情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問31

不正指令電磁的記録罪【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 事象の本質を確認する：他人のコンピュータにマルウェアを入れ、データを消去した＝故意の有害行為（被害発生）。
2. 「罰する」法律を探す視点：故意の不法行為で刑罰（罰則）を課す法律かどうかを考える。
3. 選択肢を比較：
   • 刑法：犯罪全般を定め、故意の損害行為を処罰する → 該当。
   • 製造物責任法：欠陥製品による損害の民事的責任が主で、攻撃者の故意行為は対象外 → 不該当。
   • 不正アクセス禁止法：認証を不正に突破してシステムに侵入する行為を処罰（例：パスワードを割る） → 今回は記憶媒体を介して侵入しており「不正アクセス」に当たらない場合が多い → 不該当。
   • プロバイダ責任制限法：通信事業者の情報開示や責任制限を定める民事寄りの法律 → 攻撃者の刑事処罰とは無関係 → 不該当。

選択肢別の誤答解説

• ア（刑法）
  正解。故意にシステムやデータを破壊・妨害する行為は刑事罰の対象になります。具体的な罪名としては「不正指令電磁的記録に関する罪」や「業務妨害・器物損壊」等が検討されます。
• イ（製造物責任法）
  製造物責任法（Product Liability法）は、製品の欠陥による被害に対して、製造者等の民事的責任（損害賠償）を定める法律です。今回のような「第三者が故意に攻撃してデータを消した」場合、攻撃者を処罰する法律ではありません。
• ウ（不正アクセス禁止法）
  不正アクセス禁止法は、他人のIDやパスワードを無断で使うなど、正当なアクセス制御を突破してシステムに入る行為を取り締まります（英語：Unauthorized Computer Access）。今回のケースは外部メディアを物理的に持ち込む手口であり、アクセス制御の突破が問題となるとは限りません。したがって基本的には当該法の典型的適用場面ではありません。
• エ（プロバイダ責任制限法）
  プロバイダ責任制限法（正式には「特定電気通信役務提供者の損害賠償責任の制限等に関する法律」）は、主にインターネットサービス提供者（プロバイダ等）の責任や発信者情報の開示手続きについて定める法律です。攻撃者の刑事処罰を定める法律ではありません。

よくある誤解

• 「不正アクセス禁止法で処罰される」は誤り
  USBなど物理メディアを差し込むケースは、パスワード等の「不正アクセス」ではない場合が多く、当該法の典型適用外となることがあります。行為の中身（どうやって侵入・実行したか）を見て判断します。
• 「製造物責任法で処罰される」は誤り
  製造物責任法は故意の攻撃者ではなく、製品の欠陥に基づく民事責任を想定しています。攻撃者を刑事処罰する法律ではありません。
• 刑法＝警察に任せるだけ、は誤り
  刑事処罰のほかに、会社は被害の回復（データ復旧・損害賠償請求）や再発防止策を別途行う必要があります。刑事手続きは並行して進めることが多いです。

補足コラム

• 物理的対策：社用PCでの外部記憶媒体の使用を禁止または限定する。USBポートを無効化するツールも有効です。
• 技術的対策：ウイルス対策ソフト（アンチマルウェア）の導入、定期的な更新、自動実行（Autorun）の無効化。
• 人的対策：全従業員への教育（見知らぬUSBを差し込まない、怪しいファイルを開かない）。
• インシデント対応：被害発生時は機器をネットワークから切り離し、記録（ログ）と物理メディアを保全して、警察への相談と社内法務への連絡を速やかに行う。

FAQ