ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

法務と倫理

レッスン 5-3

技術としてできることと、してよいことは違います。

目安 60 分 トラック 5 設計と制度の 3 本目

読み終えたら調べてよい範囲を、書面で先に決める理由を説明できる

この頁の流れ

  1. 1なぜ通るのか
  2. 2脆いコードと直したコード
  3. 3ログでの見え方と検知
  4. 4直し方と確かめ方
  5. 5関わる事例
  6. 6確認クイズ
  7. 7説明課題
  8. 8一次資料
  9. 9次へ

セキュリティの調べに関わる日本の法令を、不正アクセス禁止法と刑法の不正指令電磁的記録の罪 (いわゆるウイルス作成罪) を中心に、条文の言葉で読みます。何が「不正アクセス行為」に当たるのか、承諾をだれから得るのか、見つけた穴をどう届けるのかを扱い、調べてよい範囲を書面で先に決め、道具の側でも範囲の外に出ないようにする方法までを扱います。法の助言ではありません。

出典を確かめた日 2026年10月27日

なぜ通るのか

はじめにお断りします。このレッスンは、法の考え方を学ぶための物で、法の助言ではありません。条文の読み方や当てはめは、場面ごとに変わります。実際に調べる前や、何かが起きたあとに判断が要る時は、弁護士に相談してください。

ある学生が、よく使う店の予約のサイトで、URL の中の番号を 1 つずつ変えると、他人の予約が見えることに気づきます。善意で穴を確かめようと、番号を 1000 件分変えて試し、画面を保存して SNS に載せます。本人は「直してもらうため」のつもりでも、どこまでが法に触れうる行為だったのかを、本人は説明できません。

セキュリティの技術は、守るためにも、壊すためにも同じ手順を使います。違いを作るのは、手順ではなく、だれの承諾を得て、どの範囲で行ったかです。だから、調べる範囲は書面で先に決めます。

不正アクセス禁止法の 3 つの言葉

不正アクセス行為の禁止等に関する法律 (平成11年法律第128号) は、第2条で言葉を決めています。まずこの 3 つを押さえます。

言葉条文の要点 (第2条)
アクセス管理者電気通信回線につながったコンピュータの利用について、そのコンピュータの動作を管理する者 (第1項)
識別符号利用を許された人を区別するために付される符号。パスワードのように第三者にみだりに知らせてはならない物、体の像や声、署名から作る物 (第2項)
アクセス制御機能入力された符号が識別符号かを確かめて、利用の制限を外す機能 (第3項)

何が「不正アクセス行為」か

第2条第4項は、不正アクセス行為を 3 つの号で決めています。第3条は「何人も、不正アクセス行為をしてはならない。」と定めます。

号行為の要点
第1号回線を通じて、他人の識別符号 (他人の ID とパスワードなど) を入力し、制限されている利用をできる状態にする
第2号回線を通じて、制限を免れることができる情報や指令 (識別符号以外) を入力し、制限されている利用をできる状態にする
第3号別のコンピュータのアクセス制御機能で守られているコンピュータに、制限を免れる情報や指令を入力して、利用できる状態にする

どの号にも、カッコの中に除かれる場合が書かれています。第1号は、アクセス制御機能を付けたアクセス管理者がする物と、アクセス管理者またはその識別符号の利用権者の承諾を得てする物を除きます。第2号と第3号は、アクセス管理者がする物と、アクセス管理者の承諾を得てする物を除きます。承諾をだれから得るかが、条文の上でも分かれ目です。

罰則は第11条で、第3条に違反した者は「三年以下の拘禁刑又は百万円以下の罰金」です。刑法などの改正で懲役と禁錮は拘禁刑にまとめられ、現行の条文はその言葉になっています。

識別符号の取り扱いも禁じられている

入り込まなくても、識別符号の扱いだけで禁じられる行為があります。

条禁じられる行為の要点罰則
第4条不正アクセス行為に使う目的で、他人の識別符号を取得する第12条 1 年以下の拘禁刑又は 50 万円以下の罰金
第5条業務その他正当な理由なく、他人の識別符号を、アクセス管理者と利用権者以外に提供する第13条 30 万円以下の罰金 (相手の目的を知って提供した時は第12条)
第6条不正アクセス行為に使う目的で、不正に取得された他人の識別符号を保管する第12条
第7条アクセス管理者になりすまして、識別符号の入力を求める (いわゆるフィッシングのサイトやメール)第12条

漏れたパスワードの一覧を「調べるため」に手元に置くことも、目的によっては第6条の問題になりえます。

刑法の不正指令電磁的記録の罪

刑法第168条の2は、正当な理由がないのに、人のコンピュータで実行させる目的で、人が使う時の意図に沿う動きをさせず、または意図に反する動きをさせる不正な指令を与える電磁的記録を、作り、または提供した者を、3 年以下の拘禁刑または 50 万円以下の罰金としています (第1項)。実行させた者も同じで (第2項)、その未遂も罰します (第3項)。第168条の3は、同じ目的での取得と保管を、2 年以下の拘禁刑または 30 万円以下の罰金としています。

ここで要るのは「正当な理由がないのに」と「人のコンピュータで実行させる目的で」の 2 つの言葉です。自分の環境で動きを調べるために検体を扱うことと、人の機械で動かす目的で作ることは、条文の上で分けられています。

最高裁は2022年1月20日の判決で、閲覧者の機械で仮想通貨の採掘をさせるコードをサイトに置いた件について、意図に反する動きであること (反意図性) は認めつつ、社会的に許容し得ないとまではいえない (不正性が無い) として、無罪とした第1審の判決を是認しました。第1審 (横浜地方裁判所) は無罪、控訴審 (東京高等裁判所) は第1審を破棄して罰金10万円としていましたが、最高裁は控訴審の判決を破棄し、検察官の控訴を棄却しています。判決は、不正性を、コンピュータによる情報処理への社会一般の信頼を守るという観点から判断するとしています。開発者がふつうに書くコードも、利用者の同意と説明しだいで、この条文の問いの前に立つことがあります。

刑法の電子計算機損壊等業務妨害罪

刑法第234条の2は、人の業務に使うコンピュータやデータを壊し、偽の情報や不正な指令を与えるなどして、使う目的に沿う動きをさせず、または反する動きをさせて、人の業務を妨害した者を、5 年以下の拘禁刑または 100 万円以下の罰金としています。未遂も罰します。許されていない相手に負荷の大きい検査を掛けて止めてしまうことは、不正アクセス禁止法とは別に、この条文の問いになりえます。

穴を見つけてしまったら

IPA の「情報セキュリティ早期警戒パートナーシップガイドライン」は、付録で、発見者が心得ておくべき法的な論点について、法律の専門家の見解を載せています。アクセス制御を回避してシステムに入れば不正アクセス禁止法に触れること、ふつうに使う中で通信を見て穴を推定できただけの場合などは触れないと推察されることを挙げています。URL の番号を差し替えたら偶然見えてしまった例も挙げつつ、積極的に多数の数字列を変えて試す行為は、制限を免れる目的とみなされる可能性があると注意しています。

同じ付録は、IPA が届出を受け付けても、入手の手段が合法と判断したわけではなく、発見者の法的な責任が免れるわけでもないとしています。見つけたら、それ以上試さず、IPA の届出の窓口や、相手が出している窓口へ知らせます。

脆いコードと直したコード

法の問いを、道具の側で減らす方法を比べます。調べる側の道具が、決めた範囲の外に要求を出さないようにする最小の形です。Python に付いている物だけで動き、宛先には予約済みの例の名前 (example.com) を使います。

文字を含むかで決めるか、書面の範囲と照らすか

脆いコード 名前に文字が含まれていれば範囲とみなす

Python

def in_scope(url, now):
    return "example.com" in url
直したコード 書面で決めた宛先と期間だけを許す

Python

from datetime import datetime, timezone
from urllib.parse import urlsplit

SCOPE = {
    "hosts": {"stg.example.com"},
    "start": datetime(2026, 11, 1, 0, tzinfo=timezone.utc),
    "end": datetime(2026, 11, 7, 9, tzinfo=timezone.utc),
}

def in_scope(url, now):
    host = urlsplit(url).hostname
    return (host in SCOPE["hosts"]
            and SCOPE["start"] <= now < SCOPE["end"])

脆い方は、stg.example.com.attacker.test のような別の相手の名前も、範囲の外のはずの本番 www.example.com も通します。期間も見ていないので、契約が切れたあとも要求を出せます。直した方は、宛先の名前を完全に一致で比べ、書面で決めた期間の中だけを許します。

口約束か、書面か

脆いコード 口で「好きに調べていいよ」と言われた

記録

いつ　 来週あたり
どこを うちのサイト
だれが エンジニアの人
承諾　 打ち合わせで口頭
直したコード 調べる範囲を書面で決め、署名をもらう

記録

承諾者　 アクセス管理者である A 社 情報システム部長 (署名あり)
宛先　　 stg.example.com のみ (本番 www は範囲外)
期間　　 2026-11-01 09:00 から 11-07 18:00 (日本時間)
送り元　 203.0.113.20 (この住所からだけ要求を出す)
してよい 認証の確かめ、入力の検査、権限の確かめ
しない　 負荷の試験、利用者のデータの持ち出し、ほかの機械への移動
止める時 本番の不調、範囲外の物が見えた時は止めて連絡
連絡先　 A 社 当番 050-xxxx-xxxx、調べる側の責任者

脆い方では、あとで「本番も含むと思った」「その日は頼んでいない」と食い違っても、どちらも示せる物がありません。直した方は、承諾がアクセス管理者から出ていること、宛先、期間、送り元、してよいことと、しないこと、止める条件を書きます。道具の SCOPE は、この書面から写します。

ログでの見え方と検知

調べを受ける側の記録では、許した調べと、許していない試みは、送り元と時刻と宛先で分けられます。直した道具は、範囲の外の要求を出さずに、断った記録を残します。

調べる側の道具の記録

記録

2026-11-02T01:00:03Z allow stg.example.com /login
2026-11-02T01:00:09Z deny www.example.com /login 範囲外の宛先
2026-11-08T00:10:00Z deny stg.example.com /admin 期間の外

受ける側は、次の物を見て、許した調べかどうかを分けます。

見る物なぜ効くか
届け出た送り元の住所からの要求か書面にない送り元は、許した調べではない
決めた期間の中か期間の外は、承諾の外
決めた宛先か本番やほかの会社の機械への要求は、範囲の外
「しない」と決めた行為 (大量の要求、データの書き出し)書面の外の行為は、止める合図

直し方と、直ったことの確かめ方

自分の PC の中だけで行います。外のサービスには要求を出しません。

  1. 調べる範囲の書面を、上の例の欄に沿って書く。承諾者の欄には、相手のアクセス管理者がだれかを書く
  2. 書面から、宛先と期間を道具の SCOPE に写す
  3. 脆い in_scope に、似た名前、本番の名前、期間の外の時刻を渡し、すべて通ってしまうことを確かめる
  4. 直した in_scope に置き換え、同じ値がすべて断られ、決めた宛先と期間だけが通ることを確かめる
  5. 下の試験を足し、道具が要求を出す前に必ず in_scope を通る作りにする
  6. 調べの途中で範囲の外の物が見えたら、そこで止め、書面の連絡先へ知らせる
範囲の外へ出ないことを固める試験

Python

from datetime import datetime, timezone

NOW = datetime(2026, 11, 2, 1, tzinfo=timezone.utc)

def test_lookalike_host_is_out():
    assert not in_scope("https://stg.example.com.attacker.test/", NOW)

def test_production_is_out():
    assert not in_scope("https://www.example.com/", NOW)

def test_outside_window_is_out():
    late = datetime(2026, 11, 8, tzinfo=timezone.utc)
    assert not in_scope("https://stg.example.com/", late)

def test_agreed_target_is_in():
    assert in_scope("https://stg.example.com/login", NOW)

最初の 3 つの試験は、脆い書き方に戻すと落ちます。道具が範囲を守ることは、書面を守ることの代わりにはなりません。書面が先で、道具はその写しです。

関わる事例

法と契約の線が、技術の判断と結び付いた例が並びます。First American では、文書を渡すアプリのリンクに認証が無く、URL の中の連番を別の数字に替えると無関係な取引の文書が見える欠陥がありました。自社の侵入テストで見つかっていたのに、深刻度を誤って記録して期限までに直さず、記者からの知らせで表に出ました。上で読んだ IPA の付録の、URL の番号を差し替える例と同じ形の穴です。

尼崎市では、給付金の業務の委託先が、市の承諾を得ずに再委託と再々委託を重ね、その先の従業員が全市民の個人情報の入った USB メモリーを持ち出して一時なくしました。調査委員会は、契約で定めた手続きが守られていなかったことを指摘しています。だれが何をしてよいかを書面で決めても、守られているかを確かめなければ、線は引かれていないのと同じです。

北アイルランド警察では、情報公開の請求への回答の Excel に、人事データそのままの隠れたシートが残り、全職員の名簿が公開のサイトに約 2 時間 20 分載りました。英国の ICO は制裁金を科しています。開示の手続きそのものが、法令と結び付いた守りの対象です。

確認クイズ

1 問目

取引先の担当者から「うちのサイトを調べてほしい」と頼まれました。調べ始める前に、まず何をそろえますか。

答えだと思う選択肢を押すと、その場で正誤と理由が開きます。

2 問目

ふつうに使っていたサイトで、URL の番号を 1 つ変えたら、他人の予約が偶然見えました。次にどうしますか。

答えだと思う選択肢を押すと、その場で正誤と理由が開きます。

説明課題

次のことを、自分の言葉で 3 行にまとめてください。書けたら、このレッスンは修了です。

  • 調べてよい範囲を、調べ始める前に書面で決める理由を、不正アクセス禁止法の条文の言葉を 1 つ使って
模範解答を見る

不正アクセス禁止法の第2条第4項は、アクセス管理者の承諾を得てする行為を不正アクセス行為から除いているので、承諾がだれから、どの範囲で出ているかが分かれ目になる。口約束では、宛先や期間が食い違った時に、承諾の範囲の中だったことをどちらも示せない。だから宛先、期間、送り元、してよいことを書面で決めて署名をもらい、道具の側でもその範囲の外へ出ないようにする。

一次資料

どれも 2026年10月27日に開いて、題と中身を確かめました。条文は e-Gov 法令検索の現行の条文から引いています。

次へ

次のレッスンは「測り方と直し方」です。守りの取り組みを、どの数で測り、どの数を測ってはいけないかを扱います。

次のレッスン 5-4 測り方と直し方

トラック 5 設計と制度の中で

前のレッスン 5-2 供給網のリスク

学んだことを次につなげる

ゆめさくセキュリティは、攻撃の仕組みを知り、自分の PC の中で壊して直し、守る側の判断を身につけるための学びの場です。

ラボはすべて自分の PC の中 (127.0.0.1) で閉じます。自分が管理していない相手に試すことは扱いません。