変更要約: 初版
4.3セキュリティ関連法規
個人情報の適正な取扱いを定める個人情報保護法、不正なアクセス行為を禁じる不正アクセス禁止法、インターネット上の権利侵害情報への対応を定める情報流通プラットフォーム対処法(旧プロバイダ責任制限法)、国のサイバーセキュリティ施策の基本を定めるサイバーセキュリティ基本法、営業秘密を保護する不正競争防止法、なりすまし等を防ぐ電子署名法、そして刑法の電子計算機損壊等業務妨害罪を学びます。
SGでは、管理策の技術的な正しさだけでなく関連法規を踏まえた対応が問われます。ここで扱う法律は改正が多い分野のため、現行の名称・要件を正確に覚えることが重要です。特に「プロバイダ責任制限法」は名称が変わっているため注意してください。
4.3.1個人情報保護法と不正アクセス禁止法
- 個人情報保護法（個人情報の保護に関する法律）＝個人情報を取り扱う事業者に対し、利用目的の特定・通知、安全管理措置、第三者提供の制限等を義務付ける法律。個人データの漏えい等が発生した場合、一定の要件下で個人情報保護委員会への報告と本人への通知が義務付けられています。委託先に個人データの取扱いを委託する場合、委託元は委託先に対する必要かつ適切な監督を行う義務を負います。
- 不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）＝他人のID・パスワードを無断で使用してアクセス制御機能のあるシステムに侵入する不正アクセス行為、およびそれを助長するID・パスワードの不正取得・不正保管・第三者提供等を禁止する法律。実害が発生していなくても、アクセス制御を回避してログインした時点で違法となる点が重要です。
4.3.2情報流通プラットフォーム対処法とサイバーセキュリティ基本法
- 情報流通プラットフォーム対処法＝インターネット上で権利侵害(誹謗中傷等)を受けた被害者が、投稿の削除や発信者情報の開示をSNS事業者等の大規模プラットフォーム事業者に求めやすくすることを目的とした法律で、以前は「プロバイダ責任制限法」と呼ばれていました。大規模プラットフォーム事業者への対応の迅速化・運用状況の公表義務が強化された点が現行法の特徴です。
- サイバーセキュリティ基本法＝国全体としてのサイバーセキュリティ施策の基本理念を定め、国・地方公共団体・重要インフラ事業者等の責務を明らかにし、サイバーセキュリティ戦略の策定等の枠組みを規定する法律。個別の禁止行為を定める法律(不正アクセス禁止法等)とは異なり、国全体の体制・方針を定める基本法である点を区別します。
4.3.3不正競争防止法・電子署名法・刑法
- 不正競争防止法＝企業の営業秘密(秘密管理性・有用性・非公知性の3要件を満たす情報)を不正に取得・使用・開示する行為を禁止し、被害企業が差止請求・損害賠償請求を行えるようにする法律。退職者が顧客リストや技術情報を持ち出すケースなど、内部関係者による情報持ち出しへの対応で登場します。
- 電子署名法（電子署名及び認証業務に関する法律）＝一定の要件を満たす電子署名に、手書きの署名・押印と同等の法的効力（真正な成立の推定）を認める法律。契約書等を電子化する際のなりすまし・改ざん防止の根拠になります。刑法（電子計算機損壊等業務妨害罪）＝コンピュータやそのデータを破壊・改ざんし、業務を妨害する行為を処罰する規定。マルウェア感染によるシステム破壊やデータ改ざんによる業務妨害は、不正アクセス禁止法だけでなくこの刑法の規定にも該当し得ます。
「プロバイダ責任制限法は現行名称では情報流通プラットフォーム対処法」「不正アクセスは実害の有無に関わらずアクセス制御突破の時点で違法」「営業秘密の3要件(秘密管理性・有用性・非公知性)」「サイバーセキュリティ基本法は個別禁止行為でなく国全体の基本理念・体制を定める」が最頻出です。旧名称のまま出題されても現行法の内容で判断する姿勢が求められます。
中堅化学メーカーE社で発生した複合的なインシデントを例に、関連法規の適用関係を整理します。E社の元研究員が退職直前に、秘密管理性・有用性・非公知性を満たす製法データ(営業秘密)を無断で私物USBメモリにコピーして持ち出し、転職先で使用したことが発覚しました。E社はこの行為が不正競争防止法の営業秘密侵害に該当するとして、元研究員と転職先企業に対して差止請求と損害賠償請求を検討しました。調査の過程で、この元研究員が退職後もかつての同僚のIDとパスワードを無断で使い、社内システムに複数回ログインしていたことも判明しました。実際にデータを盗み見ただけで改ざんはしていませんでしたが、アクセス制御機能を回避してログインした時点で不正アクセス禁止法違反が成立します。さらに、この一件がSNS上で「E社は情報管理がずさんだ」という誹謗中傷を含む投稿として拡散され、事実と異なる誹謗中傷部分について、E社は該当SNS事業者に対し情報流通プラットフォーム対処法に基づき投稿の削除と発信者情報の開示を請求しました。一方、この一連の対応の中でE社の情報システム部門は、業界横断的なサイバーセキュリティ対策の指針として国が定めるサイバーセキュリティ基本法に基づく施策(重要インフラ事業者向けの情報共有の枠組み等)にも参加しており、個別の被害対応(不正競争防止法・不正アクセス禁止法・情報流通プラットフォーム対処法)と、国全体の基本方針(サイバーセキュリティ基本法)という異なるレイヤーの法規が並行して機能していることを実感しました。
| 法律 | 保護/規律の対象 | 要点 |
|---|---|---|
| 個人情報保護法 | 個人情報・個人データ | 漏えい時は委員会報告＋本人通知の義務 |
| 不正アクセス禁止法 | アクセス制御機能のあるシステム | 実害なくログイン成立時点で違法 |
| 情報流通プラットフォーム対処法 | ネット上の権利侵害情報 | 旧プロバイダ責任制限法・削除/開示請求 |
| 不正競争防止法 | 営業秘密 | 秘密管理性/有用性/非公知性の3要件 |
ひっかけ： 「プロバイダ責任制限法」という名称は現行のシラバスでは情報流通プラットフォーム対処法に改称されており、単独の名称のまま出題文の正解として選ぶのは誤りです。また「不正アクセス禁止法は、実際にデータが盗まれたり改ざんされたりして初めて違法になる」も誤り＝アクセス制御機能を回避してログインした時点で既に違法です。さらに「サイバーセキュリティ基本法は個別の不正アクセス行為を直接処罰する法律」も誤り＝個別の禁止・処罰規定は不正アクセス禁止法や刑法が担い、サイバーセキュリティ基本法は国全体の基本理念・体制を定める法律です。
4.3.4この節のまとめ
- 「プロバイダ責任制限法」→現行情報流通プラットフォーム対処法。不正アクセス禁止法は実害なくログイン成立時点で違法
- 営業秘密の3要件(秘密管理性/有用性/非公知性)を満たす情報の不正取得・使用は不正競争防止法違反
- サイバーセキュリティ基本法＝国全体の基本理念・体制を定める法律で、個別の禁止行為を定める法律とは役割が異なる
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. インターネット上の匿名の投稿によって誹謗中傷の被害を受けた者が、SNS事業者に対して投稿の削除や発信者情報の開示を求める根拠となる法律として、現行のシラバスで正しいものはどれか。
Q2. 退職者が他人のIDとパスワードを無断で使用して社内システムにログインしたが、データの閲覧のみで改ざんは行わなかった。この行為に関する記述として最も適切なものはどれか。
Q3. 退職予定の従業員が、秘密管理性・有用性・非公知性の3要件を満たす製法データを無断で持ち出し、転職先で使用した。この行為に対して被害企業が差止請求・損害賠償請求を行う根拠となる法律として最も適切なものはどれか。