セキュリティ専門メディア運営とBtoBマーケティング支援の
合同会社ロケットボーイズ

NDA（Non-Disclosure Agreement）は、当事者間で秘密情報の取扱条件を定める秘密保持契約です。 共同開発、業務提携、M&A、PoC、システム開発、業務委託などでは、契約締結前から技術情報、価格、顧客情報、仕様書、ソースコードなどを交換する場合があります。NDAは「何を秘密として扱うか」「何の目的で利用できるか」「誰まで開示できるか」「契約終了後にどう扱うか」を定めるために使います。 ただし、NDAを締結しただけでは情報漏えいを防げません。 実際のインシデントでは、再委託先への不正アクセス、個人クラウドへの保存、過剰なアクセス権、認証情報の流出など、契約書では防げない経路から情報が外部へ出ています。 企業の法務・情報システム・セキュリティ部門は、NDAの条項と、アクセス権・ログ・MFA・削除確認などの技術運用を対応付けて管理する必要があります。 NDAとは NDAは、秘密情報を第三者へ開示しないことや、契約で認められた目的以外に利用しないことを当事者間で定める契約です。 日本では「秘密保持契約」「機密保持契約」と呼ばれます。 公正取引委員会は、スタートアップと事業会社の連携に関する指針で、NDAを「秘密情報が当事者以外に流出しないように、また、契約で定められた一定の目的以外に情報が流出しないように締結する契約」と説明しています。 特許庁も、オープンイノベーション向けにAI編・新素材編などのモデル秘密保持契約書を公開しています。 NDAと守秘義務の違い NDAと守秘義務は同じ意味ではありません。 項目 守秘義務 NDA 性質 秘密を漏らさない・目的外利用しない義務 守秘義務を含む契約 発生根拠 法令、契約、就業規則、職務など 当事者間の合意 対象 根拠により異なる 契約で定義 期間 法令・契約等により異なる 契約で設定 違反時 懲戒、契約責任、法的責任など 契約違反として責任追及可能 NDAは、守秘義務を具体化する代表的な方法です。 守秘義務全体については、公開後に「守秘義務とは」の解説記事と相互リンクすると、検索意図を分けやすくなります。 NDAを締結する主な場面 企業では次の場面で利用されます。 新規取引前の商談 共同研究・共同開発 PoC M&Aや資本提携の検討 システム開発・保守 業務委託 製造委託 販売代理店との情報共有 投資家・金融機関との情報共有 外部コンサルタント利用 生成AI・データ分析の検証 公正取引委員会は、スタートアップとの連携では、競争力の源泉となる技術やノウハウを守るため、できる限り早期にNDAを締結することが望ましいとしています。 片務NDAと双務NDA NDAには、一方だけが秘密情報を開示する片務型と、双方が情報を開示する双務型があります。 形式 向いている場面 片務型 一方だけが仕様・技術情報などを提示する 双務型 共同開発、業務提携、PoCなど双方が情報交換する 公正取引委員会はスタートアップとの事業連携について、一方だけに義務を負わせず、双方が秘密保持義務を負う双務型NDAが望ましいとしています。 どちらが適切かは、実際の情報の流れで判断します。 NDAで確認したい主な条項 NDAを実務で確認するときは、条文の有無ではなく、情報管理と対応しているかを見ます。 秘密情報の定義 何を秘密情報として扱うかを決めます。 書面で「Confidential」と表示したものだけに限定するのか、口頭説明や画面共有、ソースコード、サンプル、API仕様、個人データなども含めるのかで範囲が変わります。 WIPOは、NDAでは秘密情報を明確に特定し、口頭で共有した情報をどう秘密情報として扱うかも定めることを推奨しています。 利用目的 「事業提携の検討」「委託業務の遂行」など、秘密情報を使える目的を限定します。 利用目的が広すぎると、受領側が別案件や自社サービス改善に利用できる余地が生まれます。 開示できる相手 役員・従業員・弁護士・会計士・委託先・再委託先など、誰へ開示できるかを定めます。 再委託を許す場合は、再委託先にも同等の秘密保持義務を課すか、事前承認を必要とするかを確認します。 例外情報 一般に公開されている情報、受領前から保有していた情報、正当な権限を持つ第三者から取得した情報、独自に開発した情報などは秘密情報の対象外とすることがあります。 保存・複製 ローカル保存、個人端末、外部クラウド、生成AIへの入力、バックアップなどをどう扱うかを定めます。 「複製禁止」だけでは、SaaSの自動バックアップやログへ情報が残る場合があります。技術運用と整合させる必要があります。 返却・削除 交渉中止、契約終了、委託終了時に、資料・データ・媒体を返却または削除する条件を定めます。 WIPOも共同イノベーション向けのガイドで、交渉が成立しなかった場合に文書、データ媒体、試作品等を返却または破棄する手順を明記するよう勧めています。 存続期間 契約が終了しても秘密保持義務だけは一定期間残す場合があります。 公正取引委員会は、重要なビジネス情報を共有するのに秘密保持義務の存続期間が短すぎるケースを問題として挙げています。 NDAだけでは情報漏えいを防げない NDAは「やってはいけないこと」と責任関係を定める契約です。技術的に情報を読めなくしたり、コピーできなくしたりする機能はありません。 セキュリティ対策Lab掲載事例をNDAの観点から整理すると、次の違いが見えます。 事故の経路 NDAで規定できること 技術・運用で必要なこと 元従業員の持ち出し 目的外利用・第三者開示禁止 DLP、私用メール制御、退職時権限停止 再委託先侵害 再委託条件、同等義務、事故通知 委託先評価、MFA、ログ、定期監査 認証情報流出 認証情報の秘密保持 Secret管理、GitHubスキャン、最小権限 契約終了後の残存データ 削除・返却 削除証跡、アクセス停止、バックアップ管理 契約とセキュリティ対策を別々に管理すると、条項はあるのに実装されていない状態が生まれます。 NDAと営業秘密の違い NDAで秘密情報と定義したからといって、その情報がすべて不正競争防止法上の営業秘密になるわけではありません。 営業秘密として保護されるには、秘密管理性、有用性、非公知性などが必要です。 NDAは秘密管理性を示す一つの材料になり得ますが、アクセス制御や秘密表示、教育なども含めて秘密として管理している状態を作る必要があります。 WIPOも、NDAなどの契約措置と、文書の秘密表示、アクセス制限、監視、教育を組み合わせる考え方を示しています。 海外ではNDAの「広すぎる制限」にも注意 NDAは広ければ広いほど安全とは限りません。 米SECは、証券法違反の可能性をSECへ直接通報することを妨げる秘密保持契約や社内規程をRule 21F-17違反として取り締まっています。 英国政府も、NDAは犯罪行為などの通報を違法に妨げるために使えるものではないと案内しています。 海外子会社や外国人従業員へ統一NDAを使う場合、準拠法だけでなく、公益通報、労働法、競業避止、個人情報保護など各国制度を確認する必要があります。 セキュリティインシデントを踏まえNDAへ加えたい実務条項 一般的な秘密保持条項に加え、IT・SaaS・業務委託では次のような論点を確認できます。 秘密情報を保存できる場所 個人端末・個人クラウドの禁止 MFAやアカウント共有禁止 再委託の事前承認 事故発覚から委託元へ通知する期限 ログ保全への協力 フォレンジック調査への協力 監督機関・本人通知に必要な情報提供 契約終了時のアカウント停止 データ削除証明 バックアップ・ログへ残るデータの扱い NDAにすべてを書き込む必要はありません。業務委託契約、セキュリティ付属書、データ処理契約、SLAへ分ける方法もあります。 委託先事故では「NDA締結済み」でも委託元の管理は残る 大阪・関西万博では、催事運営業務の再委託先でMicrosoft 365への不正アクセスが発生し、出演者や関係者の情報に漏えい等のおそれが生じました。 協会は委託業務終了後の個人情報廃棄・消去を契約で求めていましたが、事案を受け、委託先・再委託先の廃棄状況も確認するとしています。 関連記事：大阪・関西万博、再委託先のMicrosoft 365へ不正アクセス NDAがあっても、「契約終了後に本当にデータが消えたか」「再委託先まで守られているか」は別に確認する必要があります。 NDA締結前に確認したいチェックリスト 誰が情報を開示するか 秘密情報をどこまで定義するか 口頭・画面共有情報も含むか 利用目的は具体的か 開示できる役職員・専門家・委託先は誰か 再委託に事前承認が必要か 保存場所や個人クラウド利用を制限するか 生成AIへの入力をどう扱うか 契約終了後の返却・削除方法は何か バックアップに残る情報をどう扱うか 秘密保持義務の存続期間は情報の性質に合っているか インシデント報告期限があるか 海外当事者の場合、準拠法・公益通報・個人データ移転を確認したか NDAは秘密を守る入口です。実際に秘密情報を外部へ渡す段階では、委託先のセキュリティ管理へ論点が移ります。 出典 スタートアップとの事業連携及びスタートアップへの出資に関する指針 - 公正取引委員会 オープンイノベーションポータルサイト - 特許庁 WIPO Guide to Trade Secrets and Innovation - Part IV: Trade secret management - WIPO WIPO Guide to Trade Secrets and Innovation - Part VI: Trade secrets in collaborative innovation - WIPO Non-Disclosure Agreements (NDAs) to Protect a Venture’s Intellectual Property - WIPO Non-disclosure agreements - GOV.UK Whistleblower Protections - U.S. Securities and Exchange Commission

セキュリティ専門メディア運営とBtoBマーケティング支援の
合同会社ロケットボーイズ

セキュリティ・IT領域を中心とした事業支援

セキュリティ対策Lab 最新記事

セキュリティ専門メディア 運営とBtoBマーケティング支援の 合同会社ロケットボーイズ

セキュリティ・IT領域を中心とした事業支援

セキュリティ対策Lab 最新記事

セキュリティ専門メディア運営とBtoBマーケティング支援の
合同会社ロケットボーイズ