セキュリティ関連法規
サイバーセキュリティ基本法は国全体の方針を定め、不正アクセス禁止法は個々の不正行為を取り締まります。個人情報保護法は個人情報取扱事業者に義務を課し、GDPRなど国際的な動向とも関連します。
サイバーセキュリティ基本法や不正アクセス禁止法、個人情報保護法など、情報セキュリティに関わる代表的な法律の目的と対象を説明できるようになります。GDPRなど国際的な動向もあわせて押さえます。
IT業界では個人情報や機密情報を扱う機会が多く、関連法規の理解は業務上も欠かせません。ITパスポート試験でも、法律の名称とその目的を対応させる問題が頻出です。
サイバーセキュリティ基本法と不正アクセス禁止法
情報セキュリティに関わる法律は、大きく「社会全体の方針を定める法律」と「個々の不正行為を取り締まる法律」に分けて理解すると整理しやすくなります。
サイバーセキュリティ基本法は、日本全体のサイバーセキュリティ施策の基本となる考え方を定めた法律です。国や地方公共団体、重要インフラ事業者、民間企業などが、それぞれの役割に応じてサイバーセキュリティに取り組む体制を整えることを目的としています。個々の攻撃や事件を取り締まる法律ではなく、国としての基本方針や戦略の枠組みを示す法律である点が特徴です。
一方、不正アクセス禁止法(不正アクセス行為の禁止等に関する法律)は、他人のID・パスワードを無断で使ってシステムにログインする行為や、脆弱性(セキュリティ上の弱点)を突いてアクセス制御を回避する行為を禁止する法律です。この法律の重要な特徴は、実際に情報を盗んだり被害が生じたりしていなくても、不正にログインした時点で処罰の対象になるという点です。被害の有無にかかわらず、不正な侵入行為そのものが違法とされます。また、他人のID・パスワードを本人の許可なく第三者に教える行為も、不正アクセス助長行為として規制の対象になります。知り合いから預かったパスワードを軽い気持ちで別の人に教えてしまうことも、この規制に触れる可能性があるため注意が必要です。
サイバーセキュリティ基本法が「国全体の方針」を定める法律であるのに対し、不正アクセス禁止法は「個人や組織による具体的な不正行為」を取り締まる法律です。この視点の違いを押さえておくと、試験で法律名を問われたときに判断しやすくなります。
サイバーセキュリティ基本法の考え方に基づいて、政府には内閣サイバーセキュリティセンターという組織が設置され、政府機関のセキュリティ対策の統括や、サイバー攻撃が発生した際の対応調整といった役割を担っています。国全体で足並みをそろえてセキュリティ対策に取り組む体制づくりが、この法律の狙いだと理解しておくとよいでしょう。企業の情報システム担当者にとっても、自社が守るべきルールの根拠がどちらの法律にあるのかを意識しておくことは、実務上の判断に役立ちます。
個人情報保護法の仕組みと用語
個人情報保護法(個人情報の保護に関する法律)は、事業者が個人情報を適切に取り扱うためのルールを定めた法律です。生存する個人に関する情報で、氏名や生年月日などから特定の個人を識別できるものを個人情報と呼びます。マイナンバーや指紋データのように、それ単体で特定の個人を識別できる情報は個人識別符号として扱われます。
事業活動で個人情報を取り扱う事業者は個人情報取扱事業者と呼ばれ、利用目的をできる限り特定して本人に通知・公表すること、目的の範囲を超えて利用しないこと、第三者に提供する際は原則として本人の同意を得ることなどの義務を負います。この法律全体の運用を監督する機関が個人情報保護委員会です。
個人情報の中でも、人種・信条・病歴・犯罪歴など特に慎重な扱いが求められる情報は要配慮個人情報と呼ばれ、取得には原則として本人の同意が必要です。これに対して、特定の個人を識別できないように加工し、元の情報に復元できないようにしたデータは匿名加工情報と呼ばれ、一定の条件のもとで本人の同意なしに第三者へ提供することが認められています。同じ「加工した個人情報」でも、要配慮個人情報が保護を強める方向、匿名加工情報が利用を広げる方向という違いがあります。
第三者提供に関しては、あらかじめ本人から同意を得てから情報を提供するオプトインと、本人が拒否しない限り提供を続けるオプトアウトという2つの考え方があります。個人情報保護法では、第三者提供は原則としてオプトインの考え方に基づいて行う必要があります。このほか、マイナンバー(個人番号)の取り扱いについては、個人情報保護法とは別にマイナンバー法によって、利用できる場面が社会保障・税・災害対策の分野に限定されるなど、より厳格なルールが定められています。個人情報保護法が幅広い個人情報を対象にした一般的なルールであるのに対し、マイナンバー法は特に重要度の高い番号情報に絞って上乗せの規制をかける法律だと理解しておくと整理しやすくなります。企業がマイナンバーを扱う場面では、通常の個人情報以上に厳重な管理体制が求められる点も試験で問われることがあります。
国際的な動向とその他の情報セキュリティ関連法規
個人情報の保護は日本国内だけの課題ではなく、国際的にも共通のルールづくりが進められています。代表的なものが、EU(欧州連合)が定めたGDPR(General Data Protection Regulation、一般データ保護規則)です。GDPRはEU域内の個人データを対象とした厳格な規則で、EU域外の企業がEU市民のデータを扱う場合にも適用される点が特徴です。
GDPRで注目される権利の一つが、忘れられる権利(消去権)です。これは、本人が求めた場合に、事業者が保有する自分に関するデータを削除させることができる権利です。またGDPRでは、個人を直接特定できないように別の情報に置き換える仮名化や、個人を特定する情報を完全に取り除く匿名化といった処理方法も重視されています。仮名化は元のデータと照合すれば個人を特定できる可能性が残るのに対し、匿名化は照合しても個人を特定できない状態にする点が異なります。
日本国内では、このほかにも情報セキュリティに関わるいくつかの法律があります。特定電子メール法(特定電子メールの送信の適正化等に関する法律)は、広告や宣伝を目的とした電子メールを一方的に大量送信する行為を規制する法律で、あらかじめ受信の同意を得た相手にのみ送信できるオプトイン方式が採用されています。
また、コンピュータウイルスなど不正なプログラムを正当な理由なく作成・提供・保管する行為を処罰する規定は、不正指令電磁的記録に関する罪(ウイルス作成罪)と呼ばれています。ウイルスを実際に使って被害を与えていなくても、作成したり保管したりした時点で処罰の対象になり得る点は、不正アクセス禁止法と同じ考え方です。
このように見ていくと、日本国内の情報セキュリティ関連法規は、それぞれ「何を」「誰から」守ろうとしているのかが少しずつ違います。個人情報保護法は個人のプライバシーを、不正アクセス禁止法はシステムそのものの安全を、特定電子メール法は迷惑メールからの平穏な生活を、ウイルス作成罪は情報システムの信頼性を守っています。法律名を覚える際は、この「守る対象」を意識すると混同しにくくなります。
この単元の確認問題
答えを見る前に、まず自分の言葉で答えてみてください。言葉にできないところが、そのまま本試験で止まるところです。
Q. 不正アクセス禁止法の重要な特徴として、被害が実際に生じていなくても処罰の対象になる行為とは何ですか。
A. 他人のID・パスワードを無断で使ってシステムにログインする行為です。不正アクセス禁止法では、被害の有無にかかわらず不正な侵入行為そのものが処罰の対象となります。
Q. 個人情報保護法の運用を監督する機関を何と呼びますか。
A. 個人情報保護委員会です。個人情報取扱事業者が法律に定められた義務を守っているかを監督する役割を担っています。
Q. 個人を特定できないように加工した情報のうち、照合しても個人を特定できない状態にする処理を何と呼びますか。
A. 匿名化です。元の情報と照合すれば個人を特定できる可能性が残る仮名化とは異なり、匿名化は照合しても個人を特定できない状態まで加工します。
セキュリティ関連法規は、読んで分かることと、本番で点になることが別です。点にするための材料はこちらにまとめてあります。
- この単元の問題 26問（どこをどう間違えたかまで解説）
- この単元のひっかけ（本試験がどう引っかけてくるか）
- この単元をそのままITパスポート専用AIチューターに質問できます
- 間違えた問題だけを自動で拾い直す復習リスト
「第1章 企業活動と法務」の他の単元
- 単元01 企業活動と組織形態
- 単元02 経営管理とヒューマンリソース
- 単元03 会計と財務
- 単元04 業務分析とデータ利活用
- 単元05 知的財産権
- 単元07 労働関連法規と取引関連法規
- 単元08 標準化とコンプライアンス
この単元を、手を動かして確かめる
ITパスポートAIチューターでは、いま読んだ単元の四択問題をその場で解いて、 どこで間違えたかまで解説付きで確かめられます。 わからないところはITパスポート専用のAIチューターに訊けます。
この単元をアプリで開く 登録は無料。メールアドレスだけで始められます。