セキュリティ関連法｜基礎を学ぶ

セキュリティの法律問題は、条文を覚える問題ではありません。ある行為を示して、どの法律に触れるかを選ばせる形がほとんどです。法律ごとに典型的な違反行為を1つずつ結び付けておけば得点できます。

行為と法律の対応表

こういう行為	関係する法律
他人のIDとパスワードを無断で使ってシステムにログインする	不正アクセス禁止法
銀行を装った偽サイトを作り、IDとパスワードを入力させようとする	不正アクセス禁止法
転職先に持ち出すため、勤務先の顧客名簿データを不正にコピーする	不正競争防止法
他社の商品名と紛らわしいドメイン名を、不正な利益を得る目的で取得する	不正競争防止法
コンピュータウイルスを作成し、他人に配布する	刑法（不正指令電磁的記録に関する罪）
大量のデータを送りつけて会社のサーバを停止させ、業務を妨害する	刑法（電子計算機損壊等業務妨害罪）
掲示板への誹謗中傷の書き込みについて、発信者の情報開示を求める	プロバイダ責任制限法

正式名称は不正アクセス行為の禁止等に関する法律です。要点は3つあります。

まず、対象はネットワーク経由のアクセスであることです。他人のパソコンを目の前で直接操作した場合は、この法律の想定するアクセスにはあたりません。次に、実際に情報を盗んだり壊したりしていなくても、無断でログインした時点で違反が成立することです。「見ただけだから問題ない」という選択肢は誤りです。

3つめが範囲の広さです。無断ログインだけでなく、他人のIDとパスワードの不正取得、無断での第三者提供、不正な保管、そしてフィッシングサイトのようにIDやパスワードの入力を不正に求める行為まで禁じられています。

サイバーセキュリティに関する国の基本理念を定め、国、地方公共団体、重要社会基盤事業者（重要インフラ事業者）、国民それぞれの責務を示す法律です。内閣にサイバーセキュリティ戦略本部を置くことなども定めています。

注意点は、個人の攻撃行為を直接処罰する法律ではないことです。「不正アクセスを行った者を処罰する根拠となる法律はどれか」と問われてこれを選ぶのは誤りで、正解は不正アクセス禁止法です。基本法は方針と体制を定める枠組みの法律だと理解してください。

不正競争防止法は公正な競争を妨げる行為を禁じる法律で、セキュリティ分野では営業秘密の保護がよく出ます。営業秘密として保護されるには、次の3つをすべて満たす必要があります。

要件	意味
秘密管理性	秘密として管理されていること（アクセス制限、マル秘表示など）
有用性	事業活動に役立つ技術上または営業上の情報であること
非公知性	まだ世間に知られていないこと

誰でも入手できる公開情報や、社内で誰にも管理されずに放置されていた情報は営業秘密になりません。 共有フォルダにマル秘表示もアクセス制限もなく置かれていた資料は、秘密管理性を欠くため保護されません。顧客名簿や設計図の不正な持ち出しは、この法律の対象です。

罪名	どんな行為か
不正指令電磁的記録に関する罪	いわゆるウイルス作成罪。正当な理由なく、コンピュータウイルスを作成、提供、供用、取得、保管する行為
電子計算機損壊等業務妨害罪	コンピュータやデータを壊す、虚偽のデータを与えるなどして業務を妨害する行為
電子計算機使用詐欺罪	不正な情報を与えて、財産上の利益を不法に得る行為

ウイルス作成罪のポイントは、配布して感染させなくても、作成や保管の段階で対象になり得る点です。正当な理由があれば処罰されないため、対策ソフトの研究目的で検体を保管する行為は対象外です。

インターネット上の書き込みで権利侵害が起きたときに、プロバイダやサイト運営者がどこまで責任を負うか、どんなときに発信者の情報を開示できるかを定めた法律です。2024年の改正で、情報流通プラットフォーム対処法という名称に改められました。

押さえる点は2つです。削除した場合も削除しなかった場合も、一定の条件のもとでプロバイダの損害賠償責任が制限されること。そして、権利を侵害された人は、条件を満たせば発信者情報の開示を請求できることです。プロバイダが書き込みの内容を常に監視する義務を負う法律ではありません。