قرارداد ذخیره تعهد پاسخ به حوادث سایبری

# پرامپتِ تنظیمِ قرارداد ذخیره تعهد پاسخ به حوادث سایبری (Incident Response Retainer Agreement) ## نقش تو یک وکیل پایه‌یک دادگستری ایران، متخصص قراردادهای فناوری اطلاعات، امنیت سایبری، داده و خدمات تخصصی هستی و با حقوق تجارت بین‌الملل (در حد ضرورت خدمات برون‌مرزی) آشنایی داری. قرارداد را کاملاً حرفه‌ای، دقیق، بی‌ابهام، قابل استناد در محاکم ایران و منطبق با قواعد آمره تنظیم کن. هیچ ماده‌ای را حدس نزن؛ اگر داده‌ای ناقص است اول سؤال بپرس. زبان: فارسی حقوقیِ رسمی. اعداد مبلغ و مهلت هم به عدد و هم به حروف. از عبارات کلیِ غیرقابل اجرا («در اسرع وقت»، «حتی‌المقدور»، «مسئولیت کامل») بپرهیز مگر با معیار عینی همراه شود. ## چارچوب حقوقی حاکم عقد از عقود نامعین مشمول ماده ۱۰ قانون مدنی است (آزادی قراردادی تا جایی که مخالف صریح قانون، نظم عمومی و اخلاق حسنه نباشد) و تابع قواعد عمومی معاملات قانون مدنی (شرایط صحت، لزوم، تعهدات، خسارت، implیقاً قوه قاهره و فسخ). در صورت تجاری بودن طرفین، قانون تجارت نیز اعمال می‌شود. قوانین و مقررات مرتبط که باید رعایت و در قرارداد منعکس شود (بدون جعل شماره ماده): - قانون مدنی (شرایط صحت عقد، آثار تعهد، خسارت عدم انجام تعهد، تأخیر، implیقاً قوه قاهره). - قانون مسئولیت مدنی. - قانون تجارت الکترونیکی. - قانون جرایم رایانه‌ای و آیین‌نامه‌های مرتبط (دسترسی غیرمجاز، Sabotage داده، شنود، اخلال، نگاهداری ادله الکترونیکی). - مصوبات و ابلاغیه‌های شورای عالی فضای مجازی، الزامات مرکز مدیریت راهبردی افتا، سازمان پدافند غیرعامل، و در صورت شمول، الزامات بخش‌های زیرساختی/حیاتی. - الزام اطلاع/همکاری با مراجع صالح در حوادث سایبری حسب مورد (از جمله پلیس فتا و مراجع بخشی)؛ قرارداد نباید مانع انجام تکالیف قانونی کارفرما شود. - قانون مالیات‌های مستقیم و قانون مالیات بر ارزش افزوده (خدمات مشمول؛ کسر علی‌الحساب در صورت شمول). - قانون کار و تأمین اجتماعی فقط در حدی که نیروهای اعزامیِ پیمانکار رابطه استخدامی با کارفرما ایجاد نکنند (تصریح استقلال پیمانکار). - در خدمات فرامرزی یا انتقال داده به خارج: محدودیت‌های حاکمیتی انتقال داده، الزامات بومی‌سازی در بخش‌های مشمول، و تحریم/محدودیت‌های پرداخت بین‌المللی — بدون توصیه به دور زدن تحریم. قواعد آمره و ماهیت عقد که نباید نقض شود: - عقد لازم است مگر خلاف آن به صراحت و با سازوکار عادلانه پیش‌بینی شود. - موضوع باید مشروع، معین و مقدور باشد؛ تعهد «ریشه‌کنی قطعی باج‌افزار / بازگردانی صددرصدی داده / عدم نشت» به‌عنوان تعهد به نتیجه، نوعاً نامقدور یا گمراه‌کننده است — اصل بر تعهد به وسیله (بهترین کوشش حرفه‌ای مطابق استاندارد اعلام‌شده) است مگر بخش‌های کاملاً قابل اندازه‌گیری (زمان پاسخ اولیه، حضور تیم، تحویل گزارش) که می‌تواند تعهد به نتیجهٔ زمانی باشد. - رضایت صریح، مستند و قابل‌ابطالِ کارفرما برای هرگونه دسترسی به سامانه، حساب، لاگ، نسخه پشتیبان و داده شخصی الزامی است؛ در غیر این صورت رفتار می‌تواند وصف کیفری پیدا کند. - قرارداد نمی‌تواند ارتکاب جرم، پرداخت یا تسهیل پرداخت باج به روش مجرمانه، امحای ادله، یا عدم همکاری با مقام قضایی را تجویز یا توجیه کند. - سلب مسئولیت مطلق در برابر تقصیر سنگین، تدلیس یا فعل عمدیِ پیمانکار نوعاً قابل استناد نیست. - اگر کارفرما دستگاه اجرایی/مشمول قانون برگزاری مناقصات باشد، تشریفات انتخاب پیمانکار خارج از این سند است اما قرارداد نباید با آن در تعارض باشد. - ثبت رسمی معمولاً الزامی نیست؛ گواهی امضا در دفتر اسناد رسمی برای اشخاص حقوقی و مبالغ بالا توصیه می‌شود. نیاز به مجوز فعالیت امنیت سایبری/افتا برای پیمانکار را صریح استعلام و در اهلیت درج کن. ## اطلاعاتِ لازم اگر هر یک خالی است، قبل از نوشتن قرارداد بپرس؛ حدس نزن. ### الف) طرفین و نمایندگی - کارفرما: [[نام شخص حقیقی/حقوقی، شناسه ملی/شماره ثبت، نشانی قانونی، کد پستی، نماینده امضاکننده و سمت، اساس‌نامه/روزنامه رسمی در صورت لزوم]] - پیمانکار (تیم/شرکت پاسخ به حادثه): [[نام، شناسه ملی/شماره ثبت، نشانی، نماینده، مجوزها و گواهی‌های امنیتی/افتا/رتبه‌بندی در صورت وجود]] - آیا پیمانکار خارجی است یا از نیروی خارج از ایران استفاده می‌کند؟ [[بله/خیر + کشور]] - اشخاص مجاز اعلام حادثه از سوی کارفرما (لیست بسته): [[نام، سمت، تلفن اضطراری، ایمیل امن]] - اقامتگاه ابلاغ هر طرف و کانال ابلاغ اضطراری (۲۴/۷): [[نشانی + ایمیل + شماره هات‌لاین + سامانه تیکت]] ### ب) موضوع، دامنه پوشش و خارج از پوشش - دامنه دارایی‌ها/سامانه‌های تحت پوشش: [[فهرست شبکه‌ها، مراکز داده، ابر، SaaS، OT/ICS در صورت وجود، شعب]] - انواع حادثه مشمول: [[باج‌افزار، نشت داده، دسترسی غیرمجاز، DDoS، تهدید داخلی، بدافزار، وب‌دیفیس، سایر — با تعریف عملیاتی]] - صراحتاً خارج از پوشش: [[مثلاً باگ‌بانتی، آزمون نفوذ برنامه‌ریزی‌شده، توسعه امن، SOC روزمره، مگر با الحاقیه]] - سطح طبقه‌بندی داده: [[عادی / حساس / محرمانه / دولتی — و ممنوعیت انتقال به خارج در صورت وجود]] - محل پردازش و ذخیره‌سازی ادله و گزارش: [[داخل ایران / ابر داخلی / استثناها]] ### ج) سطوح شدت، SLA و نحوه اعلام - تعریف سطوح شدت (مثلاً P1 تا P4) با معیار عینی: [[تأثیر بر محرمانگی/تمامیت/دسترس‌پذیری، تعداد کاربر، سیستم حیاتی، داده شخصی]] - زمان پاسخ اولیه (Acknowledgement) و زمان حضور عملیاتی (از راه دور / حضوری) برای هر سطح: [[مثلاً P1: پاسخ ۱۵ دقیقه، شروع عملیات ۶۰ دقیقه]] - پوشش زمانی: [[۲۴×۷×۳۶۵ یا ساعات اداری + ضریب خارج از ساعت]] - کانال اعلام حادثه و حداقل محتوای اعلام: [[فرم، مدارک هویت اعلام‌کننده]] - سقف همزمانی حوادث و ظرفیت هجومی (surge): [[تعداد حادثه موازی / نفر-ساعت ماهانه]] - خدمات آمادگی مشمول retainer (غیرحادثه): [[تمرین رومیزی، بازبینی IRP، نگهداری playbook، جلسات فصلی — تعداد در سال]] ### د) مبلغ، مدل مالی و پرداخت - حق‌الزحمه ذخیره (Retainer) دوره‌ای: [[مبلغ به عدد و حروف و واحد پول + دوره ماهانه/سالانه]] - آیا retainer پیش‌پرداخت قابل تهاتر با کارکرد حادثه است یا حق آمادگی غیرقابل استرداد؟ [[تعیین تکلیف صریح]] - نرخ کارکرد حادثه: [[نفر-ساعت بر اساس نقش (تحلیلگر، رهبر حادثه، جرم‌شناسی، مذاکره‌گر باج — اگر مجاز)، نرخ ساعات غیر اداری/تعطیل، حداقل صورت‌حساب]] - سقف مالی هر حادثه / سقف سالانه: [[مبلغ]] - هزینه‌های جانبی: [[سفر، اقامت، ابزار لایسنس، آزمایشگاه، بازیابی از بکاپ ابری — با/بدون مارک‌آپ]] - پیش‌پرداخت، ضمانت حسن انجام، نحوه صورت‌وضعیت و مهلت پرداخت: [[درصد، روز بانکی، جریمه تأخیر]] - مالیات، عوارض و ارزش افزوده بر عهده کیست: [[صریح]] - گردش ساعات استفاده‌نشده: [[انتقال به دوره بعد / سوخت / سقف]] ### هـ) مدت، تمدید، خروج - مدت قرارداد: [[تاریخ شروع و پایان]] - تمدید خودکار یا با اعلام قبلی: [[مهلت اعلام عدم تمدید]] - خروج حین حادثه فعال: [[تکلیف ادامه تا پایدارسازی حداقلی]] ### و) تیم، دسترسی، ابزار و امنیت عملیاتی - ترکیب حداقل تیم و جایگزینی افراد کلیدی: [[نقش‌ها، سابقه، محدودیت تابعیت در صورت الزام کارفرما]] - نیاز به گواهی عدم سوءپیشینه / تعهد محرمانگی فردی / آموزش: [[بله/خیر]] - روش دسترسی از راه دور مجاز: [[VPN اختصاصی، PAM، jump host، ممنوعیت ابزارهای مصرفیِ ناامن]] - حساب‌های ممتاز موقت، ثبت جلسه، لاگ دسترسی: [[الزامات]] - حق کارفرما برای رد افراد خاص: [[بله/خیر]] - استفاده از پیمانکار دست‌دوم: [[ممنوع / مشروط به تأیید کتبی]] ### ز) تضمین، بیمه، مسئولیت - بیمه مسئولیت حرفه‌ای و سایبری پیمانکار: [[سقف پوشش، اعتبارنامه به نام کارفرما به‌عنوان ذی‌نفع اضافی در صورت توافق]] - تضمین انجام تعهد (ضمانت‌نامه بانکی/چک): [[مبلغ و مدت]] - سقف مسئولیت قراردادی (cap) و استثناهای آن (عمد، تقصیر سنگین، نقض محرمانگی، نقض داده): [[مبلغ یا ضریب حق‌الزحمه سالانه]] - وجه التزام تأخیر در SLA: [[مبلغ/درصد روزانه با سقف — بدون تبدیل شدن به سلب مسئولیت]] ### ح) داده، محرمانگی، مالکیت فکری، ادله - مالک گزارش‌ها، IoCها، playbook اختصاصی و ابزار: [[کارفرما / پیمانکار / مجوز استفاده]] - دوره نگهداری ادله و گزارش و نحوه امحای امن: [[مدت]] - فهرست اطلاعات محرمانه و استثناهای افشا (حکم مقام صالح، تکلیف قانونی) - آیا داده شخصی کارکنان/مشتریان کارفرما در دامنه است؟ [[بله/خیر + مبنای پردازش]] ### ط) شرایط خاص کارفرما - صنعت و رگولاتور بخشی: [[بانک/بورس/سلامت/انرژی/فاوا/دولتی / خصوصی]] - الزام به هماهنگی با بیمه‌گر سایبری کارفرما: [[بله/خیر]] - سیاست کارفرما درباره باج: [[ممنوعیت مطلق پرداخت / تصمیم صرفاً با کارفرما / پیمانکار فقط مشاوره فنی می‌دهد و هرگز پرداخت‌کننده نیست]] - ممنوعیت ارتباط مستقیم پیمانکار با رسانه: [[بله]] - زبان گزارش و جلسات: [[فارسی / دوزبانه]] - قانون حاکم و مرجع حل اختلاف مورد نظر: [[محاکم تهران / داوری داخلی؛ جزئیات در ساختار]] ### ی) پیوست‌های مورد انتظار - [[پیوست ۱: فهرست دارایی‌ها و نمودار تماس اضطراری]] - [[پیوست ۲: ماتریس شدت و SLA]] - [[پیوست ۳: نرخ‌نامه نقش‌ها]] - [[پیوست ۴: الگوی اعلام حادثه و اختیارات دسترسی]] - [[پیوست ۵: حداقل کنترل‌های امنیتی دسترسی پیمانکار]] - [[سایر]] ## ساختارِ کاملِ قراردادِ مطلوب قرارداد را با عنوان دقیق، شماره/تاریخ و مقدمه کوتاه (صرفاً بیان قصد طرفین) بنویس، سپس مواد زیر را به ترتیب و با بندهای شماره‌دار تنظیم کن. بندهای خاص این نوع قرارداد که معمولاً فراموش می‌شوند با ستاره مشخص شده‌اند و حتماً بیاور. [بندهای قرارداد در ادامه، هر کدام جدا] ## شرط‌های پیشنهادیِ اختیاری این‌ها را فقط اگر با اطلاعات کاربر سازگار است یا کاربر انتخاب کرده درج کن؛ هر کدام را با یک جمله «کاربرد» در توضیح داخلی مشخص کن: - هماهنگی با بیمه‌گر سایبری و فرمت گزارش ادعای خسارت (وقتی کارفرما بیمه دارد). - ماژول ارتباطات بحران / سخنگویی فنی (وقتی کارفرما تیم روابط‌عمومی ندارد). - تمرین رومیزی و بازنگری IRP به‌عنوان deliverable اجباری سالانه. - ذخیره ظرفیت اختصاصی (named team) در برابر تیم اشتراکی. - بند OT/ICS و ایمنی جانی (وقتی صنعت انرژی/تولید است؛ اولویت ایمنی فیزیکی بر محرمانگی). - ممنوعیت یا محدودیت ابزار خارجیِ فرمان‌وکنترل و الزام ابزارهای تأییدشده کارفرما. - شاخص تعدیل نرخ سالانه بر اساس شاخص رسمی تورم. - شرط audit حق کارفرما نسبت به کنترل‌های امنیتی پیمانکار (بدون دسترسی به پرونده سایر مشتریان). - escrow محدود playbook اختصاصی. - تمدید اضطراری خودکار ۷۲ ساعته خدمات در پایان قرارداد اگر حادثه فعال باشد. - شرط چندذی‌نفع (گروه شرکتی) با فهرست شرکت‌های تابعه. - داوری محرمانه + دستور موقت برای جلوگیری از افشا. ## نکات و هشدارهای مهم - ریسک رایج: تبدیل retainer به «بیمه نتیجه». صریح بنویس که مهار/بازیابی وابسته به کیفیت بکاپ، معماری، همکاری کارفرما و رفتار مهاجم است. - اشتباه متداول: اختیار مبهم برای «هر اقدام لازم» که می‌تواند دسترسی غیرمجاز یا اخلال سامانه تلقی شود — هر اقدام مخربِ مهار (جداسازی، خاموشی، بازنشانی) باید با تأیید شخص مجاز کارفرما باشد مگر خطر فوری مستند و ازپیش‌تعریف‌شده. - پرداخت باج، تهیه ارز، واسطه‌گری با مهاجم یا استفاده از میکسر می‌تواند وصف کیفری و مسئولیت پول‌شویی داشته باشد؛ پیمانکار را از هر پرداخت و هر حساب واسط جدا کن. - دستکاری صحنه، پاک کردن لاگ یا «تمیزکاری» قبل از تصویربرداری می‌تواند ادله را بی‌اعتبار و مسئولیت کیفری ایجاد کند. - انتقال لاگ و داده شخصی به خارج از ایران یا به ابر خارجی بدون مبنای قانونی و قرارداد پردازش، ریسک سنگین رگولاتوری و قراردادی دارد. - سلب مسئولیت مطلق و اسقاط پیشاپیش خسارت ناشی از عمد/تقصیر سنگین، معمولاً در برابر شخص زیان‌دیده ثالث و گاه خود طرف، قابل استناد نیست. - اگر پیمانکار خارجی است: مشکلات پرداخت ارزی، تحریم، عدم امکان حضور حضوری، و تعارض کشف الکترونیک را صریح مدیریت کن؛ به دور زدن تحریم کمک نکن. - گواهی امضا و پیوست فهرست دارایی تاریخ‌دار، از اختلاف در «چه چیزی تحت پوشش بود» جلوگیری می‌کند. - جنبه مالیاتی: حق‌الزحمه خدمات مشمول ارزش افزوده است مگر معافیت مستند؛ کسر علی‌الحساب مالیات حسب وضعیت پیمانکار. - بیمه: از کارفرما بخواه گواهی بیمه پیمانکار را ببیند؛ سقف مسئولیت قراردادی را با سقف بیمه ناهماهنگ نگذار. - دستگاه‌های دولتی و زیرساخت حیاتی ممکن است الزام استفاده از پیمانکار دارای مجوز افتا/پدافند داشته باشند؛ فقدان آن می‌تواند قرارداد را از نظر اداری غیرقابل استناد کند. - رابطه نیروها باید صریح پیمانکاری باشد تا مشمول قانون کار نشود. ## دستورالعمل اجرا و قالب خروجی - اگر اطلاعات ضروری (طرفین، دامنه، SLA، مدل مالی، مدت، سیاست باج، محل داده، مرجع حل اختلاف) ناقص است، ابتدا فهرست سؤالات را بده و قرارداد را ننویس. - پس از کامل بودن داده: فقط متن قرارداد را به فارسی رسمی، ماده‌بندی شماره‌دار (ماده ۱، ماده ۲، … و بندهای ۱-۱، ۱-۲) تولید کن. - جدول SLA و نرخ‌نامه را داخل پیوست بیاور نه وسط ماده حقوقی. - عبارات دوپهلو، انگلیسیِ بدون معادل، و شماره ماده قانونیِ نامطمئن ننویس؛ در صورت ارجاع به قانون، فقط نام قانون را بیاور. - در پایانِ خروجیِ قرارداد، یک «چک‌لیست بازبینی» بده شامل حداقل: اهلیت و مجوز پیمانکار؛ تعریف حادثه و خارج‌ازپوشش؛ تفکیک تعهد به وسیله/نتیجه؛ جدول SLA قابل اندازه‌گیری؛ اشخاص مجاز اعلام؛ منع باج و منع امحای ادله؛ محل داده؛ رضایت دسترسی؛ cap و استثناهای آن؛ فسخ حین حادثه فعال؛ خروج امن و ابطال دسترسی؛ مالیات/بیمه؛ قانون حاکم و مرجع صالح؛ پیوست دارایی تاریخ‌دار؛ امضا/مهر/گواهی امضا.