ぞうログ情報セキュリティに関わる業務では、技術的な対策だけでなく、関連する法律の目的と規制内容を理解しておく必要がある。試験では、具体的な事例が「どの法律に抵触するか」「どの法律で保護されるか」を判断させる問題が頻出するため、各法律のキーワードと対象範囲を整理しておきたい。
不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）
他人のID・パスワードを無断で使用してネットワーク経由でシステムにアクセスする「不正アクセス行為」そのものを禁止する法律。加えて、他人のID・パスワードを本人や管理者に無断で第三者に提供する行為（フィッシングサイトを使ってID・パスワードを盗む行為を含む）も処罰の対象となる。ウイルス作成・提供を直接取り締まる法律ではない点に注意する。
個人情報保護法（個人情報の保護に関する法律）
個人情報を取り扱う事業者に対して、取得時の利用目的の通知・公表、目的外利用の禁止、漏えい等を防ぐための安全管理措置、本人の同意を得ない第三者提供の原則禁止などを義務付ける法律。個人情報の漏えい（またはそのおそれ）が発生した場合、事業者は個人情報保護委員会への報告と、原則として本人への通知が義務付けられている。
不正アクセス禁止法は「不正アクセス行為そのもの」を取り締まる法律であり、個人情報の取り扱いルールを定める法律ではない。ID・パスワードの窃取や不正利用は不正アクセス禁止法、漏えいした個人情報の扱いは個人情報保護法と、対象となる行為の性質で切り分けて覚える。
不正競争防止法と営業秘密
技術情報や顧客リストなどの営業秘密を不正に取得・使用・開示する行為を規制する法律。ある情報が法律上の「営業秘密」として保護されるには、次の3要件をすべて満たす必要がある。
- 秘密管理性：アクセス制限や「秘」表示など、秘密として管理されていること。
- 有用性：事業活動にとって有用な技術上・営業上の情報であること。
- 非公知性：一般に知られていない状態にあること。
この3要件のいずれかが欠ける場合、たとえ社内で重要視されている情報であっても、法律上の営業秘密としては保護されない。
秘密管理性・有用性・非公知性の3要件は「すべて満たして初めて保護される」という点がポイント。1つでも欠けると法律上の営業秘密として扱われないため、事例問題ではどの要件が欠けているかを確認する視点で読むとよい。
サイバーセキュリティ基本法
国全体としてのサイバーセキュリティ政策の基本理念や、国・地方公共団体・重要インフラ事業者の責務を定めた法律。個々の行為を処罰するものではなく、国の戦略・体制づくりの根拠となる基本法である点で、不正アクセス禁止法などの個別の規制法とは性格が異なる。
試験対策としては、「行為そのものを罰する法律（不正アクセス禁止法）」「個人情報の取り扱いを規律する法律（個人情報保護法）」「営業秘密という財産的情報を保護する法律（不正競争防止法）」「国の基本方針を定める法律（サイバーセキュリティ基本法）」というように、各法律が何を対象にしているかを軸に整理しておくと、事例問題に対応しやすい。