Question 1

不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）が禁止する行為として正しいものはどれか。

Accepted Answer

他人の識別符号を無断入力しアクセス制御を回避して利用する行為。不正アクセス禁止法2条4項及び3条は、他人のID・パスワード等の識別符号を無断で入力しアクセス制御機能を回避して特定電子計算機を利用する行為を不正アクセス行為として禁止している。他の選択肢の誤り：・自己が管理するコンピュータへの自らのアクセスは同法の規制対象ではない。・公開情報の閲覧のみでは識別符号の回避に当たらず不正アクセス行為とはならない。・正当な権限に基づく保守点検は不正アクセス行為に該当しない。

Question 2

不正アクセス禁止法における識別符号の不正取得・保管に関する記述として正しいものはどれか。

Accepted Answer

不正アクセスの用に供する目的で他人の識別符号を取得する行為は禁止される。同法は不正アクセス行為そのものだけでなく、不正アクセス行為の用に供する目的での識別符号の取得・保管、及び他人への提供行為についても禁止し罰則を定めている。他の選択肢の誤り：・不正の目的での取得は処罰対象となる。・識別符号の提供行為も同法の禁止対象に含まれる。・不正な目的での保管行為自体が禁止されており利用の有無を問わない。

Question 3

アクセス管理者が講ずべき防御措置に関する不正アクセス禁止法の規定として正しいものはどれか。

Accepted Answer

アクセス管理者には識別符号の適正管理等の防御措置を講ずる努力義務が課されている。同法8条は、アクセス管理者に対し識別符号の適正管理等の防御措置を講ずる努力義務を定めている。他の選択肢の誤り：・努力義務として明文で定められており、課されていないわけではない。・防御措置を怠ったこと自体に直接の刑事罰が科される規定はない。・具体的な措置内容は各アクセス管理者の判断に委ねられる部分が大きく、法律で一律に定められているわけではない。

Question 4

サイバーセキュリティ基本法の目的に関する記述として正しいものはどれか。

Accepted Answer

国や地方公共団体、重要社会基盤事業者等の責務を明らかにし施策を総合的に推進する。サイバーセキュリティ基本法は、基本理念を定め、国等の責務を明らかにするとともに、施策の基本となる事項を定め総合的かつ効果的に推進することを目的とする。他の選択肢の誤り：・具体的な技術基準を一律に義務付ける法律ではなく施策推進の基本法である。・同法は罰則中心の取締法規ではなく理念法・基本法としての性格を持つ。・個人の利用行為を直接規制するものではない。

Question 5

サイバーセキュリティ基本法における「重要社会基盤事業者」に関する記述として正しいものはどれか。

Accepted Answer

電力や金融等、生活・経済活動の基盤となる事業者としてセキュリティ確保に努める。同法は、電力・金融・通信等の重要インフラを担う事業者について、自主的かつ積極的にサイバーセキュリティの確保に努めるという責務を定めている。他の選択肢の誤り：・重要社会基盤事業者は民間事業者も広く含まれ国の機関に限定されない。・同法上の責務規定が置かれており責務が課されていないとはいえない。・対象範囲は法や政府の方針等により整理されており事業者が任意に定めるものではない。

Question 6

標的型メール攻撃を受けて社内システムが不正アクセスされた場合の企業の対応として適切なものはどれか。

Accepted Answer

被害拡大防止のための初動対応を行い必要に応じて監督官庁や警察へ相談する。不正アクセスによる情報漏えいのおそれがある場合、被害拡大防止措置を講じるとともに、個人情報保護法上の報告義務の要否を確認し、警察等関係機関へ相談することが望ましい対応とされる。他の選択肢の誤り：・漏えいの内容によっては本人への通知や公表が必要となる場合がある。・要件に該当すれば個人情報保護法上の報告義務が生じ得るため放置は許されない。・復旧作業を全面的に停止することは被害拡大を招きかねず適切でない。

Question 7

不正アクセス禁止法上、処罰の対象となる行為として正しいものはどれか。

Accepted Answer

他人のパスワードを無断で第三者に提供するという行為。不正アクセス禁止法5条は、業務その他正当な理由がある場合を除き、アクセス制御機能に係る他人の識別符号を第三者に提供する行為を禁止している（提供の相手方が不正アクセス行為の用に供する目的であることを知っていた場合は、より重い法定刑が科される。12条2号・13条）。他の選択肢の誤り：・自己のアカウントに関する正当な手続は規制対象ではない。・正当な業務範囲内でのログ確認は不正アクセス行為に該当しない。・利用規約に同意した通常利用は不正アクセス行為ではない。

Question 8

企業の情報システムにおけるアクセス制御に関する実務上の留意点として適切なものはどれか。

Accepted Answer

業務上必要な範囲内でのみアクセス権限を付与し定期的に見直すべきである。不正アクセスや情報漏えいのリスクを低減するため、最小権限の原則に基づきアクセス権限を付与し、異動・退職等に応じて定期的に見直すことが望ましい。他の選択肢の誤り：・退職者のアカウントを無効化するだけで権限を残しておくことは、退職後の不正利用のリスクを残すため適切でない。・異動時に旧部署の権限を残したまま新たな権限を付与することは、最小権限の原則に反し不正アクセスのリスクを高める。・生体認証を導入した場合であっても、パスワード等の他の認証・アクセス制御の仕組みが一律に不要となるわけではない。

Question 9

サイバーセキュリティ基本法が国の施策として掲げる事項に含まれるものはどれか。

Accepted Answer

人材の確保及び育成等並びに研究開発の推進等。サイバーセキュリティ基本法は基本的施策として、人材の確保・育成、研究開発の推進、国際協力の推進等を掲げている。他の選択肢の誤り：・株式保有比率の規制は同法の施策ではなく他の経済法制の領域である。・個人の利用時間を制限する施策は定められていない。・通信事業者の合併規制は独占禁止法等の領域であり同法の施策ではない。

Question 10

コンピュータウイルスの作成・提供等を処罰する不正指令電磁的記録に関する罪について正しいものはどれか。

Accepted Answer

正当理由なくウイルスを作成又は提供すれば刑法上処罰され得る。刑法168条の2及び168条の3は、正当な理由がないのに、人の電子計算機における実行の用に供する目的でコンピュータウイルス（不正指令電磁的記録）を作成・提供・供用・取得・保管する行為を処罰の対象としている。他の選択肢の誤り：・提供行為についても作成行為と同様に処罰対象とされている。・単なるバグはプログラムの動作を害する意図がなければウイルスには当たらず処罰対象とならない。・ウイルスに感染しただけの被害者は処罰の対象とはならない。

情報セキュリティ関連法制の一問一答