脆弱性診断・セキュリティ監査のカスハラ対策— 報告書表現への介入要求

1. 介入要求が起きやすい構造

1-1. 提出先への見栄え優先

「重大」表記があると取引に響く、監査で指摘される、といった理由で、 事実より体裁を優先した修正要求が出ます。
診断会社が応じてしまうと、報告書の信頼そのものが毀損されます。

1-2. 再診断・再発行の無償強要

修正後の再スキャンを契約外で求められ、納期と費用の圧力が同時にかかることがあります。
IT支援系の圧力はIT・SaaSサポートのカスハラとも重なります。

1-3. 「黙っていてほしい」圧力

重大所見の社外共有や、インシデント連携を止めようとする要求が出ることがあります。
契約上の秘密保持と、違法・危険の放置は別問題として切り分けます。
BtoBの威圧は取引先ハラスメントを参照してください。

2. 対応の型

2-1. 変えられるもの／変えられないもの

誤記・再現手順の補足・推奨対策の追記は協議可能です。
深刻度の不当な引き下げ、検出事実の削除、存在しない「合格」表現の追加は拒否します。
この線引きをキックオフ資料に書いておきます。

2-2. 会話例：深刻度の書き換え強要

依頼主「CriticalをMediumに変えろ。変えないと報酬を止める」。
診断側「深刻度は再現性・影響・悪用容易性の基準で判定しています。根拠のない変更はできません」。
診断側「表現の補足や是正後の再評価は、契約範囲で別途ご提案します。威圧は記録し責任者へ移管します」。
初動は初動対応、クレーム線引きはクレームとカスハラの違いを参照してください。

2-3. 報告書レビュー会議の守り方

レビューは複数名で行い、個人が追い詰められないようにします。
録音・議事録の扱いは社内ルールと録音・カメラ証拠の考え方に沿って決めます。

3. 予防：契約・方法論・記録

3-1. 契約に書く条項

• 深刻度判定の基準と変更不可範囲
• 報告書レビュー回数と再診断費用
• 秘密保持と例外（法令・緊急危険）
• 連絡窓口と威圧時の対応手順

3-2. 方法論の透明化

CVSS等の参照基準、対象外、制限事項を事前に共有し、「後出しの甘い判定」を期待させないようにします。
マニュアル化はマニュアル作成、方針は方針ひな型を流用できます。

3-3. 記録

介入要求の内容、拒否理由、会議出席者、最終版の差分を残します。
記録様式と個人情報保護（ログ・証拠の取り扱い）をセットで運用します。

4. 介入要求の判断表

ISO審査での指摘圧力はISO審査・認証コンサルのカスハラと隣接しますが、本記事は技術診断レポートの表現介入に特化しています。

4-補. 報告書介入の現場シナリオ

シナリオA：深刻度の根拠なき引き下げ

「取引先提出用にCriticalを消せ」と来る場合、判定基準を示して拒否し、 是正後の再評価は別契約だと返します。
報酬停止の脅しは責任者交渉へ移し、診断員が単独で条件を変えません。

シナリオB：甘い版ともう一通作れ

二重帳簿的な報告書は作成しません。
サマリーが必要な場合も、重大所見を隠さない方針を文書で示します。
要求内容と拒否理由は差分ログとともに残します。

診断プロジェクトチェックリスト

• 深刻度基準と変更不可範囲が契約にあるか
• レビュー回数と再診断費用が明示されているか
• レビューは複数名体制か
• 口封じ・虚偽合格の要求への即拒否手順があるか
• 介入要求の記録様式が使えるか

四半期で介入要求の件数と結果をレビューし、繰り返す依頼主への条件を見直します。
報告書の信頼性は、一度の妥協で大きく落ちます。

5. よくある質問

Q. 「社外提出用にもう一通、甘い版を作れ」と言われたら？

二重帳簿的な報告書は作成しません。
提出用サマリーが必要な場合も、重大所見を隠さない範囲で別紙化するかどうかを方針で決めます。

Q. 報酬停止をちらつかされたら？

現場で条件変更せず、契約条項と成果物定義を持って責任者交渉へ移します。
損害賠償・返金の整理は損害賠償請求も参照してください。

Q. 診断中にシステムを止められたと責められたら？

事前合意したテスト時間帯・負荷上限・緊急停止手順に照らして事実を説明します。
合意外の攻撃的テストはそもそも行わない運用が前提です。

Q. 担当者が精神的に追い込まれています

レビュー担当を交代し、二次被害防止・メンタルヘルスケアを適用します。
必要なら外部相談窓口も使います。

Q. 「社内向けと監査向けで表現を変えろ」と要求されたら？

読者ごとに要約の厚みを変えることはあっても、深刻度や検出事実を矛盾させません。
監査向けだけ甘い表現にする依頼は拒否し、理由を基準とともに説明します。
どうしてもサマリーが必要なら、重大所見を省略しない条件で別紙化を検討します。

5-補. 診断品質と介入耐性の両立

報告書レビュー前に、社内で深刻度判定のピアレビューを行い、個人の独断感を減らします。
顧客レビューは複数名で臨み、書き換え要求の議事をその場で記録します。
「提出用の甘い版」要求は拒否事例として社内勉強会に載せ、判断を揃えます。
再診断の見積もりテンプレを用意し、無償化交渉に引きずられないようにします。
秘密保持と法令対応の境界は法務と年1回見直し、口頭の独自解釈を禁止します。
診断中の負荷・時間帯は事前合意書に署名をもらい、停止責めへの防御材料にします。
介入要求が多い業種・組織タイプを集計し、契約条件の強化に使います。
担当者の疲弊が見えたら、報告会の司会を交代し、二次被害を止めます。

セキュリティ報告の価値は、不快な真実を含めて伝えることにあります。
表現を偽れば、依頼主の防御力も偽ることになります。
技術と倫理の両方を、組織の手順として守ります。

6. まとめ

• 深刻度・検出事実の不当変更は拒否する
• 誤記補足と事実改変を契約で切り分ける
• レビューは複数名で行い個人を守る
• 二重帳簿的な甘い版は作らない
• 介入要求と差分を記録に残す
• キックオフで深刻度基準を共有し、レビュー前のピアレビューを欠かさない

脆弱性診断の報告書は、依頼主にとって耳の痛い真実を含むことがあります。
だからこそ、深刻度や検出事実の不当な改変要求には、基準を示して明確に拒否します。
誤記の補足と事実の改変を契約で切り分け、レビューは複数名で行います。
提出用の甘い版を作ることは、依頼主の防御力を偽ることにもなります。
報酬停止などの威圧は責任者交渉へ移し、診断員が単独で条件を変えません。
介入要求の差分を記録し、繰り返す相手への契約条件を強化します。
技術的正確さと就労環境の保護は、同じ品質管理の対象です。

7. 注意

本記事は一般的な対応の考え方の例示であり、法的助言ではありません。
契約・秘密保持・法令対応の判断は専門家にご確認ください。