情報セキュリティ関連法規

1. サイバー犯罪と不正アクセス

「その行為はどの法律で禁じられているか」を取り違えずに答えられるようになる。

情報セキュリティの法規で最も点を落としやすいのは、行為と法律の対応を取り違えることです。他人のIDとパスワードを無断で使ってログインするのは不正アクセス禁止法、ウイルスを作ったり配ったりするのは刑法、会社の顧客名簿を持ち出して他社で使うのは不正競争防止法、というように、まず「入口」を正しく選べることが出発点になります。

不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）が禁じているのは、大きく分けて次の行為です。(1) 他人の識別符号（ID・パスワードなど）を無断で入力してネットワーク経由でコンピュータを使える状態にする行為、(2) セキュリティホールを突いて同じ状態を作る行為、(3) 他人の識別符号を不正に取得する行為、(4) 他人の識別符号を、業務その他正当な理由なく第三者に提供する助長行為、(5) 他人の識別符号を不正に保管する行為、(6) 管理者になりすまして識別符号の入力を求めるフィッシング行為です。ここで重要なのは、この法律が「電気通信回線を通じて」＝ネットワーク経由の行為を対象にしていることです。ネットワークにつながっていないパソコンを、その場で直接操作して他人のIDでログインしても、この法律の不正アクセス行為には当たりません。

また、この法律は「アクセスした」時点で成立し、情報を実際に見たか、盗んだか、壊したかは問いません。逆に、正しく自分のIDでログインしたあとで権限外のファイルを見た場合は、不正アクセス行為ではなく社内規程違反や別の罪の問題になります。アクセス管理者（サーバの管理者）にも、識別符号の適正な管理という努力義務が課されています。

ウイルスそのものを扱う行為は刑法の不正指令電磁的記録に関する罪（いわゆるウイルス罪）です。人の意図に反する動作をさせる不正な指令を与える電磁的記録について、作成・提供・供用（実際に実行させる状態に置くこと）・取得・保管が処罰されます。このほか刑法には、うそのデータを入力して不法に利益を得る電子計算機使用詐欺罪、コンピュータやデータを壊して業務を妨害する電子計算機損壊等業務妨害罪、権利義務に関する電磁的記録を偽って作る私電磁的記録不正作出罪などがあり、いずれも「刑法」である点が問われます。

国全体の枠組みを定めるのがサイバーセキュリティ基本法です。国と地方公共団体には責務を、重要社会基盤事業者（電気・ガス・金融・医療・鉄道など）やサイバー関連事業者、教育研究機関には自主的な取組みの努力を求め、内閣にサイバーセキュリティ戦略本部を置いて政府の司令塔としています。実務の中核を担ってきた内閣サイバーセキュリティセンター（NISC）は、2025年7月1日に内閣官房の国家サイバー統括室（NCO）へ改組されました。基本法は「体制と責務を定める法律」であって、個々の犯罪を処罰する法律ではないことに注意してください。

企業の秘密を守るのが不正競争防止法です。保護される営業秘密は、秘密管理性（秘密として管理されている）・有用性（事業活動に有用な技術上または営業上の情報である）・非公知性（公然と知られていない）の3要件をすべて満たすものだけです。3つのうち1つでも欠ければ営業秘密ではなく、たとえば誰でも閲覧できる共有フォルダに置いたままの名簿は秘密管理性を欠きます。さらに、会員企業などに業として提供することを前提に、電磁的方法で相当量蓄積・管理されたデータは、営業秘密に当たらなくても限定提供データとして保護されます（定義から営業秘密は除かれます）。

用語

不正アクセス行為

他人の識別符号を無断で入力する、またはセキュリティホールを突くことにより、電気通信回線を通じてアクセス制御機能のあるコンピュータを利用できる状態にする行為。ネットワークを経由しない直接操作は含まれない。

識別符号

利用権者を識別するためにアクセス管理者が定めた符号。IDとパスワードの組合せのほか、指紋や声紋などの身体的特徴を変換した符号、署名を変換した符号が含まれる。

助長行為

業務その他正当な理由がないのに、他人の識別符号をその利用権者や管理者以外の第三者に提供する行為。実際に不正アクセスが行われなくても、提供した時点で不正アクセス禁止法の違反になる。

フィッシング行為

アクセス管理者になりすまして、利用権者に識別符号の入力を求める偽サイトを公開したり、そのようなメールを送ったりする行為。不正アクセス禁止法で識別符号の入力を不正に要求する行為として禁止されている。

不正指令電磁的記録に関する罪

刑法に定めるいわゆるウイルス罪。人の意図に反する動作をさせる不正な指令を与える電磁的記録の作成・提供・供用・取得・保管を処罰する。感染させる前の作成や保管の段階でも成立しうる。

電子計算機使用詐欺罪

刑法の罪。虚偽の情報や不正な指令をコンピュータに与えて、財産権の得喪や変更に係る不実の電磁的記録を作り、不法の利益を得る行為を処罰する。他人のクレジットカード情報での不正決済などが典型。

電子計算機損壊等業務妨害罪

刑法の罪。業務に使うコンピュータやデータを壊す、虚偽の情報や不正な指令を与えるなどして、コンピュータに使用目的に沿う動作をさせず業務を妨害する行為を処罰する。

サイバーセキュリティ基本法

国のサイバーセキュリティ施策の基本理念と、国・地方公共団体・重要社会基盤事業者などの責務や努力を定める法律。内閣にサイバーセキュリティ戦略本部を置く。個別の犯罪を処罰する規定はない。

営業秘密

不正競争防止法で保護される情報。秘密管理性・有用性・非公知性の3要件をすべて満たす必要があり、1つでも欠けると営業秘密として保護されない。

限定提供データ

業として特定の者に提供する情報として、電磁的方法により相当量蓄積され管理されている技術上または営業上の情報（営業秘密を除く）。会員企業などに提供されるデータの流通を守るために不正競争防止法で保護される。秘密として管理されていても、公然と知られていて営業秘密に当たらないものは、この類型で保護されうる。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類2：企業と法務　中分類2：法務／不正アクセス行為の禁止等に関する法律・刑法（不正指令電磁的記録に関する罪）・不正競争防止法・サイバーセキュリティ基本法

2. 個人情報を守る法律

個人情報・個人データ・要配慮個人情報・仮名加工情報・匿名加工情報の違いと、第三者提供のルールを整理する。

個人情報保護法でいう個人情報とは、生存する個人に関する情報で、氏名や生年月日などにより特定の個人を識別できるもの、または個人識別符号を含むものです。他の情報と容易に照合でき、それによって個人を識別できるものも含まれます。死者の情報や、法人そのものの情報は個人情報ではありません。

個人識別符号は、指紋・掌紋・虹彩・声紋・顔・歩行の態様・DNAといった身体的特徴を変換した符号と、マイナンバー・旅券番号・基礎年金番号・運転免許証番号・住民票コードなど公的な番号を指します。これ単体で個人情報になります。

個人情報は、扱われ方によって呼び名が変わります。個人情報を検索できるように体系的に整理したものが個人情報データベース等で、それを構成する一つ一つが個人データです。安全管理措置や第三者提供の制限といった義務の多くは、この個人データに対してかかります。さらに、事業者が開示・訂正・利用停止などに応じる権限をもつ個人データが保有個人データで、本人からの開示等の請求はこれに対して行われます。

要配慮個人情報は、本人に不当な差別や偏見が生じないよう特に配慮を要する情報です。人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実などが該当し、政令で、障害があること、健康診断等の結果、その結果に基づく医師等による指導・診療・調剤が行われたこと、被疑者・被告人として刑事事件に関する手続が行われたこと、少年として保護事件に関する手続が行われたことが加わります。取得には原則としてあらかじめ本人の同意が必要で、後述のオプトアウトによる第三者提供は認められません。一方、メールアドレス、電話番号、国籍、本籍地、収入や資産の情報は要配慮個人情報ではありません。

第三者提供は原則として、あらかじめ本人の同意が必要です。例外として、法令に基づく場合、人の生命・身体・財産の保護に必要で本人の同意を得ることが困難な場合、公衆衛生の向上や児童の健全な育成に特に必要な場合、国等への協力が必要な場合は同意なく提供できます。オプトアウトは、本人の求めがあれば提供を停止することとしたうえで、必要な事項を本人に通知するか本人が容易に知り得る状態に置き、個人情報保護委員会に届け出れば、同意なく第三者提供できる仕組みです。ただし要配慮個人情報、不正に取得した個人データ、オプトアウトで受け取った個人データは、オプトアウトの対象外です。

「第三者ではない」とされる形もあります。利用目的の達成に必要な範囲での委託、合併等の事業承継、そして共同利用です。共同利用は、共同利用する旨、対象となる個人データの項目、共同利用する者の範囲、利用目的、管理について責任を有する者の氏名等をあらかじめ本人に通知するか容易に知り得る状態に置く必要があります。委員会への届出は不要である点がオプトアウトと違います。なお委託した場合は、委託元に委託先を監督する義務が残ります。外国にある第三者への提供は、原則として本人の同意が必要で、その際に移転先国の制度や体制についての情報を本人に提供しなければなりません。

仮名加工情報と匿名加工情報は名前が似ていますが目的が違います。仮名加工情報は、他の情報と照合しない限り特定の個人を識別できないように加工したもので、社内での分析に使うことを想定しています。元の情報と結びつける情報（削除情報等）は残るため、原則として第三者への提供はできません（委託・事業承継・共同利用は例外）。匿名加工情報は、特定の個人を識別できず、かつ元の個人情報を復元できないように加工したもので、本人の同意なく第三者に提供できます。提供するときは、提供する情報の項目と提供方法をあらかじめ公表し、相手方に匿名加工情報である旨を明示します。どちらも、本人を識別する目的で他の情報と照合することは禁止されています。

漏えい等が起きたとき、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的によるおそれがある場合、本人の数が1,000人を超える場合は、個人情報保護委員会への報告と本人への通知が義務となります。個人情報保護委員会は内閣府の外局として置かれる独立性の高い第三者機関で、報告徴収・立入検査・指導助言・勧告・命令を行います。

関連する枠組みとして、個人情報保護マネジメントシステムの要求事項を定めたJIS Q 15001と、それに基づいて第三者が審査するプライバシーマーク制度があります。EUのGDPR（一般データ保護規則）は2018年に適用が始まり、EEA域外への個人データ移転を制限し、データポータビリティの権利などを定めています。マイナンバー法（番号法）は、個人番号の利用範囲を社会保障・税・災害対策の3分野に限定し、個人情報保護法より厳しい取扱いを求めています。

用語

個人情報

生存する個人に関する情報で、特定の個人を識別できるもの、または個人識別符号を含むもの。他の情報と容易に照合して識別できるものも含む。死者の情報や法人の情報は含まれない。

個人データ

個人情報データベース等を構成する個人情報。安全管理措置、従業者・委託先の監督、第三者提供の制限といった義務は、この個人データを対象としてかかる。

保有個人データ

個人情報取扱事業者が、開示・内容の訂正・追加・削除・利用の停止・消去・第三者提供の停止を行う権限をもつ個人データ。本人からの開示等の請求はこれに対して行われる。

個人識別符号

指紋・虹彩・声紋・顔・DNAなど身体的特徴を変換した符号や、マイナンバー・旅券番号・運転免許証番号などの公的な番号。単体で個人情報となる。

要配慮個人情報

人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実など、不当な差別や偏見が生じないよう特に配慮を要する個人情報。取得に原則本人同意が必要で、オプトアウトによる第三者提供はできない。

仮名加工情報

他の情報と照合しない限り特定の個人を識別できないように加工した個人に関する情報。社内での分析利用を想定し、委託・事業承継・共同利用を除いて第三者提供はできない。

匿名加工情報

特定の個人を識別できず、かつ元の個人情報を復元できないように加工した情報。本人の同意なく第三者提供できるが、情報の項目と提供方法の公表、相手方への明示、識別行為の禁止といった義務が伴う。

オプトアウト

本人の求めがあれば第三者提供を停止することとし、所定事項を本人に通知するか容易に知り得る状態に置いたうえで個人情報保護委員会に届け出ることで、同意なく第三者提供を行える仕組み。要配慮個人情報などは対象外。

共同利用

あらかじめ共同利用する旨・項目・共同利用者の範囲・利用目的・管理責任者の氏名等を本人に通知するか容易に知り得る状態に置くことで、第三者提供に当たらないとされる形態。委員会への届出は不要。

個人情報保護委員会

個人情報とマイナンバーの適正な取扱いを確保するために置かれた、内閣府の外局である独立性の高い第三者機関。報告徴収、立入検査、指導・助言、勧告、命令を行う。

プライバシーマーク制度

JIS Q 15001（個人情報保護マネジメントシステム—要求事項）に適合して個人情報を適切に取り扱う体制を整えている事業者を、第三者が審査して認定し、マークの使用を認める制度。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類2：企業と法務　中分類2：法務／個人情報の保護に関する法律・個人情報保護委員会ガイドライン・JIS Q 15001・GDPR・番号法

3. 通信・情報流通に関する法律

ネット上の書込みへの対応、広告メール、電子署名、著作物の扱いなど、情報の流通に関わる法律をまとめて押さえる。

インターネット上の権利侵害への対応を定めていたプロバイダ責任制限法は、2024年の法改正により情報流通プラットフォーム対処法へと名称が変わり、2025年（令和7年）4月1日に施行されました。従来からのプロバイダの損害賠償責任の制限と発信者情報開示請求の仕組みは引き継ぎつつ、大規模なプラットフォーム事業者（総務大臣が指定する大規模特定電気通信役務提供者）に対する義務が新たに加えられたのが改正の中心です。

大規模特定電気通信役務提供者に課される主な義務は、侵害情報の削除の申出を受け付ける方法を定めて公表すること、専門的な知識経験をもつ侵害情報調査専門員を選任すること、申出に対して調査を行い一定の期間内に結果を申出者へ通知すること、どのような場合に削除するかという基準を定めて公表すること、そして申出の受付や対応の状況を年1回公表することです。書込みの削除そのものを国が命じる制度ではなく、事業者の対応を迅速化・透明化させる制度である点を押さえてください。

電気通信事業法は、通信の秘密を守ることを事業者に義務づけ、検閲を禁じています。通信の内容だけでなく、誰と誰がいつ通信したかという情報も通信の秘密に含まれます。社内のネットワークを監視する場合でも、通信事業者に該当する場面ではこの点への配慮が必要です。

広告や宣伝を目的とする電子メールを規制するのが特定電子メール法です。原則はオプトインで、あらかじめ送信に同意した人にしか広告宣伝メールを送れません。同意を得た記録は保存しなければならず、メールには送信者の氏名または名称と、受信拒否の通知を受けるための連絡先（メールアドレスまたはURL）を表示する必要があります。送信者情報を偽って送信することも禁止されています。取引関係にある相手や、名刺などで自分のメールアドレスを通知してきた相手には、同意がなくても送れる例外があります。

電子署名法は、本人だけが行える一定の要件を満たす電子署名が付された電磁的記録は、真正に成立したものと推定されると定めています。これにより電子文書に紙の押印文書と同様の証拠力が与えられます。

著作権法では、プログラムは著作物として保護されますが、その背後にあるアルゴリズム（解法）やプログラム言語、通信規約（プロトコル）は保護されません。データベースは、情報の選択または体系的な構成に創作性があれば著作物として保護されます。保護期間は原則として著作者の死後70年、法人などの団体名義の著作物は公表後70年です。私的使用のための複製は認められますが、違法にアップロードされたものと知りながらダウンロードする場合や、コピープロテクトを回避して複製する場合は認められません。引用は、公表された著作物であること、公正な慣行に合致すること、正当な範囲内であること、引用部分が明瞭に区別され本文が主で引用が従であること、出所を明示することが条件です。

情報解析のように、著作物に表現された思想または感情を自分や他人が享受することを目的としない利用は、著作権法第30条の4により、必要と認められる限度で著作権者の許諾なく行えます。AIの学習用にWeb上の著作物を収集して解析する行為も、原則としてこの規定の範囲で行えると整理されています。ただし、著作権者の利益を不当に害することとなる場合は除かれます。また、AIが生成したものが既存の著作物と類似し、それに依拠していると認められる場合は、生成・利用の段階で著作権侵害になりえます。プログラムのリバースエンジニアリング（調査解析を目的とするプログラムの利用）も、機能を享受することに向けられた利用ではないとして、文化庁はこの規定に該当すると整理しています。

帳簿や書類の電子化に関わるのが電子帳簿保存法とe-文書法です。電子帳簿保存法は国税関係の帳簿書類を電子データで保存するための要件を定め、電子取引でやり取りしたデータは電子データのまま保存することを求めています。e-文書法は、法令で保存が義務づけられた文書を広く電子的に保存できるようにする法律で、見読性・完全性などの要件が求められます。資金決済法は、前払式支払手段、資金移動業、暗号資産の交換業などについて登録制や利用者保護のルールを定めています。

用語

情報流通プラットフォーム対処法

旧プロバイダ責任制限法。2024年の改正で名称が変わり2025年4月1日に施行された。プロバイダの損害賠償責任の制限と発信者情報開示に加え、大規模なプラットフォーム事業者に削除申出への対応や基準の公表を義務づける。

発信者情報開示請求

権利を侵害する書込みをされた者が、侵害情報の発信者を特定するために、プロバイダなどに対して発信者の氏名・住所・IPアドレスなどの開示を求める手続。裁判手続によって行う仕組みが整備されている。

通信の秘密

電気通信事業法などで保護される、通信の内容および通信当事者・日時などの構成要素を他に知られない権利。電気通信事業者には通信の秘密を守る義務があり、検閲は禁止されている。

オプトイン（特定電子メール法）

あらかじめ同意した相手にだけ広告宣伝メールを送ってよいという原則。同意を得た記録の保存、送信者の氏名または名称および受信拒否の連絡先の表示が義務づけられている。

電子署名法

本人だけが行うことができる一定の要件を満たす電子署名が行われた電磁的記録について、真正に成立したものと推定すると定めた法律。電子文書に紙の押印と同様の証拠力を与える。

著作権法の保護対象外

プログラムは著作物として保護されるが、その基礎となるアルゴリズム（解法）、プログラム言語、通信規約（プロトコル）は保護されない。アイディアそのものは保護されず、表現が保護される。

引用の要件

公表された著作物であること、公正な慣行に合致すること、報道・批評・研究などの目的上正当な範囲内であること、引用部分が明瞭に区別され本文が主・引用が従であること、出所を明示すること。

情報解析のための利用

著作物に表現された思想または感情を享受することを目的としない利用は、著作権法第30条の4により必要な限度で許諾なく行える。AIの学習のための解析も原則この範囲だが、著作権者の利益を不当に害する場合は除かれる。

電子帳簿保存法

国税関係の帳簿書類を電子データで保存するための要件を定めた法律。電子取引でやり取りしたデータは、紙に出力するのではなく電子データのまま保存することが求められる。

e-文書法

民間事業者等が法令で保存を義務づけられた書面を、電磁的記録で保存・作成・縦覧等することを一般的に認める法律。見読性や完全性などの要件を満たす必要がある。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類2：企業と法務　中分類2：法務／情報流通プラットフォーム対処法（総務省）・電気通信事業法・特定電子メール法・電子署名法・著作権法・電子帳簿保存法・e-文書法

4. 働くうえでのルールと標準

契約形態ごとの指揮命令と情報の取扱い責任、そしてセキュリティで使われる標準やガイドラインを押さえる。

労働基準法は労働条件の最低基準を定める法律で、労働時間、休日、賃金、労働条件の明示などを規定します。就業規則は、常時10人以上の労働者を使用する事業場では作成と行政官庁への届出が必要です。情報セキュリティ規程に違反した従業員を懲戒するには、その根拠が就業規則に定められ、周知されていることが前提になります。規程だけを作って就業規則と結びつけていないと、実効性を欠くことになります。

外部の人に仕事をしてもらう形には、大きく請負・準委任・労働者派遣があります。請負は仕事の完成を目的とする契約で、注文者は請負事業者の労働者に直接指揮命令できません。準委任は事務の処理を委託する契約で、善良な管理者の注意をもって処理する義務を負いますが、仕事の完成義務は原則ありません。こちらも委託者が受託者の労働者を直接指揮命令することはできません。労働者派遣は、派遣元と労働者が雇用関係を結び、派遣先が指揮命令を行う形です。指揮命令をするのが誰かが、この3つを分ける決定的な違いになります。

請負や準委任の契約でありながら、実態として発注者が相手の労働者に直接指示を出している状態を偽装請負といい、労働者派遣法などに違反します。開発の現場で、常駐している協力会社の社員に自社の社員が直接作業指示を出してしまう、というのがよくある形です。指示は必ず相手方の責任者を通す運用にすることが必要です。

業務委託にあたっては秘密保持契約（NDA）を結びます。秘密情報の範囲、目的外での使用の禁止、複製や再委託の可否、契約終了後の返還または廃棄、有効期間（契約終了後も一定期間継続させることが多い）を定めます。委託した場合でも、個人データを預けたのであれば委託元には委託先を監督する義務が残る点は、契約書があるかどうかとは別に押さえておく必要があります。

下請取引の公正さを確保してきた下請法は、2026年（令和8年）1月1日に中小受託取引適正化法（略称・取適法）へと名称が変わりました。あわせて、「親事業者」は「委託事業者」、「下請事業者」は「中小受託事業者」と呼び方が改められ、資本金による判断基準に加えて常時使用する従業員数による基準が追加され、特定運送委託が対象取引に加えられ、手形による支払が禁止され、コスト上昇時に協議に応じないまま一方的に代金を決めることが禁止されました。

不正を早い段階で見つけるための仕組みが内部通報制度です。公益通報者保護法は、通報したことを理由とする解雇その他の不利益な取扱いを禁じ、常時使用する労働者が301人以上の事業者に対して内部公益通報に対応する体制の整備を義務づけています。通報を受け付ける担当者は公益通報対応業務従事者として指定され、通報者を特定させる情報について守秘義務を負います。

標準を作る組織も整理しておきます。ISO（国際標準化機構）とIEC（国際電気標準会議）は国際規格、JIS（日本産業規格）は国内の規格で、ISO/IEC規格を国内規格として取り入れたものにはJIS Qなどの記号が付きます。IETFはインターネットの技術仕様をRFCとして公開し、W3CはWebの技術仕様を策定し、NIST（米国国立標準技術研究所）はSP 800シリーズやサイバーセキュリティフレームワークを公開しています。

情報セキュリティの中核となるのがJIS Q 27000シリーズです。JIS Q 27000は用語と概要、JIS Q 27001はISMSの要求事項で認証の基準となるもの、JIS Q 27002は管理策の実践の規範です。認証を受けるのはJIS Q 27001に対してであり、27002は実装のための手引という位置づけです。個人情報の分野ではJIS Q 15001が対応します。

脆弱性を共通の言葉で扱うための仕組みもあります。CVEは個別の脆弱性に付けられる共通の識別子、CVSSは脆弱性の深刻度を同じ尺度で評価するための共通評価システムで、0.0から10.0の値で表します。国内で広く使われているCVSS v3では、基本評価基準・現状評価基準・環境評価基準の3つで評価します。CWEは脆弱性の種類を分類したもので、JVNはJPCERTコーディネーションセンターとIPAが共同で運営する日本の脆弱性対策情報ポータルサイトです。

経営層向けの指針としては、経済産業省とIPAによるサイバーセキュリティ経営ガイドラインがあり、経営者が認識すべき3原則と、経営者がCISOなどの担当幹部に指示すべき重要10項目を示しています。中小企業向けにはIPAの中小企業の情報セキュリティ対策ガイドラインがあり、まず取り組むべき情報セキュリティ5か条や、自己宣言を行うSECURITY ACTIONの仕組みが用意されています。

用語

偽装請負

請負や準委任の契約でありながら、実態として発注者が受託側の労働者に直接指揮命令している状態。労働者派遣法などに違反する。指示は相手方の責任者を通す運用にすることで防ぐ。

労働者派遣

派遣元と労働者が雇用関係を結び、派遣先が労働者に指揮命令を行う形態。派遣先事業所単位・派遣労働者個人単位で期間の制限があり、派遣労働者を特定する目的の事前面接は原則禁止されている。

請負契約

仕事の完成を目的とする契約。注文者は請負事業者の労働者に直接指揮命令できず、完成した成果物に対して対価を支払う。瑕疵（契約不適合）に対する責任を請負人が負う。

準委任契約

事務の処理を委託する契約。受託者は善良な管理者の注意をもって事務を処理する義務を負うが、仕事の完成義務は原則としてない。委託者が受託者の労働者に直接指揮命令することはできない。

秘密保持契約（NDA）

取引の過程で知った情報を外部に漏らさないことを約束する契約。秘密情報の範囲、目的外使用の禁止、再委託や複製の可否、契約終了後の返還・廃棄、有効期間を定める。

中小受託取引適正化法

下請法から名称が変わった法律（略称・取適法、2026年1月1日施行）。親事業者は委託事業者、下請事業者は中小受託事業者と呼び名が改められ、従業員数基準の追加、特定運送委託の対象化、手形払の禁止などが行われた。

公益通報者保護法

内部通報をしたことを理由とする解雇その他の不利益な取扱いを禁じる法律。常時使用する労働者が301人以上の事業者には内部公益通報に対応する体制の整備が義務づけられ、担当者は通報者を特定させる情報について守秘義務を負う。

JIS Q 27001とJIS Q 27002

27001はISMSの要求事項を定める規格で、認証審査の基準となる。27002は情報セキュリティ管理策の実践の規範であり、27001を実装するための手引という位置づけで、これ自体は認証の基準ではない。

CVSS

脆弱性の深刻度を同じ尺度で評価するための共通評価システム。0.0から10.0の数値で深刻度を表す。CVSS v3では基本評価基準・現状評価基準・環境評価基準の3つで評価する。個別の脆弱性を識別する番号ではない。

CVEとJVN

CVEは個別の脆弱性に付けられる共通の識別子。JVNはJPCERTコーディネーションセンターとIPAが共同運営する日本の脆弱性対策情報ポータルサイトで、対策情報を提供する。

サイバーセキュリティ経営ガイドライン

経済産業省とIPAが公開する経営層向けの指針。経営者が認識すべき3原則と、経営者がCISOなどの担当幹部に指示すべき重要10項目を示している。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類2：企業と法務　中分類2：法務／労働基準法・労働者派遣法・中小受託取引適正化法（公正取引委員会）・公益通報者保護法・JIS Q 27000シリーズ・サイバーセキュリティ経営ガイドライン

演習：この章の問題を解く

ランダム出題の演習ツールです（JavaScript が有効な場合に動きます）。上の「確認問題」はそのままでもすべて読めます。