裁判所に「合理的な秘密保持措置」と認められる情報区分はどう設計しますか？
裁判所が見るのは、措置が存在し、目に見え、実行されているかです。台湾経済部智慧財産局の判決集では、図面に機密表示がない、秘密保持契約が範囲を具体的に示していない、文書が区分されていない、といった点が合理的措置なしと判断された理由になっています（裁判所は複数の不備を総合して判断します）。
設計で押さえる点：
- まず判定：第 2 条の 3 要件に照らして項目ごとに、営業秘密で守るか、特許や契約で守るかを決める
- 区分と表示：例えば極秘・機密・社内の 3 段階とし、文書と図面に機密表示を付ける
- 知る者の限定：アクセスできる人を登録し、区分に応じて権限を与える
- アクセス記録：誰がいつどの資料にアクセス・ダウンロードしたか
- 外部開示の前に：範囲を具体的に示した秘密保持契約を締結する
アクセスログには何を記録し、どのくらい保存すれば、問題発生時に役立ちますか？
営業秘密法にログの保存期間の定めはありません。請求権の時効が判断の枠組みになります。第 12 条第 2 項により、損害賠償請求権は請求権者が行為と賠償義務者を知った時から 2 年間行使しないと消滅し、行為の時から 10 年を経過した場合も同様です。流出は退職から時間が経って発覚することが多く、ログの保存が短すぎると発覚時に証拠が残っていない可能性があります。
- 記録内容：アカウント、日時、アクセス・ダウンロードした機密資料、端末、大量ダウンロードや外部送信。Waymo 対 Uber の事件では、退職前の文書ダウンロードログが訴訟の決め手になりました。
- 管理策の根拠：ISO/IEC 27001:2022 附属書 A 8.15（ログ取得）。
- 誰が決めるか：保存期間、個人データの最小化、保管コストは CISO と法務がリスクに応じて決め、訴訟戦略に関わる部分は弁護士が判断します。
退職予定の社員がデータを持ち出すおそれがあるとき、CISO はまず何をしますか？
- 停止と返却：退職手続きに、アカウント停止と端末・文書の返却のタイミングを明記する。
- 証拠保全：ログ、メール、関連記録を保存し、保管の記録を残す。制度は後から補えますが、証拠保全は待てません。
- 弁護士へ引き継ぐ：すでに流出し提訴を準備する段階では、まず弁護士に相談します。訴訟、検察官への偵査秘密保持命令の発令の働きかけ、裁判所への秘密保持命令の申立て、最終的な法的意見は弁護士が担います。
- 事前に演習：導入後、退職者によるデータ持ち出しを一件想定し、ログから証拠保全まで実際に通して不備を直します。
退職後の競業避止は、別途労働基準法第 9 条の 1 の要件（期間は最長 2 年、合理的な補償など）を満たす必要があり、人事と法務が扱います。
新入社員が前職の機密を持ち込んだ場合、会社も処罰されますか？CISO に何ができますか？
リスクがあります。営業秘密法第 13 条の 4 は、被用者等が業務の執行に関して第 13 条の 1、第 13 条の 2 の罪を犯した場合、行為者を罰するほか法人にも罰金を科すと定め、ただし書で防止に最善を尽くした場合は罰しないとしています。
智慧財産局の《営業秘密判決季報》（中華民国 114 年第 4 四半期）が要約した台北地方法院の刑事判決では、採用時に人材紹介会社を通じて応募者に守秘義務を伝えたこと、入社時に他社の機密を使わない旨の書面契約に署名させたこと、ISO 27001 シリーズに基づくセキュリティ監査を実施したこと、入社後に研修を行ったことを裁判所が考慮し、ただし書に該当するとして会社に罰金を科しませんでした。
これは一つの事例であり、「最善を尽くした」かどうかは裁判所が会社の規模と事実に基づいて判断するため、法律顧問に評価を依頼してください。CISO が準備できるのは、入社時の誓約、研修、監査記録です。
営業秘密の区分は ISO 27001 と共有できますか？取締役会や ESG ではどう報告しますか？
共有できます。技術面は ISO/IEC 27001:2022 附属書 A 5.12（情報の分類）、5.15（アクセス制御）、8.15（ログ取得）で実装し、ISO 56001 と文書を共有します。営業秘密の認定、秘密保持の約定、競業避止といった法的な面は 27001 では扱いません。
台湾証券取引所の ESG 評価（対象は上場・店頭公開企業）には関連する指標が二つあります。
| 指標 | 内容 | 加点 |
|---|---|---|
| S-10 | 知的財産管理計画、少なくとも年 1 回取締役会に報告 | TIPS、ISO 56001 などの第三者認証で 1 点加算 |
| S-12 | サイバーセキュリティのリスク管理体制、方針、施策、資源 | ISO 27001、CNS 27001 などの第三者認証で 1 点加算 |
公開発行会社でない企業は ESG 評価の対象外ですが、任意に参考にできます。
積穗科研は CISO の営業秘密保護をどう支援しますか？
- 措置：第 2 条に基づき保護経路を判定。3 段階の区分、機密表示、知る者の登録、アクセス制御とログの仕様
- 約定と対応：入社・在職・退職・対外の 4 種類の秘密保持ひな形。退職と証拠保全のマニュアルを整え、退職者による持ち出しを一件想定して実施
- 弁護士との分担：制度と証拠の連鎖は積穗科研が構築し、訴訟と最終的な法的意見は提携弁護士が担当
- 期間（サービスページ記載）：4 段階で通常 3〜6 か月
- 実名の支援実績：聯發科技（MediaTek）、旺矽科技（MPI Corporation）
- 担当：副社長・取締役クラスのコンサルタントが外注せず一貫して担当。初回の診断は無料
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CISO が ISO 27001 を導入するとき：取締役会報告、ESG 加点、認証範囲をどう決めるか
- CISO が見る ISO 27701 と GDPR：越境データ、従業員データ、72 時間報告をどう管理するか
- CISO が向き合う NIS2：対象事業体か、複数国の拠点、取締役会、報告をどう整理するか
- CISO が向き合う DORA：EU の金融顧客にサービスを提供するとき、契約・報告・テストで何を準備するか
- CISO が向き合う EU CRA：主導者、24 時間報告、SBOM、予算をどう整理するか
- CISO が ISO/IEC 29147 を導入するとき：脆弱性の受付窓口、CVD 方針、CRA 報告をどうつなぐか
- CISO の ISO/IEC 30111 導入：脆弱性対応プロセスを CRA 報告にどうつなぐか
- CISO の IEC 62443 対応：どのパートを選び、EU CRA とどう関係するか
- CISO の TISAX 準備：評価レベル、ISA2027、期間をどう決めるか
- CISO の ISO/SAE 21434 対応：TISAX 以外に製品セキュリティで何を準備するか
- CISO の ISO 22301 導入：ICT 復旧、RTO、訓練をどう準備するか
- CISO の ISO 42001 導入：AI ガバナンスは 27001 と何を共有できるか
- CISO と EU AI 法：AI システムのセキュリティ、ログ、人による監督に何を備えるか