不正アクセス禁止法が何を禁じているのか、不正指令電磁的記録に関する罪の対象、不正競争防止法による営業秘密の保護を整理。診断や研究で気をつける点、情報処理安全確保支援士試験での問われ方まで解説します。
セキュリティに携わる立場では、技術だけでなく、何が法に触れるのかを知っておく必要があります。理由は二つあります。事故が起きたときに、どの法令に基づいて何を報告するのか判断するため。もう一つは、診断や調査を行う自分自身が、意図せず違法な行為をしないためです。以下は制度の骨格をつかむための概説で、実際の判断では最新の条文とガイドラインを確認してください。
この法律の中心にあるのは「識別符号」という言葉です。ID とパスワードのように、利用権者を識別するための符号を指します。他人の識別符号を無断で使ってアクセス制御のかかったコンピュータを利用する行為、そしてアクセス制御を回避して利用する行為が禁じられています。
押さえるべき点が二つあります。第一に、対象はネットワークを通じたアクセスです。第二に、アクセス制御がかかっていることが前提になります。誰でも見られる状態で公開されているものを見ても、この法律には該当しません。ただし、別の法律や規約の問題にはなりうるので、「該当しない＝何をしてもよい」ではありません。
もう一つ、識別符号を「提供する」だけでも該当しうる点は見落とされがちです。共有アカウントを外部の人に教える、退職者に伝えたままにする、といった運用は、法的な観点からも避けるべきということになります。
いわゆるウイルス作成罪と呼ばれるものです。人の意図に反する動作をさせる不正なプログラムを、正当な理由なく作成・提供・取得・保管する行為が対象になります。実際に使われたかどうかにかかわらず、作成や保管の段階で成立しうるのが特徴です。
ここで大事なのが「正当な理由なく」という条件と、「人の意図に反する」という要件です。研究や、業務としての検体の解析は、正当な理由がある行為として扱われます。ただし、扱いを誤れば疑われる余地は残るため、業務であることを示せる形——依頼書、隔離した環境、記録の保全——を整えておくことが実務上の備えになります。
企業の技術情報や顧客名簿などを、営業秘密として保護する仕組みです。保護を受けるには三つの要件を満たす必要があります。秘密として管理されていること（秘密管理性）、事業活動に有用な情報であること（有用性）、公然と知られていないこと（非公知性）です。
| 要件 | 意味 | 実務での備え |
|---|---|---|
| 秘密管理性 | 秘密として管理していると分かる状態 | 「秘」の表示、アクセス権の限定、持ち出しの制限 |
| 有用性 | 事業に役立つ情報である | 技術情報、顧客情報、原価情報など |
| 非公知性 | 公然とは知られていない | 公開資料に載っていない、入手が容易でない |
実務で問題になるのは、ほとんどが秘密管理性です。「大事な情報だと皆が思っていた」だけでは足りず、アクセスできる人が限られている、表示がある、規程で扱いが定められている——といった、客観的に分かる管理の実態が求められます。退職者による持ち出しが問題になったとき、この要件を満たしていなかったために保護を受けられない、という事態が起こりえます。
電子署名法は、一定の要件を満たす電子署名がされた電磁的記録について、真正に成立したものと推定する効力を定めています。紙の文書における押印と同様の位置づけを、電子的な文書に与える仕組みです。技術としてのディジタル署名と、法的な効力を結び付けるものと理解しておきます。
このほか、刑法の電子計算機損壊等業務妨害罪や電磁的記録不正作出罪、通信の秘密を定める電気通信事業法など、周辺の法令も出題範囲に含まれます。個々の条文の暗記よりも、「この事例はどの法律の話か」を切り分けられることが問われます。
午前Ⅱでは、不正アクセス禁止法の対象行為、営業秘密の三要件、各法令の適用範囲の切り分けが定番です。午後では、事例の中で「この行為はどの法律に触れるか」「営業秘密として保護を受けるために何が足りないか」を書かせる形が出ます。営業秘密の設問では、秘密管理性の不足を指摘させる出題が多く、アクセス権の限定と表示に触れると観点を満たせます。
IPA 公式 PDF：令和5年度 秋期 午前Ⅱ問題 ↗本文はこの公式 PDF でご覧ください（アプリ内には転載していません）。