不正アクセス禁止法は、他人のIDやパスワードを使って本来入れないシステムに侵入する行為などを禁じる法律です。社外からの攻撃を取り締まる法律という印象が強いのですが、実務上は社内の運用が思わぬ形で論点になることもあります。この記事では、企業として押さえておきたい基本的な考え方と、社内ルールへの反映のしかたを整理します。なお、個別のケースが法律上どう扱われるかについては、弁護士等の専門家にご確認ください。
不正アクセス禁止法が禁じている行為の大枠
細かな条文の説明は専門家の解説に譲りますが、大枠としては次のような行為が禁止の対象とされています。ひとつは、他人の識別符号(IDやパスワードなどの本人を識別するための情報)を使って、本来はアクセスする権限のないシステムに入る行為です。もうひとつは、そうした識別符号を不正に取得したり、他人に提供したり、不正に保管したりする行為です。いずれについても罰則が定められています。
ここで重要なのは、アクセスできてしまったかどうかではなく、権限があったかどうかが問題になるという点です。パスワードを知っていたとしても、そのアカウントを使う権限が与えられていなければ、権限の範囲を超えたアクセスとして問題になりうる、という考え方になります。具体的な侵入の手口や経路については不正アクセスの基本と主な経路で扱っています。
企業にとって、この法律が実務上意味すること
企業の立場でこの法律を読むと、二つの意味があります。ひとつは、外部からの侵入は違法行為であり、被害を受けた場合には警察への相談という選択肢があるということです。もうひとつは、自社の日常的な運用が、意図せず権限の境界をまたいでしまう場面があるということです。
後者は見過ごされがちです。IDの貸し借りや共有アカウントの使い回しは、多くの場合、悪意ではなく業務を早く進めたいという善意から始まります。しかし、誰が何をしたのか説明できない状態は、社内でトラブルが起きたときに事実確認を難しくします。パスワード漏えいが企業に与える影響とあわせて考えると、運用の整理はリスク対応の一部でもあります。
社内で論点になりやすい場面
次のような場面は、現場では珍しくない一方で、権限の範囲という観点では整理が必要です。
- IDとパスワードを同僚に教えて、代わりに作業してもらう — 休暇中の対応や急ぎの処理でよく起こりますが、操作の記録は本人のものとして残ります
- 退職した人のアカウントを引き継いで使い続ける — データを見るために残しているケースがありますが、本来の利用者と実際の利用者が食い違った状態になります(退職者アカウントの整理を参照)
- 上司が部下のアカウントで内容を確認する — 管理目的であっても、正式に権限が与えられていない操作であれば論点になりえます
- 共有アカウントを部署の慣習で使い回している — 誰が操作したのか特定できない状態が続きます(共有アカウントの廃止を参照)
いずれも悪意なく行われることが多く、だからこそ現場では問題として認識されにくいという特徴があります。
善意でも問題になりうることを、社内にどう伝えるか
こうした運用を改めるとき、単に禁止事項として通達するだけでは現場で回避されがちです。パスワードを教えるほうが早い、という実務上の理由があるからです。なぜ必要なのかを一緒に伝えることが大切で、その説明としては「権限の範囲を超えたアクセスは法律上の論点になりうる」「操作の記録が本人のものとして残るため、後から事実確認ができなくなる」という二点が伝わりやすいでしょう。
社内ルールへの反映
就業規則や情報セキュリティ規程に落とし込む際は、禁止と代替手段をセットで用意すると定着しやすくなります。
- IDの貸し借りを明確に禁止する — 口頭の慣習ではなく、文書として明示します
- 代理作業のための正式な手段を用意する — 権限の一時付与や代理設定など、貸し借りをしなくても済む方法を決めておきます
- 退職者アカウントの扱いを手順化する — 誰が、いつまでに、何をするかを決めます
- 記録が残る運用にする — 個人ごとのアカウントを基本とし、認証を強化します(WindowsOSログインの2要素認証も参照)
記録は、本人を守るためにもある
操作の記録は監視のためのものだと受け取られがちですが、実際には逆の面もあります。誰が操作したかが残っていれば、身に覚えのない操作について無関係な人が疑われることを避けられます。共有アカウントのままでは、その部署の全員が候補になってしまいます。記録の残し方と確認の進め方はアクセスログの監査で、運用面の対策全体は不正アクセス対策で解説しています。
繰り返しになりますが、この記事は社内ルールを考える際の一般的な整理であり、法的な判断は弁護士等の専門家にご確認ください。実際に被害が疑われる場合は、警察への相談も選択肢になります。
まずは自社の状況を確認する
IDの貸し借りや共有アカウントが残っているかどうかは、担当者の実感と実際の運用がずれていることも少なくありません。applippliの無料診断では、約3分の質問に回答するだけで、自社のID・アカウント管理の対応状況を確認できます。