平成22年度春期 システム監査技術者 午前Ⅱ 問17

違法行為の該当性を考える視点

設問の事実関係を、誰が何をどのような権限や目的で行ったのかという観点から整理し、制度上の判断対象と単なる周辺事情を区別して考えるための手掛かりです。結論を先に決めず、要件との関係を順に確認しましょう。

この問題で問われていること

この問題では、行為者の立場や行為の対象、利用に至る経緯など、提示された事実のうち判断に直接関係する情報を一つの軸で丁寧に拾い、評価の順序を崩さないことに集中してください。

視点

制度の適用を検討するときは、提示された事実を主体・対象・経緯の関係で整理し、判断に必要な情報と周辺的な事情を分けて考えます。

確認ポイント

• 行為者の立場や関与の範囲を確認する
• 行為の対象と具体的な経緯を整理する
• 判断に直接関係する事実だけを区別して検討する

正解

エ

解説

不正アクセス禁止法では、利用権限のない者が他人のID・パスワードを無断使用してサーバへ接続する行為が違法となる。単なるポートスキャンや認証機能のないサーバへの接続は、同法の不正アクセスには直ちに該当しない。

理由

不正アクセスとは、アクセス制御機能を備えたコンピュータに対し、利用権限のない者が他人の識別符号を使うなどして接続する行為です。正規利用者でない者によるID・パスワードの不正使用は、この要件に該当する。

比較

管理者自身のアクセスは権限内の行為であり、ポートスキャン結果の公開はそれだけではサーバへの不正アクセスとはいえない。また、認証機能を持たないサーバへの接続は同法のアクセス制御回避を前提とする不正アクセスに該当しない。

選択肢ア

これは不正解だよ。サーバ管理者が自ら管理するサーバへインターネット経由でアクセスし、自社の営業秘密をダウンロードしている。記載上、管理者にはサーバの利用権限があるため、他人の識別符号を不正使用してアクセスした行為とはいえない。営業秘密の扱いに別の問題が生じる可能性はあるが、本問の法律上の不正アクセスには該当しない。

選択肢イ

これは不正解だよ。社外の者が管理者の了解なくポートスキャンを行い、その結果をWebサイトに公開しているが、ポートスキャンは通常、ID・パスワードなどの識別符号を使ってアクセス制御を突破する行為ではない。結果の公開も、記載された事実だけでは不正アクセス禁止法上の不正アクセスとは判断できない。

選択肢ウ

これは不正解だよ。社外の者が認証機能を持たないサーバへ接続し、データベースを破壊している。データ破壊は別の違法行為となり得るが、不正アクセス禁止法の不正アクセスはアクセス制御機能を対象とする。認証機能がないため、同法の不正アクセスには該当しない。

選択肢エ（正解）

これは正解だよ。社内の正規利用者ではない者が、不正に入手したID・パスワードを用いてLAN経由でサーバへアクセスしている。利用権限のない者が他人の識別符号を無断使用してアクセス制御を通過する行為であり、接続経路がLANであっても、不正アクセス禁止法が禁じる不正アクセスに該当する。

学習のポイント

不正アクセスの成立には、利用権限と識別符号の不正使用の確認が重要です。