従業員が作ったセキュリティホールの責任を会社が取るなんてナンセンスです

連載目次 納品したシステムにSQLインジェクションなどの既によく知られた脆弱（ぜいじゃく）性がある場合、たとえその対応策が要件として定義されていなくても、ITの専門家であるベンダーには、そのことに気付き、ユーザー企業に注意喚起し、提案する責任がある。この問題を「ユーザーvs.ベンダー」という構図で見た場合の裁判所の考え方は、これまでの例を見る限り、ある程度の一致を見ているようにも思われる。 同じ問題を「ベンダーという企業vs.そこで働くエンジニアという個人」という図式で見た場合はどうだろうか。顧客に納品したシステムにセキュリティ上の不備があった場合、その責任はシステムを構築したエンジニアにあるのか、そのエンジニアを選任し、作業を監督する責任のあるベンダーにあるのか。 不備の責任は企業と従業員のどちらが取るべきか？ 「従業員は会社内部で責められることはあっても、対外的には会社が責任を持つべき

[ikedas]

例えば製造業で、ライン工のネジ締めが甘いせいで大事故が発生した場合、当該ライン工の責任問題になるってことだよね。会社の名前で納品したものは、会社が全責任を負うべきだと思うけどなあ。

[hatest]

従業員に責任って、、、不具合作り込んだPGもいるし、それをレビューしたSEもいるし、それをテストしたテスターもいるし、複数人関わってるはずだけど、誰に責任取らすんだよ。

[kz14]

この理屈なら元受けが下請けに責任まで丸投げできるの？

[strawberryhunter]

労働契約を結ぶときに会社に損害を与えたら賠償するって書いたり、連帯保証人を要求する会社も多いじゃん。字面通りに受け取るとこうなるが、品質管理の責任において争える面も多いと思う。

[gazi4]

"この判決の考え方を踏襲するなら、今後ベンダーが同様の件で訴えられたとき、顧客には損害賠償金を払い、従業員には損害賠償を求めることも理屈としては可能になる"

[deep_one]

「故意過失」って「故意による過失」なのか「故意または過失」なのかどっちなんだろ？というか、前者って両立するのか？

[Soraneko]

そんなベンダーに受注したくないわな。

[kazkun]

あり得ない。会社と個人の契約が責任の限度であろうし、業務で得られた利益のどれだけを社員に還元してるのか。教育は？車や飛行機のエンジニアは事故に責任を負うのか？

[i-komo]

じゃあ管理職なんていらなくね？その分給料増やせってことになる気が…　極端な話、個人請負と何が違うのってことになるような。

[karkwind]

責任を個人にするのは、企業として体をなしていないのでは？なんのための会社なの？自称IT企業（人材派遣会社）？

[ino-agile]

『IT技術者には…SQLインジェクションへの対策を講ずべき注意義務があったのに、これを怠っていた点で、少なくとも過失による不法行為が成立し…』この判決だとキャリアに関係なく不法行為。控訴すべき!

[toaruR]

ペネトレしないのかよ（´－｀）

[atsushieno]

エンジニア個人の過失云々はこの判決においては余計な傍論にすぎないので（判決文が賢くない）、ほんとうに従業員相手に訴訟を起こしたら単純に企業側の監督自己責任扱いになるのでは。実際起こしてないでしょ。

[feel-think]

契約のときに誰がどのような責任をとるのか決めれば良い。

[moo_san]

“エスケープ処理の実施など、SQLインジェクションへの対策を講ずべき注意義務があったのに、これを怠っていた点で“→誰もチェックしてなかったのか？

[sabinezu]

この理屈なら従業員が作ったもので会社の利益が上がったら利益もその人総取りじゃないとおかしいよねえ。

[takehikom]

3ページ目『判決はベンダーの責任をうたいながら、エンジニア個人の不法行為も認めている』

[puruhime]

記事にするにあたって結論を決めて無理やりそれに当てはめたような印象があるが……/そもそもユーザの訴え方が変な気がするから、判例の詳細を読まないとなんともいえない

[sin20xx]

まぁ、現実的にユーザー企業が直接開発者個人を訴えることは不可能だし、一方で、ベンダー企業が従業員に損害賠償を請求するには、従業員が故意に不法行為を行ったような重過失がないかぎりは争えないだろうけどね。

[lorenz_sys]

契約書によるが製品にセキュリティホールがあった場合顧客に対し責任取るのは普通開発会社でしょ。従業員の重過失等が認められる場合開発会社は当該社員に対して訴訟を起こすことはあるかもしれないがこれは別の話。

[ohaan]

SI業界で広く使われてる派遣や客先常駐だと、「元の会社」と「やらかしたエンジニア」の責任とされる事が普通なんであまり違和感を持たなかった。エンジニアを庇って全責任を負う会社って今は希少だと思う。