不正アクセス禁止法の規制対象になるパスワード行為の見分け方
ITパスポート試験 令和5年度 問15 ／ 法務 › セキュリティ関連法規
過去問にチャレンジ
パスワードに関連した不適切な行為a～dのうち，不正アクセス禁止法で規制されている行為だけを全て挙げたものはどれか。 a 業務を代行してもらうために，社内データベースアクセス用の自分のIDとパスワードを同僚に伝えた。 b 自分のPCに，社内データベースアクセス用の自分のパスワードのメモを貼り付けた。 c 電子メールに添付されていた文書をPCに取り込んだ。その文書の閲覧用パスワードを，その文書を見る権利のない人に教えた。 d 人気のショッピングサイトに登録されている他人のIDとパスワードを，無断で第三者に伝えた。
- ア
a，b，c，d
- イ
a，c，d
- ウ
a，d
- エ
d
会話形式の解説
講師この問題は、4つの行為のうち、不正アクセス禁止法で禁止されている行為だけを選ぶ問題です。どれもセキュリティ上は不適切ですが、法律の規制対象になるかどうかは別に考えます。
受験者問題文に「不適切な行為」と書いてあるので、私は全部が違法なのかと思ってしまいました。
講師「不適切」でも、全部が違法とは限りません。不正アクセス禁止法は、他人のIDやパスワードでネットワーク経由のアクセス制御を突破する行為と、それを助長する行為を規制する法律です。そのため、見るポイントは2つです。「他人の」識別符号かどうかと、「ネットワーク経由のアクセス制御」に使うものかどうかです。識別符号とは、IDやパスワードのように利用者を見分けるための符号のことです。
受験者では、業務を代わってもらうために自分のIDとパスワードを同僚に伝えた行為はどうでしょうか。社内データベース用なので、ネットワーク経由のアクセス制御には当たりそうです。
講師そうですね。ただ、伝えたのは「自分の」識別符号です。他人の識別符号を提供したわけではないので、この法律の規制対象には当たりません。社内規程違反になる可能性はありますが、それは別の問題です。
受験者自分のパスワードのメモをPCに貼った行為も、同じ理由で対象外ということですね。
講師そのとおりです。管理の仕方としてはよくありませんが、他人の識別符号を扱っていないので、法律の規制には当たりません。
受験者メールに添付された文書の閲覧用パスワードを、見る権利のない人に教えた行為は迷いました。「権利のない人に教えた」というのは、助長行為に近い気がします。
講師ここが一番紛らわしいところです。文書の閲覧用パスワードは、PCに取り込んだファイルを開くためのものです。ネットワーク経由のアクセス制御に使う識別符号ではありません。そのため、見る権利のない人に教えても、この法律の規制対象にはなりません。
受験者最後の、ショッピングサイトに登録されている他人のIDとパスワードを無断で第三者に伝えた行為は、両方の条件に当てはまりますね。
講師はい。他人の識別符号を正当な理由なく提供する行為で、不正アクセスを助長する行為として規制されています。規制対象はこれだけなので、正解は「dだけ」を挙げたエです。
受験者「自分のものか、他人のものか」と「ネットワーク経由のアクセス制御に使うものか」の2点で判断する、ということですね。不適切かどうかとは分けて考えるようにします。
講師よい整理です。補足すると、この法律は不正アクセス行為そのものに加えて、他人の識別符号を不正に取得・提供・保管することや、管理者になりすまして識別符号を求めることも規制しています。一方で、規制対象にならない行為でも、社内規程違反や守秘義務違反として問題になることはあります。法律の対象かどうかと、セキュリティ上の問題かどうかは別の観点だと覚えておきましょう。
まとめ
不正アクセス禁止法は、ネットワーク経由のアクセス制御を他人の識別符号（IDやパスワード）で突破する行為と、それを助長する行為を規制する法律です。規制対象かどうかは、「他人の」識別符号かどうかと、「ネットワーク経由のアクセス制御」に使うものかどうかの2点で判断します。自分のIDやパスワードを同僚に教えたり、メモをPCに貼ったりする行為は不適切ですが、この法律の規制対象ではありません。文書ファイルの閲覧用パスワードもネットワーク経由のアクセス制御には使わないため対象外です。ショッピングサイトの他人のIDとパスワードを無断で第三者に伝える行為だけが規制対象になるので、正解はエです。
解答・解説
正解はエです
この問題のテーマ
パスワードに関する4つの行為のうち、不正アクセス禁止法で禁止されている行為だけを選ぶ問題です。セキュリティ上よくない行為と、法律で禁止されている行為を分けて考えます。
解き方の考え方
不正アクセス禁止法は、ネットワーク経由のアクセス制御を他人のIDやパスワードで突破する行為と、それを助長する行為を規制する法律です。そこで各行為について、「他人の」識別符号かどうか、「ネットワーク経由のアクセス制御」に使うものかどうかの2点を確認します。dだけが両方に当てはまるので、dだけを挙げた選択肢を選びます。
選択肢ごとの解説
- ×ア a，b，c，da〜dの全部を挙げた肢ですが、a、b、cは規制対象ではありません。たとえばbは、自分のパスワードのメモをPCに貼る行為です。管理上よくありませんが、他人の識別符号（IDやパスワードのこと）を扱っていないので、法律の規制には当たりません。したがって誤りです。
- ×イ a，c，da、c、dを挙げた肢ですが、aとcは規制対象ではありません。cの文書閲覧用パスワードは、ファイルを開くためのものです。ネットワーク経由のアクセス制御に使う識別符号ではないので、見る権利のない人に教えても規制されません。したがって誤りです。
- ×ウ a，daとdを挙げた肢ですが、aは規制対象ではありません。aは、業務代行のために自分のIDとパスワードを同僚に伝える行為です。社内規程違反になる可能性はあります。しかし他人の識別符号を提供したわけではないので、同法の規制には当たりません。したがって誤りです。
- ○エ ddだけを挙げた肢です。dは、ショッピングサイトに登録された他人のIDとパスワードを、無断で第三者に伝える行為です。他人の識別符号を正当な理由なく提供しており、不正アクセスを助長する行為として規制されます。規制対象はdだけなので、エが正解です。
補足
問題文に「不適切な行為」とあっても、全部が法律違反とは限りません。セキュリティ上の問題があるかどうかと、法律の規制対象かどうかは、別の観点で判断します。規制対象にならない行為でも、社内規程違反や守秘義務違反として問題になることはあります。
POINT
- 不正アクセス禁止法は、不正アクセス行為そのものと、それを助長する行為を禁止しています。
- 他人のIDやパスワード（識別符号）を不正に取得・提供・保管することや、管理者になりすまして識別符号を求めることも、規制対象です。
- 自分のIDやパスワードを人に教えたりメモを貼ったりする行為は不適切ですが、この法律の規制対象ではありません。
- 文書ファイルの閲覧用パスワードのように、ネットワーク経由のアクセス制御に使わないものは対象外です。