セキュリティ関連法規不正アクセス禁止法★★☆

攻撃者が、Webアプリケーションの脆弱性を突く命令をネットワーク経由で送り、 IDとパスワードの入力を経ずに、本来はログインした利用者だけが見られる管理画面を表示させた。この行為の不正アクセス禁止法上の扱いとして、最も適切なものはどれか。

正解：ウ

ア他人の識別符号を入力していないので、不正アクセス行為には当たらない。
誤り。不正アクセス行為には、他人のIDやパスワードを使う型のほかに、それを使わずに制限を回避する型があります。識別符号の有無だけで結論を出すのは典型的な誤解です。
イ管理画面を表示させただけで情報を持ち出していないので、不正アクセス行為には当たらない。
誤り。制限されていた利用ができる状態にした時点で成立します。情報を持ち出したか、実際に損害が出たかは要件ではなく、それらは成立後の被害の大きさの問題です。
ウ識別符号を使わなくても、アクセス制御機能による制限を免れれば不正アクセス行為に当たる。
正解。攻撃用の命令を送って認証を素通りさせる行為も、条文が定める不正アクセス行為の一類型です。守られていた利用を、権限なく行える状態にしたことが決め手になります。
エ脆弱性を放置したアクセス管理者の防御措置の義務違反となり、管理者が罰則を受ける。
誤り。管理者に置かれた防御措置の規定は努力義務で、罰則はありません。守りが甘かったことは、この法律のもとで攻撃した側の責任を軽くする理由にもなりません。

鍵を使わずに壁を越えても、侵入は侵入

不正アクセス行為というと「他人のIDとパスワードで勝手にログインする」場面を思い浮かべがちですが、それは条文が挙げる類型の一つにすぎません。識別符号をまったく使わずに、プログラムの欠陥を突いて認証を素通りする行為も、同じく不正アクセス行為です。玄関の鍵を開けて入ったか、壊れた窓から入ったかの違いで、侵入であることは変わりません。

条文が想定する二つの入り方

識別符号を使う型：他人のIDやパスワードなどを入力し、制限されている利用ができる状態にする
識別符号を使わない型：制限を免れることができる情報や指令を入力し、制限されている利用ができる状態にする。いわゆるセキュリティホールを突く攻撃がこれにあたる

どちらも「アクセス制御機能による制限を免れて、利用できる状態にした」時点で成立します。そこから情報を持ち出したか、実害が出たかは成立の条件ではありません。

管理者側の規定との違い

規定	中身
不正アクセス行為の禁止	何人も行ってはならず、違反には罰則がある
アクセス管理者の防御措置	識別符号の管理と機能の有効性検証に努める努力義務

管理者には防御措置を講ずる規定が置かれていますが、これは努めるべき義務であって、守らなかったことに罰則はありません。脆弱性を放置していたとしても、この法律で責任を問われるのは攻撃した側です。「守りが甘かったから仕方ない」は成り立ちません。