正解：イ
各選択肢の解説
アベンダはセキュリティの専門家なので、インシデントが起きないことまで保証する義務を負う。
誤り。第二版は、ベンダの義務を「合意した仕様に基づいて対策を行うこと」にとどめ、 インシデントが生じないことを保証するものではないと明記しています。専門家だから結果まで保証する、 と考えると責任の範囲が際限なく広がるので、責任分界点を契約で切っています。
イベンダが負うのは合意したセキュリティ仕様に基づく対策の義務で、インシデントが起きないことの保証ではない。
正解。第二版は、確定したセキュリティ仕様をシステム仕様書の一部とし、ベンダはその仕様どおりに対策する義務を負うにとどまる、 と責任分界点を明確にしています。合意した仕様を満たしていれば、想定外の手法による被害までは負いません。
ウセキュリティ仕様はベンダが単独で決める事項なので、ユーザは内容の検討に関与しなくてよい。
誤り。第二版は、ユーザとベンダがそれぞれ必要な情報を示し、リスクやコストを協議してセキュリティ仕様を決めるとしています。 双方の責任者に仕様を決める権限と責任があると定めており、ユーザも当事者です。
エ合意した仕様は、ベンダが新しい脅威を知った時点で、変更の手続を経ずに随時書き換えて実装する。
誤り。第二版では、確定したセキュリティ仕様はシステム仕様書の一部となり、変更管理手続によってのみ変更できます。 新しい脅威への対応が必要なら、手続に沿って双方で協議し、費用や納期も含めて合意し直します。
理解を深めるために
約束したのは「合意した仕様どおりの対策」
家の防犯工事を業者に頼むとき、「どの窓に補助錠を付け、どこにセンサーを置くか」を施主と業者で決めて工事します。 決めたとおりに施工されていれば、想定していなかった侵入方法で泥棒に入られても、業者が「絶対に入られない」と保証していたことにはなりません。 システム開発のセキュリティも同じで、何を対策するかを双方で決め、ベンダはその決めたものを守る、という形で責任の範囲を切ります。
第二版で何が変わったか
情報システム・モデル取引・契約書は、経済産業省の依頼を受けてIPAが見直したユーザ企業とITベンダの契約のひな形です。 第二版（2020年12月公表）では、見直しの論点の筆頭がセキュリティでした。
- 要件定義書の定義で、セキュリティ要件が非機能要件の一つであると明記し、「セキュリティ」の定義を置いた
- ユーザとベンダの責任者が、セキュリティ仕様を決める権限と責任を持つと定めた
- 確定したセキュリティ仕様はシステム仕様書の一部となり、変更管理手続によってのみ変更できる
- ベンダは仕様に基づいて対策を行う義務を負うにとどまり、インシデントが生じないことを保証しない
あわせてIPAは、仕様を決めるための「セキュリティ仕様策定プロセス」などの文書も公開しています。 対策を実装しないと判断した場合も、その判断を記録しておくことが求められます。 発注する側の担当者にとっては、脅威の検討を「ベンダ任せ」にせず、何を対策し何を受け入れるかを自ら合意する場面だということです。
混同しやすいものとの違い
| 考え方 | 第二版での扱い |
|---|---|
| 合意した仕様に基づく対策の義務 | ベンダの義務の範囲。結果の保証ではない |
| インシデント不発生の保証 | 保証しないと明記 |
| ベンダが単独で仕様を決める | ユーザとベンダが協議して決める |
| 新しい脅威に合わせて随時書き換える | 変更管理手続でのみ変更する |
インシデントが起きたときは、まず「合意した仕様を満たしていたか」を確かめます。満たしていなければベンダの義務違反、 満たしていれば仕様そのものの見直しの問題、と切り分けるのがこの契約の考え方です。