概要
不正アクセス禁止法（「不正アクセス行為の禁止等に関する法律」）と不正競争防止法はSC試験の法規・制度分野で毎年出題される重要な法律です。前者はコンピュータへの不正侵入・フィッシングなどを規制し、後者は営業秘密の窃取・開示などを規制します。罰則の数字・構成要件を正確に押さえることが重要です。
不正アクセス禁止法
禁止される行為（主要4類型）
| 行為 | 内容 | 罰則 |
|---|---|---|
| 不正アクセス行為 | 他人の識別符号を無断使用・セキュリティホールを利用して不正ログイン | 3年以下の懲役または100万円以下の罰金 |
| 不正アクセス助長行為 | 識別符号を権限なく第三者に提供（フィッシングサイト運営等） | 1年以下の懲役または50万円以下の罰金 |
| 識別符号の不正取得・保管 | 他人の識別符号を不正に取得・保管する行為 | 1年以下の懲役または50万円以下の罰金 |
| 不正アクセスに備えた行為 | フィッシングサイトの設置・フィッシングメール送信 | 1年以下の懲役または50万円以下の罰金 |
識別符号とは
アクセス制御機能に用いられる本人確認のための情報です。
| 識別符号の例 | 具体例 |
|---|---|
| 文字列（パスワード） | ログインパスワード |
| 生体情報 | 指紋・顔認証データ |
| ICカードの情報 | Suicaの認証情報 |
| 秘密の質問の答え | セキュリティ質問 |
識別符号でないもの：IDのみ（パスワードが伴わない場合）
アクセス制御機能
不正アクセス禁止法が保護する対象は、アクセス制御機能のある特定電子計算機に限定されます。
適用あり：
- ログインパスワードが設定されたWebサービスへの不正ログイン
- 認証が必要なSSHサーバへの不正アクセス
適用なし：
- アクセス制御がない（認証なし）の公開サービスへの通常のアクセス防御義務・管理者義務
アクセス制御機能を持つコンピュータの管理者には、アクセス制御機能の有効化・維持の努力義務があります（強制ではなく努力義務）。
不正競争防止法
営業秘密の3要件
不正競争防止法で保護される「営業秘密」には3つの要件が必要です。
| 要件 | 内容 | 具体例 |
|---|---|---|
| 秘密管理性 | 秘密として管理されていること | アクセス制限・秘密保持契約の締結 |
| 有用性 | 事業活動に有用な情報であること | 技術情報・顧客リスト・ノウハウ |
| 非公知性 | 公然と知られていないこと | 一般に入手できない情報 |
3要件を1つでも欠くと営業秘密として保護されません。
保護される行為（不正競争行為）
| 行為 | 内容 |
|---|---|
| 不正取得 | 窃取・詐欺・強迫等の不正手段による取得 |
| 不正開示 | 正当な理由なく第三者に開示 |
| 不正使用 | 不正取得した営業秘密の使用 |
| 転得者による取得等 | 不正取得を知って営業秘密を取得する行為 |
罰則
| 対象 | 罰則 |
|---|---|
| 個人（国内の不正競争） | 10年以下の懲役または2,000万円以下の罰金（またはその両方） |
| 法人（国内） | 5億円以下の罰金 |
| 海外への不正開示 | 個人：10年以下の懲役または3,000万円以下の罰金 |
限定提供データ
2018年の改正で追加された概念です。営業秘密の要件（特に秘密管理性）を満たさないが、特定の相手に提供されるデータを保護します。
その他の関連法律
| 法律 | 内容 |
|---|---|
| 不正指令電磁的記録作成等罪（刑法168条の2） | マルウェアの作成・提供・実行を規制 |
| 電子計算機損壊等業務妨害罪（刑法234条の2） | コンピュータへの不正な破壊・妨害 |
| 電子計算機使用詐欺罪（刑法246条の2） | コンピュータを使った不正な財産取得 |
SC試験での頻出ポイント
- 不正アクセス行為の罰則：3年以下の懲役または100万円以下の罰金
- 識別符号の定義：本人確認のために使用される情報。パスワード・生体情報等
- アクセス制御機能のないシステムは保護対象外：不正アクセス禁止法はアクセス制御機能がある機器に限定
- 営業秘密の3要件：秘密管理性・有用性・非公知性。1つでも欠けると保護されない
- 不正助長行為：フィッシングサイト設置など識別符号の取得を助ける行為
よくある誤問・ひっかけパターン
誤り① 「パスワードなしの公開Webサーバへのアクセスも不正アクセスになる」→ 誤。アクセス制御機能がない場合は不正アクセス禁止法の対象外です。
誤り② 「退職者が在職中に正規の権限で取得したデータは不正取得にならない」→ 誤。正当な手段で取得後に不正目的で利用・開示する行為は不正競争防止法の対象になる場合があります。
誤り③ 「口頭で共有された情報は有用性があっても営業秘密にならない」→ 誤。形式（文書・口頭）は問いません。秘密管理性・有用性・非公知性の3要件を満たせば保護されます。
関連用語
- サイバーセキュリティ基本法 — サイバーセキュリティの基本的な枠組み
- ISMS（ISO/IEC 27001） — 情報セキュリティ管理の実践
- 個人情報保護法とGDPR — 個人情報に関する法的保護
重要キーワード
| 用語 | 説明 |
|---|---|
| 不正アクセス行為 | 識別符号の不正使用やセキュリティホール悪用による不正ログイン |
| 識別符号 | アクセス制御に用いるパスワード・生体情報等の本人確認情報 |
| アクセス制御機能 | 特定ユーザのみのアクセスを許可する認証機能 |
| 営業秘密 | 秘密管理性・有用性・非公知性の3要件を満たす情報 |
| 秘密管理性 | 営業秘密の要件：秘密として管理されていること |
| 不正競争行為 | 不正取得・不正開示・不正使用など営業秘密への侵害行為 |