セキュリティ統制・法務・基準重要度:★★★出題: AM2・PM1

不正アクセス禁止法とサイバー犯罪関連法規

ふせいあくせすきんしほう / Unauthorized Computer Access Law & Cybercrime Laws

ネットワーク経由で他人のID・パスワードを無断入力する行為やセキュリティホールを攻撃してアクセス制御を突破する行為、およびフィッシング等によるID・パスワード不正取得・保管・助長行為を処罰する法律。

3行速習ポイント

不正アクセス行為の2類型：①特定電子計算機に他人の識別符号（ID・パスワード等）を入力する行為、②セキュリティホール攻撃によりアクセス制御機能を免れて制限された機能を利用する行為
不正アクセス行為だけでなく、他人の識別符号の「不正取得」「不正保管」「不正入力要求（フィッシングサイト開設等）」「不正アクセス助長行為（パスワード無断開示）」も処罰対象
アクセス管理者には、識別符号の適切な管理・有効性検証機能の高度化・速やかな変更等の防御措置を講ずる努力義務が規定されている

図不正アクセス禁止法の規制対象3類型と診断実務の留意点

実行行為の処罰

1. 不正アクセス行為（なりすまし・脆弱性攻撃）

他人のID・PWの無断入力、またはセキュリティホール攻撃での突破

電気通信回線を通じてアクセス制御機能を持つ特定電子計算機に他人の識別符号を入力する行為、および脆弱性を突いて制限機能を利用する行為を処罰

周辺・準備行為の処罰

2. 識別符号の不正取得・不正保管・フィッシング

不正アクセス目的でのID・PW取得・保管・入力要求（偽サイト）

実際にログインする前段階であっても、フィッシングサイトを開設してID・パスワードを入力させる行為や、不正取得・保管・無断開示（助長行為）を処罰

管理者義務・診断実務

3. アクセス管理者の防御措置努力義務と正当業務

推測困難な識別符号管理と、診断時の事前承諾・スコープ合意

管理者には認証強化や速やかなID失効の努力義務がある。セキスペが診断を行う際は対象IP・時間帯・手法を明記した書面承諾を得て違法性を阻却する

💡 対象は「電気通信回線（ネットワーク）を通じたアクセス制御機能の突破」であり、脆弱性診断・ペネトレーションテスト実施時はシステム所有者の事前書面承諾が必須

情報処理安全確保支援士として業務を行う際、何が法的に「不正アクセス行為」に該当し、ペネトレーションテストや脆弱性診断を行う際になぜシステム所有者からの「明示的な書面による事前承諾（スコープ合意）」が不可欠なのかを理解する上で根幹となる法律です。

ネットワーク経由（電気通信回線を通じて）の要件：スタンドアロンPCを物理的に直接操作する行為は不正アクセス禁止法の対象外（刑法の不正指令電磁的記録や電子計算機損壊等業務妨害罪等の領域）
アクセス制御機能の有無：最初から誰でも閲覧可能な公開Webページをクローラで大量取得する行為などは、アクセス制御機能の突破がないため不正アクセス禁止法違反にはあたらない（偽計業務妨害等の議論となる）
ウイルス作成罪（刑法第168条の2・3：不正指令電磁的記録に関する罪）：正当な理由なくマルウェアを作成・提供・供用・取得・保管する行為を処罰