不正アクセス禁止法は、他人のIDやパスワードを使って、本来入れないシステムに侵入する行為などを禁じる法律です。社外からの攻撃の法律という印象が強いものの、実務では社内の運用が論点になることもあります。
この記事では、企業として押さえたい考え方と、社内ルールへの反映のしかたを整理します。個別のケースの扱いは、弁護士等の専門家にご確認ください。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
不正アクセス禁止法が禁じている行為の大枠
まず、何が禁止の対象かを大づかみにします。細かな条文は専門家の解説に譲ります。
- 他人の識別符号で入る — IDやパスワードなど本人を識別する情報を使い、権限のないシステムに入る行為
- 識別符号を不正に扱う — 不正に取得する、他人に提供する、不正に保管する行為
いずれも罰則が定められています。
ここが要点
侵入の手口や経路は不正アクセスの基本と主な経路で扱っています。
企業にとってこの法律が実務上意味すること
企業の立場で読むと、この法律には二つの意味があります。
- 外からの侵入は違法行為 — 被害を受けたら、警察への相談という選択肢がある
- 自社の運用が権限の境界をまたぐことがある — 日常の作業が、意図せず論点になりうる
見過ごされがちなのは後者です。IDの貸し借りや共有アカウントは、多くの場合「早く進めたい」という善意から始まります。
ただ、誰が何をしたか説明できない状態は、トラブル時の事実確認を難しくします。パスワード漏えいが企業に与える影響とあわせて、運用の整理はリスク対応の一部と考えられます。
社内で論点になりやすい場面
現場では珍しくないものの、権限の範囲という観点では整理が必要な場面です。
| 場面 | 何がずれるか |
|---|---|
| IDとパスワードを同僚に教えて代わりに作業してもらう | 操作の記録は本人のものとして残る |
| 退職した人のアカウントを引き継いで使い続ける | 本来の利用者と実際の利用者が食い違う（退職者アカウントの整理） |
| 上司が部下のアカウントで内容を確認する | 正式な権限のない操作なら論点になりうる |
| 共有アカウントを部署の慣習で使い回す | 誰が操作したか特定できない（共有アカウントの廃止） |
どれも悪意なく行われるため、現場では問題として気づかれにくいのが特徴です。
善意でも問題になりうることを社内にどう伝えるか
禁止を通達するだけでは、「教えたほうが早い」という理由で回避されがちです。
なぜ必要かを一緒に伝えることが大切です。伝わりやすいのは次の二点です。
- 権限の範囲を超えたアクセスは、法律上の論点になりうる
- 操作の記録が本人のものとして残るため、後から事実確認ができなくなる
社内ルールへの反映
就業規則や社内規程には、禁止と代わりの手段をセットで書くと定着しやすくなります。
- IDの貸し借りを明確に禁止する — 口頭の慣習ではなく文書で示す
- 代理作業の正式な手段を用意する — 権限の一時付与や代理設定など
- 退職者アカウントの扱いを手順化する — 誰が、いつまでに、何をするか
- 記録が残る運用にする — 個人ごとのアカウントを基本とし、認証を強化する（WindowsOSログインの2要素認証）
記録は本人を守るためにもある
操作の記録は監視のためと受け取られがちですが、逆の面もあります。
誰が操作したかが残っていれば、身に覚えのない操作で無関係な人が疑われずに済みます。共有アカウントのままだと、部署の全員が候補になってしまいます。
全PC・サーバーのログイン記録を1か所で見られるようにしておくと（アプリップリキー）、普段の仕事が次のように楽になります。
- 「この操作は誰がしたのか」と聞かれたとき、日時・利用者・接続元のPC名とIPアドレスで絞り込み、PCを1台ずつ調べずにその場で示せます。CSVでも出せ、記録は10年間残ります。
- 退職・異動のときは、席まで行かずにスマホの登録を外し、ローカルアカウントを止められます。手順化した退職者アカウントの扱いを、その日のうちに済ませられます。
- 社員にとっても、自分の操作と他人の操作が分けて記録されるので、身に覚えのないことで疑われたときに説明できます。
さらに、ログインを本人のスマホを鍵にしたワンタッチログインにすれば2要素認証になり、IDとパスワードを教えても本人のスマホがなければ入れないので、貸し借りそのものが起きにくくなります。毎回の操作はスマホでワンタッチなので、「教えたほうが早い」という理由も生まれにくくなります。
記録の残し方と確認の進め方はアクセスログの監査、対策全体は不正アクセス対策で解説しています。法的な判断は専門家に確認し、被害が疑われる場合は警察への相談も選択肢です。
いまの運用を棚卸ししてみる
IDの貸し借りや共有アカウントが残っているかは、担当者の実感と実際がずれていることがあります。
applippliの無料棚卸しでは、10問・約3分で、自社のID・アカウント管理の状況を「解決済み／一部解決／人手で対応／未解決」の一覧にできます。