テスト前に必要な法的文書は何ですか

書面による許可（Letter of Authorization）、作業範囲記述書（Scope of Work）、業務委託契約またはサービス契約、NDAの4点が基本です。これらが揃っていない依頼は、依頼側にも実施側にも法的保護がないため実行すべきではありません。

ハッキングに関する法律は国ごとにどう違いますか

日本では刑法168条の2（不正アクセス禁止法）、不正指令電磁的記録の罪、軽犯罪法1条21号、業務妨害関連の規定が適用されます。米国ではCFAA（Computer Fraud and Abuse Act）、州法、業界規制（HIPAA、PCI DSS等）が適用され、欧州ではGDPR、サイバーセキュリティ法、ネットワーク情報システム指令（NIS2指令）が関係します。

テスト実施中の事故の責任は誰が負いますか

作業範囲記述書と契約に明示された範囲で実施されたテストの結果生じた損害は、依頼者側に許可を出した責任と業務範囲の合意内容に応じて分担されます。範囲外の行為による損害は、実施側が責任を負います。保険加入の有無と補償範囲を契約前に必ず確認してください。

海外業者に依頼する場合の注意点は

契約準拠法（日本法か業者所在地法か）、裁判管轄、データの国外移転時の法令順守、GDPRやAPEC越境プライバシールールなどの適用可能性を確認します。ハッキングは国境を問わず違法行為が成立するため、依頼側所在地の法律で十分保護される契約条項を入れてください。

テスト前に法的要件を確認する方法：合法で安全な進め方

テスト前に確認すべき法的要件

ハッキングテストの依頼前に確認すべき法的要件は、対象システムの所有者同意、書面での作業範囲合意、データ取扱契約、秘密保持契約、終了条件の五項目です。これらが欠けると、依頼自体が違法行為になる可能性があります。国際案件では、各国の法令遵守を個別に確認する必要があります。

業界別の追加要件

業界別の追加要件として、金融業は金融庁ガイドライン、医療業は HIPAA、EU 企業は GDPR、米国企業は CCPA の対応が必要です。SOC 2 や ISO 27001 認証取得には、定期的な侵入テストが必要です。クラウドサービスを対象とする場合は、CSA の CCM 準拠も考慮します。

[要ネイティブレビュー] この記事は研究ベースの事実情報（不正アクセス禁止法、業務委託契約実務、海外法令）を含みますが、文体・語彙・構成は日本語ネイティブ編集者による確認を推奨します。

この種の相談は、急ぎの不安から始まることが少なくありません。だからこそ、匿名の業者や「必ず侵入できる」という約束に流されると危険です。Cyberlordでは、所有権、許可範囲、証拠、目的を先に確認します。そうすることで、テスト前に法的要件を確認する場合でも、法的に説明できる手順で進められます。

合法性は、許可、範囲、データ取扱い、責任、秘密保持、記録された成果物で決まります。

第三者のアカウントへの無断アクセス、私的端末の秘密監視、許可のないパスワード回避は支援しません。

専門家に相談すべき場面

専門家に相談すべきなのは、状況を自分だけで判断できないとき、証拠が消える恐れがあるとき、または企業として説明可能な報告書が必要なときです。重要なのは、秘密の攻撃ではなく、許可された調査として設計することです。

日本における法的枠組みの要点

日本国内でペネトレーションテストやフォレンジックを実施する場合、依頼側と実施側の双方が以下の法令を押さえておく必要があります。法令に違反すると、テスト自体が犯罪行為になる可能性があります。

不正アクセス禁止法（刑法168条の2／不正アクセス行為の禁止等に関する法律）：他人のアカウントやシステムへの不正なアクセスを処罰する法律です。テスト対象が自分の管理下にない場合（業務委託で預かったシステムが対象であっても、書面による許可がない場合）は違反になる可能性があります。
業務妨害（刑法233条）：テスト中の過負荷やサービス停止が業務妨害とみなされる可能性があります。本番環境での破壊的テストは避け、合意されたテスト時間帯を厳守する必要があります。
個人情報保護法・GDPR（越境移転時）：テスト中に個人情報を取得する場合、依頼側は利用目的と保管期間を明確にしておく必要があります。EU圏のシステムを対象とする場合、GDPRの越境移転ルールが適用されます。
業務委託契約と作業範囲記述書（Statement of Work, SoW）：依頼側と実施側の責任範囲、データ取扱い、機密保持、損害賠償、準拠法、裁判管轄を文書化します。口頭合意や曖昧なメールベースの合意は法的保護が不十分です。

海外法令と越境依頼の注意点

海外業者に依頼する場合や、海外のシステムを対象とする場合は、現地の法令が適用される可能性があります。

米国（CFAA、18 U.S.C. § 1030）：Computer Fraud and Abuse Actは、米国司法権が及ぶシステムへの不正アクセスを処罰します。ペンシルベニア大学やLinkedInなど判例で「許可の範囲を超えるアクセス」が争われており、書面による許可の範囲を厳密に守る必要があります。
欧州（GDPR、NIS2指令）：EU圏のシステムを対象とする場合、GDPRの適用範囲を必ず確認します。2024年10月から適用が本格化したNIS2指令は、重要インフラ事業者にペネトレーションテスト報告義務を課す場合があります。
英国（Computer Misuse Act 1990）：英国のシステムを対象とする場合、3つのセクション（不正アクセス、不正アクセス後の追加違反、意図的な不正変更）に注意します。

海外業者に依頼する場合は、準拠法と裁判管轄を日本法・東京地方裁判所に固定する条項を入れることを推奨します。

必要な契約文書と事前合意

依頼前までに揃えておくべき文書は次の4点です。

書面による許可（Letter of Authorization, LoA）：対象システムの所有者または代表者からの署名入りの許可文書。テスト対象範囲と日時を明記。
作業範囲記述書（Statement of Work, SoW）：テスト目的、対象範囲、テスト手法、禁止事項、緊急時対応、報告書形式、納期を文書化。
業務委託契約（Master Services Agreement, MSA）またはサービス契約：料金、支払い条件、責任範囲、損害賠償、秘密保持、準拠法、裁判管轄を含む契約。
秘密保持契約（NDA）：テスト中に取得されたデータの取扱い、第三者共有範囲、契約終了後のデータ削除手順を明記。

これらの文書が揃っていない段階でテストを開始すると、依頼側も実施側も法的保護を受けられないため、開始すべきではありません。

Cyberlordが最初に確認すること

Cyberlordはまず、誰が対象を管理しているのか、誰が許可できるのか、どんな成果物が必要なのかを確認します。そのうえで、復旧、フォレンジック、侵入テスト、セキュリティ相談のどれが適切かを判断します。

書面による許可と明確な対象範囲
安全な連絡手段と追跡可能な支払い
証拠を壊さない保存手順
優先度と対応策を含む技術報告書
必要に応じた復旧支援または再確認

危険な業者の見分け方

必ず成功すると言う業者、匿名チャットだけの対応、暗号資産での全額前払い、契約書なし、すぐにパスワードを求める行為には注意してください。信頼できる専門家は、作業前に範囲とリスクを説明します。

安全な依頼の流れ

安全な依頼では、目的、対象範囲、期間、連絡先、許可された方法、データの扱いを明確にします。これにより双方を守り、後から使える報告書になります。

受け取るべき成果物

最終的には、分かりやすい要約、技術的な詳細、証拠、優先度、次に行うべき対策を受け取るべきです。そこに正規のサービスの価値があります。

Cyberlord

急ぎの場合は、事実、日時、スクリーンショット、希望する結果だけを整理して送ってください。まず合法で現実的な選択肢をお伝えします。

Cyberlordはすぐ対応できますか。
はい。まず合法性、リスク、証拠の状態を短時間で整理します。

パスワードを送る必要がありますか。
いいえ。範囲と安全な共有方法が決まるまで、パスワードは送らないでください。

国際案件の法的考慮

国際案件では、対象システムの所在国法令、依頼者の所在地法令、実行者の所在地法令の三つを考慮する必要があります。

契約時の重要条項

契約時には、対象システムの範囲、テスト手法、発見物の取扱い、緊急時対応の四項目を明確化することが必須です。曖昧な契約は法的紛争の原因となります。

あわせて読みたい記事

不正アクセスの法的罰則

不正アクセス禁止法違反は、三年以下の懲役または百万円以下の罰金が科されます。組織としてのコンプライアンス違反は、課徴金や行政処分の対象になります。