法令・規格(刑法・不正アクセス禁止法・ISO27000系)

「不正アクセス行為の禁止等に関する法律」(不正アクセス禁止法)は本試験の最頻出法令である。不正アクセス行為とは、電気通信回線を通じて、アクセス制御機能を有する特定電子計算機に対して行う行為であり、①他人の識別符号(ID・パスワード等)を無断で入力する識別符号窃用型、②③アクセス制御機能の脆弱性を突いて制限を回避するセキュリティホール攻撃型(直接攻撃型と他の計算機経由型)の3類型に整理される(2条4項)。禁止行為は不正アクセス行為(3条、3年以下の拘禁刑又は100万円以下の罰金)のほか、他人の識別符号の不正取得(4条)、正当な理由なく識別符号を第三者に提供する不正助長行為(5条)、不正取得した識別符号の保管(6条)、フィッシングサイト開設等により識別符号の入力を不正に要求する行為(7条)まで及ぶ。アクセス管理者には防御措置の努力義務(8条)が課される。ネットワークを経由しない攻撃、アクセス制御機能のない計算機の利用、DoS攻撃は本法の対象外である点が定番の出題論点である。

刑法はサイバー犯罪を複数の罪で捕捉する。不正指令電磁的記録に関する罪(168条の2・168条の3、平成23年新設)はいわゆるコンピュータウイルス罪であり、正当な理由がないのに「人の電子計算機における実行の用に供する目的」で不正指令電磁的記録を作成・提供する行為(3年以下の拘禁刑又は50万円以下の罰金)、実行の用に供する供用行為、取得・保管行為(2年以下又は30万円以下)を処罰する。作成自体で既遂となり、実際に実行させたか否かを問わない点が重要である。電子計算機損壊等業務妨害罪(234条の2、5年以下)はDoS攻撃やデータ改変による業務妨害を、電子計算機使用詐欺罪(246条の2、10年以下)は虚偽の情報若しくは不正な指令を与えて不実の電磁的記録を作り財産上不法の利益を得る行為を対象とする。ほかに電磁的記録不正作出・供用罪(161条の2)、支払用カード電磁的記録不正作出等罪(163条の2、スキミング等)がある。なお令和7年6月施行の改正により懲役・禁錮は拘禁刑に一本化された。

個人情報保護法は令和2年・令和3年改正後の姿で出題される。漏えい等が発生した場合、①要配慮個人情報の漏えい等、②不正利用により財産的被害が生じるおそれ、③不正の目的をもって行われたおそれ、④1,000人を超える漏えい等の4類型(施行規則7条)に該当すれば、個人情報保護委員会への報告と本人への通知が義務となる(法26条)。それ以外の事案の報告は義務ではない。要配慮個人情報(人種、信条、病歴、犯罪歴等)は取得に原則本人同意が必要で、オプトアウトによる第三者提供はできない。匿名加工情報は特定の個人を識別できないよう加工し復元不能とした情報で、本人同意なく第三者提供が可能である。令和2年改正で新設された仮名加工情報は、他の情報と照合しない限り個人を識別できないよう加工した情報で、内部分析での利活用を想定し原則として第三者提供はできない。提供先で個人データとなることが想定される個人関連情報(Cookie等)の提供規制、不適正利用の禁止、令和3年改正による官民の規律一元化も押さえたい。

周辺法令も選択肢の識別に必要である。電子署名法3条は、本人だけが行うことができる電子署名(固有性の要件)が行われた電磁的記録を真正に成立したものと推定する。サイバーセキュリティ基本法(平成26年)は施策の基本理念と国・地方公共団体等の責務を定め、サイバーセキュリティ戦略本部の設置根拠となる(2025年には能動的サイバー防御の関連法整備に伴い内閣官房NISCが国家サイバー統括室へ再編)。プロバイダ責任制限法は2024年改正で「情報流通プラットフォーム対処法」へ改称され、大規模プラットフォーム事業者に権利侵害情報への削除対応の迅速化・運用状況の公表等を義務付けた。特定電子メール法は広告宣伝メールに原則オプトイン規制を課す。不正競争防止法は秘密管理性・有用性・非公知性を満たす営業秘密と限定提供データを保護する。電気通信事業法の通信の秘密、著作権法のプログラム著作物・技術的保護手段の回避規制も既出である。

ISO/IEC 27000シリーズはISMS関連の規格群である。27000は概要及び用語、27001はISMSの要求事項を定めた唯一の認証基準であり、JIS Q 27001として国内規格化されている。27002は組織が選択できる情報セキュリティ管理策の詳細な手引であり、2022年版で管理策は93に再編され、組織的・人的・物理的・技術的の4テーマに分類された(27001:2022の附属書Aと対応)。27005は情報セキュリティリスクマネジメントの指針、27014は情報セキュリティガバナンス、27017はクラウドサービスの提供者・利用者双方に適用できる情報セキュリティ管理策の実践の規範、27018はPII(個人識別可能情報)プロセッサとして働くパブリッククラウド事業者向けのPII保護管理策、27701はプライバシー情報マネジメントシステム(PIMS)の要求事項と指針である。番号と対象領域の対応を問う四択が定番で、特に27017(クラウド全般)と27018(クラウド上のPII)の混同を狙った出題が多い。国内のISMS適合性評価制度ではISMS-ACが認証機関を認定する。

JIS Q 27000は情報セキュリティを「情報の機密性、完全性及び可用性を維持すること」と定義し、さらに真正性、責任追跡性、否認防止、信頼性のような特性を含めることもあるとする。ISMS運用の中核はリスクアセスメント(リスク特定→リスク分析→リスク評価)とリスク対応であり、対応にはリスク回避、リスク源の除去、起こりやすさや結果の変更(低減)、リスク共有(移転)、情報に基づく意思決定によるリスク保有(受容)といった選択肢がある。リスク受容基準とアセスメント実施基準は組織が確立し、残留リスクはリスク所有者が承認する。27001の要求事項では、適用宣言書(SoA)に必要な管理策とその正当化の理由、附属書A管理策の除外とその理由を記載する(6.1.3)。内部監査、マネジメントレビュー、不適合への是正処置と継続的改善も要求事項である。午前ではCIA各特性の定義文の入替えや、リスク対応の用語を問う出題が頻出である。