不正アクセス行為の禁止等に関する法律 第8条（アクセス管理者による防御措置）
クイックジャンプ
アクセス制御機能を特定電子計算機に付加したアクセス管理者は、当該アクセス制御機能に係る識別符号又はこれを当該アクセス制御機能により確認するために用いる符号の適正な管理に努めるとともに、常に当該アクセス制御機能の有効性を検証し、必要があると認めるときは速やかにその機能の高度化その他当該特定電子計算機を不正アクセス行為から防御するため必要な措置を講ずるよう努めるものとする。
この条文の基本情報
アクセス管理者による防御措置とは何ですか？
定義アクセス管理者による防御措置とは、不正アクセス行為の禁止等に関する法律第8条に定められた規定で、「アクセス制御機能を特定電子計算機に付加したアクセス管理者は、当該アクセス制御機能に係る識別符号又はこれを当該アクセス制御機能により確認するために用いる符号の適正…」と規定しています。
出典：e-Gov法令検索（デジタル庁）
- 不正アクセス行為の禁止等に関する法律第8条（アクセス管理者による防御措置）は、日本の不正アクセス行為の禁止等に関する法律に含まれる条文です。
- 不正アクセス行為の禁止等に関する法律第8条の条文原文は「アクセス制御機能を特定電子計算機に付加したアクセス管理者は、当該アクセス制御機能に係る識別符号又はこれを当該アクセス制御機能により確認するために用いる符号の適正…」で始まります。
- 不正アクセス行為の禁止等に関する法律の公布日は平成11年8月13日です。
- 不正アクセス行為の禁止等に関する法律について、LawPlayer が e-Gov法令検索から取得した令和8年4月5日時点では廃止情報はありません。
- 不正アクセス行為の禁止等に関する法律第8条の前の条は不正アクセス行為の禁止等に関する法律第7条です。
- 不正アクセス行為の禁止等に関する法律第8条の次の条は不正アクセス行為の禁止等に関する法律第9条です。
- 不正アクセス行為の禁止等に関する法律第8条には、要件・効果とよくある質問をまとめた解説が本ページにあります。
この条文を引用する
下の三行はそのまま引用に使えます（法令番号・条番号・出典・取得日を含みます）。
- 正式書式
不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）第8条 - 官報・e-Gov
e-Gov法令検索 https://laws.e-gov.go.jp/law/411AC0000000128 - 本サイト収録
不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）第8条（LawPlayer 収録、取得日 令和8年4月5日）https://lawplayer.com/jp/article/411AC0000000128/8
わかりやすく解説 AI による整理。効力は条文原文が基準です
要点不正アクセス禁止法8条は、ログイン機能を付けたアクセス管理者に、ID・パスワードの適正管理と防御措置の高度化を求める努力義務規定である。違反への罰則はない。
Q · 不正アクセス禁止法8条を守らないと、会社は罰せられるの？
罰則はないが、事故後の民事責任の物差しになる
不正アクセス禁止法8条は、ログイン機能（アクセス制御機能）を付けたアクセス管理者に、ID・パスワードの適正管理と防御措置の強化を求める努力義務です。違反しても罰則はありません。ただし情報漏えいが起きた場合、民法709条・415条の過失判断や、個人情報保護法23条の安全管理措置義務の評価で、対策の有無が厳しく問われます。侵入者は同法3条・11条により処罰されます。
解説
罰則はひとつもない。条文の末尾は「努めるものとする」で終わる。いわゆる努力義務（守らなくても直ちに罰せられないが、法が期待する行動の基準）にすぎない。だから多くの経営者は読み飛ばす。ところが情報漏えいが起き、顧客から損害賠償を請求されると、裁判所が問うのは「その時点で合理的に求められる安全対策を取っていたか」である。その物差しを考えるとき、本条の発想が参照されうる。パスワードの平文保存、退職者が知っている共有アカウントの放置、何年も更新していないログイン画面。どれも本条違反として逮捕されることはない。しかし民法709条や415条の「過失」と評価されれば、数千万円の請求に変わりうる。一方、あなたが自分のサービスを守る側なら、侵入者は不正アクセス禁止法3条違反で処罰されうる。守りが甘かったからといって、侵入者の罪が消えるわけではない。罰則のない一文が、民事責任の重さを静かに左右している
法的な位置づけ
不正アクセス禁止法8条は、アクセス管理者による防御措置を定める規定であり、特定電子計算機にアクセス制御機能を付加したアクセス管理者が、識別符号等の適正な管理に努め、アクセス制御機能の有効性を常に検証し、必要に応じて機能の高度化その他の防御措置を講ずるよう努める旨を定める。罰則を伴わない努力義務である。
手順
- 1.アカウントと識別符号を棚卸しする 管理画面・サーバ・クラウド・ルーターなど、ログイン機能を持つ全システムを洗い出し、誰がどの ID とパスワードを持っているかを一覧化する。共有アカウントや退職者のアカウントを特定する
- 2.初期パスワードと共有アカウントを解消する 初期設定のままのパスワードを変更し、共有アカウントを個人別 ID に切り替える。退職者のアカウントは即日停止する運用ルールを定める
- 3.アクセス制御機能を強化する 多要素認証の導入、ログイン試行回数の制限、パスワードのハッシュ化保存など、条文が求める「機能の高度化」を実施する。CMS やミドルウェアの更新も同時に行う
- 4.定期検証と記録を残す 脆弱性診断とアクセス権の見直しを定期的に行い、実施日と結果を記録として保存する。外注先がある場合は保守範囲と脆弱性対応の責任分担を契約書に明記する
よくある質問 AI による整理
Q1不正アクセス禁止法8条とは？
アクセス制御機能を付けた管理者に、パスワード等の適正管理と防御機能の検証・強化を求める努力義務規定です。罰則はありません。
Q2アクセス管理者とは誰のことですか？
コンピュータの利用（ネットワーク経由のもの）について、その可否を決める権限を持つ者です（同法2条1項）。企業のシステム管理部門やサービス運営者が典型です。
Q3努力義務に違反するとどうなる？
本条違反そのものに罰則や行政処分はありません。ただし漏えい事故後の損害賠償訴訟で、対策不足が過失と評価される材料になりえます。
Q4不正アクセス禁止法の罰則は誰に科される？
罰則が科されるのは侵入者や助長者です。不正アクセス行為は同法11条により3年以下の拘禁刑又は100万円以下の罰金。管理者には罰則はありません。
Q5パスワードを平文で保存するのは違法？
直ちに処罰される違法行為ではありません。ただし識別符号の適正管理を求める本条の趣旨に反し、個人データなら個人情報保護法の安全管理措置違反を問われうる状態です。
Q6多要素認証の導入は法律上の義務？
一律の法的義務ではありません。ただし本条の「機能の高度化」の典型例であり、業界ガイドラインや取引先の要求で事実上求められる場面が増えています。
Q7不正アクセスの被害はどこに相談する？
都道府県警察のサイバー犯罪相談窓口に相談できます。同法9条により、公安委員会は被害を受けた管理者に再発防止のための援助を行うことがあります。
Q8情報漏えいで会社が負う賠償額はいくら？
漏えいした情報の種類や件数、二次被害の有無で大きく変わります。一人当たりの慰謝料は少額でも、件数が多ければ総額は数千万円規模になりえます。
この条文についての質問 AI による整理
Q1うちのサイトが不正アクセスされたら、会社が罰金を払うことになるんですか？
本条は努力義務なので、守らなかったこと自体に罰則はない。処罰されるのは侵入者のほうで、不正アクセス禁止法11条により3年以下の拘禁刑又は100万円以下の罰金となる。実務のポイント：本当に怖いのは刑罰ではない。被害を受けた顧客からの民事請求、個人情報保護委員会の指導・勧告、そして取引先からの取引停止である。実務上の損失は、こちらのほうが桁違いに大きい
Q2ID とパスワードを社員みんなで使い回してるんですけど、まずいですか？
共有アカウントでは誰がいつ操作したのか追えず、退職者の不正ログインも防げない。本条が求める「識別符号の適正な管理」から最も遠い状態といえる。実務のポイント：事故後の調査でログから個人を特定できないと、内部犯行か外部攻撃かの切り分けすらできず、サイバー保険の支払い審査で不利に働くこともある。個人別 ID と多要素認証への切り替えが、いちばん安い保険である
Q3システムを外注して作ったんだから、脆弱性は制作会社の責任ですよね？
一概には言えない。SQL インジェクション対策を怠った制作会社に、発注者への賠償を命じた裁判例（東京地判平成26.1.23）がある。一方で発注者も、運用中のアクセス管理者として本条の努力義務を負う。実務のポイント：同判決では発注者側の落ち度も考慮され、過失相殺がされたとされる。契約書に保守範囲と脆弱性対応を明記していないと、両者の責任がグレーなまま争いになる
間違えやすい点 AI による整理
- 「罰則がないなら守らなくていいのか」という問いそのものがずれている。本条が実際に効いてくるのは刑罰の場面ではない。漏えい事故後の民事賠償、個人情報保護委員会の指導・勧告、取引先による契約解除の場面である。問うべきは「事故が起きたとき、何をしていたと説明できるか」である
- 「パスワードが簡単すぎたのなら、破られても侵入者の罪は軽くなる」と思われがちだが、実際は違う。不正アクセス禁止法3条の罪は、管理者の対策が甘かったかどうかで成否が変わらない。アクセス制御機能が付いている限り、他人の ID とパスワードを無断で入力すれば犯罪になる。ただし、ログイン制限がまったくない公開サーバへのアクセスは、そもそも「不正アクセス行為」に当たらない
- あなたから見れば「うちは小さな会社だから狙われない」。だが攻撃者から見れば、小さな会社こそ大企業に入り込むための踏み台である。取引先を経由して侵入されたサプライチェーン攻撃では、入口になった中小企業の対策状況が真っ先に問われる。本条にも規模による適用除外はない
| 比較の観点 | この条文 | ほかの条文 |
|---|---|---|
| 名宛人 | 8条：アクセス制御機能を付加したアクセス管理者 | 3条：何人も（侵入しようとする者） 11条：不正アクセス行為をした者 |
| 規範の性質 | 識別符号の管理・防御措置の努力義務 | 不正アクセス行為の禁止 3条違反に対する刑罰 |
| 違反の効果 | 罰則なし（民事上の過失評価に影響しうる） | 11条の罰則の対象 3年以下の拘禁刑又は100万円以下の罰金 |
他国ではどう定めているか 4 か国
台湾では侵入行為は刑法第36章（妨害電腦使用罪）で処罰される。管理者側の防御は、公務機関と特定の非公務機関には資通安全管理法、個人資料を保有する事業者には個人資料保護法の安全維護義務で規律され、日本の努力義務より法的拘束力が強い
韓国は情報通信サービス提供者に保護措置を法的義務として課し、個人情報保護法の安全措置義務と組み合わせて行政制裁の対象としている
ドイツを含む EU では、個人データ処理における技術的・組織的措置が法的義務とされ、違反には制裁金の可能性がある
米国には連邦の一般的な防御義務規定はなく、FTC が不合理なデータセキュリティを不公正な取引慣行として執行するほか、州法で規律されている
AI による対応参考であり、公式の対照ではありません。各国の原文が基準です
想定される場面と対応 AI による整理
こんなときに使う
- 社内ルーターの管理画面のパスワードが、導入業者の設定した初期値のまま三年経っていた。ある朝、取引先リストの外部流出が発覚する。侵入者は処罰の対象になる。それでも、あなたの会社が顧客から「対策を怠った」と責められる構図は消えない
- 共有の管理者パスワードを、退職者が出ても一度も変えていなかったら、誰がどこまで責任を負うのか？ 元社員がそのパスワードでログインしてデータを持ち出せば、本人は不正アクセス罪に問われうる。一方で会社も、パスワードを変えていなかった点を顧客から追及される
- EC サイトを外注で作り、納品から二年後に SQL インジェクション（入力欄から不正な命令を送り込む攻撃）でカード情報が漏れた。発注側も制作会社も、そこで初めて契約書の保守範囲を読み返す。
- 漏えいの疑いに気付いたのは金曜の夜だった。個人情報保護法上、一定の漏えいは個人情報保護委員会への報告と本人への通知が義務で、速報は概ね3〜5日以内が目安とされる。週明けに会議を開いてから動くのでは遅い
- あなたはフリーランスとして中小企業のサイト保守を請け負い、CMS のアップデート通知を半年放置していた。サイトが改ざんされた後、クライアントに「専門家なのに」と言われたとき、契約上の善管注意義務（プロとして当然払うべき注意のレベル）が重くのしかかる
取るべき行動
被害を受けた側：1. 漏えい通知を受けたら、同じパスワードを使い回している他のサービスをすぐ変更し、カード会社にも連絡する2. 事業者の公表文と通知書を保存し、いつ何が漏れたかを記録する3. 金銭被害や二次被害が出たら、事業者の安全管理の不備を根拠に、民法709条または415条で賠償請求を検討する。事業者からの補償の申出や集団訴訟の動きも確認する4. 自社が攻撃された場合は警察に被害を相談し、不正アクセス禁止法3条違反での告訴を検討する
訴えられた側：1. 事故前の対策記録（パッチ適用履歴、アクセス権の棚卸し、脆弱性診断の報告書）を直ちに保全する2. 個人情報が絡む場合は、個人情報保護法26条に基づく委員会への報告と本人への通知を期限内に行う3. 外注先がいれば、契約上の保守範囲と責任分担を確認し、求償できるかを弁護士と検討する4. 賠償交渉では「当時の技術水準で合理的な対策をしていた」ことを具体的な証拠で示す。対策がほぼ無かった場合は、早期に補償を提示して訴訟化を防ぐ選択肢もある
時効（請求できる期限）：本条自体に時効や期限の定めはない。漏えいによる損害賠償は、不法行為なら損害と加害者を知った時から3年、行為時から20年（民法724条）。契約責任なら、権利を行使できることを知った時から5年、行使できる時から10年（民法166条）。個人情報の漏えい等報告は、速報が把握後速やか（概ね3〜5日）、確報が30日以内、不正アクセス等の不正目的による場合は60日以内（個人情報保護法26条、同法施行規則）（最新の改正状況をご確認ください）
学説
一般的理解：本条は罰則のない努力義務であり、直接の法的制裁は生じない。ただし、管理者の安全管理上の注意義務の水準を考える際の参考となりうると解されている。
改正沿革 AI による整理
- 平成11年（1999年）制定 法制定時、アクセス管理者による防御措置は旧第5条として置かれていた（要人的検証）
- 平成24年（2012年）改正 識別符号の不正取得・不正保管・不正入力要求（フィッシング）の禁止規定が新設されたことに伴い、第8条へ繰り下げられたとみられる。文言変更の有無は要確認
改正の年表
- 1.平成11年（1999年） 新設：不正アクセス禁止法の制定。アクセス管理者による防御措置は当初、第5条に置かれた。
- 2.平成24年（2012年） 改正：識別符号の不正取得・不正保管・入力要求（フィッシング）の禁止規定が新設されたことに伴い、第8条へ繰り下げられた。
- 不正アクセス行為の禁止等に関する法律 第2条アクセス管理者・識別符号・アクセス制御機能の定義
- 不正アクセス行為の禁止等に関する法律 第3条不正アクセス行為の禁止、侵入者側の義務
- 不正アクセス行為の禁止等に関する法律 第9条都道府県公安委員会による管理者への援助
- 不正アクセス行為の禁止等に関する法律 第10条発生状況等の公表と管理者への情報提供
- 不正アクセス行為の禁止等に関する法律 第11条不正アクセス行為の罰則
- 個人情報の保護に関する法律 第23条個人データの安全管理措置義務、法的義務化された防御
- 個人情報の保護に関する法律 第26条漏えい等の委員会報告と本人通知の義務
- 民法 第709条安全対策の懈怠が過失として問われる根拠
ログインすると、この条文にメモを残して他の利用者と共有できます。
ログインして共同ノートを始める出典：e-Gov法令検索（デジタル庁）。AI による解説は理解の補助であり、法的効力は条文原文が基準です。