rủi ro mạng.

Tuy nhiên, doanh nghiệp người dùng cũng có trách nhiệm nếu họ đã bỏ qua nghĩa vụ hợp tác với nhà cung cấp.

Để giảm thiểu thiệt hại từ các cuộc tấn công mạng, bạn cần xác định mức độ hệ thống và phạm vi trách nhiệm của mỗi bên trong hợp đồng.

Khi soạn thảo hợp đồng phát triển hệ thống, hãy thảo luận với luật sư có kiến thức chuyên môn cao để nắm bắt nội dung hướng dẫn và rủi ro mạng hiện tại.

Giới thiệu về các biện pháp của văn phòng luật sư của chúng tôi

Văn phòng luật sư Monolith, chuyên về IT, đặc biệt là Internet và luật, là một văn phòng luật sư có chuyên môn cao về cả hai mặt. Khi ký kết hợp đồng phát triển hệ thống, việc tạo hợp đồng là cần thiết. Tại văn phòng luật sư của chúng tôi, chúng tôi thực hiện việc tạo và xem xét hợp đồng cho các vụ việc khác nhau, từ các công ty niêm yết trên Sở giao dịch Tokyo đến các công ty khởi nghiệp. Nếu bạn gặp khó khăn với hợp đồng, vui lòng tham khảo bài viết dưới đây.

Lĩnh vực hoạt động của Văn phòng luật sư Monolith: Pháp lý liên quan đến phát triển hệ thống[ja]