第１ 調査の結果と調査の必要性は異なる
サイバー攻撃を受けた企業や自治体は，調査，関係者への説明，業務の継続及びシステムの復旧のために費用を負担することがある。
調査の結果として個人情報の漏えいが確認されなかった場合でも，調査のために支出した費用は無駄だったということになるのかが問題となる。
前橋地裁令和５年２月１７日判決（令和２年（ワ）第１４５号）は，不正アクセス後のフォレンジック調査費用等について，この問題を具体的に判断している。
本記事は，同判決の費目ごとの判断と，事故後の費用を整理する際の実務上の留意点を紹介する。
判決の上訴・確定を確認した上での紹介ではなく，以下は当該地裁判決の判断である。
出典：裁判所公表の判決原文。
第２ 前橋市の学校教育ネットワークをめぐる事案
１ 構築業務と不正アクセス
同判決は，学校等を結ぶ情報教育ネットワーク（ＭＥＮＥＴ）のデータセンターの移管設計及び構築業務（別に移管保守業務）を受託した事業者の責任が問題となった事案である。
裁判所は，ファイアウォールの通信制限の設定が不適切だったことについて構築業務の債務不履行を認め，何者かが仕掛けたバックドアと設定の不備が相まって不正アクセスが発生したと判断した。
このように，費用の賠償は，まず事業者の義務とその違反及び事故との関係を判断した上で検討されている。
サイバー攻撃を受けて費用を支出したという事実だけで，任意の委託先にその全額を請求できるとした判決ではない。
出典：判決原文３５頁～４０頁。
２ 保守契約の責任とは区別されたこと
裁判所は，構築時の義務と，保守契約に基づく義務を分けて検討している。
保守契約については，契約の範囲や具体的な指摘の内容等から，原告が主張する債務不履行を認めなかった。
出典：判決原文３７頁～３８頁。
契約先との責任関係を整理する場合には，構築，保守，監視及び事故対応の各業務について，誰が何を引き受けていたかを分けることが重要である。
契約の範囲については，Ｗｅｂ制作・保守会社の責任に関する記事も参照されたい。
第３ 漏えいが確認されなくても認められた調査費用
１ フォレンジック調査費用９１８万円
裁判所は，不正アクセスの原因，個人情報の漏えいの有無，マルウェアの感染状況等を調べるために支出された９１８万円について，必要かつ相当な範囲の調査費用として，債務不履行と相当因果関係のある通常生ずべき損害と認めた。
漏えいが確認されなかったことは，委託した調査の結果にすぎず，それによって調査の必要性を否定することはできないとした。
本件では，発覚時に，ファイル共有サーバのファイルが圧縮・収集されるなどして多数の個人情報が流出した可能性が高いことが判明していた（判決原文２頁，４２頁～４３頁）。
出典：判決原文４０頁～４１頁。
この判断で重要なのは，調査で個人情報の漏えいが確認されなかったことと，発覚時点で調べる必要があったことを分けている点である。
ただし，調査という名目の支出なら金額・内容を問わず認められるという意味ではなく，判決は当該調査の目的と内容を検討している。
２ 事故対応支援の費用５４０万円
同判決は，初動対応・証拠保全や，当局対応・情報開示に関するコンサルティング業務の委託料５４０万円も損害として認めた。
システムの規模や不正アクセスの内容に照らし，専門的な知識・経験を前提とする支援を依頼することを合理的と判断している。
出典：判決原文４１頁～４２頁。
企業が費用を整理する際には，調査，説明資料の作成，関係者への対応等を，まとめて事故対応費とするだけでなく，具体的な作業内容に分けておくことが考えられる。
支出の名称だけでなく，何を調べ，どの判断や対応のために必要だったかを示せるようにする趣旨である。
第４ 復旧費用と機能の追加・増強は分けられた
１ 事故前の状態へ戻す費用
裁判所は，ネットワークを事故前の状態へ再構築すること自体に要する費用と，機能の追加又は増強に関係する費用を区別した。
本件では，後者について債務不履行との相当因果関係を認めず，再構築費用の全額を損害とする主張を採用しなかった。
出典：判決原文４９頁～５０頁。
２ 安全性を高める費用の扱い
事故を契機に，従前より安全な構成へ変更することには，事業上の合理性があり得る。
しかし，事業上必要な支出であることと，相手方に損害賠償として請求できる範囲に含まれることは同じではない。
この判決を参考に費用を整理する際には，復旧，既存の不備の是正，機能追加及び通常の更新に関わる部分を区分し，見積書・作業報告書で内訳を確認することが考えられる。
個別の事故でどの範囲が認められるかは，契約，義務違反の内容，事故との関係及び証拠によって検討することになる。
第５ 費用の請求を検討するときに残したい資料
１ 発覚から支出決定までの経緯
調査や復旧を依頼する際には，発覚日時，その時点で分かっていた事実，想定された影響，依頼先を選んだ理由及び依頼内容を残すことが有用である。
調査後の結果だけでなく，依頼時点で何を確認する必要があったかを示すためである。
実施した作業と請求額の対応が分かる契約書，見積書，作業報告書，請求書及び支払記録も保存しておきたい。
２ 相手方との契約と役割分担
システムに関わる事業者が複数いる場合には，構築・保守・監視等の契約と，各事業者が担当した範囲を整理する必要がある。
事故後にどの事業者へ作業を依頼したかと，事故の発生についてどの事業者に責任を問うかも，同じ問題ではない。
責任制限条項等の扱いは，個々の契約と事実に即して検討すべきである。
３ 会社の補償方針との違い
サービス提供会社が見舞金や損失補償の方針を示している場合には，その方針に基づく支払の対象と，法律上請求できる損害の範囲を分ける必要がある。
例えば，お名前.comのＦＸ損失と補償では，会社の示した補償対象と契約上の責任等を別に整理している。
本記事の判決は，その会社の補償方針を解釈したものでも，同事案の責任を判断したものでもない。
第６ 出典
前橋地裁令和５年２月１７日判決（令和２年（ワ）第１４５号）判決原文（特に３５頁～４２頁，４９頁～５０頁）。
裁判例の掲載情報。