最終更新日：2026年7月18日

sg sg-security-management law access_control cybercrime

まず結論

不正アクセス禁止法は、他人のID・パスワードを使った不正ログインや、それを助ける行為を禁止する法律です。

SG試験では、法律名を覚えるだけでなく、次の違いを切り分けられることが大切です。

  • 他人のID・パスワードでログインする
  • 他人のID・パスワードを不正に取得する
  • 他人のID・パスワードを第三者に提供する
  • 他人のID・パスワードを不正に保管する
  • フィッシングサイトなどで入力させる

特に、「取得」「提供」「保管」「入力要求」の違いがよく問われます。

直感的な説明

不正アクセス禁止法は、簡単にいうと、鍵を盗んで勝手に入ることと、その準備や手助けを禁止する法律です。

たとえば、建物で考えると分かりやすいです。

行為 たとえ
他人のID・パスワードでログインする 他人の鍵で勝手に部屋に入る
ID・パスワードを盗む 他人の鍵をこっそり手に入れる
ID・パスワードを第三者に渡す 盗んだ鍵を別の人に渡す
ID・パスワードを保管する 盗んだ鍵を隠し持つ
偽サイトで入力させる 偽の受付で鍵番号を書かせる

つまり、実際に侵入する行為だけでなく、侵入につながる前段階の行為も規制対象になります。

定義・仕組み

e-Gov法令: 不正アクセス行為の禁止等に関する法律：e-Gov法令: 不正アクセス行為の禁止等に関する法律 不正アクセス禁止法の正式名称は、不正アクセス行為の禁止等に関する法律です。

この法律では、主に次のような行為が禁止されています。

あわせて試験で重要なのが、不正アクセス行為は「アクセス制御機能があるコンピュータに、ネットワークを介して行うこと」が要件だという点です。

条文 禁止される行為 試験での見方
3条 不正アクセス行為そのもの 他人のIDでログインする、脆弱性を突いて利用する
4条 識別符号を不正に取得する行為 ID・パスワードを不正に手に入れる
5条 不正アクセス行為を助長する行為 ID・パスワードを第三者に提供する
6条 識別符号を不正に保管する行為 不正に入手したID・パスワードを保存する
7条 識別符号の入力を不正に要求する行為 フィッシングサイトで入力させる

ここでいう識別符号とは、利用者を識別するための情報です。

代表例は、次のようなものです。

  • 利用者ID
  • パスワード
  • 認証コード
  • その他、本人確認に使われる情報

SG試験では、細かい法律用語よりも、どの行為がどの禁止行為に当たるかを判断できることが重要です。

「不正アクセス行為」に当たるための要件

不正アクセス行為（3条）として問われるときは、次の3点をセットで確認します。

  1. アクセス制御機能がある（認証や権限制御がある）
  2. ネットワークを介している（インターネット・社内LANなど）
  3. 本来制限された機能を利用可能にしている

この3点がそろわない場合、違法性がないという意味ではなく、不正アクセス禁止法3条の不正アクセス行為そのものには該当しない、という切り分けになります。

不正アクセス行為とは？

不正アクセス行為とは、ざっくりいうと、本来使う権限がない機能を、アクセス制御を突破して使えるようにする行為です。

代表的には、次の2パターンがあります。

1. 他人のID・パスワードを使う

他人のID・パスワードを無断で使ってログインする行為です。

たとえば、次のようなものです。

  • 他人の社員IDで社内システムにログインする
  • 盗んだパスワードでWebサービスにログインする
  • 退職者のアカウントを使って業務システムに入る

これは、試験では最もイメージしやすい不正アクセスです。

2. 脆弱性を突いて制限を突破する

ID・パスワードを使わなくても、システムの脆弱性を突いて、制限された機能を使えるようにする行為も不正アクセスに当たります。

たとえば、次のようなものです。

  • Webアプリの脆弱性を悪用して管理者機能を使う
  • 本来見られないデータを閲覧できる状態にする
  • アクセス制御の不備を突いて権限を超えた操作をする

ここで大切なのは、ID・パスワードを使った場合だけが不正アクセスではないという点です。

どんな場面で使う？

不正アクセス禁止法は、インターネットや社内ネットワークを使う場面で関係します。

SG試験では、次のような文脈で出題されやすいです。

  • 不正ログイン
  • フィッシング
  • ID・パスワードの管理
  • アカウントの使い回し
  • 退職者アカウントの放置
  • アクセス制御の不備
  • 内部不正

特に、業務上の判断としては、次の観点が大切です。

  • ID・パスワードを他人に教えない
  • 他人のアカウントを使わない
  • 不審なログインを検知できるようにする
  • 退職者や異動者のアカウントを速やかに無効化する
  • フィッシング対策を行う
  • アクセス権限を最小限にする

不正アクセス禁止法は、単に「攻撃者を処罰する法律」としてだけでなく、組織がID管理やアクセス制御を適切に行う必要性ともつながります。

試験で狙われる禁止行為の切り分け

この法律で特に混同しやすいのは、次の4つです。

キーワード 判断する行為 試験での答え方
取得 ID・パスワードを手に入れる 不正取得
提供 ID・パスワードを第三者に渡す 助長行為
保管 ID・パスワードを保存する 不正保管
要求 偽サイトなどで入力させる 不正要求

このように、動詞に注目すると選択肢を切りやすくなります。

禁止行為の具体的な切り分け

代表的な選択肢は、次のように切り分けます。

選択肢の内容 見るべき動詞 該当する行為
正当な理由なくID・パスワードを第三者に提供する 提供する 助長行為
フィッシングサイトを開設する 入力させる 不正要求
ID・パスワードを不正に入手する 入手する 不正取得
不正に入手したID・パスワードをPCに保管する 保管する 不正保管

したがって、「不正アクセス行為を助長する行為」を問われたら、第三者に提供する行為を選びます。

よくある誤解・混同

誤解1：不正アクセス禁止法は、不正ログインだけを禁止する法律

これは誤解です。

不正ログインそのものだけでなく、ID・パスワードの不正取得、提供、保管、入力要求なども禁止されています。

試験では、ログインしたかどうかだけで判断しないことが大切です。

誤解2：フィッシングサイトの開設は、助長行為である

フィッシングサイトを開設してID・パスワードを入力させる行為は、助長行為ではなく、識別符号の入力を不正に要求する行為として整理します。

助長行為は、主に他人のID・パスワードを第三者に提供する行為です。

誤解3：ID・パスワードを入手しただけなら問題ない

これも誤解です。

他人のID・パスワードを不正アクセス目的で取得する行為は、実際にログインしていなくても規制対象になります。

試験では、使ったかどうかではなく、取得・保管・提供などの行為自体が問われることがあります。

誤解4：アクセス制御がないWebサイトへの侵害も不正アクセス禁止法の不正アクセス行為である

アクセス制御機能がないWebサイトへの侵害は、不正アクセス禁止法3条の不正アクセス行為には当たりません。

一方で、他のコンピュータの機能や業務を妨害した場合は、電子計算機損壊等業務妨害罪など、別の法令で問題になる可能性があります。

つまり、試験では「違法かどうか」ではなく、どの法律・どの類型で問われているかを見分けることがポイントです。

誤解5：正当な権限でアクセスした内部者の不正操作も、必ず不正アクセス禁止法で処罰される

これも注意が必要です。

不正アクセス禁止法では、他人のID・パスワードを使ったり、アクセス制御を突破したりして、本来利用できない機能を使える状態にする行為が中心になります。

一方で、正当な権限を持つ社員が、自分の権限で業務システムにアクセスした後、データを不正に改ざんして利益を得ようとした場合は、不正アクセス禁止法だけで判断しません。

たとえば、給与マスタを不正に変更して自分の給与を増やそうとする場合は、コンピュータ処理を悪用して財産上の利益を得る行為として、刑法上の電子計算機使用詐欺罪などが問題になります。虚偽の業務データを作って事務処理を誤らせる点では、電磁的記録不正作出罪との切り分けも関係します。

SG試験では、次のように切り分けます。

見るポイント 考える法律・罪
他人のIDでログインした、アクセス制御を突破した 不正アクセス禁止法
コンピュータ処理を悪用して財産的利益を得た 刑法（電子計算機使用詐欺罪）
人の事務処理を誤らせる虚偽データを作った 刑法（電磁的記録不正作出罪）

「不正な操作＝すぐ不正アクセス禁止法」と決めず、正当な権限の有無と、不正操作の結果として何を得たかを分けて判断します。

アクセス管理者の努力義務（第8条）

SG試験では、禁止行為（3〜7条）だけでなく、アクセス管理者の努力義務（8条）が問われることがあります。

ポイントは、次の2つです。

  • ID・パスワード（識別符号）を適切に管理するよう努める
  • アクセス制御機能の有効性を検証し、必要なら防御措置を講じるよう努める

したがって、選択肢に「アクセス制御機能の有効性を検証する」という表現があれば、アクセス管理者の行うべき行為として正解候補になります。

一方で、次のような表現は、そのまま法律の努力義務としては読み取りにくいことが多いです。

  • アクセスログを定期的に監督官庁へ提出する
  • 複数人で常時監視することを義務化する
  • 全利用者のパスワード定期変更を一律に義務づける

これらは組織運用として有効な場面はありますが、不正アクセス禁止法8条に明記された努力義務の文言とは別として切り分けます。

まとめ（試験直前用）

不正アクセス禁止法は、不正ログインだけでなく、その準備や手助けも禁止する法律です。

試験直前は、次のポイントを押さえておきましょう。

  • 不正アクセス行為は「アクセス制御あり」かつ「ネットワーク経由」が要件
  • 第三者にID・パスワードを渡したら、助長行為
  • 取得・保管・入力要求は、それぞれ別の禁止行為
  • 正当な権限でアクセスした後の不正改ざんは、刑法上の犯罪と切り分ける

特に、選択肢では「何をしたか」という動詞を見ます。

動詞 判断
ログインする・利用する 不正アクセス
入手する・取得する 不正取得
提供する・教える 助長行為
保管する・保存する 不正保管
入力させる・要求する 不正要求

この整理ができると、不正アクセス禁止法の問題はかなり解きやすくなります。

確認問題（SG試験対策）

不正アクセス禁止法において、不正アクセス行為を助長する行為として最も適切なものはどれか。

  • ア. 正当な理由なく、他人の利用者IDとパスワードを第三者に提供する。
  • イ. 他人の利用者IDとパスワードを不正に入手する目的で、フィッシングサイトを開設する。
  • ウ. 不正アクセスを目的として、他人の利用者IDとパスワードを不正に入手する。
  • エ. 不正アクセスを目的として、不正に入手した他人の利用者IDとパスワードをPCに保管する。
▶ クリックして答えと解説を見る（ここを開く）

正解：ア

「第三者に提供する」という行為は、他人が不正アクセスできる状態を作るため、不正アクセス行為を助長する行為に当たります。

イは、識別符号の入力を不正に要求する行為です。
ウは、識別符号を不正に取得する行為です。
エは、識別符号を不正に保管する行為です。

この問題は、選択肢の動詞を見ると切り分けやすいです。

  • 提供する → 助長行為
  • 入手する → 不正取得
  • 保管する → 不正保管
  • 入力させる → 不正要求

👉 判断ポイント
この問題は、用語の定義ではなく「目的と適用場面」で切り分けます。

参考

  • e-Gov法令検索「不正アクセス行為の禁止等に関する法律」
    • https://laws.e-gov.go.jp/law/411AC0000000128

© 2024-2026 stemtazoo. All rights reserved.