セキュリティ関連法規の総まとめ｜3キーワードを過去問と具体例で学ぶ【ITパスポート】
他人のパスワードを、実際には一度も使っていない。ただ手に入れて持っていただけ——それでも法律違反になることがあります。ITパスポート試験の「セキュリティ関連法規」では、こうした「どこからがアウトか」の線引きがくり返し問われます。この記事では、サイバーセキュリティ基本法・不正アクセス禁止法・個人情報保護法という3つの法律を、過去問と身近な具体例で整理します。数は少ないぶん、一つひとつの境界線をしっかり押さえていきましょう。
この記事で学べるキーワード
| 分類 | キーワード | ひとこと |
|---|---|---|
| セキュリティ関連法規 | サイバーセキュリティ基本法 | 国の基本理念と責務を定めた土台の法律 |
| 不正アクセス禁止法 | 無断ログイン・パスワードの不正提供を禁止 | |
| 個人情報保護法 | 生存する個人を識別できる情報を守る法律 |
3つとも名前は聞いたことがあるかもしれません。試験では「名前を知っている」だけでは足りず、「何を対象にした法律か」「どんな行為がアウトか」まで問われます。まずは表で全体像をつかんでから、順番に見ていきましょう。
セキュリティ関連法規の3つの法律
サイバーセキュリティ基本法
最初は、この分野の土台となるサイバーセキュリティ基本法です。まずは過去問の原文で定義を確認してみてください。
サイバーセキュリティ基本法は、サイバーセキュリティに関する施策に関し、基本理念を定め、国や地方公共団体の責務などを定めた法律である。
（出典：ITパスポート試験 令和2年 問25）
簡単にいうと、日本のサイバーセキュリティ政策の「憲法のような土台」を定めた法律です。個別のルールを細かく決めるというより、国や自治体が果たすべき役割の大枠を示すイメージです。
この法律は2014年に成立し、2015年に施行されました。施行にあわせて、内閣にサイバーセキュリティ戦略本部という司令塔が置かれ、その事務局として内閣サイバーセキュリティセンター（NISC）が設けられました。国が本腰を入れてサイバー防御に取り組む体制が、このときに整ったわけです。
試験では「国の基本的施策として何を定めているか」がよく問われます。過去問では、次の4つがまとめて正解になっています。
- 国の行政機関等におけるサイバーセキュリティの確保
- サイバーセキュリティ関連産業の振興及び国際競争力の強化
- サイバーセキュリティ関連犯罪の取締り及び被害の拡大の防止
- サイバーセキュリティに係る人材の確保
一つひとつを丸暗記する必要はありません。「防御・産業振興・犯罪対策・人材育成まで、国が幅広く責任を持つ」という方向感をつかんでおけば十分です。
試験でのポイント: 個別ルールではなく「基本理念と国・自治体の責務を定めた土台の法律」と覚える。
不正アクセス禁止法
続いては不正アクセス禁止法です。名前のとおり「不正アクセス」を禁じる法律ですが、その中身は思っているより広い範囲をカバーしています。
不正アクセス禁止法とは、不正アクセス行為そのものを禁じる法律です。それだけでなく、ID・パスワードなど識別符号の不正な取得・保管や、不正アクセスを助ける行為までを幅広く対象にしています。2000年に施行された、比較的歴史のある法律でもあります。
ここで「不正アクセス行為ってそもそも何？」と思うのではないでしょうか。総務省の説明では、IDやパスワードで保護された情報機器やサービスに対する行為とされています。本来は権限がないのに、他人のID・パスワードを入力したり脆弱性を突いたりして、利用できる状態にすることです。つまり、勝手に他人になりすましてログインしたり、システムの穴を突いて入り込んだりする行為を指します。
この法律で見落としやすいのが、「実際に情報を盗んだかどうか」は問われないという点です。無断でログインできる状態にした時点でアウトになります。さらに、他人のID・パスワードを本人に無断で第三者に教える行為も、不正アクセスを助ける「助長行為」として規制されます。冒頭に書いた「使っていなくても違反になる」というのは、まさにこの部分です。
- 参考: 総務省「国民のためのサイバーセキュリティサイト」
試験でのポイント: 「なりすましログイン」だけでなく「パスワードの不正な取得・提供」まで対象。実害の有無は関係ない。
個人情報保護法
3つ目は、日常の仕事でも触れる機会が多い個人情報保護法です。この法律でいう「個人情報」とは、生存する個人に関する情報で、氏名・生年月日・住所・顔写真などにより特定の個人を識別できるものを指します。
ここで見落としやすいのが「生存する個人」という言葉です。つまり、亡くなった方の情報は原則として個人情報保護法の対象外になります。意外に感じるかもしれません。この点は姉妹試験でも次のように問われています。
生存する個人に関する情報に限られる。
（出典：情報セキュリティマネジメント試験 令和6年 問7 の正解選択肢）
もう一つ大事なのが、「特定の個人を識別できるか」という基準です。氏名・生年月日・住所がそろった顧客台帳は個人を識別できるので個人情報にあたります。一方、アンケートの回答だけを集計した報告書や、年代別の人数と売上金額をまとめた統計表は、そこから特定の誰かを言い当てられないため、個人情報にはあたりません。また、企業の名称や電話番号といった法人の情報も、「個人」ではないので対象外です。
覚え方はシンプルです。「生きている人」を「その人だと特定できる」情報だけが個人情報、と2つの条件で判断します。
試験では、この定義を問う問題に加えて、「集めた個人情報を他社に渡すとき、本人の同意が必要かどうか」を問う問題もよく出ます。次の「過去問に挑戦」で、その典型パターンを解いてみましょう。
試験でのポイント: 個人情報＝「生存する個人」＋「特定の個人を識別できる」の2条件。法人情報・統計情報は対象外。
過去問に挑戦
それでは、個人情報保護法から実際の過去問を1問解いてみましょう。「他社に渡すとき、本人の同意がいるかどうか」の線引きがテーマです。
腕試し問題
出典：ITパスポート試験 平成24年秋期 問20
個人情報を他社に渡した事例のうち、個人情報保護法において、本人の同意が必要なものはどれか。
解答と解説
正解はアです。
正答の理由
個人情報は、集めたときの目的の範囲を超えて別の会社に渡す（第三者提供する）場合、原則として本人の事前同意が必要です。親会社であっても法律上は別の会社として扱われます。「新製品の案内」は、もともと顧客情報を集めた目的とは異なる利用なので、アは本人の同意が必要になります。
誤答の解説
- ❌ イ「作業委託のためにデータ入力業者へ渡した」→ 業務委託にともなう提供は、委託元がきちんと監督していれば第三者提供にあたらず、同意は不要です
- ❌ ウ「リコール製品の回収のためにメーカへ渡した」→ 人の生命や身体を守るために必要で、本人の同意を得るのが難しい場合の例外にあたり、同意は不要です
- ❌ エ「請求書の配送業務を委託するために配送業者へ渡した」→ これも業務委託の範囲内なので、同意は不要です
ポイント
- 同意が必要になるのは「集めた目的と違う使い方」で外部に渡すとき
- 業務委託（データ入力・配送など）は目的の範囲内なので同意不要
- 生命・身体を守る緊急のケースは例外として同意不要
個人情報保護法は、この「同意が必要か」を問うタイプと、先に見た「何が個人情報か」を問うタイプの2パターンが中心です。両方に対応できるようにしておきましょう。
まとめ
| キーワード | 一行まとめ |
|---|---|
| サイバーセキュリティ基本法 | 国の基本理念と国・自治体の責務を定めた土台の法律 |
| 不正アクセス禁止法 | 無断ログイン・パスワードの不正提供を禁止。実害の有無は関係ない |
| 個人情報保護法 | 「生存する個人」を「識別できる」情報を守る。目的外の第三者提供には同意が必要 |
キーワードは3つと少なめですが、どれも試験の常連で、仕事でも避けて通れないテーマです。整理のコツは、それぞれの「境界線」を1つ押さえておくこと。サイバーセキュリティ基本法は「土台のルール」、不正アクセス禁止法は「実害がなくてもアウト」、個人情報保護法は「生存する個人＋識別可能」。この3つの合言葉を思い出せれば、本番でも迷わず選べるはずです。試験前にもう一度、まとめの表を見返しておきましょう。
