分野 E｜セキュリティ・倫理
不正アクセス禁止法（アクセス制御機能・不正アクセス行為）
今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『7-30-1 不正アクセス禁止法』
最終更新
よく出る形
- 不正アクセス禁止法で規制される行為だけを全て挙げる組合せ（3回分で1問）
- 問われるとしたら：不正アクセス行為（無断ログインなど）に当たる行為を選ぶ形
- 問われるとしたら：アクセス制御機能（ログイン時の確認の仕組み）の説明を選ぶ形
- 問われるとしたら：助長する行為（手助けする行為）の a〜c の組合せの形
覚えること
- 不正アクセス禁止法：不正アクセス行為などを禁止し、罰則を定めた法律
- アクセス管理者：ネットワークにつながったコンピュータの動作を管理する者
- 識別符号：利用を許可された人を区別する符号（パスワード、顔の影像から作る符号など）
- アクセス制御機能：入力された符号が正当な識別符号かを確かめ、利用の制限を解除する機能
- 不正アクセス行為：他人の識別符号を入力し、制限された利用を可能にする行為（なりすまし）
- 不正アクセス行為：識別符号以外の情報や指令を入力し、制限を免れて利用を可能にする行為（セキュリティホールを突く）
- 管理者の承諾を得て行う場合は、不正アクセス行為に当たらない
- 不正アクセス行為を助長する行為：他人の識別符号を、管理者と本人以外に提供する行為（業務などの正当な理由は除く）
- ほかに禁止される行為：不正アクセスに使う目的で、他人の識別符号を取得・保管する行為
- ほかに禁止される行為：管理者を装い、識別符号の入力を求める行為（フィッシング）
- マルウェアの作成は、不正アクセス禁止法ではなく、刑法の不正指令電磁的記録に関する罪の対象
ひっかけ
- 助長に当たるのは管理者と本人以外への提供で、本人や管理者への連絡は当たらない
- 不正アクセス行為は他人の識別符号の使用で、自分の識別符号の使用は当たらない
- 取得・保管・フィッシングは禁止されるが、定義上の不正アクセス行為とは別の行為
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
不正アクセス禁止法における「不正アクセス行為」に該当するものはどれか。
正解：ウ 他人の ID とパスワードを、本人に無断で入力して、制限されたサービスを使える状態にする。
ポイント
不正アクセス行為の定義に当たる行為を、ほかの禁止行為と区別して選ぶ問題です。
考え方と解き方
この法律は、不正アクセス行為のほかに、その前後の行為も別に禁止しています。ID とパスワードに関わる行為だからと、どれも不正アクセス行為だと考えると、取得や保管の行為を選んでしまいます。
- 不正アクセス行為は、他人の識別符号を入力して、アクセス制御機能によって制限された利用を可能にする行為などです。
- ウ は、他人の ID とパスワードを無断で入力し、制限されたサービスを利用できる状態にするので、これに当たります。
- したがって、該当するのは ウ です。
ほかの選択肢
- ア 他人の識別符号を取得する行為です。不正アクセス行為そのものではなく、別に禁止されている行為です。
- イ 不正に取得された他人の識別符号を保管する行為です。不正アクセス行為そのものではなく、別に禁止されている行為です。
- エ 管理者を装って識別符号の入力を求める行為（フィッシング）です。不正アクセス行為そのものではなく、別に禁止されている行為です。
覚えておくこと
- 不正アクセス行為：他人の識別符号を入力し、制限された利用を可能にする行為（なりすまし）
- ほかに禁止される行為：不正アクセスに使う目的で、他人の識別符号を取得・保管する行為
- ほかに禁止される行為：管理者を装い、識別符号の入力を求める行為（フィッシング）
（テーマ・覚えること）
不正アクセス行為を助長する行為に該当するものだけを全て挙げたものはどれか。
B さんは、取引先の C 社の社員の D さんが使うサービスの ID とパスワードを知っている。
- a B さんは、サービスの管理者から求められて、その ID とパスワードを管理者に伝える。
- b B さんは、ID とパスワードを忘れた D さん本人に、確認のために、その ID とパスワードを伝える。
- c B さんは、金銭を受け取る代わりに、その ID とパスワードを、インターネット上で不特定の人に教える。
正解：エ c
ポイント
不正アクセス行為を助長する行為に当たるかどうかを、提供する相手で判定する問題です。
考え方と解き方
助長する行為は、他人の識別符号を、管理者と本人以外に提供する行為です。ID とパスワードを人に伝える行為を、全てまとめて禁止だと考えると、a や b も入れて誤ります。
- a は該当しません。提供の相手がアクセス管理者なので、禁止の対象外です。
- b は該当しません。提供の相手が利用を許可された D さん本人なので、禁止の対象外です。
- c は該当します。管理者と本人以外の不特定の人に、正当な理由なく提供しているからです。
- したがって、該当するのは c だけで、エ です。
ほかの選択肢
- ア a、b は、提供の相手が管理者と本人なので、助長する行為に当たりません。c が入っていません。
- イ a、b は、提供の相手が管理者と本人なので、助長する行為に当たらず、入れすぎです。
- ウ b は、提供の相手が本人なので助長する行為に当たらず、入れすぎです。
覚えておくこと
- 不正アクセス行為を助長する行為：他人の識別符号を、管理者と本人以外に提供する行為（業務などの正当な理由は除く）
（テーマ・覚えること）
不正アクセス禁止法におけるアクセス制御機能に該当するものはどれか。
正解：イ サービスの利用時に入力された ID とパスワードを確かめ、正しい場合に制限を解除する機能
ポイント
アクセス制御機能がどんな機能かを、ほかのセキュリティ機能と区別して選ぶ問題です。
考え方と解き方
暗号化や検出、記録の機能と同じ仲間だと考えると、区別を誤ります。セキュリティ対策の機能はどれも似て見えるので、何を確かめて何を解除するかで見分けます。
- アクセス制御機能は、入力された符号が正当な識別符号かを確かめ、正しければ利用の制限を解除する機能です。
- ID とパスワードを確かめて、正しい場合に利用の制限を解除する機能が、これに当たります。
- したがって、該当するのは イ です。
ほかの選択肢
- ア 通信の暗号化の機能です。内容を読み取られないようにするもので、利用の制限を解除する機能ではありません。
- ウ ウイルスを検出する機能です。ファイルを調べるもので、入力された符号を確かめる機能ではありません。
- エ 操作の記録を保存するログの機能です。あとから調べるためのもので、利用の制限を解除する機能ではありません。
覚えておくこと
- アクセス制御機能：入力された符号が正当な識別符号かを確かめ、利用の制限を解除する機能
- 識別符号：利用を許可された人を区別する符号（パスワード、顔の影像から作る符号など）
（テーマ・覚えること）
不正アクセス禁止法に関する記述のうち、最も不適切なものはどれか。
正解：イ 識別符号を使わず、セキュリティホールを突く指令を入力しても、不正アクセス行為には当たらない。
ポイント
不正アクセス禁止法の用語と、不正アクセス行為の範囲を問う問題です。
考え方と解き方
不正アクセス行為を、他人のパスワードを使うことだと覚えていると、パスワードを使わない攻撃は当たらないと考え、イを適切と読んでしまいます。
- 不正アクセス行為には、他人の識別符号を入力する行為のほか、識別符号以外の情報や指令を入力して、制限を免れて利用を可能にする行為も含まれます。
- イ は、後者を不正アクセス行為に当たらないとしているので、不適切です。
- したがって、最も不適切なのは イ です。正しくは、セキュリティホールを突く指令の入力も、不正アクセス行為に当たります。
ほかの選択肢
- ア 識別符号には、パスワードのほか、身体の影像や音声から作られる符号も含まれるので、適切です。
- ウ アクセス管理者は、ネットワークにつながったコンピュータの動作を管理する者なので、適切です。
- エ アクセス管理者の承諾を得て行う場合は、不正アクセス行為に当たらないので、適切です。
覚えておくこと
- 不正アクセス行為：識別符号以外の情報や指令を入力し、制限を免れて利用を可能にする行為（セキュリティホールを突く）
- 識別符号：利用を許可された人を区別する符号（パスワード、顔の影像から作る符号など）
- 管理者の承諾を得て行う場合は、不正アクセス行為に当たらない
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。