不正アクセス禁止法｜ITパスポート

シラバス案 Ver.0.1 の小分類 1「不正アクセス禁止法」（大分類 7：倫理・コンプライアンス／中分類 30：セキュリティ関連法規）。
2026-09-26 にシラバス本文と突合済み。

0. 何を押さえるか

正式名称は「不正アクセス行為の禁止等に関する法律」。
ID・パスワードなどで守られたコンピュータに、許可なく入る行為と、その準備・手助けになる行為を禁じます。

行為	条	例
不正アクセス行為	3 条	他人の ID・パスワードで勝手にログインする、脆弱性を突いて認証を回避する
他人の識別符号の不正取得	4 条	不正アクセスに使うため、他人のパスワードを手に入れる
不正アクセス行為を助長する行為	5 条	他人の ID・パスワードを、正当な理由なく第三者に教える
他人の識別符号の不正保管	6 条	不正に手に入れたパスワードを持っておく
識別符号の入力の不正要求	7 条	正規のサイトを装い、パスワードを入力させる（フィッシング）

取り違えやすい分かれ目は次の 2 つです。

根拠: シラバス 7-30-1

不正アクセス禁止法でいうアクセス制御機能とは？

ネットワークにつながったコンピュータについて、利用してよい人かどうかを自動的に確かめ、利用を制限する機能

ID・パスワード、生体認証（指紋・顔）などによる認証の仕組みがこれに当たる。
この法律は、アクセス制御機能で守られたコンピュータへの侵入を禁じるもので、
誰でも見られる公開ページを閲覧するのは不正アクセスではない。

不正アクセス行為に当たる 2 つの型は？

型	中身
識別符号の無断入力（なりすまし）	他人の ID・パスワードや生体情報をネットワーク経由で入力し、利用制限のかかった機能を使う
セキュリティホール攻撃	ソフトウェアの脆弱性などを突いて、認証を回避して利用する

どちらも「アクセス制御機能をすり抜ける」行為。
自分の ID で入れる範囲を使うのは、たとえ業務外の目的でも、この法律の不正アクセス行為には当たらない（社内規程違反などは別の問題）。

不正アクセス禁止法は、実際に被害が無ければ罰せられないか？

罰せられる。不正にアクセスした時点で成立する。

情報を盗んだり、データを壊したりしていなくても、ログインしただけで不正アクセス行為になる。
罰則は 3 年以下の拘禁刑または 100 万円以下の罰金で、この法律の中で最も重い。

家族や同僚のパスワードを知っていたので、その人の SNS に本人に無断でログインした。不正アクセスになるか？

なる。

パスワードをどうやって知ったか（盗み見た・教えてもらっていた）は関係なく、
本人（利用権者）の許可なく他人の識別符号を入力してログインすれば不正アクセス行為。
「身近な人だから」「中を見ただけ」でも成立する。

不正アクセス禁止法と、刑法の不正指令電磁的記録に関する罪（ウイルス作成罪）は、何を罰するかがどう違うか？

法律	罰する行為
不正アクセス禁止法	認証を破って他人のコンピュータに入ること（とその準備・手助け）
ウイルス作成罪（刑法）	人の意図に反して動くプログラムを作る・広める・持つこと

入ることを罰するか、悪いプログラムを罰するか。
ウイルスで ID・パスワードを盗み、それでログインすれば両方に当たりうる。

根拠: シラバス 7-30-1

不正アクセス行為を助長する行為とは？

業務その他正当な理由なく、他人の ID・パスワードを、本人（利用権者）や管理者以外の者に提供すること（5 条）

例：他人のアカウント情報を掲示板に書き込む、知人に教える、売る。
相手が不正アクセスに使うと知って提供すれば罰則はより重くなる（1 年以下の拘禁刑または 50 万円以下の罰金）。

不正アクセス禁止法が、不正アクセスそのもの以外に禁じている準備行為は？

禁止行為	中身
不正取得	不正アクセスに使う目的で、他人の ID・パスワードを手に入れる
不正保管	不正に取得された他人の ID・パスワードを、不正アクセスに使う目的で持っておく
入力の不正要求	正規の管理者を装い、ID・パスワードの入力を求める（フィッシングサイト・フィッシングメール）

フィッシングサイトを作って公開しただけで、実際に誰かが入力しなくても違反になる。

不正アクセス禁止法は、アクセス管理者（サービスを運営する側）に何を求めるか？

識別符号を適正に管理し、アクセス制御機能の有効性を検証して、必要なら機能を高度化するなど、不正アクセスから守る措置を講じるよう努めること（努力義務）

罰則付きの義務ではないが、守る側にも対策を求めている。
あわせて、都道府県公安委員会が、被害を受けた管理者に再発防止の援助を行う仕組みもある。