【离岸开发】“因为是在海外，所以与我们无关”这种想法是错误的。《网络应对能力强化法》的影响是跨越国界的

2025年5月通过的、所谓“网络应对能力强化法”（正式名称：《关于防止因针对重要电子计算机的非法行为而造成损害的法律》）中有关官民合作的部分，将于2026年10月施行。直接承担义务的是根据《经济安全保障推进法》指定的15个领域、257家“特定社会基础设施运营商”。仅从名称来看，这似乎是一部与在越南或菲律宾运营开发团队的离岸开发现场相去甚远的法律。

然而，如果仔细追踪该法律的实施效果，就会发现其影响反而会向委托结构的末端蔓延。虽然指定经营者被要求“申报和报告本公司的系统”，但实际开发和运营该系统的究竟是谁呢？

金融、通信、电力等核心基础设施周边系统的开发工作，通过国内系统集成商（SIer）流向离岸开发基地的情况并不罕见。本文将从离岸开发的发包方和受托方两个角度，梳理出该法律为何“其实与我们息息相关”的原因。

法律要点回顾：申报和事件报告将成为强制性要求

《强化法》主要向指定的特定社会基础设施运营商规定了两项义务。其一是，对于涉及核心业务的信息系统中属于“特定重要计算机”的系统，须向政府申报供应商名称、产品信息等系统资产。

另一项是遭遇网络攻击时的事件报告。规定显示，若违反报告义务且不遵守监管机构的整改命令，将处以200万日元以下的罚款；若不配合提交资料等要求，将处以30万日元以下的罚款。

报告分为两个阶段。一旦发现安全事件，应立即发布“快报”，并在30天内提交“详报”。报告范围不仅包括非法访问等“特定违规行为”的痕迹，还包括与此相关的事件，即预兆阶段的情况。

此外，对于SaaS以及（涉及中间件和操作系统）的PaaS，其设计原则是：一旦收到云服务提供商的通知，即视为“知悉”。

这里需要关注的是申报的适用范围。不仅包括承担社会系统运行的特定重要设备，还包括一旦遭受网络攻击会导致设备停机或功能下降的周边设备。此外，专家指出，根据系统架构的不同，受托运营相关设备的运营商所拥有的设备也可能属于申报范围，且可能间接波及与核心基础设施运营商有业务往来的企业。

为何会波及到离岸开发：3条途径

途径1：申报文件中会列出“贵公司”

申报内容应包括特定重要计算机的供应商名称及产品信息。当国内系统集成商承接指定运营商的系统开发项目，而该开发工作实际由离岸基地或海外合作伙伴企业承担时，这种委托结构本身可能需要向政府进行说明。

这与《经济安全保障推进法》的事前审查制度一脉相承。在该法的框架下，此前就已预料到，将金融机构核心系统的开发业务外包给海外离岸据点的案例，将在系统投入使用前的审查中受到严格审查。应将《强化法》的施行理解为，将这种“外包结构的可视化”从系统投入使用时扩展到了运营阶段。

路径2：“认知”的起点成为受托方

事件报告的计时从“发现”开始。而且，在将核心系统的运维工作外包的模式下，往往是受托方——即离岸运维团队——最先察觉到异常。

在越南深夜时段检测到的警报，经当地团队判断后决定“暂不采取行动”，向日本方面的报告被推迟至下一个工作日的例行会议；也就是说，这种在平时被视为可接受的操作方式，在法规施行后将直接威胁到发包方的法定报告期限。时差、语言差异，以及“此事是否应上报”的判断标准存在偏差。离岸开发本质上存在的沟通摩擦，将直接转化为合规风险。

路径3：被排除在遴选范围之外的风险

近年来，利用网络防御相对薄弱的合作伙伴企业作为跳板、针对大型企业发动的“供应链攻击”呈上升趋势，有分析指出，中小型供应商和服务提供商正日益成为此类攻击的目标。

基于这一前提，指定运营商及其一级承包商将无法说明事件通报机制的离岸供应商从选定名单中剔除，这一趋势是顺理成章的结果。日经CrossTech所报道的“被交易伙伴排除在外的风险”，正是这种局面。

离岸业务特有的关键点：“通知接收端”与转包的深度

正如委托结构的深度是金融机构和信用卡公司的关键所在一样，离岸开发的关键在于其结构跨越了国界和语言。下面列举具体应检查的要点。

• 合同中的通知条款

  委托合同或SLA中是否规定了在检测到安全事件及其征兆时的通知义务、通知期限（以具体时间而非“尽快”为标准）、通知对象以及通知语言？如果是实验室型合同且在当地设有验证环境或运维终端的情况下，这些设备上发生的事态是否也包含在通知范围内？如果存在转包情况，同等条款是否已延伸至转包方？

• 考虑时差的升级处理设计

  “从发现到通报”的时限由日本的相关制度决定。在当地夜间或节假日发现的事件，应由谁在多长时间内向日本方面的哪个窗口报告？通知对象是否仍为已离职人员的电子邮箱，或是无人回复的共享邮箱？虽然这看似琐碎，但实际上能否履行报告义务，关键就在于此。

• 报告格式的语言差异

  从2025年10月起，关于DDoS攻击和勒索软件的统一报告格式已率先投入使用，同时计划推进报告受理系统的统一化工作。

  当然，报告格式应采用日语标准。必须在平时就明确指定专人，负责在规定期限内将当地团队的英文事件报告准确转换为日语格式。仅就“机密信息”和“事件”的定义而言，日本与海外之间就存在认知差异，这一点在安全实务中早已被指出。

另一个关键点：多客户端架构中的“责任边界”与“影响范围”

让我们更深入地了解离岸开发企业的实际情况。许多离岸开发企业同时并行处理多家客户的项目。

即使是采用实验室模式并设立了专门团队，在办公环境、网络、认证基础架构、CI/CD环境以及公司内部信息系统等层面，跨项目共享的资源也并不少见。这种结构在强化法时代会暴露出两个弱点。

第一点是，当客户方发生某些情况时，能否立即明确本公司的责任范围。当某客户系统中检测到安全事件时，发包方首先会提出的问题是：“贵公司的作业范围和访问权限具体涵盖哪些部分？”以及“是否可能是贵公司环境导致的？”

如果未针对每个项目整理好合同中的业务范围、实际授予的访问权限以及当地成员可接触的环境清单，那么从“我来查一下”开始，就可能需要花费数天时间。然而，如前所述，委托方的“快报”时钟已经开始运转。责任范围的界定越模糊，时间就越久，怀疑就越会转向受托方；即使并非受托方之过，最终留下的也只有“无法解释”这一事实。

第二点则恰恰相反，即当发生由本公司引发的事件时，能否立即确定其影响范围究竟波及到哪些项目。例如，当公司内部的开发终端感染了恶意软件、共享的认证平台遭到入侵，或是离职员工的账户仍未注销时，如果无法回答“从该终端、账户或环境出发，能够访问到哪些客户的哪些系统”，那么从逻辑上讲，影响范围就将扩大到“所有客户”。

实际上，即使某项业务已结案，如果没有针对每项业务的资产与访问路径映射，就无法证明这一点，这可能会导致必须同时向所有客户发出通知，并分别启动多个发包方的法定报告流程。

两者在平时的工作内容都是一样的。针对每个项目，需将负责人员、借用或自带的设备、访问权限以及共享的基础设施进行登记，并在每次变更时更新。可以这样理解：受托方也应按项目为单位，建立《强化法》要求指定运营商进行的“特定重要电子计算机的盘点与申报”的简化版。当发包方要求提供申报所需信息时，该登记册本身即可作为答复依据。

发包方与承包方的施工前检查清单

发包方（国内系统集成商、企业）首先应进行项目盘点。追溯本公司承接项目的发包方来源时，哪些项目最终可追溯至特定社会基础设施运营商？在这些项目中，外包至海外的范围究竟有多大？

针对相关案件，应将合同中的通知条款与实际的上报流程进行核对，并弥合其中的差距。在此基础上，至少应进行一次演练：当收到当地团队发来的故障或侵权通知时，日本方面如何据此作出报告判断。通过演练，必定能发现诸如“没有通知模板”、“翻译需要3小时”、“深夜无法联系到日本方面的决策者”等具体漏洞。

对于受托方（离岸开发企业）而言，该法律既是一种威胁，也是实现差异化的机遇。将从安全事件检测到通知日本方面的流程形成书面文件，并在合同中明确承诺通知服务水平协议（SLA）的体制，在该法施行后的日本市场将成为一项明确的业务资产。反之，无法对此作出说明的供应商，甚至在单价和技术能力竞争之前，就会被排除在候选名单之外。安全意识较强的受托方为了获得日本及欧美地区的项目，已经开始倾向于着力加强安全措施和员工培训，而《强化法》将从制度层面加速这一筛选过程。

一个普遍适用的关键点在于记录的集中化管理。除了《强化法》要求的速报和详报外，还包括向个人信息保护委员会的报告、通过发包方向监管机构提交的报告，以及合同约定的客户通知，报告对象正不断增加。是否建立了一套机制，能够将现场团队的聊天记录、检测时间以及应对措施的时间线以“只需记录一次即可应用于各项报告”的形式保存下来，这将使突发事件发生时的负担产生天壤之别。

于是便来到了Incident Lake

正如前文所述，涉及离岸开发的事件响应中的难点在于：跨越国界和语言的“从发现到报告”的速度，以及在服务多个客户的结构下，立即厘清“责任范围与影响范围”的能力。

将当地检测到的异常情况，跨越时差纳入日本方面的报告和判断中，确定哪些项目、哪些客户会受到影响，并将其无矛盾地整理成限时快报和详细报告。坦率地说，仅靠人工和聊天工具的往来来运作这一系列流程，确实存在局限性。

Incident Lake 是一款支撑这一工作流程的事件管理平台。它将从事件发生时的报告到恢复的整个应对流程，以及报告的生成和管理等环节实现自动化，使现场和日本的双方负责人都能将时间用于他们本应专注的“遏制损失、恢复服务”上。

正因为“快报”和“详报”这种有时间限制的报告制度即将启动，我建议趁此机会，将跨境报告和记录机制转变为一种不依赖个人努力的形式。

此外，法律的具体细节仍有部分需在施行前通过政令、省令及实施细则予以明确。有关最新信息，请查阅内阁府（网络安全事务、经济安全事务）及各主管部门公布的资料。

参考资料

• 内阁府《关于确保核心基础设施服务稳定提供的制度》 https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/infra.html

• 内阁府政策统括官（负责网络安全）《关于实施〈网络应对能力强化法（官民合作）〉的思路草案》（令和7年12月） https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf

• 《日经CrossTech》“《网络应对能力强化法》将于10月施行，或面临被交易伙伴排除在外的风险”（2026年） https://xtech.nikkei.com/atcl/nxt/column/18/00989/042300207/

• 《日本经济新闻》“《网络应对能力强化法》将于10月施行，对社会基础设施相关企业规定了新义务”（2026年5月） https://www.nikkei.com/article/DGXZQOUC071KC0X00C26A5000000/

• 普华永道日本集团《从经济安全与地缘政治风险角度重新审视离岸据点（第一期）》 https://www.pwc.com/jp/ja/knowledge/column/offshore-base-reconsideration/01.html

• GMO互联网集团《什么是“网络应对能力强化法”？解析其四大支柱及企业应采取的对策》 https://group.gmo/security/security-all/information-security/blog/cyber-response-capability-enhancement-act/