脆弱性診断 同意書（雛形・要弁護士レビュー）

本書は、KSKパートナーズ株式会社（以下「乙」）が、［ここを差し替える: 依頼者名］（以下「甲」）の管理するシステムに対して脆弱性診断を行うことについて、甲が同意する内容を定めるものです。乙は、本書の締結前に診断を開始しません。

1. 診断の対象

2. 期間・時間帯

3. 手法

乙は次の手法を用います。チェックの無い手法は行いません。

• 外部からの非破壊スキャン（HTTPヘッダー、公開バージョン、既知脆弱性との照合、TLS・DNS設定）
• 動的診断（Webアプリケーションを実際に操作して脆弱性を探す。ログイン後の画面を含む: [ ] 含む／[ ] 含まない）
• ソースコードの静的解析（甲から提供されたコード）
• 依存ライブラリ・コンテナの既知脆弱性照合
• クラウド設定（AWS/GCP/Azure）の読み取り専用点検
• サービスを停止させ得る手法（高負荷・大量リクエスト）: 原則行いません。行う場合は別途書面で合意します。

4. 乙の遵守事項

1. 診断で知り得た情報を、本診断の目的以外に使用せず、甲以外に開示しません。製品（プラグイン等）の脆弱性を発見した場合は、甲と協議のうえ、情報セキュリティ早期警戒パートナーシップ（IPA/JPCERT）の枠組みで報告することがあります。
2. 診断中にサービスへの影響が疑われた場合、直ちに停止し甲に連絡します。甲は［緊急連絡先］へ連絡することで、いつでも診断の停止を求めることができます。
3. 診断の送信元IPアドレスを事前に甲へ通知します。

5. 甲の遵守事項

1. 診断期間中、対象システムのバックアップを取得します。
2. 診断で発見された脆弱性の修正の実施は甲の判断と責任で行います（乙に修正を依頼する場合は別途合意）。

6. 免責・責任の範囲

1. 乙は、診断が全ての脆弱性を発見することを保証しません。
2. 乙の故意または重過失による場合を除き、乙の損害賠償責任は本診断の対価の額を上限とします。
3. 甲の表明（第1条）が事実と異なったことにより生じた第三者からの請求は、甲の責任とします。

7. 報告

乙は診断終了後［5営業日］以内に、日本語の報告書（経営者向け要約・技術詳細・推奨対策）を提出します。

8. 準拠法・管轄

日本法。東京地方裁判所を第一審の専属的合意管轄裁判所とします。

※ 本雛形は弁護士の確認を受けていません。締結前に必ずレビューを受けてください（docs/14）。