情報セキュリティマネジメント試験過去問 - 分野別(科目A) - セキュリティ関連法規

答え ： エ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 刑法
解説 ：
「電子計算機損壊等業務妨害罪」は，刑法に定められた犯罪です。コンピュータやそこに保存されたデータを壊したり，不正な指令を与えたりして，コンピュータが本来の動作をしないようにし，他人の業務を妨害する行為が対象です。

したがって，プロバイダのサーバに侵入してWebページの内容を消去・改ざんした「エ」が正解です。データを消したり書き換えたりしてサーバを正常に動かせなくし，その企業の業務に支障を与える行為だからです。

「ア」の海賊版ソフトの販売は，著作権法違反に当たります。

「イ」の存在しない商品を出品して代金をだまし取る行為は，詐欺罪です。コンピュータが使われてはいますが，コンピュータの動作を妨害しているわけではありません。

「ウ」の他人の著作物を無断で掲載する行為も，著作権法違反（複製権や公衆送信権の侵害など）です。

答え ： エ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › その他のセキュリティ関連法規
解説 ：
「特定電子メール法」とは，迷惑メール（広告宣伝メールなど）を規制する法律です。大きな特徴は，あらかじめ同意した人にだけ広告メールを送れる，オプトイン方式を採用していることです。送信者だけでなく，送信を依頼した事業者（送信委託者）にも義務が課されます。

「エ」は，規制対象となるメールの送信者と送信委託者の両方に義務を定めている，という内容で，正しい説明です。これが正解です。

「ア」は，送信を受託した事業者だけを規制するとありますが，実際には依頼した側の事業者も規制されるので誤りです。

「イ」は，受信拒否の通知があって初めて禁止するオプトアウト方式としていますが，日本の特定電子メール法は，原則として事前の同意を求めるオプトイン方式です。

「ウ」は，目的に犯罪捜査のための通信傍受を含めていますが，そのような目的はありません。通信傍受は別の法律の話です。この法律の目的は，迷惑メールによる支障を防ぎ，電子メールの利用環境を良くすることです。

答え ： ウ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 個人情報保護法
解説 ：
個人情報保護法でいう「個人情報」とは，生存する個人に関する情報で，氏名や生年月日などによって特定の個人を識別できるものを指します。

他の情報と簡単に照らし合わせて個人を識別できる情報や，マイナンバーなどの個人識別符号も含まれます。亡くなった人の情報は，原則として対象外です。したがって「ウ」が正解です。

「ア」は，企業が管理している顧客の情報に限らず，従業員の情報や，個人が持っている友人の連絡先なども個人情報にあたります。

「イ」は，秘密にしているプライバシー情報だけでなく，名刺に載っているような氏名や会社名のように，一般に知られている情報であっても，個人を識別できれば個人情報です。

「エ」は，国籍は関係なく，日本にいる外国籍の人の情報も対象になります。どの選択肢も「限られる」と言い切っている点に注意しましょう。法が規定する個人情報の範囲は，一般に想像されるよりずっと広いです。

答え ： イ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › その他のセキュリティ関連法規
解説 ：
「電子署名法」とは，電子署名に手書きの署名や押印と同じような法的な効力を持たせるための法律です。この法律では，本人だけが行える電子署名が付された電子文書は，本人の意思で作成されたものと推定されます。これは，民事訴訟法における押印と同様の効力が認められるということです。したがって正解は「イ」です。電子契約が実務で使えるのは，この法律の裏付けがあるからです。

「ア」は，この法律でいう電子署名は，電磁的記録（電子データ）に記録でき，コンピュータで処理できる情報が対象で，紙などは含まれません。

「ウ」は，電子署名の認証業務を行えるのは政府の認証局に限られておらず，一定の基準を満たして認定を受けた民間の事業者も行えます。

「エ」は，電子署名は共通鍵暗号技術に限られるものではなく，実際には，秘密鍵で署名して公開鍵で検証する公開鍵暗号技術が使われるのが一般的です。

答え ： ア
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 刑法
解説 ：
マルウェアを侵入させてデータを消去した人を，どの法律で処罰できるかを問う問題です。他人のコンピュータにマルウェアを入れ，データを消去する行為は，刑法の電磁的記録毀損罪や，電子計算機損壊等業務妨害罪，不正指令電磁的記録に関する罪（いわゆるウイルス作成罪）などに該当します。したがって「ア」が正解です。

「イ」の「製造物責任法」は，製品の欠陥によって損害が生じた場合に，製造者が負う責任を定めた法律です。

「ウ」の「不正アクセス禁止法」は，他人のIDやパスワードを使って不正にログインするといった行為を禁止する法律です。この問題では，記憶媒体を介してマルウェアを入れており，不正ログインの行為は述べられていません。

「エ」の「プロバイダ責任制限法」は，ネット上の権利侵害で，プロバイダが負う責任の範囲や発信者情報の開示を定めた法律です。

答え ： エ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 個人情報保護法
解説 ：
「JIS Q 15001」は，個人情報保護マネジメントシステムの要求事項を定めた規格です。この規格では，本人から書面に記載された個人情報を直接取得する場合，利用目的などをあらかじめ書面で本人に明示し，同意を得ることが求められています。アンケート用紙の裏に利用目的が書いてあり，同意欄がある場面を想像してください。正解は「エ」です。

「ア」は，開示対象個人情報は，組織が開示などの権限をもつ個人情報を指し，全ての個人情報が該当するというわけではありません。

「イ」は，2017年版はJIS Q 27001と同じく，マネジメントシステム規格に共通の章立てを採用しているので誤りです。

「ウ」は，機微な個人情報の扱いについて，2017年版では法律の用語に合わせた整理がされており，設問の記述は適切とされていません。

答え ： エ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › その他のセキュリティ関連法規
解説 ：
「特定電子メール法」とは，迷惑メール対策の法律です。広告宣伝メールを送る場合，原則として，受信者があらかじめ同意した相手にだけ送ることができる「オプトイン方式」が義務付けられています。SMSのような方法でも，広告宣伝を目的とする特定電子メールには，同じ規制がかかります。正解は「エ」です。

「ア」は，SMSであってもオプトアウト方式ではなく，オプトインが原則なので誤りです。

「イ」は，どちらかを選べるわけではありません。

「ウ」の，受信を拒否した人にだけ送らないようにするオプトアウト方式は，原則として認められていません。

答え ： イ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 個人情報保護法
解説 ：
マイナンバー（個人番号）を含む特定個人情報は，法律で決められた用途以外では，取り扱ってはいけません。ファイルの作成も同様で，原則として，社会保障，税，災害対策に関する法定の事務に必要な場合に限られます。従業員の業務成績を管理するためにマイナンバーを使ってファイルを作ることは，法律で決められた事務ではないので禁止されています。正解は「イ」です。

「ア」は，システム障害に備えたバックアップなので，作成が認められています。

「ウ」は，税務署に提出する資料の整合性を確認するチェック用ファイルで，法定事務のために必要な範囲として認められています。

「エ」は，保険契約者への死亡保険金の支払に伴う支払調書で，税務署に提出する法定書類なので作成できます。

答え ： イ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 情報セキュリティに関する基準
解説 ：
情報セキュリティポリシは，基本方針，対策基準，実施手順の3階層が基本です。ただし，中小企業ガイドラインでは，組織が小さい場合は対策基準と実施手順をまとめて一階層にし，基本方針と合わせて2階層としてもよいとされています。したがって「イ」が正解です。

「ア」について，ポリシは経営者を含めた組織全体が対象であり，経営者を例外にはできません。

「ウ」は，基本方針は組織としての方針なので，通常は一つにまとめます。

「エ」は順番が逆です。まず基本方針を定め，それを具体化する対策基準を作り，最後に実施手順を作るというトップダウンで策定します。経営の考えが現場の手順にまで貫かれていることが重要です。

答え ： エ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 情報セキュリティに関する基準
解説 ：
「中小企業の情報セキュリティ対策ガイドライン」では，経営者が自ら行うべきこととして，方針の策定，対策の見直し，最新動向の収集などが示されています。

cは組織的に取り組む意思を示す方針を定めることで，経営者が自ら行う取組みです。bの対策を定期，随時に見直すことと，dの新たな脅威に備えて最新動向を収集することも同様です。

一方，aの監査計画の立案は，経営者が指名した監査責任者などが担う実務に近い内容で，経営者が自ら行うものとしては示されていません。したがって，b，c，dの組合せである「エ」が正解です。「ア」「イ」「ウ」はaを含んでいるため誤りです。

答え ： エ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › サイバーセキュリティ基本法
解説 ：
「サイバーセキュリティ基本法」は，サイバーセキュリティに関する施策の基本を定めた法律です。この法律にもとづく「サイバーセキュリティ戦略本部」は，内閣に置かれています。国のサイバーセキュリティ戦略を決める重要な機関なので，政府全体を統括する内閣の下にあります。したがって「エ」が正解です。

「ア」の経済産業省は，情報セキュリティ政策を担う省庁の一つですが，戦略本部が置かれる機関ではありません。

「イ」の国家安全保障会議は，国の安全保障に関する重要事項を審議する機関で，戦略本部の設置先ではありません。

「ウ」の国会は立法機関であり，戦略本部は置かれていません。

なお，内閣官房には「NISC」（内閣サイバーセキュリティセンター）があり，戦略本部の事務を担当しています。

答え ： ア
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 不正アクセス禁止法
解説 ：
「不正アクセス禁止法」では，他人のIDやパスワードを使って不正にアクセスする行為のほか，それを助長する行為も禁止しています。正当な理由なく他人のIDとパスワードを第三者に提供する行為は，助長する行為に当たりますので，「ア」が正解です。

「イ」のフィッシングサイトの開設は，IDやパスワードを不正に入手する目的で行うもので，不正アクセス禁止法のうち「不正取得の禁止」や「不正に入力を求める行為の禁止」の規定に関わる行為です。

「ウ」は，不正アクセスを目的に他人のIDとパスワードを入手する行為で，不正取得の禁止の規定です。

「エ」は，不正に入手したIDとパスワードをPCに保管する行為で，不正保管の禁止の規定です。

答え ： エ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 情報セキュリティに関する基準
解説 ：
機密性の評価値2は，法律で安全管理が義務付けられている，または漏えいすると取引先や顧客，自社に大きな影響が出る情報資産が対象です。主力製品の設計図が不正アクセスで外部に流出すると，競争優位性が失われて売上が減るので，「エ」は評価値2にふさわしい例です。

「ア」は，DDoS攻撃でサイトにアクセスできなくなる話で，情報が漏れる話ではなく，使いたいときに使えるという可用性の問題です。

「ウ」は，設計図が無断で変更される話で，情報が正しいままであることを表す完全性の問題です。

「イ」は，廃版になった商品情報が見られるだけなので，漏えいしても影響は小さく，機密性は低い評価になります。

答え ： ア
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › サイバーセキュリティ基本法
解説 ：
「サイバーセキュリティ基本法」とは，国や地方公共団体だけでなく，重要社会基盤事業者，サイバー関連事業者，教育研究機関，そして国民にも，それぞれの立場で取り組むことを求めています。国民については，サイバーセキュリティの重要性への関心と理解を深め，必要な注意を払うよう努めると規定されています。「ア」はこれを正しく述べています。

「イ」は，地方公共団体や教育研究機関に言及がないとしていますが，実際には言及があります。

「ウ」は，民間事業者が努力すべき事項の規定がないとしていますが，これも誤りです。

「エ」は，地方公共団体を重要社会基盤事業者としていますが，重要社会基盤事業者は電力，金融，鉄道などの事業者のことです。

答え ： ア
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 個人情報保護法
解説 ：
「要配慮個人情報」とは，本人に対する不当な差別や偏見が生じないように，特に慎重な取扱いが求められる個人情報で，人種，信条，社会的身分，病歴，犯罪の経歴，犯罪により害を被った事実などが含まれます。ガイドラインでは，医療従事者が診療の過程で知り得た診療記録などの情報が，病歴や心身の状態に関する情報として例示されています。正解は「ア」です。

「イ」の国籍や外国人であるという法的地位は，人種そのものではないので該当しません。

「ウ」の宗教に関する書籍の購買や貸出しの情報は，信条を推測させるだけで，直ちに該当するものではありません。

「エ」は，他人を被疑者とする取調べを受けた事実で，本人が被疑者として扱われたわけではないので，該当しません。

答え ： ウ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 情報セキュリティに関する基準
解説 ：
「サイバーセキュリティ経営ガイドライン」とは，経営者が自ら取り組むべき内容をまとめた指針です。その中には，対策を担う人材の確保や育成，そのための予算の確保が含まれています。したがって，処遇の維持や改善，予算確保を指示する「ウ」が正解です。

「ア」について，CISOには経営層に近い権限を持つ人を任命し，緊急時に迅速に判断できるようにします。

「イ」について，攻撃情報は，被害の拡大や再発を防ぐために，関係機関と積極的に共有することが求められます。

「エ」について，取引先のセキュリティ対策状況を把握し，必要なら監査することを契約に盛り込むべきで，禁止するのは逆の対応です。

答え ： ウ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 情報セキュリティに関する基準
解説 ：
「サイバーセキュリティ経営ガイドライン」は，経営者がリーダーシップをとってサイバー攻撃への対策を進めるための指針です。

このガイドラインでは，自社の対策だけでなく，取引先や委託先など，サプライチェーンのビジネスパートナの対策状況も確認するよう求めています。自社が万全でも，取引先が攻撃されてそこから情報が漏れたり，攻撃の踏み台にされたりするおそれがあるためです。したがって正解は「ウ」です。

「ア」の個人利用者，「イ」の株主，「エ」の地域社会は，いずれも自社の事業活動と直接のつながりが薄く，対策状況を確認する対象とはされていないので誤りです。

答え ： ウ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 情報セキュリティに関する基準
解説 ：
情報技術セキュリティ評価のための国際標準で，「コモンクライテリア」（CC）と呼ばれるのは，「ISO/IEC 15408」です。製品やシステムのセキュリティ機能が，正しく設計・実装されているかを評価するための基準です。「ウ」が正解です。

「ア」のISO 9001は，品質マネジメントシステムの規格です。

「イ」のISO 14004は，環境マネジメントシステムの指針に関する規格です。

「エ」のISO/IEC 27005は，情報セキュリティのリスクマネジメントに関する規格です。

答え ： エ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › その他のセキュリティ関連法規
解説 ：
「プロバイダ責任制限法」とは，インターネット上で権利侵害があったときの，プロバイダの損害賠償責任の範囲を定めた法律です。利用者の書込みが他人の権利を侵害していることを知らず，またそれを知ることができたと認める理由もなかった場合は，放置していても責任が制限されます。「エ」が正解です。

「ア」の個人情報の無断提供は個人情報保護法に，「ウ」のメールの盗聴は通信の秘密の侵害に，それぞれ関わる違法行為です。

「イ」の不当な違約金の請求は契約上の問題です。いずれも，プロバイダの責任が制限される場面ではありません。

答え ： ウ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 刑法
解説 ：
「電子計算機使用詐欺罪」は，コンピュータに虚偽の情報や不正な指令を与えて，財産上の不正な利益を得る行為に適用される刑法の罪です。インターネットで銀行のシステムに虚偽の情報を入力して不正に振込をさせる行為が該当し，「ウ」が正解です。

「ア」のねずみ講は，無限連鎖講の防止に関する法律で規制されます。

「イ」の誤認させる商品カタログによる販売は，人をだます一般の詐欺罪などの問題です。

「エ」のWebページの不正な改変で信用を傷つける行為は，電子計算機損壊等業務妨害罪や信用毀損罪などの問題です。

答え ： ウ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 個人情報保護法
解説 ：
「特定個人情報」とは，マイナンバー（個人番号）を含む個人情報です。ガイドラインでは，源泉徴収票の作成など個人番号関係事務の全部または一部を外部に委託することは認められています。ただし，委託先に対する必要かつ適切な監督が必要です。「ウ」が正解です。

「ア」は，保存期間を過ぎたら，暗号化して保管するのではなく，できるだけ速やかに廃棄または削除しなければなりません。

「イ」は，アクセス権は事務取扱担当者に限定する必要があります。

「エ」は，個人番号を営業成績の管理に使うような，目的外の利用は禁止されています。

答え ： ウ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › その他のセキュリティ関連法規
解説 ：
「特定電子メール法」とは，迷惑な広告メールを規制する法律です。広告宣伝のメールは，原則として，事前に送信に同意した人にだけ送るオプトイン方式をとる必要があります。取引関係にある相手など，例外もあります。「ウ」が正解です。

「ア」は，許諾を通知する手段を表示していても，同意を得ていない人に送ることはできません。これは同意なしに送り，拒否されたらやめるオプトアウト方式で，現在は認められていません。

「イ」の，表題に未承諾広告と明示する方式も，旧法の考え方です。

「エ」は，自動生成したアドレスへの送信は，氏名や連絡先を明示しても禁止されています。

答え ： エ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 不正アクセス禁止法
解説 ：
不正アクセス禁止法は，他人のIDやパスワードで不正にログインする行為のほか，不正アクセスの目的で他人のIDやパスワードを取得する行為も処罰の対象としています。実際に不正アクセスをしていなくても，取得しただけで違法です。「エ」が正解です。

「ア」は，パスワードの実例をセミナの資料に載せただけで，他人のIDとパスワードを不正に取得したり提供したりしたわけではありません。

「イ」は，意図せずダウンロードしてしまったもので，不正アクセスの目的がありません。

「ウ」は，現金を振り込ませようとする詐欺で，不正アクセス禁止法ではなく刑法の問題です。

答え ： ア
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 情報セキュリティに関する基準
解説 ：
IPAの「内部不正防止ガイドライン」では，内部不正を防ぐ技術的対策の一つとして，SNS，オンラインストレージ，掲示板などへのアクセスを制限するコンテンツフィルタの導入が挙げられています。これにより，情報の持ち出しを難しくできます。

「イ」は業務メールを私用アドレスへ転送させるもので，組織の管理が及ばない場所に情報が流出する危険が高まるため不適切です。

「ウ」はウイルス対策ソフトを一時的に無効にするもので，マルウェア感染のリスクを自ら高めてしまいます。

「エ」は許可していないソフトを従業員の判断で入れさせるもので，情報漏えいやマルウェア混入の原因になり得ます。

答え ： エ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 個人情報保護法
解説 ：
「OECDプライバシーガイドライン」の8原則のうち，データ内容の原則は，個人データを利用目的の範囲内で正確，完全，最新に保つべきという原則で，「エ」の説明が合っています。

「ア」の説明は，安全保護ではなく収集制限の原則の内容です。安全保護の原則は，紛失や不正アクセスなどから個人データを守ることを求めます。

「イ」の説明は，個人参加ではなく公開の原則の内容です。個人参加の原則は，本人が自分のデータを確認したり訂正したりできることを求めます。

「ウ」の説明は，収集制限ではなく目的明確化の原則の内容です。

答え ： ア
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 個人情報保護法
解説 ：
個人情報保護法でいう個人情報は，生存する個人に関する情報で，特定の個人を識別できるものです。ドメイン名や文字列から特定の個人が識別できるメールアドレスは，個人情報に当たります。「ア」が適切です。

「イ」は，個人に対する業績評価も，特定の個人を識別できるなら個人情報です。

「ウ」は，すでに公表されている氏名，性別，生年月日も，個人情報であることに変わりはありません。

「エ」は，法人の本店所在地や代表電話番号などは，個人に関する情報ではないので，個人情報には当たりません。

答え ： ア
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › 刑法
解説 ：
「電子計算機損壊等業務妨害罪」とは，コンピュータやそのデータを壊したり，虚偽の情報や不正な指令を与えたりして，コンピュータが正しく動作しないようにし，業務を妨害する行為を罰する刑法の規定です。企業のWebサイトに接続してページを改ざんする「ア」が該当します。

「イ」は他社の商標に似たドメイン名を使って不正に利益を得る行為で，不正競争防止法の問題です。

「ウ」は他人のWebサイトを無断複製する行為で，著作権法の問題です。

「エ」は他人のキャッシュカードを使って不正に振り込む行為で，電子計算機使用詐欺罪などに当たります。

答え ： エ
分野 ： 重点分野 › 企業と法務 › 法務 › セキュリティ関連法規 › その他のセキュリティ関連法規
解説 ：
「特定電子メール法」とは，受信者の承諾なしに不特定多数に送りつける広告・宣伝メールなどを規制する法律です。「エ」の，承諾を得ていない不特定多数への広告メールが該当します。

「ア」は，ウイルスに感染していることを知らずに送った業務連絡で，広告目的ではなく，同法の規制対象ではありません。

「イ」の著者への匿名の批判メールや，「ウ」の企業への繰返しのクレームメールも，広告や宣伝を目的としたものではないので，規制の対象外です。