第43回では、SOCの役割と、CSIRTとの違い・連携のあり方を確認した。これで、情報セキュリティを支える組織・体制の全体像は一通り整理できた。
今回からは新たなシリーズとして、情報セキュリティに関連する法律を取り上げる。
第1回となる今回は、サイバー犯罪を取り締まる法律と、国のサイバーセキュリティ政策の土台となる法律を確認しよう。
これまでのシリーズでは、不正アクセスやマルウェア、サービス妨害といった攻撃を、技術や手口の面から見てきた。今回は同じテーマを、「法律ではどのように禁止され、どのような罰則があるのか」という面から見直していこう。
不正アクセス禁止法
不正アクセス禁止法（正式名称は「不正アクセス行為の禁止等に関する法律」）は、1999年に公布され、2000年に施行された法律である。
ネットワークを通じた不正なログインなどを禁止し、罰則を定めている。あわせて、システムの管理者に対して、不正アクセスを防ぐための対策を講じる努力義務を課している点も特徴である。
この法律が対象とするのは、ネットワークに接続されたコンピュータのうち、ID・パスワードなどの識別符号を入力しなければ利用できないよう、アクセス制御がかけられているものである。
禁止されている行為
不正アクセス禁止法が禁止している主な行為は、次の通りである。
- 不正アクセス行為の禁止（第3条）
他人のID・パスワードを無断で使ってログインする「なりすまし」と、システムの脆弱性（セキュリティホール）を突いて、アクセス制御を回避して侵入する行為の2種類がある - 他人の識別符号の不正取得の禁止（第4条）
不正アクセスの目的で、他人のID・パスワードを盗む行為 - 不正アクセス行為を助長する行為の禁止（第5条）
他人のID・パスワードを、正当な理由なく第三者に提供する行為 - 他人の識別符号を不正に保管する行為の禁止（第6条）
不正に取得された他人のID・パスワードを、不正アクセスに使う目的で保管する行為 - 識別符号の不正な入力要求の禁止（第7条）
偽のログイン画面などを使って、利用者にID・パスワードを入力させようとするフィッシング行為
第7条のフィッシング規制や、第4条・第6条の取得・保管の禁止は、2012年の法改正で追加された。第9回で扱ったソーシャルエンジニアリングや、フィッシングメールによる認証情報の窃取は、この法律の規制対象と結びついている。
【参考】不正アクセス行為の禁止等に関する条文（第三条〜第七条）を開く
（不正アクセス行為の禁止）
第三条 何人も、不正アクセス行為をしてはならない。
（他人の識別符号を不正に取得する行為の禁止）
第四条 何人も、不正アクセス行為（第二条第四項第一号に該当するものに限る。第六条及び第十二条第二号において同じ。）の用に供する目的で、アクセス制御機能に係る他人の識別符号を取得してはならない。
（不正アクセス行為を助長する行為の禁止）
第五条 何人も、業務その他正当な理由による場合を除いては、アクセス制御機能に係る他人の識別符号を、当該アクセス制御機能に係るアクセス管理者及び当該識別符号に係る利用権者以外の者に提供してはならない。
（他人の識別符号を不正に保管する行為の禁止）
第六条 何人も、不正アクセス行為の用に供する目的で、不正に取得されたアクセス制御機能に係る他人の識別符号を保管してはならない。
（識別符号の入力を不正に要求する行為の禁止）
第七条 何人も、アクセス制御機能を特定電子計算機に付加したアクセス管理者になりすまし、その他当該アクセス管理者であると誤認させて、次に掲げる行為をしてはならない。ただし、当該アクセス管理者の承諾を得てする場合は、この限りでない。
- 当該アクセス管理者が当該アクセス制御機能に係る識別符号を付された利用権者に対し当該識別符号を特定電子計算機に入力することを求める旨の情報を、電気通信回線に接続して行う自動公衆送信（公衆によって直接受信されることを目的として公衆からの求めに応じ自動的に送信を行うことをいい、放送又は有線放送に該当するものを除く。）を利用して公衆が閲覧することができる状態に置く行為
- 当該アクセス管理者が当該アクセス制御機能に係る識別符号を付された利用権者に対し当該識別符号を特定電子計算機に入力することを求める旨の情報を、電子メール（特定電子メールの送信の適正化等に関する法律（平成十四年法律第二十六号）第二条第一号に規定する電子メールをいう。）により当該利用権者に送信する行為
（出典：不正アクセス禁止法・e-GOV法令検索）
罰則
罰則は、行為の重さによって異なる。
- 不正アクセス行為（第3条）
- 3年以下の拘禁刑または100万円以下の罰金
- 識別符号の不正取得・不正保管・不正な入力要求（第4条・第6条・第7条）
- 1年以下の拘禁刑または50万円以下の罰金
- 不正アクセス行為を助長する行為（第5条）
- 相手方の不正アクセス目的を知って提供した場合：1年以下の拘禁刑または50万円以下の罰金
- それ以外の場合：30万円以下の罰金
2025年6月1日から、従来の「懲役」と「禁錮」を一本化した「拘禁刑」が施行された。現在の法律では「拘禁刑」と表記されている点に注意しよう。
刑法のコンピュータ犯罪
不正アクセス禁止法のほかに、刑法にもサイバー犯罪に関する規定がある。これまでのシリーズで見てきた攻撃との対応で整理すると、理解しやすい。
不正指令電磁的記録に関する罪（ウイルス作成罪）
2011年の刑法改正で新設された規定で、第33回で扱ったマルウェアに対応する。正当な理由がないのに、他人のコンピュータで実行させる目的で、ウイルスなどの不正なプログラムを作成・提供・取得・保管する行為を処罰する。
- 作成・提供（刑法168条の2）
3年以下の拘禁刑または50万円以下の罰金 - 供用（同上）
同上。未遂も罰せられる。 - 取得・保管（刑法168条の3）
2年以下の拘禁刑または30万円以下の罰金
「正当な理由がないのに」という要件が置かれているのは、セキュリティ研究やウイルス対策ソフトの開発など、正当な目的でウイルスを扱う場合まで処罰しないようにするためである。
【参考】刑法（不正指令電磁的記録に関する罪：第168条の2・第168条の3）を開く
（不正指令電磁的記録作成等）
第百六十八条の二 正当な理由がないのに、人の電子計算機における実行の用に供する目的で、次に掲げる電磁的記録その他の記録を作成し、又は提供した者は、三年以下の拘禁刑又は五十万円以下の罰金に処する。
- 人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録
- 前号に掲げるもののほか、同号の不正な指令を記述した電磁的記録その他の記録
２ 正当な理由がないのに、前項第一号に掲げる電磁的記録を人の電子計算機における実行の用に供した者も、同項と同様とする。
３ 前項の罪の未遂は、罰する。
（不正指令電磁的記録取得等）
第百六十八条の三 正当な理由がないのに、前条第一項の目的で、同項各号に掲げる電磁的記録その他の記録を取得し、又は保管した者は、二年以下の拘禁刑又は三十万円以下の罰金に処する。
（出典：刑法・e-GOV法令検索）
その他の主なコンピュータ犯罪
- 電子計算機使用詐欺罪（刑法246条の2）
コンピュータに虚偽の情報や不正な指令を与えて、財産上の不法な利益を得る行為。ネットバンキングの不正送金などが該当し、10年以下の拘禁刑と、法定刑が重い - 電子計算機損壊等業務妨害罪（刑法234条の2）
コンピュータを破壊したり、不正な指令を与えたりして、業務を妨害する行為。第8回で扱ったサービス妨害（DoS・DDoS）攻撃が、この罪に問われる場合がある - 電磁的記録不正作出・供用罪（刑法161条の2）
事務処理を誤らせる目的で、権利や義務、事実証明に関する電磁的記録を不正に作成したり、それを事務処理に使用したりする行為
【参考】刑法（電子計算機に関する罪・電磁的記録に関する罪：第246条の2、第234条の2、第161条の2）を開く
（電子計算機使用詐欺）
第二百四十六条の二 前条に規定するもののほか、人の事務処理に使用する電子計算機に虚偽の情報若しくは不正な指令を与えて財産権の得喪若しくは変更に係る不実の電磁的記録を作り、又は財産権の得喪若しくは変更に係る虚偽の電磁的記録を人の事務処理の用に供して、財産上不法の利益を得、又は他人にこれを得させた者は、十年以下の拘禁刑に処する。
（電子計算機損壊等業務妨害）
第二百三十四条の二 人の業務に使用する電子計算機若しくはその用に供する電磁的記録を損壊し、若しくは人の業務に使用する電子計算機に虚偽の情報若しくは不正な指令を与え、又はその他の方法により、電子計算機に使用目的に沿うべき動作をさせず、又は使用目的に反する動作をさせて、人の業務を妨害した者は、五年以下の拘禁刑又は百万円以下の罰金に処する。
２ 前項の罪の未遂は、罰する。
（電磁的記録不正作出及び供用）
第百六十一条の二 人の事務処理を誤らせる目的で、その事務処理の用に供する権利、義務又は事実証明に関する電磁的記録を不正に作った者は、五年以下の拘禁刑又は五十万円以下の罰金に処する。
２ 前項の罪が公務所又は公務員により作られるべき電磁的記録に係るときは、十年以下の拘禁刑又は百万円以下の罰金に処する。
３ 不正に作られた権利、義務又は事実証明に関する電磁的記録を、第一項の目的で、人の事務処理の用に供した者は、その電磁的記録を不正に作った者と同一の刑に処する。
４ 前項の罪の未遂は、罰する。
（出典：刑法・e-GOV法令検索）
サイバーセキュリティ基本法
ここまでの法律は、「してはいけない行為」を定めて処罰するものであった。これに対してサイバーセキュリティ基本法は、国全体のサイバーセキュリティ政策の理念や、関係者の責務を定める法律である。2014年に成立し、2015年に全面施行された。
この法律は、国、地方公共団体、重要社会基盤事業者（電力、通信、金融などの重要インフラを担う事業者）、サイバー関連事業者、教育研究機関、そして国民のそれぞれに、サイバーセキュリティの確保に向けた責務や努力を求めている。
基本法という名前のとおり、方向性を示す理念的な法律であり、国や地方公共団体などの責務を定めている。ただし、秘密保持義務などの一部の規定には罰則も設けられている。
政府の政策を担う組織として、サイバーセキュリティ戦略本部が置かれている。その事務局機能は、長らく内閣サイバーセキュリティセンター（NISC）が担ってきたが、2025年に内閣官房に国家サイバー統括室が設置され、体制が見直されている。
【補足】サイバー対処能力強化法
2025年5月には、サイバー対処能力強化法（正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」）が成立した。攻撃を受けてから対処するだけでなく、攻撃の兆候の段階で先手を打つ「能動的サイバー防御」を導入する法律で、基幹インフラ事業者に対する、重要な機器の届出やインシデント報告の義務などが定められている。主要部分が、2026年10月1日に施行された。
基本法が理念を示す法律であるのに対し、この法律は国の権限や事業者の義務を具体的に定める法律、という位置づけになる。ただし、成立から日が浅いため、試験の対策としては、まずサイバーセキュリティ基本法の位置づけを押さえておこう。
試験対策のポイント
- 不正アクセス禁止法が禁止する行為（不正アクセス行為、識別符号の不正取得・助長・不正保管、フィッシング）を区別できるようにしておく。特に、「他人のID・パスワードを無断で使う」だけでなく、「セキュリティホールを突いて侵入する」行為も不正アクセス行為に含まれる点を押さえておく
- 不正アクセス禁止法には、禁止・処罰だけでなく、管理者に対する防御措置の努力義務も含まれる点を理解しておく
- ウイルスの作成・提供・取得・保管は、刑法の不正指令電磁的記録に関する罪で処罰されることを押さえておく
- 事例文の行為と法律の対応関係を判断できるようにしておく。例えば、「他人のIDとパスワードでログインした」は不正アクセス禁止法、「ウイルスを作成して配布した」は不正指令電磁的記録に関する罪、「大量のアクセスでサイトの業務を妨害した」は電子計算機損壊等業務妨害罪が思い浮かぶようにしておく
- サイバーセキュリティ基本法は、理念や責務を定める基本法である。ただし、秘密保持義務など、一部の規定には罰則が設けられている点に注意する。
- 法定刑の数字は、細かく暗記するよりも、まず「不正アクセス行為の方が、IDの不正取得などの準備的な行為よりも重い」といった相対的な重さを理解しておく
今回は、情報セキュリティ関連法規シリーズの第1回として、不正アクセス禁止法、刑法のコンピュータ犯罪、サイバーセキュリティ基本法を確認した。これまでに技術の面から学んできた不正アクセス、マルウェア、サービス妨害、フィッシングが、それぞれ法律でどう扱われているかを対応づけておくと、事例問題でも判断しやすくなる。次回は、情報の取り扱いに関する法律として、個人情報保護法とマイナンバー法を取り上げる。
コメント