【情セキ.015】関連法規など

　佐藤@IT雑貨屋です。
　ISMSなどでは、JIS規格やガイドラインの他にも、関連する法規などについて検討の枠組みにいれておく必要があります。コンプライアンスを遵守する観点からも、こういった事がとても重要な事になります。ここでは情報セキュリティに関連する法規類について少しまとめます。それ以外にも組織の属する業界などのガイドラインなどがあれば、それも参照する必要があります。

◆サイバーセキュリティ基本法
　サイバーセキュリティ基本法は2014年に制定された法律で、国のサイバーセキュリティに関する施策の推進における基本理念や国の責務などを定めたものです。
　サイバーセキュリティとは何かを明らかにし、必要な施策を講じる為の基本理念や基本施策を定義しています。また、その司令塔として、内閣にサイバーセキュリティ対策本部を設置する事が定められています。国民には、基本理念にのっとり、サイバーセキュリティの重要性に関する関心と理解を深め、サーバーセキュリティの確保に必要な注意を払う様務める事が求められています。
　サイバーセキュリティについて、この法で第二条に以下の様な定義をしています。
「電磁的方式により記録され、又は発進され、伝送され、若しくは受診される情報の漏洩、滅失又は毀損の防止その他の当該情報の安全確保のために必要な措置並びに情報システム及び情報通信ネットワークの安全性及び信頼性の確保のために必要な措置が講じられ、その状態が適切に維持管理されていること」
　つまり情報を扱うシステム及び情報通信ネットワークを、攻撃から守る防御全般がサイバーセキュリティという事になります。

◆サイバーセキュリティ戦略本部
　内閣に設置され、事務局を内閣官房に設置された内閣サイバーセキュリティセンター（NISC：National center of Incident readiness ad Strategy for Cybersecurity）が務めるサイバーセキュリティ戦略本部は、国のサイバーセキュリティ対策の司令塔です。IT総合戦略本部や国家安全保障会議などと連携して、国全体の安全を保障するための活動を行います。地方公共団体や各省庁への韓国なども行います。また、各業界や団体が協力し、専門機関等から得られた対策情報を戦略的かつ迅速に共有するための仕組みとして、サイバーセキュリティ協議会が創設されています。

◆不正アクセス禁止法
　不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）は、インターネットなどでの不正アクセスを規制する法律です。ネットワークへの不正侵入、アクセス制御のための情報を第三者に提供することなどを処罰の対象としています。
　不正アクセス禁止法では、被害がなくても不正アクセスをしただけ、またはそれを助けただけの助長行為も処罰の対象になります。さらに、不正アクセスを行わなくても、その目的で利用者IDやパスワードの情報を収集しただけで、不正に保管する行為として処罰の対象となります。
・アクセス制御機能
　不正アクセス禁止法では、第一条に「アクセス制御機能により実現さえる電気通信に
　関する秩序の維持」と記されており、アクセス制御機能を用いて利用者のアクセスを
　制御することが推奨されています。不正アクセス禁止法の処罰の対応となるのは
　アクセス制御を超えて権限のないコンピュータ資源にアクセスする事です。
・不正アクセス行為
　不正アクセス行為は、アクセス制御のないコンピュータ資源にアクセスすることです
　が、具体的には次のようなことが想定されています。
　・ID/PASSWORDを登用もしくは不正に使用し、なりすましで認証を行う行為
　・認証サーバの脆弱性（例えばセキュリティホール）などを突いて攻撃し、認証を
　　通り越してコンピュータ資源にアクセスする行為
　・目的の端末にアクセスするため、その端末のつながるネットワークのゲートウェイ
　　の認証を不正に突破し、目的の端末にアクセスする行為
・不正アクセス行為を助長する行為
　実際の不正行為だけではなく、不正アクセスを助長する行為も処罰の対象となってい
　ます。具体的には、ID/パスワードなどの認証情報を、端末利用者や管理者以外に
　漏らす事などが助長行為とされています。ただし、情報セキュリティ教育や注意喚起
　など、正当な理由で行っている場合には処罰の対象とはなりません。