法律を知っていれば、コンプライアンスは守れる？——個人情報・不正アクセス・営業秘密・電子署名・契約を午後の問われ方で読む｜支援士解説3の11

この記事の重要度：Bランク（午後では小問や問題文の前提として問われる分野。用語は午前II（科目A-2）でも問われる）

この記事で分かること：

• 法令・ガイドライン・契約・内部規程の違いと、個人情報の用語・漏えい等の報告の考え方
• 不正アクセス禁止法と刑法が見ている行為、営業秘密の三要件、著作権、電子署名法
• 契約上の義務と公益通報を、実行できる仕組みにし、規程の改定と教育へつなぐ方法

シラバスとの対応：小項目3-11「コンプライアンス管理」。規程の体系は支援士解説1の4、人的管理と内部不正は支援士解説3の9、委託先の管理は支援士解説3の10、事故の公表と通知は支援士解説1の7で扱います。

---

運用担当者は、システムの全ての記録を閲覧できます。それでも、業務と関係のない住民の情報を検索してよいわけではありません。逆に「個人情報だから誰にも見せない」と一律に禁じれば、正当な業務や本人への対応が止まります。コンプライアンスは、法律の名前を覚えることではなく、情報を扱う根拠・目的・範囲を決め、その範囲を守れる仕組みにすることです。

午後の問題では、法令が大問の主役になることは多くありません。ただし、営業秘密の要件、合併で引き継いだ個人情報の扱い、委託先への監督など、法令の知識を前提にした小問が出ます。この記事では、要求の種類、個人情報、報告、不正アクセスと刑法、営業秘密と著作権、電子署名、契約、公益通報、規程の改定の順に要点を整理します。

1. 守るべき要求は、根拠と対象を分ける

組織が守る要求には、四つの種類があります。

• 法令・規制：誰に、何について適用されるかを確かめる。運営主体、業務、情報、行為によって適用が変わる。上司の承認や契約で、法令の制限を外すことはできない
• 公的ガイドライン：法令の解釈を示すものと、対策の例を示すものがある。「全て任意」とも「全て法律上の義務」とも決めつけない
• 契約：当事者が引き受けた義務。法律で一律の期限がなくても、「疑いを把握したら一定時間以内に連絡する」という約束はあり得る
• 内部規程：組織の方針と対策を、職員が従うルールにしたもの。申請先、承認者、保存場所、連絡方法が分かる必要がある

実務では、根拠（法令の条項、契約の条項）、対象（業務、情報、システム）、実施（誰が、何を、いつまでに）、証跡（何を残せば実施を確かめられるか）、見直し（誰が変更を集めるか）を一組で記録します。法令は改正されるので、行為や事故の時点で適用される条文を確かめます。例えば、個人情報保護法は令和8年7月に改正法が公布され、施行に向けた準備が進んでいます（施行前の内容を、現行の義務と混同しません）。個人情報保護委員会「令和8年 改正個人情報保護法について」

【図1】守るべき要求は、根拠と対象を分ける

2. 個人情報の用語と、取得・利用・提供

• 個人情報：生存する個人に関する情報で、特定の個人を識別できるもの、または個人識別符号を含むもの。他の情報と容易に照合して識別できる場合も含む。氏名を番号に置き換えても、同じ部署が対応表を容易に参照できるなら、個人情報でなくなったとは言えない
• 個人データ：個人情報データベース等（特定の個人情報を検索できるよう体系的に構成したもの）を構成する個人情報。電子か紙か、製品名だけでは決まらない
• 保有個人データ：民間の事業者が、開示・訂正・利用停止等を行う権限を持つ個人データ。保存している場所だけでは決まらない
• 保有個人情報：行政機関等が、職務上作成・取得し、組織的に利用するものとして保有し、行政文書等に記録されている個人情報。民間の「保有個人データ」と混同しない
• 要配慮個人情報：病歴、障害、犯罪の経歴など、不当な差別や偏見を防ぐために特別な配慮が求められる情報。業務上の機密とは判断の軸が違う。取得には原則として本人の同意が要る

民間の事業者でも、通常の個人情報の取得に一律に同意が要るわけではありません。利用目的を特定して通知・公表し、その範囲で使います。利用目的を変える、第三者へ提供する場合は、それぞれのルール（原則として本人の同意など）を確かめます。利用目的の達成に必要な範囲で取扱いを委託する場合は第三者提供に当たらない扱いがありますが、委託先への監督は残ります。行政機関等には、行政機関等の規律（法令の定める事務に必要な範囲での保有など）があります。

仮名加工情報は、他の情報と照合しなければ個人を識別できないように加工した情報、匿名加工情報は、個人を識別できず元に戻せないように法令の基準で加工した情報です。どちらも、加工すれば何に使ってもよいという意味ではありません。

午後での問われ方

• 令和2年度10月 午後II問1：二つの会社の合併に伴う、複数のWebサイトの統合が題材でした。合併による事業の承継に伴って取得した個人情報の扱いで、個人情報保護法が禁じていることとして、解答例は「本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。」です。アカウントを共通に使うには、利用目的の変更を通知して同意を得る機能を加えることにしていました。
• 平成30年度秋期 午後II問1：海外にも拠点がある企業のハイブリッドクラウドが題材で、欧州の個人情報保護の規則として「GDPR」が問われました。

採点講評で指摘されたつまずき

• 令和2年度10月 午後II問1では、個人情報の扱いを問う設問の正答率がやや低く、消費者向けのWebサイトでは個人情報を扱うことが多いので、個人情報保護に関する法規制をよく理解してほしいとされています。
• 平成30年度秋期 午後II問1では、GDPRを問う設問の正答率が低く、欧州だけでなく日本の個人情報保護にも影響を与える規則なので、知識として知っておいてほしいとされています。

記述の型

• 承継した個人情報：「本人の同意を得ずに、承継前の利用目的の達成に必要な範囲を超えて取り扱わない」
• 利用目的の変更：「変更後の利用目的を通知し、本人の同意を得る」

【図2】似た名前でも、対象と判断の軸が違う

3. 漏えい等の報告を、人数と期限だけで判断しない

報告の対象は、漏えい（外部への流出）、滅失（内容が失われる）、毀損（意図しない変更や利用不能）が起きた場合だけでなく、そのおそれがある場合も含みます。ランサムウェアで暗号化されたときも、外部への流出が確認できないという理由だけで確認を終えません。

2026年9月20日に確認した個人情報保護委員会のガイドラインと案内では、次のようになっています。個人情報保護委員会「通則編」3-5-3-1、同「漏えい等の対応とお役立ち資料」

• 報告の対象は、要配慮個人情報を含む、財産的な被害のおそれがある、不正の目的による、人数が一定数を超える、などの類型で判断する。人数の類型は、民間の事業者は1,000人超、行政機関等は100人超。人数の類型に当たらなくても、他の類型に当たれば少人数でも対象になる
• 速報は速やかに行い、概ね3〜5日以内が目安。その時点で分かっている内容を報告する
• 確報は、報告対象の事態を知った日から原則30日以内（不正の目的による類型は60日以内）。速報の日から数え直すのではない
• 高度な暗号化などで保護されていれば、対象から外れる場合がある。ただし、パスワードを付けただけという説明では判断できない

委員会への報告、影響を受ける本人への通知、社会への公表は、宛先と目的が違います。Webサイトへの掲載が、常に本人への通知の代わりになるわけではありません。委託先からの連絡は、法定の報告と分けて、「疑いを把握した時点で初報し、未確定の事項は続報する」と契約と手順で決めておきます。委託先には、報告の宛先、起算点、初報の最低限の項目、時間外の連絡先、受領の確認、続報の担当を示します。人数が分からないことは「人数は未確定」と伝える理由であって、何も伝えない理由にはなりません。日本の制度の速報を、一律に「72時間以内」と覚えないようにします。

マイナンバー（個人番号）を含む特定個人情報には、利用・提供・収集・保管に特別な制限があります。給与事務で取得した個人番号を、本人の同意があるからといって別の業務の管理番号に使うことはできません。法令で認められた事務の範囲を確かめ、必要のない番号を集めない設計にします。

記述の型

• 報告の要否：「人数だけでなく、要配慮個人情報を含むか、不正の目的によるかなどの類型で判断する」
• 委託先の初報：「全容が分かる前でも、疑いを把握した時点で、分かっている事実と未確定の事項を分けて連絡する」

【図3】事故の連絡は、宛先と目的を分ける

4. 法律が見ている行為を分ける：全体の見取り図

同じ一連の行為に、複数の法律が関係することがあります。法律名を一つ当てはめて終わりにせず、「誰が、どの情報に、何をしたか」を先に特定します。

• 不正アクセス禁止法：ネットワークを通じて、他人の識別符号の無断使用や、制限を免れる情報・指令の入力で、アクセス制御を回避する行為
• 刑法：電磁的記録の不正作出、電子計算機損壊等業務妨害、電子計算機使用詐欺、不正指令電磁的記録（コンピュータウイルス）に関する罪
• 不正競争防止法：営業秘密の不正な取得・使用・開示
• 著作権法：思想や感情を創作的に表現した著作物
• 個人情報保護法・マイナンバー法：個人情報と特定個人情報の取扱い

5. 不正アクセス禁止法と刑法

不正アクセス禁止法の不正アクセス行為は、データの破壊や金銭的な被害がなくても成立し得ます。一方で、ネットワークを介さず、目の前の機器を直接操作する行為は、同法の不正アクセス行為の要件とは区別されます。ただし、それで正当になるわけではなく、他の法律、契約、守秘義務、内部規程の問題は残ります。同法は、不正アクセスの目的で他人の識別符号を取得・保管する行為、他人に提供する行為、フィッシングのような不正な入力要求も禁じています。警察庁「不正アクセス行為の禁止等に関する法律の解説」

脆弱性の診断を受託するときは、承諾する権限を持つ相手と、対象・方法・期間・停止の条件を合意します。利用者の一人が許可しても、サービス全体を診断できるわけではありません。善意や事後の報告で、承諾の代わりにはなりません。

刑法では、人の事務処理を誤らせる目的で権利・義務・事実証明に関する電磁的記録を不正に作る行為（電磁的記録不正作出）、業務用のコンピュータを壊したり不正な指令を与えたりして業務を妨害する行為（電子計算機損壊等業務妨害）、虚偽の情報で不実の記録を作って財産上の不法な利益を得る行為（電子計算機使用詐欺）が問題になります。不正指令電磁的記録の罪は、正当な理由なく作成・提供・供用・取得・保管する行為が対象で、対策ソフトの開発や試験のための取扱いとは区別されます。検体を扱う業務は、目的、担当者、隔離した環境、保管場所を記録します。

午後での問われ方

• 平成27年度秋期 午後II問2（情報セキュリティスペシャリスト試験）：クラウドのオンラインストレージに顧客のデータを置く場面で、関係する法令を整理する会話が題材でした。データが「営業秘密」に当たるには、秘密として管理されていること、有用な情報であること、「公然と知られていない」ことの三つの要件が必要です。刑法の窃盗罪は他人の財物を盗んだ場合の罪で、情報そのものは財物に当たらないので適用は難しいという解釈があること、創作的に表現したデータは著作権法の保護の対象になること、不正アクセス禁止法はネットワークを通じた攻撃を対象とし、機器を直接操作する場合は対象にならないことが、空欄（解答は不正競争防止法、刑法、著作権法、不正アクセス禁止法）とともに説明されています。

採点講評で指摘されたつまずき

• 平成27年度秋期 午後II問2では、営業秘密の要件の空欄（設問2(2)）の正答率が低く、技術だけでなく法令も考慮したうえで、効果的なデータ保護を実現できるようになってほしいとされています。

記述の型

• 不正アクセス禁止法の範囲：「ネットワークを通じたアクセスが対象で、機器を直接操作する行為は対象外（ただし他の法令や規程の問題は残る）」
• 情報の持出しと窃盗罪：「情報そのものは財物に当たらないので、窃盗罪の適用は難しい」

【図4】法律が着目する行為を分けて読む

6. 営業秘密と著作権

不正競争防止法の営業秘密には、三つの要件があります。e-Gov法令検索「不正競争防止法」第2条第6項

1. 秘密管理性：秘密として管理されていること。取り扱う人が、秘密だと認識できる状態にする
2. 有用性：事業活動に役立つ、技術上または営業上の情報であること。失敗した実験のデータが役立つこともある
3. 非公知性：公然と知られていないこと

「秘密」と表示しても、全職員が閲覧できる共有フォルダに置いていれば、秘密管理性が疑われます。表示、保管場所、閲覧の範囲、取扱いのルールを実態と合わせます。非公知性は、誰にも渡したことがないという意味ではありません。秘密として取扱いを決めて、取引先などと限定的に共有している場合もあります。三要件を満たさない情報でも、秘密保持契約や別の法律で守られることがあり、個人情報が営業秘密でもあるように、保護が重なることもあります。

取引先から秘密の資料を受け取ったときは、受領、保存・閲覧、複製・再提供、返却・消去の段階ごとに、誰が何をしてよいかを決めておくと、契約の取扱いが実際の業務に反映されます（本稿の提案）。

著作権は、思想や感情を創作的に表現した著作物を守ります。プログラムも対象になり得ますが、プログラム言語、規約、解法そのものは保護されません。納品物を受け取ることと、著作権を譲り受けること、自由に改変・再配布できることは別です。開発を委託するときは、成果物の利用範囲、改変、次の保守事業者への提供を契約で決めます。著作者人格権は譲渡できません。オープンソースソフトウェアも、ライセンスの条件を守って使います。

午後での問われ方

• 平成31年度春期 午後II問2：取引先にも影響したインシデントが題材で、営業秘密の三要件が空欄で問われ、解答例は「秘密管理」「有用」「非公知」です。平成27年度秋期 午後II問2の設問2(2)でも、営業秘密の要件が空欄で問われています（5.を参照）。

採点講評で指摘されたつまずき

• 平成31年度春期 午後II問2では、この設問の正答率が低く、「完全性」「可用性」といった解答が散見されたとされています。企業では営業秘密の管理が重要なので、要件を理解しておいてほしいとされています。情報セキュリティの三要素と、営業秘密の三要件を混同しないようにします。

記述の型

• 営業秘密の三要件：「秘密管理性、有用性、非公知性」
• 秘密管理性を満たす管理：「秘密である旨を表示し、閲覧できる人を限定し、取扱いのルールを定めて周知する」

【図5】営業秘密は、三要件と管理の実態を見る

7. 電子署名法とタイムスタンプ、その他の法律

電子署名法（電子署名及び認証業務に関する法律）は、電子署名の法的な効果を定めています。本人による電子署名（本人だけが行えるもの）が行われている電磁的記録は、真正に成立したもの、つまり本人の意思で作られたものと推定されます（第3条）。紙の文書の押印に当たる効果を、電子署名に与える規定です。本人だけが行える電子署名についての認証業務（特定認証業務）のうち、一定の基準を満たして主務大臣の認定を受けたものを認定認証業務と呼びます。e-Gov法令検索「電子署名及び認証業務に関する法律」

ただし、推定が働くのは、その署名が本人の秘密鍵で行われたと言える場合です。秘密鍵を他人に使わせていれば、前提が崩れます。署名の仕組み（ハッシュ値と秘密鍵）は支援士解説3の1で扱います。

タイムスタンプは、ある時刻にその電子文書が存在し、それ以降に改ざんされていないことを示す仕組みです。電子署名の証明書には有効期限があるので、長い期間にわたって検証できるように、署名とタイムスタンプを組み合わせます（長期署名）。国が時刻認証業務を認定する制度もあります。

午前IIで問われることがある、ほかの法律の要点です。

• サイバーセキュリティ基本法：国のサイバーセキュリティ戦略と、国・地方公共団体・事業者などの責務の枠組みを定める。個別の取扱いの条件を定める法律とは役割が違う
• 特定電子メール法：広告・宣伝のメールの送信に、原則として事前の同意（オプトイン）と、送信者の表示を求める
• 情報流通プラットフォーム対処法（旧プロバイダ責任制限法）：インターネット上の権利侵害について、プロバイダ等の損害賠償責任の制限と、発信者の情報の開示請求を定める。大規模なプラットフォーム事業者には、削除の申出への対応の迅速化なども求める
• 労働者派遣と請負：派遣では派遣先が派遣労働者に指揮命令する。請負（業務委託）では、発注者は受託者の作業者に直接指揮命令しない。指揮命令の関係で区別する

8. 契約上の義務を、実行できる作業にする

契約で「終了時に個人情報を削除する」と定めても、担当者が把握している本番のデータだけを削除して終われば、検証用のコピーや再委託先の作業ファイルが残ります。契約の要求を、対象（本番、検証、作業端末、バックアップ、再委託先）、担当（削除する人、確認する人）、時期、証跡（対象の一覧、方法、結果）、例外（保存が必要な根拠と期限）に分けて実行します。法令上の保存が必要な情報と、不要なコピーは区別します。保存が必要な例外があるなら、保存の根拠、保管者、利用の制限、削除の予定を明記させます。例外があるのに「全て削除済み」と書かせてはいけません。

契約の窓口は一人でも、履行の作業は複数の部署に分かれます。秘密保持は教育、事故の連絡は監視と対応、ライセンスは資産管理、データの削除は基盤の運用につながります。契約を結んだら、契約の窓口から、それぞれの実施担当へ義務を引き渡します。担当が替わるときは、契約書の場所だけでなく、期限のある作業、未完了の事項、例外の期限も引き継ぎます。発注者の側でも、報告を読んで未達を是正し、完了まで確かめる確認者を決めます。外部サービスの保存先や再委託先が変わるときは、契約と個人情報の説明との整合を、機能の追加と同じ計画で見直します。

午後での問われ方

• 平成27年度秋期 午後II問2（5.と同じ問題）：委託先との契約で、顧客のデータについて目的外利用の禁止と適切な管理を求めていたが、事故の発生を防ぐには十分か、という場面でした。内部不正防止のガイドラインを参考にまとめた対策として、解答例は「委託先のデータ管理の実態を監査によって把握して監督する。」です。

採点講評で指摘されたつまずき

• 平成27年度秋期 午後II問2では、委託先管理の設問の正答率が低く、重要なデータを委託先に開示するときは、守秘義務を含めた契約を結ぶだけでなく、監査によって委託先のデータ管理の実態を把握し、監督するなどの手法が有効だとされています。

記述の型

• 契約だけでは足りない理由：「契約で義務を定めても、委託先が実際に守っているかは分からない」
• 監督の方法：「監査で委託先のデータ管理の実態を把握し、不備があれば是正させる」

【図6】契約の削除義務を、実行できる作業にする

9. 倫理と公益通報を、問題を発見できる仕組みにする

管理者には強い権限があります。それでも、アクセスできる情報を私的な関心で調べたり、調査に要らない情報まで集めたりしてはいけません。職員の不正の疑いを調べるときも、調査の権限、対象の期間、取得の範囲、閲覧者を決めます。

公益通報者保護法は、一定の法令違反について、不正の目的でなく通報した労働者等を、通報を理由とする解雇などの不利益な取扱いから守る制度です。あらゆる苦情や規程違反が、法律上の公益通報になるわけではありません。退職後1年以内の人や役員も対象になり、通報先（事業者の内部、権限のある行政機関、その他の外部）によって保護の要件が違います。常時使用する労働者が300人を超える事業者には、内部の通報に対応する体制の整備が義務付けられています。なお、令和7年の改正は原則として2026年12月1日に施行されるので、現行の制度と分けて読みます。消費者庁「公益通報者保護制度」

窓口を作るときは、通報の対象になった上司を経由せずに相談できる経路、通報者を特定できる情報を見られる人の限定、利害関係のある人を調査から外す方法を決めます。受付のメールボックスを多くの職員で共有していれば、窓口を作ったことで通報者が分かってしまいます。不審なメールや誤送信をセキュリティ担当へ伝える日常の事故報告と、法令違反の通報は、役割が違います。通報者を守りながら、必要な事故対応は止めないように、共有する範囲を事前に決めます。

記述の型

• 窓口の設計：「通報の対象になり得る上司を経由せずに通報でき、通報者の情報を見られる人を限定する」
• 事故報告との違い：「事故報告は被害を抑えるため、公益通報は法令違反を是正するための仕組みで、役割が違う」

【図7】事故報告と公益通報は、役割を分けて連携

10. 規程を改定し、行動できるところまで確かめる

基本方針で法令遵守を掲げ、対策基準で「漏えい等の疑いを速やかに報告する」と定めても、実施手順に夜間の連絡先、最低限伝える事項、担当者が不在のときの代わりがなければ、職員は動けません（規程の体系は支援士解説1の4）。

改定の起点は、法改正だけではありません。新しい業務、委託先やクラウドの変更、監査の結果、事故も起点にします。進め方は次のとおりです（本稿の提案）。

1. 変更の内容と適用日を把握し、対象の業務と情報を特定する
2. 現行の規程・契約・設定との差分を整理し、担当・費用・期限を決める
3. 承認を受けて反映し、手順や様式も更新して、有効な版を明確にする
4. 役割別の判断の練習と、連絡や運用の訓練で、実際に動けるかを確かめる

施行日だけを予定表に書いても、契約や設定の変更にかかる時間は確保できません。必要な準備から逆算します。古い手順が検索で見つかる状態なら、有効な版へ誘導します。

意識向上プログラムは、年1回の講義のことではありません。窓口の担当者には「必要のない個人番号が書類に含まれていたらどうするか」、運用担当者には「診断の対象外の環境に接続できてしまったらどう止めるか」、管理職には「違反の疑いを伝えてきた部下をどこへつなぐか」のように、役割ごとの場面で判断を練習します。受講率が100％でも、連絡先が古ければ対応は遅れます。確認で見つかった不備は、本人の注意不足で片付けず、規程・手順・設定・体制の改善に戻します。

【図8】改定は、文書・実装・教育・確認までつなぐ

11. 午前II（科目A-2）で正誤を見分けるポイント

• 「営業秘密として保護されるには、秘密管理性・有用性・非公知性の三つを満たす必要がある」→ 正しい
• 「不正アクセス禁止法は、ネットワークを介さずに機器を直接操作する行為も対象にする」→ 誤り。電気通信回線を通じた行為が対象
• 「不正アクセス行為は、データを破壊した場合にだけ成立する」→ 誤り。アクセス制御を回避すれば、破壊がなくても成立し得る
• 「情報を無断でコピーして持ち出せば、刑法の窃盗罪が必ず成立する」→ 誤り。情報そのものは財物に当たらないとされ、適用は難しい
• 「電子署名法では、本人による電子署名が行われた電磁的記録は、真正に成立したものと推定される」→ 正しい
• 「プログラム言語や解法そのものも、著作権法で保護される」→ 誤り。保護されるのは創作的な表現
• 「著作者人格権は、著作権と一緒に譲渡できる」→ 誤り。著作者人格権は譲渡できない
• 「要配慮個人情報の取得には、原則として本人の同意が必要である」→ 正しい
• 「民間の事業者の漏えい等の報告は、本人の数が1,000人を超えなければ不要である」→ 誤り。要配慮個人情報を含むなど、他の類型に当たれば少人数でも対象
• 「請負では、発注者が受託者の作業者に直接指揮命令できる」→ 誤り。それは派遣の場合
• 「特定電子メール法は、広告・宣伝のメールの送信に、原則として事前の同意を求める」→ 正しい
• 「公益通報者保護法で保護されるのは、現に雇用されている労働者だけである」→ 誤り。退職後1年以内の人や役員なども対象になる

理解度チェック

本文の理解を確かめるためのオリジナル問題です。実際の過去問ではありません。

問1　匿名にしたつもりの名簿

民間の事業者が、氏名を申込番号に置き換えた一覧を作った。同じ部署では、申込番号と氏名の対応表を容易に参照できる。適切な判断はどれか。

• ア：氏名を消したので、必ず個人情報ではなくなる
• イ：他の情報との容易な照合の可能性も含めて判断する
• ウ：ファイルを暗号化すれば、法律上の匿名加工情報になる
• エ：担当者が個人を覚えていなければ、個人情報にはならない

正解：イ。識別できるかは、その一覧だけでなく、容易に照合できる情報との関係も含めて判断します。ウは、暗号化と法定の加工を混同しています。

問2　12人分なら報告不要か

行政機関等の規律が適用される市の部署で、病歴を含む保有個人情報12人分が外部へ誤送信された。高度な暗号化などの除外の措置はない。適切な判断はどれか。

• ア：100人以下なので、報告の対象にはならない
• イ：市長が事実を知るまで、どの部署も連絡しなくてよい
• ウ：要配慮個人情報を含む類型などを確かめ、必要な報告と通知へ進む
• エ：Webサイトに掲載すれば、全ての報告と通知が常に完了する

正解：ウ。人数の類型と要配慮個人情報の類型は別です。エは、委員会への報告、本人への通知、公表を混同しています。

問3　善意のセキュリティ診断

あるサービスの利用者が、診断会社にサービス全体の脆弱性診断を依頼した。診断会社が最初に確かめるべき事項として、最も適切なものはどれか。

• ア：承諾の権限を持つ相手と、診断の対象・方法・期間などを確かめる
• イ：利用者が一人でも同意すれば、全ての環境を診断できる
• ウ：データを削除しなければ、アクセス制御を回避しても問題ない
• エ：報告書を作れば、事前の確認は要らない

正解：ア。イは利用者の権限を広げすぎ、ウは破壊の有無だけで判断し、エは事後の報告を事前の承諾の代わりにしています。

問4　営業秘密の管理

企業が、非公開の価格の算定方法を営業秘密として管理したい。適切な対応はどれか。

• ア：秘密と表示すれば、実際の管理は要らない
• イ：秘密管理性・有用性・非公知性を確かめ、閲覧の範囲や取扱いを整える
• ウ：個人情報を含まなければ、営業秘密にはならない
• エ：営業秘密として保護されなければ、契約上の保護も全てなくなる

正解：イ。三要件と管理の実態を対応させます。エは、根拠の異なる保護をまとめて否定しています。

問5　削除証明書があれば完了か

受託者から削除証明書が届いたが、再委託先とバックアップの扱いが書かれていない。発注者の対応として、適切なものはどれか。

• ア：証明書という名前なので、追加の確認は要らない
• イ：法令上の保存が必要な記録も、直ちに全て削除させる
• ウ：契約上の対象と照合し、残る情報、その根拠、期限、利用の制限を確かめる
• エ：再委託先にある情報は、契約とは関係ない

正解：ウ。証明書の有無だけでなく、対象と実施の内容が合っているかを確かめます。イは保存の義務を無視しています。

実務と国・自治体では

実務では、法律の一覧表を作っただけで止まりがちです。法令ごとに対象の業務と担当部署を対応させ、個人情報の施行条例、業務の個別の法令、契約も確かめる記録にします。事故が疑われるときは、人数だけでなく、情報の項目、送信先、閲覧の可能性、回収の状況、発覚の時刻を集め、報告の要否を判断する担当を決めておきます。受託者と連絡の訓練をするときも、連絡が届くかだけでなく、受けた情報から法定の報告と本人への通知の判断へ進めるかまで確かめます。

政府機関等の統一基準は、関係する法令は当然守るものなので個々の遵守事項には書いていない、という立場をとります。チェック項目を満たしても、別の法令の検討は要ります。自治体向けのガイドラインは、遵守すべき法令の例として、地方自治法、地方公務員法、著作権法、不正アクセス禁止法、個人情報保護法、マイナンバー法、サイバーセキュリティ基本法などと、自団体の個人情報保護法施行条例を挙げています。資料の位置付けは支援士解説1の1で整理しています。

まとめ

• 要求の種類を分ける。 法令、ガイドライン、契約、内部規程は対象と効力が違う。根拠・対象・実施・証跡・見直しを一組で記録する。
• 個人情報は、用語と行為を分けて読む。 個人データ、保有個人データ、保有個人情報を区別する。報告は人数だけで判断せず、速報・確報・本人への通知を分ける。
• 法律が見ている行為を特定する。 不正アクセス禁止法はネットワーク越しの行為。情報は窃盗罪の財物に当たらない。営業秘密は三要件。電子署名は本人の署名で真正な成立が推定される。
• 約束を、実行と確認にする。 契約の義務を作業に分け、委託先は監査で実態を確かめる。通報窓口と規程は、人が動けるところまで作り込む。

関連記事

• あわせて読む：そのルールでセキュリティ担当者は動ける？｜支援士解説1の4（規程の体系）
• あわせて読む：研修を受ければ、内部不正は防げる？｜支援士解説3の9（人的管理と内部不正）
• あわせて読む：委託すれば、任せて安心？｜支援士解説3の10（委託先の管理）
• 次に読む：CSIRTがあれば、インシデントに対応できる？｜支援士解説4の1（インシデント対応の体制）

2026年10月改訂：午後の出題例と記述の型を加え、電子署名法とタイムスタンプ、その他の法律の節を補い、各節を要点に絞って、確認問題を四択で作り直しました。