正解：イ
各選択肢の解説
ア他人のIDを無断で使ってログインする行為などを禁止し、違反者への罰則を定めている。
誤り。これは不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）です。 名前がよく似ていますが、法律は行為を禁じて罰する側、対策基準は被害を 防ぐために何をするかを示す側です。罰則があるかどうかで見分けます。
イ被害の予防、発見、復旧や再発防止のために、利用者や管理者などが取るべき対策を示している。
正解。システムユーザ、システム管理者、ネットワークサービス事業者、 ハードウェア・ソフトウェア供給者という立場ごとに、実行すべき対策を まとめた基準です。
ウカード会員データを保存、処理、伝送する事業者が満たすべき要件を業界として定めている。
誤り。これはPCI DSSです。国際カードブランドが設立した団体の定める業界の 基準で、対象はカード会員データを扱う事業者に限られます。国の告示として 組織や個人全般に向けた対策基準とは、定めた主体も対象も違います。
エ組織の管理の仕組みが要求事項に適合しているかを、第三者の審査で認証している。
誤り。これはISMS適合性評価制度（JIS Q 27001に基づく認証）の説明です。 対策基準は取るべき対策を示した目安であって、適合を審査して認証を与える 制度ではありません。審査や認証が出てきたら別の制度を疑います。
理解を深めるために
「罰する法律」ではなく「守り方の目安」
不正アクセスへの備えには、二つの側面があります。やった者を罰する仕組みと、 やられないように備える仕組みです。前者が不正アクセス禁止法、後者が コンピュータ不正アクセス対策基準です。対策基準は経済産業省（当時の通商産業省） の告示で、被害の予防、発見、復旧、拡大と再発の防止のために、 組織や個人が実行すべき対策をまとめています。
立場ごとに対策が書かれている
対策基準は、次の四つの立場に分けて対策を示しています。
- システムユーザ（パスワードの管理、不審な事象の報告など）
- システム管理者（管理体制の整備、アクセス権限の管理、ログの確認など）
- ネットワークサービス事業者
- ハードウェア・ソフトウェア供給者
また、不正アクセスの被害を受けたときにIPAへ届け出るコンピュータ不正アクセス 届出制度は、この基準を根拠にしています。基準と届出制度はセットで押さえます。
混同しやすいものとの違い
| 名称 | 性格 | 定めた主体 |
|---|---|---|
| コンピュータ不正アクセス対策基準 | 取るべき対策の目安（罰則なし） | 経済産業省（告示） |
| 不正アクセス禁止法 | 行為の禁止と罰則 | 国会（法律） |
| PCI DSS | カード会員データ保護の業界基準 | カードブランドが設立した団体 |
| ISMS適合性評価制度 | 管理の仕組みの第三者認証 | 認定機関・認証機関 |
試験では「禁止法」と「対策基準」の取り違えがねらわれます。 罰則があるなら法律、立場ごとの対策が並ぶなら対策基準、と見分けましょう。