情報セキュリティマネジメント 2018年 春期 午前（科目A） 問32

刑法【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文の行為を簡潔に把握する
   • マルウェアを持ち込み、データを消去する＝故意によるデータ破壊・業務妨害。
2. 「どの法律が処罰するか」を分類する
   • 刑事罰（刑法）か、民事的な責任（損害賠償）か、あるいは事業者向けの規制かを区別する。
3. 各選択肢を当てはめて消去法
   • 刑法：故意の犯罪を処罰 → 該当。
   • 他の法律（製造物責任法、プロバイダ責任制限法等）は主旨が異なるため除外。

選択肢別の誤答解説

• ア：刑法
  • 正しい。故意にデータを破壊・業務を妨害する行為は刑事罰の対象になるため、刑法による処罰が想定されます。
• イ：製造物責任法（Product Liability：欠陥製品による損害賠償を定める法律）
  • 誤り。製造物責任法は製品の欠陥で使用者などに損害が出た場合の民事責任（賠償）を扱うもので、第三者が意図的にマルウェアを入れる行為を処罰する法律ではありません。
• ウ：不正アクセス禁止法（Unauthorized Access：権限のないアクセスを禁じる法律）
  • 一見関係ありそうですが、主に「認証を突破して不正にアクセスする」ことを処罰します。今回のケースは記憶媒体を介してマルウェアを持ち込みデータを消去する「破壊・妨害」が中心であり、直接の処罰根拠は刑法になります（状況によっては不正アクセス罪が併合される場合もありますが、問題の主題は刑法です）。
• エ：プロバイダ責任制限法（接続事業者の責任制限に関する法律）
  • 誤り。プロバイダ責任制限法は、インターネット事業者（ISPなど）の情報発信者に対する損害賠償請求や発信者情報開示の手続き等に関する規定で、マルウェアを持ち込みデータを消去した者を刑事処罰する法律ではありません。

よくある誤解

1. 「不正アクセス禁止法ですぐに処罰される」
   • 誤解の元：不正アクセス禁止法は確かに重要ですが、今回の主題はデータ破壊という「損害・妨害」行為であり、まず刑法の適用が中心です（状況によって併合適用の可能性あり）。
2. 「製造物責任法やプロバイダ法で個人が刑事処罰される」
   • 製造物責任法は民事（賠償）中心、プロバイダ責任制限法は発信者情報の扱いやプロバイダの責任範囲の規定であり、いずれも行為者を刑事処罰する主たる法律ではありません。

補足コラム

• 職場での実務イメージ：USB等の記憶媒体でマルウェアが侵入すると、業務データが消失して復旧に時間と費用がかかります。実務対策としては、リムーバブルメディアの使用制限、アンチマルウェアの導入（端末での自動スキャン）、定期的なバックアップ、従業員教育が有効です。
• 事件発生時の対応（ポイント）：
  1. 端末の電源切断やネットワーク切断で拡大防止（ただし証拠保全に注意）。
  2. 内部のインシデント対応チーム（CSIRT）や上長に報告。
  3. 必要に応じて警察へ被害届を提出。刑事捜査につながる場合があります。
  4. バックアップからの復旧と再発防止措置の実施。
• 証拠保全の注意：犯罪捜査の可能性があるため、勝手に証拠を消したり端末を初期化したりせず、社内の手順（または警察の指示）に従うことが重要です。

FAQ