セキュリティ関連法規

要点と定義

セキュリティ関連法規は、法律ごとに目的と規制対象を分けて整理します。サイバーセキュリティ基本法は、我が国のサイバーセキュリティ施策の基本事項や、施策を総合的・効果的に進めるための体制を定めます。政府の施策と推進体制を問う問題では、この目的が判断の手掛かりです。

不正アクセス禁止法は、ネットワーク経由でアクセス制御を回避し、利用を制限されたコンピュータを使える状態にする行為などを規制します。他人の識別符号を使うことだけが判断条件ではなく、識別符号を使わずに制限を回避する行為も対象になり得ます。また、実害が発生していなくても罰することができるとされています。

不正アクセス禁止法では、他人の識別符号を使った不正アクセスと、正当な理由のない識別符号の提供も区別して考えます。他人の認証情報を無断で使い、ネットワーク経由でアクセス制御されたサービスにログインする行為や、正当な理由なく他人の識別符号を第三者に提供する行為が判断例です。ウイルス感染ファイルの誤送信、営業秘密情報の誤送信、著作権侵害サイトの閲覧自体、ウイルス作成は、これらの問題で問われた同法の規制行為とは区別します。

個人情報保護法に関係する語は、情報の範囲で区別します。パーソナルデータは個人に関係するデータを広く指す概念です。個人情報は個人を識別できる情報などを指し、個人データは個人情報のうち個人情報データベース等を構成するものです。検索できる会員名簿を構成する氏名や電話番号は、個人情報であり、名簿を構成する個人データでもあります。

個人情報の管理では、委託元が委託先で個人データの安全管理が図られるよう、必要かつ適切に監督します。委託先に渡す情報は業務に必要な範囲に絞り、配布方法や担当責任を定めます。管理規程のない社員リストの配布や、配送対象外の顧客情報まで委託先に預けることは、管理上不適切な例です。

個人情報取扱事業者の範囲を問う古い問題は、出題時点の制度に基づいて判断します。2017年春の問題で扱われた旧制度では、民間事業者について過去6か月に一度も5,000人分を超えない場合の除外がありました。その問題では、1万人を超える預金者情報を事業に用いる銀行は除外に当たらず、地方公共団体、国立大学法人、国税庁は民間事業者向けの規律とは別の扱いでした。2017年5月30日施行の改正で人数要件が廃止されたため、古い問題の条件を他の時点にそのまま当てはめないようにします。

個人情報取扱事業者の義務には、設問の想定時点での適用範囲や取扱いの目的による違いがあります。2016年の問題では、新聞社が報道目的で個人情報を取り扱う場合、当時の事業者義務に関する規定の適用除外でした。新聞社の業務全般が除外されるという意味ではありません。

マイナンバーは、法令で定められた事務に利用します。税務署に提出する調書への記載や、番号の提供を受ける際に本人の番号であることを確認することが例です。人事評価情報の管理番号として使うことは、設問で示された適切な利用ではありません。

発信者情報の開示では、開示請求があれば直ちに開示するのではなく、法定要件を判断します。発信者と連絡が取れる場合、開示するかどうかについて発信者の意見を聴きます。意見を聴くことは、同意を得ることとは異なります。

セキュリティ関連法規には、パーソナルデータ保護に関する国際的な動向や、特定電子メール法、不正指令電磁的記録に関する罪なども含まれます。法律名だけで判断せず、それぞれの目的や規制対象を見分けます。

適用条件と例

不正アクセスを考えるときは、ネットワーク経由か、アクセス制御があるか、その制御を回避して制限された利用を可能にしたかを確認します。他人の認証情報を使う行為はその一例ですが、認証情報の使用は必須条件ではありません。例えば、ネットワーク経由で脆弱性を突いてアクセス制御を回避し、制限された社内システムを利用可能にする行為も対象になり得ます。正当な理由のない識別符号の提供は、アクセスして利用する行為とは別に確認します。