U
「不正アクセス禁止法に違反したら罰則はあるの？」「個人情報保護法とセキュリティってどう関係するの？」——情報セキュリティの法規は種類が多く、整理が大変ですよね。今日は各法律の目的・禁止行為・罰則をスッキリ比較表で整理します。
情報セキュリティ関連法規の全体像——なぜ法律で守るのか
経営情報システムでは、情報セキュリティの技術的な知識だけでなく「法的な枠組み」の理解が求められます。サイバーセキュリティ基本法・不正アクセス禁止法・個人情報保護法を中心に、各法律の目的・禁止行為・罰則・届出義務を整理し、試験対策として確実に得点できる知識を身につけましょう。
情報セキュリティは技術だけでは守れません。法律・制度・ガイドラインという「社会的なルール」が技術的対策を補完することで、はじめてサイバー空間の安全が保たれます。診断士試験では「どの法律が何を禁止・義務化しているのか」という整理が求められます。
| 法律・制度 | 制定・改正 | 主な保護対象 | 所管省庁 |
|---|---|---|---|
| サイバーセキュリティ基本法 | 2014年（2016年改正） | 国のサイバー空間全体 | 内閣官房（NISC） |
| 不正アクセス禁止法 | 2000年（2012年改正） | 情報システムへの不正侵入 | 総務省・警察庁 |
| 個人情報保護法 | 2003年（2022年全面施行） | 個人の情報プライバシー | 個人情報保護委員会 |
| 電子署名法 | 2001年 | 電子文書の真正性 | 総務省・経産省・法務省 |
| e-文書法 | 2005年 | 電磁的保存の法的認定 | 各省庁 |
サイバーセキュリティ基本法——国の戦略的な安全保障の柱
2014年に制定されたサイバーセキュリティ基本法は、急増するサイバー攻撃に対して国家レベルで対処するための基本的な枠組みを定めた法律です。
目的：サイバーセキュリティの確保に関する施策を総合的かつ効率的に推進し、経済社会の活力ある発展と国民が安全で安心して暮らせる社会の実現に寄与すること。
定義：「サイバーセキュリティ」とは、電子的方式等で記録・発信・伝送・受信される情報の漏えい・滅失・毀損の防止、その他情報の安全管理のために必要な措置が講じられ、かつ情報システムや通信ネットワークの安全性・信頼性が確保されている状態をいう。
- 内閣官房に設置された政府のセキュリティ司令塔
- サイバーセキュリティ戦略の策定・推進
- 政府機関・重要インフラへの対策の総合調整
- インシデント発生時の対応支援
- 経済社会の活力向上と持続的発展
- 安全・安心なサイバー空間の構築
- 国際社会の平和・安定と日本の安全保障への貢献
基本法では、情報通信・金融・航空・空港・鉄道・電力・ガス・政府・行政サービス・医療・水道・物流・化学・クレジット・石油の15分野が重要インフラとして指定されています。これらは社会生活に不可欠なシステムであり、サイバー攻撃による被害が国家安全保障に直結します。
不正アクセス禁止法——どんな行為が「違法」になるのか
正式名称は「不正アクセス行為の禁止等に関する法律」。2000年に施行され、2012年に大幅改正されました。コンピュータシステムへの不正侵入を禁止する法律です。
| 違反行為 | 罰則 |
|---|---|
| 不正アクセス行為 | 3年以下の懲役または100万円以下の罰金 |
| 不正取得したID・PWの提供 | 1年以下の懲役または50万円以下の罰金 |
| 識別符号の不正保管 | 1年以下の懲役または50万円以下の罰金 |
| フィッシングサイトの運営等 | 1年以下の懲役または50万円以下の罰金 |
不正アクセス禁止法は「アクセス制御機能を有するコンピュータシステム」が対象です。セキュリティがかかっていないシステムへのアクセスは、この法律では禁止されていません（ただし他の法律で問題になる場合があります）。また届出義務——不正アクセスの被害を受けた管理者は、都道府県警察に届け出ることができる（義務ではなく任意）という点も確認しておきましょう。
個人情報保護法とセキュリティ——安全管理措置の義務
個人情報保護法（2003年制定、2022年全面施行）は、個人情報の適正な取り扱いを義務づける法律です。情報セキュリティとの関係では特に「安全管理措置」と「漏えい等の報告義務」が重要です。
| 義務 | 内容 |
|---|---|
| 利用目的の特定・通知 | 個人情報を取得する際は利用目的を特定して通知・公表する |
| 安全管理措置 | 個人データの漏えい・毀損・滅失を防ぐための必要かつ適切な措置を講じる |
| 従業者・委託先の監督 | 個人データを扱う従業者・委託先を適切に監督する義務 |
| 第三者提供の制限 | 本人の同意なく第三者に個人情報を提供してはならない |
| 開示・訂正・利用停止 | 本人から請求があれば開示・訂正・削除・利用停止に応じる義務 |
2022年施行の改正個人情報保護法により、個人データの漏えい等が発生した場合の報告義務が新設されました。
- 報告先：個人情報保護委員会（および本人への通知）
- 報告が必要な場合：不正アクセスによる漏えい、要配慮個人情報の漏えい、財産的被害が生じるおそれがある漏えい、1,000件以上の個人データの漏えいなど
- 報告期限：速報は漏えい等を知った後できるだけ速やかに（目安3～5日以内）、確報は30日以内（不正目的は60日以内）
| 措置の種類 | 主な内容 |
|---|---|
| 組織的安全管理措置 | 責任者の設置、管理規程の整備、実施状況の確認・改善 |
| 人的安全管理措置 | 従業者への研修・教育、誓約書の取得 |
| 物理的安全管理措置 | サーバー室へのアクセス制限、機器の施錠管理 |
| 技術的安全管理措置 | アクセス制御、暗号化、マルウェア対策、ログの取得・分析 |
電子署名法・e-文書法——電子化と法的効力
目的：電子文書の真正性（改ざんされていないこと）と本人性（本人が作成したこと）を担保するための法律。
ポイント：電磁的記録に記録された情報が本人の意思に基づくことを示す電子署名が行われている場合、真正に成立したものと推定される。
目的：法律で紙での保存が義務づけられていた文書を、電磁的方式（電子ファイル）でも保存できるようにする法律。
ポイント：税務関係帳簿・医療記録・建設業関係書類等、各法律で紙保存が要求されていたものを電子化できるようになった（要件あり）。
電子署名は公開鍵暗号方式を利用します。送信者は秘密鍵で署名し、受信者は公開鍵で検証します。これにより「なりすまし」と「改ざん」を同時に防ぐことができます。また認証局（CA）が発行する電子証明書によって、公開鍵が確かに本人のものであることを証明します。
情報セキュリティポリシーの策定——3層構造を理解する
企業が情報セキュリティを組織的に実施するためには、「情報セキュリティポリシー」を策定・文書化することが重要です。これは法律ではなく組織内の規程ですが、個人情報保護法の安全管理措置や、ISMSの要求事項とも密接に関連します。
情報セキュリティポリシーは組織独自の規程であるのに対し、ISMS（情報セキュリティマネジメントシステム）はISO/IEC 27001という国際規格に基づく認証制度です。ISMSはPDCAサイクルでセキュリティ管理を継続的に改善する枠組みで、第三者機関による認証を取得することができます。
中小企業向けセキュリティガイドライン——実務への接続
独立行政法人情報処理推進機構（IPA）が公表している中小企業向けガイドラインは、診断士試験でも出題されることがあります。
| 重要5項目 | 概要 |
|---|---|
| OSやソフトウェアのアップデート | 既知の脆弱性を放置しないことが基本 |
| ウイルス対策ソフトの導入 | マルウェア感染防止の最低限の対策 |
| パスワード管理の強化 | 推測されにくいパスワード・使い回し禁止・多要素認証 |
| データのバックアップ | ランサムウェア等への対策としてオフラインバックアップも |
| 不審なメール・サイトへの対処 | フィッシング・標的型攻撃への対応 |
各法律の横断比較——試験直前の整理表
| 法律 | 主な目的 | 禁止・義務 | 罰則・対応 | 所管 |
|---|---|---|---|---|
| サイバーセキュリティ基本法 | 国のセキュリティ戦略の推進 | 義務規定なし（基本法） | 罰則なし（戦略・計画の根拠法） | 内閣官房NISC |
| 不正アクセス禁止法 | 情報システムへの不正侵入防止 | 不正アクセス・ID提供・保管等を禁止 | 最大3年以下懲役・100万円以下罰金 | 総務省・警察庁 |
| 個人情報保護法 | 個人情報の適正な取り扱い | 安全管理措置・漏えい報告義務 | 個人情報保護委員会の命令・6月以下懲役等 | 個人情報保護委員会 |
| 電子署名法 | 電子文書の真正性担保 | 認定電子署名に電磁的記録の推定効 | 虚偽申請への罰則あり | 総務省・経産省等 |
| e-文書法 | 文書の電子保存を合法化 | 各法律の紙保存要件の緩和 | 個別法令による | 各省庁 |
よくある質問（FAQ）
まとめ——法規整理のポイントと試験対策
サイバーセキュリティ基本法：2014年制定・NISC設置・罰則なし・基本法として国の戦略の根拠。
不正アクセス禁止法：アクセス制御を突破する行為を禁止・最大3年懲役・ID/PW提供・保管も禁止。
個人情報保護法：安全管理措置（組織的・人的・物理的・技術的）と漏えい報告義務（2022年改正）が試験頻出。
電子署名法：電子文書の真正性保護・PKIの仕組みと関連。
e-文書法：紙保存義務の緩和・電磁的保存を合法化。
セキュリティポリシー3層：基本方針→対策基準→実施手順の順で細かくなる。
情報セキュリティの法規は「どの法律が何を禁止・義務づけているか」を横断的に整理することが試験対策の核心です。個別の法律名と罰則を暗記するだけでなく、「なぜその法律が必要なのか」という背景を理解することで、応用問題にも対応できるようになります。今日整理した比較表を何度も見返して、確実に得点源にしていきましょう。
