不正アクセス行為の禁止等に関する法律 第9条（都道府県公安委員会による援助等）

解説

サーバーに侵入された会社が警察に頼めるのは「犯人を捕まえてほしい」だけではない。本条により、不正アクセスを受けたアクセス管理者（システムの利用権限を管理する者。例：自社サイトを運営する会社）は、都道府県公安委員会に再発防止の援助を申し出ることができる。援助の中身は、侵入の手口や原因に応じた応急措置についての資料提供、助言、指導である。ただし、手ぶらの申出では援助は始まらない。侵入時の作動状況や管理状況を示す書類その他の物件を添える必要があり、そのうえで公安委員会が相当と認めたときに援助が行われる。つまり、ログを消して復旧を急いだ会社ほど、この援助から遠ざかる。技術的な調査は外部に委託されることがあるが、委託先の担当者には守秘義務が課され、違反すれば刑罰の対象になる。社内の失態を外に出す怖さより、証拠を残したまま相談する速さのほうが、次の侵入を止める力になる。

法的な位置づけ

不正アクセス禁止法9条は、不正アクセス行為を受けた特定電子計算機のアクセス管理者に対する都道府県公安委員会の援助を定める規定である。作動状況・管理状況等の資料を添えた申出を要件とし、公安委員会が相当と認めるときに、手口や原因に応じた応急措置のための資料提供、助言、指導を行う。事例分析の委託と委託先従事者の守秘義務、防御に関する啓発・知識普及の努力義務もあわせて定める。

こんなときに使う

• 深夜、ECサイトの管理画面に見覚えのないログインがあり、クーポン設定が書き換えられていた。慌ててサーバーを初期化したら、どうなる？ 侵入時の作動状況を示すログが消え、9条の援助を申し出るときに添える資料がなくなる。手口が分からないまま同じ穴を残して再開することになり、二度目の侵入を招きかねない
• あなたは、警察から事例分析を受託したセキュリティ会社の解析担当者である。調べた被害企業の脆弱性を「社名は伏せたから」と勉強会のスライドに載せた。それでも9条3項の守秘義務違反になりうる。
• 取引先から「御社のドメインから不審なメールが届いた」と連絡が来た。メールサーバーのログが自動削除されるまで残り7日。今週中にログ一式を保全し、都道府県警察のサイバー犯罪相談窓口へ持ち込めるかどうかで、受けられる助言の具体性が大きく変わる

取るべき行動

被害を受けた側：1. 侵入を検知したら、対象機器をネットワークから隔離する。電源は安易に落とさず、ログとディスクイメージを保全する2. 作動状況と管理状況（アカウント一覧、設定変更履歴、アクセスログ）を時系列で整理する3. 都道府県警察のサイバー犯罪相談窓口へ資料を持参し、9条に基づく援助を申し出る4. 個人データの漏えいのおそれがある場合は、個人情報保護法26条の報告を並行して準備する

訴えられた側：事例分析を受託した事業者や、その従事者の立場の場合。1. 業務で知った被害企業のシステム構成、脆弱性、手口は、匿名化しても社外での発表や営業資料に流用しない2. 解析データへのアクセス権を担当者に限定し、持ち出しの記録を残す3. 9条3項は「従事した者」を対象としているため、異動後や退職後も守秘義務を負うことを、誓約書や社内規程に明記して周知する

時効（請求できる期限）：援助の申出に法定の期限はない。実務上の制約は、多くの場合に数週間から数か月で消えるログの保存期間である。不正アクセス罪（11条）の公訴時効は、行為の時から3年（刑事訴訟法250条2項6号）。個人データの漏えい等を伴う場合、個人情報保護委員会への速報はおおむね3〜5日以内、確報は30日以内（不正の目的による場合は60日以内、個人情報の保護に関する法律施行規則8条）に行う必要がある（最新の改正状況をご確認ください）

改正の年表

1. 1.平成11年（1999年） 新設：不正アクセス行為の禁止等に関する法律の制定により、アクセス管理者に対する都道府県公安委員会の援助規定が設けられた（制定時の条番号は第6条とみられる）
2. 2.平成24年（2012年） 改正：識別符号の不正取得・保管、フィッシング行為の禁止等の新設に伴い、援助規定が現行第9条に繰り下げられたとみられる。文言変更の範囲は要検証