マルウェアによるデータ消去を罰する法律の見分け方
情報セキュリティマネジメント試験 2022年 サンプル問題 問32 ／ 法務 › セキュリティ関連法規
過去問にチャレンジ
企業が業務で使用しているコンピュータに，記憶媒体を介してマルウェアを侵入させ，そのコンピュータのデータを消去した者を処罰の対象とする法律はどれか。
- ア
刑法
- イ
製造物責任法
- ウ
不正アクセス禁止法
- エ
プロバイダ責任制限法
会話形式の解説
講師今回は、業務で使っているコンピュータのデータをマルウェアで消した人を、どの法律で罰するかを問う問題です。手がかりは「記憶媒体を介して」と「データを消去した」の二点です。
受験者マルウェアを侵入させているので、私は不正アクセス禁止法かと思いました。侵入という言葉が入っていますし。
講師そこは連想しやすいところです。ただ、不正アクセス禁止法が規制しているのは、ネットワークを通じて他人のIDやパスワードを無断で使うなどの不正アクセスと、それを助ける行為です。今回の侵入経路はどうなっていますか。
受験者記憶媒体です。USBメモリのようなものを使ったということですね。ネットワーク経由で認証を突破したとは書かれていません。
講師そのとおりです。なので不正アクセス禁止法には当たりません。データを消して業務を妨げる行為は、刑法の電子計算機損壊等業務妨害罪の対象になります。業務に使うコンピュータを壊したりデータを消したりして、業務を妨げることを罰する罪です。
受験者刑法にコンピュータの罪があるんですね。マルウェアを使うこと自体も刑法で罰せられるのですか。
講師はい。不正指令電磁的記録に関する罪、通称ウイルス作成罪があり、マルウェアの作成・提供・実行・取得が対象です。この問題の行為には、どちらの観点からも刑法が関係します。
受験者製造物責任法は、製品の欠陥で被害が出たときの法律でしたよね。人を罰する法律ではない気がします。
講師正しい理解です。製造物責任法は、製品の欠陥で被害が出たときに製造業者などへ損害賠償を求めるための民事の法律です。データを消した人を罰する根拠にはなりません。
受験者プロバイダ責任制限法も、プロバイダの責任の範囲を決める法律なので、加害者の処罰とは別ということですか。
講師そうです。インターネット上の情報で権利を侵害されたときに、プロバイダなど通信を仲介する事業者がどう対応し、どこまで責任を負うかを扱う法律です。なお、法改正で現在は情報流通プラットフォーム対処法という名称になっていますが、どちらの名前で出てもデータ消去を罰する法律ではありません。
受験者整理すると、データ消去で業務を妨げたら刑法の電子計算機損壊等業務妨害罪、ネットワーク経由でIDなどを悪用したら不正アクセス禁止法、残りの二つは賠償や事業者の責任の法律、ということですね。
講師よくまとまっています。見分けるときは、侵入経路がネットワークか、IDなどを悪用した認証の突破があるかを確かめてください。補足すると、DoS攻撃やWebページの改ざんも電子計算機損壊等業務妨害罪の対象になり得ますし、フィッシングは刑法の電子計算機使用詐欺罪に当たる場合があります。
まとめ
業務用コンピュータのデータをマルウェアで消去して業務を妨げる行為は、刑法の電子計算機損壊等業務妨害罪の対象で、マルウェアの作成や実行には不正指令電磁的記録に関する罪（ウイルス作成罪）も関係します。不正アクセス禁止法はネットワーク経由でIDやパスワードを悪用する不正アクセスを規制する法律なので、記憶媒体経由の侵入やデータ破壊そのものには当たりません。製造物責任法は製品の欠陥による損害賠償、プロバイダ責任制限法（現・情報流通プラットフォーム対処法）は通信を仲介する事業者の対応と責任を定める法律で、加害者を処罰する法律ではありません。侵入経路と認証突破の有無を確かめるのが見分けるポイントです。
解答・解説
正解はアです
この問題のテーマ
マルウェアを使って業務用コンピュータのデータを消去する行為を、どの法律が処罰の対象にしているかを問う問題です。セキュリティ関連の法律が、それぞれ何を規制しているかを見分けられるかが問われています。
解き方の考え方
まず問題文の行為を整理します。「記憶媒体を介して」マルウェアを侵入させ、「データを消去した」という点が手がかりです。データを消して業務を妨げる行為は、刑法の電子計算機損壊等業務妨害罪に関係します。次に、残りの法律が規制している範囲を確認します。製造物責任法は民事の賠償、不正アクセス禁止法はネットワーク経由の不正アクセス、プロバイダ責任制限法は通信を仲介する事業者の責任をそれぞれ扱っています。このように確認すると、処罰の根拠になるのは刑法だけだと分かります。
選択肢ごとの解説
- ○ア 刑法刑法は正解です。刑法には電子計算機損壊等業務妨害罪があり、業務に使うコンピュータのデータを消去して業務を妨げる行為を処罰の対象にしています。また、マルウェアを作ったり使ったりする行為には、不正指令電磁的記録に関する罪（通称ウイルス作成罪）も関係します。
- ×イ 製造物責任法製造物責任法は誤りです。この法律は、製品の欠陥によって被害が出たときに、製造業者などへ損害賠償を求めるための民事の法律です。データを消した人を罰する根拠にはなりません。
- ×ウ 不正アクセス禁止法不正アクセス禁止法は誤りです。この法律は、ネットワークを通じて他人のIDやパスワードを無断で使うなどの不正アクセスと、それを助ける行為を規制しています。本問の侵入経路は記憶媒体で、ネットワーク経由で認証を突破したとは書かれていないため、当てはまりません。
- ×エ プロバイダ責任制限法プロバイダ責任制限法は誤りです。この法律が扱うのは、インターネット上の情報で権利を侵害されたときに、プロバイダなど通信を仲介する事業者がどう対応し、どこまで責任を負うかです。データを消去する行為を処罰する法律ではありません。
補足
「マルウェア」「侵入」という言葉から、不正アクセス禁止法を選んでしまうのがよくある引っかけです。侵入の経路がネットワークか、IDなどを悪用した認証の突破があるかを確かめると見分けられます。なお、DoS攻撃やWebページの改ざんも電子計算機損壊等業務妨害罪の対象になり得ます。フィッシングは、刑法の電子計算機使用詐欺罪に当たる場合があります。
※プロバイダ責任制限法は法改正によって名称が変わり、現在は「情報流通プラットフォーム対処法」と呼ばれています。改正後は、大規模なプラットフォーム事業者に、権利侵害への対応を義務付ける規定も加わっています。どちらの名称で出題されても、データ消去を処罰する法律ではないという判断は変わりません。
POINT
- 業務用コンピュータのデータを消したり壊したりして業務を妨げる行為は、刑法の電子計算機損壊等業務妨害罪の対象です。
- マルウェアの作成・提供・実行・取得は、刑法の不正指令電磁的記録に関する罪（ウイルス作成罪）の対象です。
- 不正アクセス禁止法が規制するのはネットワーク経由の不正アクセスなので、記憶媒体経由の侵入やデータの破壊そのものには当たりません。
- 製造物責任法とプロバイダ責任制限法は、主に損害賠償や事業者の対応・責任を定める法律で、加害者を処罰する法律ではありません。