セキュリティ関連法規

不正アクセス禁止法は、アクセス制御機能で利用を制限しているコンピュータに対し、他人の識別符号を無断で入力するなどして制限を免れ、利用できる状態にする行為を禁止します。また、不正アクセスに使う目的で他人の識別符号を取得する行為や、正当な理由なく他人の識別符号を第三者へ提供して不正アクセスを助長する行為も規制されます。

侵入だけでなく識別符号の不正取得・提供も規制。

刑法には、コンピュータや電磁的記録を悪用する犯罪を扱う規定があります。不正指令電磁的記録に関する罪は、正当な理由なく、人のコンピュータで実行させる目的で、利用者の意図に反する動作をさせる不正なプログラムを作成・提供する行為などを対象とします。ほかに、電子計算機を用いて虚偽の情報や不正な指令を与えて財産上の利益を得る行為や、コンピュータ等を損壊して業務を妨害する行為なども処罰対象になり得ます。

刑法には不正プログラムや電子計算機悪用の罪がある。

個人情報保護法では、個人情報取扱事業者に対し、取り扱う個人データの漏えい、滅失、毀損を防ぐために必要かつ適切な安全管理措置を求めています。具体的な管理は、組織的・人的・物理的・技術的な観点で考えます。マイナンバー法では、個人番号を含む特定個人情報の適正な取扱いが求められ、取扱事務や担当者の範囲を明確にすることなどが重要です。

個人データにはリスクに応じた安全管理措置が必要。

電子署名及び認証業務に関する法律は、電子署名と認証業務に関する制度を定めています。電子署名は、電子文書がその署名を行った者の作成に係るものであることを示し、改変の有無を確認できるようにする仕組みです。電子証明書は、公開鍵と本人などの情報の対応を確認するために使われ、認証業務を行う事業者のうち一定の要件を満たすものには認定の制度があります。

電子署名と電子証明書は役割を分けて覚える。

情報流通プラットフォーム対処法は、インターネット上の権利侵害情報への対応や発信者情報の開示に関する枠組みを定め、大規模なプラットフォーム事業者には削除対応の迅速化や運用状況の透明化に関する措置を求めています。一方、特定電子メール法は広告宣伝メールなどを対象とし、原則として受信者の事前同意を得て送信する考え方を採ります。情報掲載の仲介と広告メール送信では、規制の対象が異なります。

情報流通の仲介と広告メール送信は別の法令で扱う。

科目Aの形: 四肢択一(このページのために作った問題)

不正アクセス禁止法における不正アクセス行為そのものに該当するものとして、最も適切なものはどれか。

1. 不正アクセスに使う目的で、他人の利用者IDとパスワードを本人に無断で取得する。
2. 偽のログイン画面を示し、利用者に識別符号の入力を不正に要求する。
3. 正当な理由なく、他人の利用者IDとパスワードを第三者へ提供して不正アクセスを助長する。
4. 他人の利用者IDとパスワードを無断で入力し、アクセス制御を免れてサーバを利用できる状態にする。

答えと解説を見る

正解: 他人の利用者IDとパスワードを無断で入力し、アクセス制御を免れてサーバを利用できる状態にする。

他人の識別符号を無断で入力してアクセス制御を免れ、利用できる状態にする行為は不正アクセス行為に当たります。イ〜エも同法で規制される行為ですが、不正アクセス行為そのものとは区別されます。

まちがえやすい点: 同じ法律で禁止される行為でも、不正アクセス行為と識別符号の取得・提供などは別に整理する。

科目Aの形: 四肢択一(このページのために作った問題)

個人情報保護法の安全管理措置のうち、技術的安全管理措置に当たるものとして、最も適切なものはどれか。

1. 担当者ごとにアクセス権を設定し、個人データを扱える範囲を業務上必要な範囲に限定する。
2. 個人データの取扱いに関する留意事項について、従業者へ教育を行う。
3. 安全管理の責任者や報告連絡体制を定め、組織として取扱状況を確認する。
4. 個人データを扱う区域への入退室を管理し、持ち込む機器を制限する。

答えと解説を見る

正解: 担当者ごとにアクセス権を設定し、個人データを扱える範囲を業務上必要な範囲に限定する。

担当者や対象データを限定するアクセス制御は技術的安全管理措置に当たります。イは人的、ウは物理的、エは組織的な安全管理措置として整理できます。

まちがえやすい点: どれも安全管理に関係するため、措置の内容ではなく分類を問われている点を確認する。

科目Aの形: 四肢択一(表を読む)(このページのために作った問題)

次の法律P〜Rと主な規制・制度の組合せとして、最も適切なものはどれか。

法律	主な規制・制度
P	不正アクセス行為や、それを助長する識別符号の提供などを規制する
Q	個人データについて必要かつ適切な安全管理措置を求める
R	サイバーセキュリティ施策の基本理念や責務を定め、政府が戦略を策定する枠組みを置く

1. P=サイバーセキュリティ基本法、Q=不正アクセス禁止法、R=個人情報保護法
2. P=不正アクセス禁止法、Q=サイバーセキュリティ基本法、R=個人情報保護法
3. P=不正アクセス禁止法、Q=個人情報保護法、R=サイバーセキュリティ基本法
4. P=個人情報保護法、Q=サイバーセキュリティ基本法、R=不正アクセス禁止法

答えと解説を見る

正解: P=不正アクセス禁止法、Q=個人情報保護法、R=サイバーセキュリティ基本法

Pはアクセス制御を破る行為などを扱う不正アクセス禁止法、Qは個人データの安全管理を求める個人情報保護法です。Rは国のサイバーセキュリティ施策の基本的な枠組みを定めるサイバーセキュリティ基本法です。

まちがえやすい点: 三つともセキュリティに関係するが、禁止行為、個人データの管理、国の施策という役割が異なる。