ITパスポート 2014年 秋期 問17

給与マスタを改ざんして自分の給与を増やした事例【ITパスポート 解説】

正解の理由

解法ステップ

1. まず「行為」を明確にする：給与マスタ（給与を管理するデータ）を書き換えて自分の給料を増やした。
2. 次に「どの分野の法律が規制するか」を考える：
   • 情報の管理やアクセスの問題か（IT 関連法）
   • 個人情報の保護に関する問題か（個人情報保護法）
   • それとも犯罪（刑事）か
3. 行為の性質を判断：
   • 給与改ざんは会社に対する不正行為で、金銭的利益を得ようとする意図がある→刑事責任（刑法）に該当する可能性が高い。
   • もし「不正アクセス」（権限のない他人のIDで侵入）などが伴えば、不正アクセス禁止法も成立する可能性がある。だが今回の条件では「給与マスタの更新権限をもつ社員が行った」ため、不正アクセスには当たらない。
4. 選択肢を比較して結論：刑法（ア）が最も適切。

選択肢別の誤答解説

• ア: 刑法
  • 正解。社内データを改ざんして不正な金銭的利益を得ようとする行為は、詐欺罪・横領罪・背任罪など刑法上の犯罪に該当し得ます。会社に対する不正行為は刑事処罰の対象です。
• イ: 個人情報保護法（個人情報保護に関する法律）
  • 誤り。個人情報保護法は個人の情報の適正な取り扱いを定める法律で、データの収集・利用・提供のルールや事業者の義務を規定します。扱いが不適切なら行政指導や罰則・罰金の対象となる場合もありますが、今回の「自分の給与を増やすための改ざん」という不正の本質的な処罰は刑法によるものです。個人情報保護法は主に「個人情報の漏えい・不適切利用」を問題にします。
• ウ: 電気通信事業法（電気通信事業に関する法律）
  • 誤り。電気通信事業法は通信事業者（電話会社やISPなど）の事業運営に関する規制です。今回のような社内の給与データ改ざん事件には直接関係しません。
• エ: 不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）
  • 誤り（ただし条件次第で併せて適用されることはある）。この法律は、「許可されていない者が他人のIDやパスワードを使ったり、アクセス制御を突破したりしてコンピュータにアクセスする行為」を禁止します。今回のケースでは「給与マスタの更新権限をもつ社員」が行っているため、権限自体は存在し、不正アクセスには当たりません。もし別人のIDを使ったり、アクセス制御を回避したりして改ざんした場合は、不正アクセス禁止法も成立します。

よくある誤解

• 「個人情報を扱っているから個人情報保護法で罰せられる」は正しくない：個人情報保護法はデータの取り扱いルールを規定しますが、給与を不正に改ざんして金銭的利益を得ようとする行為の主要な処罰は刑法です。
• 「改ざん＝ハッキング＝不正アクセス禁止法」という短絡的な考え：改ざんの方法が「権限を持たない侵入」であれば不正アクセス禁止法の対象になりますが、権限を持つ者の不正利用は主に刑法（業務上の不正）によって裁かれます。
• 「支払い前なら罪にならない」は誤り：未遂段階でも業務上の背任や詐欺未遂などで処罰される可能性があります。意図と行為内容が重要です。

補足コラム：防止策と企業側の対応（内部統制の観点）

• 職務分掌（職務分離）：「入力する人」と「承認する人」を別にする（例：給与データの編集はA、承認はB）。
• アクセス制御と最小権限の原則：必要な人だけに最低限の権限を与える。
• 変更履歴（ログ）と定期監査：誰がいつどのデータを変更したかを記録・監査する。
• 承認プロセス：重要な変更は複数人の承認や二重チェックを必須にする。
• 不正発覚時の速やかな対応：被害の抑止、証拠保全、社内外への報告や法的手続き。

FAQ