セキュリティ診断・ペンテスト委託— 検収と期日

1. 診断スコープと成果物

1-1. 診断対象の範囲

対象URL・IP範囲・API・モバイルアプリ等、診断スコープを契約別紙に一覧化します。
スコープ外のシステムは明記し、後から「ついでに見てほしい」と口頭追加しない運用にします。

1-2. 報告書の形式と内容

PDF報告書、エクセル一覧、CVSSスコア付き脆弱性リスト等、納品形式を契約に書きます。
エグゼクティブサマリー・技術詳細・再現手順の要否も含めます。

1-3. 説明会・質疑応答

報告書提出後の説明会を成果物に含めるか、別料金かを契約で決めます。
説明会実施日を検収完了条件に含めるかも明記します。

2. 検収完了の定義

2-1. 正式報告書の受領

ドラフト報告書の確認段階と、正式版提出を分け、正式版受領日を検収完了・受領日とする設計が一般的です。
60日起算は支払60日ルールの起算点を参照してください。

2-2. 検収期間と指摘

報告書受領後5営業日以内に形式不備のみ指摘可能、など検収期間と指摘範囲を契約に書きます。
指摘がなければ黙示検収完了とする条項も一般的です。
検収基準の設計は検収基準の決め方も参考になります。

2-3. 再診断・再テスト

修正後の再診断を契約に含むか、別発注かを明確にします。
初回診断の検収と再診断の検収は、台帳上別取引として記録します。

3. 実施期間・機密・再委託

3-1. 診断実施ウィンドウ

本番環境への診断は、メンテナンス時間帯に限定する等、実施可能時間を契約に書きます。
実施遅延の原因が発注者側の環境準備不足か、受託者側かを記録に残します。

3-2. NDA・取扱い

診断で得た情報の取扱い、報告書の保管・廃棄、再委託先への開示範囲をNDAと整合させます。
クラウドインフラ委託との連携はクラウドインフラ構築委託の機密条項も参照してください。

3-3. 診断ツール・外部サービス

自動診断ツールや海外クラウドサービスを使う場合、データの所在と再委託の届出を確認します。
発注者のセキュリティポリシーと矛盾しないか事前に確認します。

4. 支払設計と期日管理

4-1. 着手金と残金

診断着手前の前払いと、報告書提出後の残金を分ける場合、それぞれの検収条件を書面に書きます。
前払いだけ先行し、報告書が遅れると資金と履行がずれます。

4-2. 記載事項

報酬・納期・検収条件は記載事項のテンプレートに沿って発注書面に含めます。
口頭合意だけで診断範囲が広がらないよう、変更は書面合意とします。

4-3. 納期遅延時

報告書提出が遅れた場合、一方的な減額・キャンセルは買いたたき禁止の観点で慎重に判断します。
遅延の事実・合意した対応を記録に残します。

4-4. 再診断の台帳分離

初回診断と再診断を同一発注番号で処理すると、どの報告書の受領日で60日を起算したか後から追えなくなります。
再診断は必ず別発注番号を付与し、初回の検収完了・支払期日とは独立して台帳を回します。
診断対象にAPIだけ追加する場合も、URL一覧の別紙更新と追加見積もりをセットで行い、口頭スコープ拡大を防ぎます。

5. 実務シナリオ

5-1. ドラフト指摘後の正式版

ドラフト報告書で誤記を指摘し、正式版が1週間後に届いたとします。
受領日は正式版の検収完了日とし、ドラフト受領日を60日起算に使わない設計にします。

5-2. スコープ追加の口頭依頼

診断途中で「このサブドメインも見てほしい」と依頼が入った場合、追加見積もり・変更依頼書を起票してから実施します。
追加なしで実施すると、当初報酬との整合が取れなくなります。

5-3. 年次診断の継続契約

毎年同時期に診断を実施する継続契約は、回ごとに発注書面・検収・受領日を記録します。
包括契約だけでは各回の60日起算が追えなくなるため、台帳で回次管理します。

5-4. クラウド環境への診断

本番AWSアカウントへの診断では、読み取り専用IAMロールの発行日・失効日を記録し、診断実施期間と一致させます。
権限付与遅延で診断開始がずれた場合、納期変更を双方合意で記録し、遅延を受託者だけの責任にしないかを契約どおり判断します。
診断結果に基づく緊急パッチ対応は別委託とし、報告書検収と修正作業の受領日を台帳で分離します。

よくある質問

Q. 診断実施日を受領日にできますか

報告書提出が給付の主たる部分なら、正式報告書の検収完了日を受領日とする設計が実態に合います。
契約で給付完了の定義を明記してください。

Q. 高危険度脆弱性ゼロでなければ検収拒否できますか

診断結果の内容と、報告書という成果物の検収は別です。
報告書が契約どおり提出されていれば、脆弱性の有無は別途対応課題として整理します。

Q. 再診断は無償に含めますか

初回診断後の再テスト1回まで無償等、契約で明記します。
含まない場合は別発注として見積もり・台帳登録します。

Q. 海外ベンダーへの委託は取適法の対象ですか

取引の実態・当事者の位置づけによります。
国内向け役務提供として整理される場合は、書面・支払期日等の遵守が求められます。

Q. 診断結果を第三者監査に渡す場合

報告書の第三者提供可否を契約・NDAで確認します。
監査法人への提供を前提にするなら、契約時に触れておきます。

まとめ

• 診断スコープ・報告書形式・説明会の要否を契約別紙に固定する
• 正式報告書の検収完了日を受領日とし、ドラフト段階で起算しない
• 再診断・スコープ追加は別発注として書面化する
• 着手金・残金それぞれの検収条件と60日起算を台帳で管理する

6. ペンテスト委託の発注前チェックリスト

• 診断対象範囲を一覧化し、スコープ外を明記したか
• 報告書形式・正式版提出を検収条件に含めたか
• 説明会・再診断の有無と費用を契約に書いたか
• NDA・再委託・データ取扱いを確認したか
• 受領日を正式報告書検収完了日と定義したか
• 適用判定を発注コンプライアンスのチェックリストで実施したか

ドラフトと正式版の受領日を混同していないか、検収時に確認します。
診断スコープの口頭追加がないか、実施中のやり取りと契約を突合してください。
再診断は初回と別発注番号にし、報告書版番号を台帳備考に記録して60日起算を分離します。
緊急度の高い脆弱性対応は別契約とし、診断報告書の検収日とパッチ適用日を混同しないでください。

注意

本記事は取適法・フリーランス新法に関する一般的な情報の整理であり、トリカク（torikaku） の機能説明を含みますが、法的助言ではありません。
個別の契約内容・セキュリティ要件については専門家にご確認ください。