記憶媒体経由のマルウェア被害、処罰する法律の見分け方
情報セキュリティマネジメント試験 令和元年度秋期 午前 問31 ／ 法務 › セキュリティ関連法規
過去問にチャレンジ
企業において業務で使用されているコンピュータに，記憶媒体を介してマルウェアを侵入させ，そのコンピュータのデータを消去した者がいたとき，その者を処罰の対象とする法律はどれか。
- ア
刑法
- イ
製造物責任法
- ウ
不正アクセス禁止法
- エ
プロバイダ責任制限法
会話形式の解説
講師今回は、企業のコンピュータにマルウェアを入れてデータを消した者を、どの法律で処罰できるかを選ぶ問題です。注目してほしいのは「処罰の対象とする」という言い方と、マルウェアがどういう経路で入ったかの2点です。
受験者マルウェアが「侵入」したと書いてあるので、私は最初に不正アクセス禁止法を思い浮かべました。違うのでしょうか。
講師そこが区別のポイントです。不正アクセス禁止法が規制するのは、認証などのアクセス制御をネットワーク経由で突破する行為と、それを助長する行為です。今回はネットワーク越しにログインしたわけではなく、記憶媒体を介して感染させ、データを消しています。
受験者「侵入」という言葉が同じでも、アクセス制御をネットワーク越しに破ったかどうかで判断するのですね。
講師そのとおりです。では、業務に使っているコンピュータのデータを消して業務を妨げる行為は、どの法律で処罰されると思いますか。
受験者刑法でしょうか。業務妨害という言葉は刑法で聞いたことがあります。
講師正解です。刑法には電子計算機損壊等業務妨害罪があり、業務用コンピュータのデータを壊して業務を妨げる行為が当たります。さらに、マルウェアを他人のコンピュータで実行させる行為などは、刑法の不正指令電磁的記録に関する罪、いわゆるウイルス作成罪でも処罰の対象になります。
受験者製造物責任法は、製品に欠陥があったときの法律ですよね。攻撃した人を罰するものではない気がします。
講師はい。製造物責任法は、製品の欠陥で被害が出たときに製造業者などが負う損害賠償責任を定めた法律です。民事上の責任のルールなので、攻撃者を処罰する法律ではありません。
受験者プロバイダ責任制限法は、インターネットで何か問題が起きたときの法律なので、少し迷います。
講師この法律は、インターネット上で権利侵害が起きたときのプロバイダの賠償責任の範囲や、発信者情報の開示請求について定めています。マルウェアでデータを消した者を処罰するための法律ではないので、ここでは外れます。
受験者まとめると、「処罰」かどうかで民事の法律を外し、ネットワーク越しにアクセス制御を破っていないので不正アクセス禁止法も外れる。データ破壊とマルウェアの実行は刑法、ということですね。
講師よく整理できています。補足すると、プロバイダ責任制限法は法改正で、現在は情報流通プラットフォーム対処法と呼ばれ、大規模なプラットフォーム事業者に権利侵害への対応を義務付ける内容も加わりました。ただ、攻撃者を処罰する法律ではない点は変わりません。データの破壊やマルウェアそのものに関する行為は刑法、アクセス制御の突破は不正アクセス禁止法、と分けて覚えておくと似た問題にも対応できます。
まとめ
記憶媒体を介してマルウェアを侵入させ、業務用コンピュータのデータを消去した者は、刑法で処罰の対象になります。データを壊して業務を妨げる行為は電子計算機損壊等業務妨害罪に、マルウェアを実行させる行為などは不正指令電磁的記録に関する罪に当たります。不正アクセス禁止法が対象とするのは、認証などのアクセス制御をネットワーク経由で突破する行為とその助長行為なので、今回の行為には当てはまりません。製造物責任法は製品の欠陥による賠償責任、プロバイダ責任制限法はプロバイダの賠償責任の範囲や発信者情報の開示を定める法律で、どちらも攻撃者を処罰するための法律ではありません。
解答・解説
正解はアです
この問題のテーマ
企業の業務用コンピュータに、記憶媒体経由でマルウェアを入れてデータを消した者を、どの法律で処罰できるかを選ぶ問題です。選択肢の法律が、それぞれ何を定めているかの区別が問われています。
解き方の考え方
最初に、問題文の「処罰の対象とする」に注目し、刑事罰を定める法律かどうかで選択肢を絞ります。次に、行為の中身を確かめます。ネットワーク越しにログインしたのではなく、記憶媒体からマルウェアを入れ、データを消して業務を妨げています。この行為を処罰するのは、データの破壊による業務妨害やマルウェアの使用を罰する刑法です。したがって、アが正解です。
選択肢ごとの解説
- ○ア 刑法刑法の説明は正しいです。業務に使われているコンピュータのデータを壊して業務を妨げる行為は、刑法の電子計算機損壊等業務妨害罪に当たります。また、マルウェアを他人のコンピュータで実行させる行為などは、刑法の不正指令電磁的記録に関する罪（いわゆるウイルス作成罪）でも処罰の対象になります。
- ×イ 製造物責任法製造物責任法は、製品の欠陥で被害が生じたときに、製造業者などが負う損害賠償責任を定めた法律です。民事上の責任を定めるもので、攻撃者を処罰する法律ではありません。
- ×ウ 不正アクセス禁止法不正アクセス禁止法は、他人のIDやパスワードを使うなどしてネットワーク経由でアクセス制御を突破する行為と、それを助長する行為を規制する法律です。本問の行為は記憶媒体を介した感染とデータ消去なので、この法律がいう不正アクセスの説明にはなりません。
- ×エ プロバイダ責任制限法プロバイダ責任制限法は、インターネット上で権利侵害が起きたときのプロバイダの賠償責任の範囲や、発信者情報の開示請求について定めた法律です。マルウェアでデータを消去した者を処罰する法律ではありません。
補足
「マルウェア」「侵入」という言葉だけで不正アクセス禁止法を選ぶと誤りになります。不正アクセス禁止法に当たるかどうかは、ネットワーク越しに認証などのアクセス制御を破ったかどうかで判断します。データの破壊やマルウェアそのものに関する行為は刑法の対象、と分けて覚えておくと、似た問題にも対応できます。
※プロバイダ責任制限法は法改正により、現在は「情報流通プラットフォーム対処法」と呼ばれています。改正後は、大規模なプラットフォーム事業者に権利侵害への対応を義務付ける内容も加わりました。ただし、本問の行為を処罰する法律ではないという点は変わらないので、正解に影響はありません。
POINT
- 業務用コンピュータのデータを壊して業務を妨げる行為は、刑法の電子計算機損壊等業務妨害罪に当たります。
- マルウェアの作成・提供・実行などは、刑法の不正指令電磁的記録に関する罪で処罰されます。
- 不正アクセス禁止法が対象とするのは、ネットワーク経由でアクセス制御を突破する行為とその助長行為です。
- 製造物責任法とプロバイダ責任制限法は、主に賠償責任などの民事上のルールを定めた法律で、攻撃者を処罰するためのものではありません。