日本のサイバーセキュリティ法規制のパラドックスとは？不正アクセス禁止法・能動的サイバー防御法・登録セキスペ

この記事で立てる問い

日本のサイバーセキュリティ関連制度は、この四半世紀で着実に整備されてきました。1999年制定の 不正アクセス禁止法、2014年のサイバーセキュリティ基本法、2017年に始まった国家資格 「情報処理安全確保支援士(登録セキスペ)」、そして2025年に成立した、いわゆる 能動的サイバー防御法。法令の数と所管組織の体制だけを見れば、日本は 「サイバーセキュリティに手を打っていない国」ではまったくありません。

一方で、実務の現場で繰り返し語られるのは「制度は増えたが、実際に攻撃者と同じ土俵で考えられる 技術者がなかなか育たない・雇えない」という感覚です。この記事では、その感覚を感情論として 流さずに、制度設計の側から検討します。立てる問いは次の1つです。

「不正アクセスを広く犯罪化する法律」と「コンプライアンス志向の国家資格パイプライン」と 「経営層と技術者の情報の非対称性」の3つが組み合わさったとき、日本の民間セクターの防御力は、 制度の見た目ほどには厚くならないのではないか。

先に立場を明確にしておくと、これは証明された因果関係ではなく、分析的な仮説です。 後述するとおり、この点については日本のセキュリティコミュニティ内部でも見解が分かれています。 本記事は「こういう構造的リスクがあるのではないか」という論点提起であり、断定ではありません。

1. 不正アクセス禁止法は、実際には何を禁じているのか

正式名称は「不正アクセス行為の禁止等に関する法律」(平成11年法律第128号)。 1999年8月に成立・公布され、2000年2月13日に施行されました。その後、 フィッシング詐欺の広がりを受けた2012年の改正(平成24年改正)で、 処罰対象と法定刑が拡大されています。

条文ベースで整理すると、現行法が禁じているのは概ね次の行為です。

• 第3条:不正アクセス行為そのもの — 他人の識別符号(ID・パスワード等)を無断で入力してアクセス制御を突破する「なりすまし型」と、識別符号以外の情報や指令を入力してアクセス制御機能を回避する「セキュリティホール攻撃型」の両方。法定刑は3年以下の拘禁刑または100万円以下の罰金(2012年改正で1年以下・50万円以下から引き上げ)
• 第4条:他人の識別符号の不正取得 — 不正アクセスの用に供する目的での取得。1年以下・50万円以下
• 第5条:不正アクセス行為を助長する行為 — 他人の識別符号を業務等の正当な理由なく第三者に提供する行為
• 第6条:他人の識別符号の不正保管 — 2012年改正で新設
• 第7条:識別符号の入力を不正に要求する行為 — いわゆるフィッシングサイトの開設やフィッシングメールの送信。2012年改正で新設

ここで実務上重要なのは、第3条の後段(セキュリティホール攻撃型)です。ここには 「他人のIDを盗んで使う」という分かりやすい悪質性は必ずしも必要とされません。アクセス制御機能 を回避して、本来は制限されている機能を利用可能な状態にすれば、パスワードを一切入力していなくても 構成要件に当たりうる、という解釈が実際の裁判例で示されています。つまり 「認証を破った」かどうかではなく「管理者が制限していた状態を突破した」かどうかが 効いてくる、という構造です。

この構造自体は、法目的から見れば自然です。アクセス制御は認証だけで実装されているわけではないので、 認証突破だけを犯罪化すると保護が穴だらけになります。問題は、この「広さ」が 善意の脆弱性調査とも重なるという点にあります。

2. 善意の研究とのグレーゾーン:国際的に繰り返されてきた論点

脆弱性を発見して報告する研究者は、多くの場合「本当に脆弱性が存在すること」を示すために、 最小限の実証(Proof of Concept)を行います。ところが、その最小限の一歩が、法文上は 「アクセス制御機能を回避して利用可能な状態にした」に該当しうる。これが、 セキュリティ研究と不正アクセス法制のあいだに世界中で生じてきた緊張関係です。

この論点は日本固有のものではなく、むしろ国際的に何度も繰り返されてきたパターン です。もっとも文書化が進んでいるのは米国のCFAA(Computer Fraud and Abuse Act) をめぐる議論でしょう。CFAAは長年「どの行為が犯罪なのか判別しづらく、その不明確さがセキュリティ 研究を萎縮させている」と批判され続けてきました。転機になったのが、連邦最高裁の Van Buren v. United States(2021年)で、「権限を超えたアクセス(exceeds authorized access)」の範囲を限定的に解釈し、単に不適切な目的でアクセスしただけではCFAA違反に ならないと整理しました。さらに米司法省は2022年5月19日、CFAAの訴追方針を改訂し、 善意のセキュリティ研究(good-faith security research)は訴追しないという方針を 明文化しています。同時に、利用規約違反のような契約上のアクセス制限違反も原則として訴追対象から 外しました。

重要なのは、この改訂が法律そのものの改正ではなく、訴追当局の運用方針の明文化だった という点です。それでも「訴追されない」という予見可能性が公に示されたこと自体に、研究側の行動を 変える効果があるとされました。逆に言えば、予見可能性が示されていない状態こそが萎縮の 主因である、という理解がここには含まれています。

日本には、対応する制度はあるのか

日本にも、脆弱性を「正しいルートで届け出る」ための枠組みはあります。経済産業省告示に基づく 情報セキュリティ早期警戒パートナーシップと、そのガイドラインです。ソフトウェア 製品やウェブアプリケーションの脆弱性を発見した人はIPAに届け出て、製品であればJPCERT/CCが開発者に 検証を依頼し、ウェブアプリケーションであればIPAがサイト運営者に通知する——という流通プロセスが 定められています。届出時には発見者の氏名・連絡先を明らかにすることが求められます。

ただし、ここは正確に理解しておく必要があります。このパートナーシップは 「発見された脆弱性情報を安全に流通させるための手続き」であって、「発見の過程で行った アクセスを法的に免責する仕組み」ではありません。ガイドライン自体、発見者に対して 法令を遵守した範囲での調査を前提としています。つまり、米司法省の2022年方針に相当するような 「善意の研究は訴追しない」という明示的・公的なセーフハーバーの宣言は、 少なくとも同じ強度・同じ可視性では日本に存在しない、というのが本記事執筆時点の理解です。

この差は、実務的には「自社システム以外に対して、許可なく能動的な検証を行ってはいけない」という 極めて保守的な線引きとして現れます。国内の解説記事の多くが「必ず所有者の許可を得たうえで ペネトレーションテストとして実施すること」と書いているのは、その線引きが実務の標準になっている ことの反映です。これ自体は正しい助言ですが、副作用として 「許可を出してくれる相手を持たない個人研究者」が合法的に腕を磨く場が細くなる という構造を生みます。

日本国内の事例をどう扱うか

では、日本で「セキュリティ研究者が不正アクセス禁止法で訴追された」と明確に位置づけられる 著名事例はあるのか。本記事の調査範囲では、その形で確立した代表的事例を確認できませんでした。 これは重要な留保なので、そのまま書いておきます。

一方で、不正アクセス禁止法ではない別の条文をめぐって、技術者コミュニティが 「萎縮効果」を強く議論した事例は実在します。代表的なのは、刑法168条の2(不正指令電磁的記録に関する罪、 いわゆるウイルス罪)に関する2つのケースです。

• Coinhive事件 — 自身のウェブサイトに閲覧者の同意なく暗号資産採掘スクリプトを設置した行為が不正指令電磁的記録保管等の罪に問われた事件。一審無罪、二審逆転有罪を経て、2022年1月20日に最高裁が逆転無罪とし確定しました。最高裁は、広告表示と比べて影響に大きな差はなく社会的に許容し得る範囲であるとして、違法性を認めませんでした。弁護側はこの裁判を、被告個人の問題ではなく技術開発全体の萎縮を防ぐための争いとして位置づけていました。
• アラートループ事件 — 2019年3月、電子掲示板に「閉じても繰り返しダイアログが出る」JavaScriptへのリンクを書き込んだとして、不正指令電磁的記録供用未遂の疑いで複数名が家宅捜索・書類送検・補導された事件。書類送検された成人2名は同年5月に不起訴(起訴猶予)となりました。「IT業界の萎縮を招きかねない」として広く批判され、支援のための募金活動も行われています。

まとめると、日本における「不正アクセス禁止法の萎縮効果」は、確立した判例の集積で示せる 実証済みの現象ではなく、(a) 条文の適用範囲の広さ、(b) 明示的セーフハーバーの 不在、(c) 隣接する条文で実際に萎縮が議論された経験、という3つから導かれる構造的な懸念 として扱うのが正確です。本記事はその立場を取ります。

3. 能動的サイバー防御法(サイバー対処能力強化法)は何を認めたのか

次に、制度側で最大の変化である2025年の立法を確認します。俗に 「能動的サイバー防御法」と呼ばれますが、これは通称です。実際には2本の法律から なります。

• 重要電子計算機に対する不正な行為による被害の防止に関する法律(通称:サイバー対処能力強化法)
• 上記の施行に伴う関係法律の整備等に関する法律(通称:同整備法)

2025年5月16日に参議院本会議で可決・成立し、同年5月23日に公布 (令和7年法律第42号)されました。施行は段階的で、公開されている整理によれば 概ね次のスケジュールです。

• 2025年7月1日 — 総則部分等が先行施行
• 2026年4月1日 — 独立した監督機関であるサイバー通信情報監理委員会の設置に関する規定
• 2026年10月1日 — 本則の中核部分。特別社会基盤事業者(基幹インフラ事業者)による特定侵害事象等の報告義務、政府からの整理分析情報の提供、官民協議会の枠組みなどが動き出します
• 公布から2年6月以内(2027年11月22日まで)の政令で定める日 — 通信情報の取得・取扱いに関する章(第3章〜第7章)

制度の柱は大きく4つに整理できます。(1) 官民連携の強化(基幹インフラ事業者の インシデント報告と、政府から民間への脅威情報還元)、(2) 通信情報の利用(一定の条件下で 政府が通信に関する情報を取得・分析できる枠組み)、(3) アクセス・無害化措置(攻撃に 用いられているサーバー等に対し、警察および自衛隊が能動的にアクセスし、不正プログラムを無害化する 措置)、(4) 監督機関(サイバー通信情報監理委員会による事前承認・事後監督)。

端的に言えば、これは政府側のサイバー能力を、受動的な防御から能動的な介入まで広げる立法 です。日本の従来の法制度では、攻撃インフラに対して政府機関が先んじて手を入れることは 法的根拠が乏しく、事実上できませんでした。その空白を埋めるのがこの法律の主目的です。

国会審議で提起された論点

この立法には、成立過程で相当な憲法論が提起されました。中心は憲法21条2項の 「通信の秘密」との関係です。日本弁護士連合会は2025年4月17日付で慎重審議を求める意見書を 公表し、通信情報の取得に関する規定が司法の令状審査を経ずに行われる点を問題としました。 通信傍受法が令状主義の枠内に置かれているのに対し、本法の通信情報取得は行政機関である 監理委員会の承認を要件とする設計になっており、「令状主義の回避ではないか」という批判が 国会審議でも野党側から提起されています。加えて、アクセス・無害化措置が国外のサーバーに及ぶ場合の 他国主権との関係、監理委員会の独立性の実効性についても議論がありました。

これらは本記事の主題ではないので深入りしませんが、1点だけ本筋につながる指摘があります。 反対討論のなかで、「アクセス・無害化措置以前に、より基礎的なサイバーセキュリティの 能力構築こそ優先されるべきではないか」という趣旨の論点が提起されていました。これは まさに本記事の問いと同じ形をしています。

4. 権限は増えた。では「防御できる人」は増えたのか

ここで、本記事の中心的な仮説に入ります。

能動的サイバー防御法が拡大したのは、政府機関の法的権限です。警察と自衛隊が 攻撃インフラに対して動ける根拠ができ、政府が通信情報を分析できる枠組みができ、基幹インフラ 事業者から政府へ情報が上がる経路ができました。これは能力の配置を変える改革です。

しかし、日本全体のサイバー防御力は、政府機関だけで構成されているわけではありません。 実際に攻撃を受けるのは大半が民間企業であり、最初に検知し、最初に切り分け、最初に封じ込めるのは 民間の情報システム部門やセキュリティベンダーです。基幹インフラ事業者に報告義務が課されるという ことは、裏を返せば報告できるだけの検知能力を民間側が持っていることが前提に なっているということでもあります。

つまり、権限の拡大と人材層の拡大は、別々の変数です。前者は立法で一度に動かせますが、後者は 教育・雇用・キャリアパス・法的予見可能性といった複数の要因の積です。 権限だけが先に動いた場合、総体としての防御力は「政府に寄った形で再配分される」だけで、 合計値はさほど増えない——これが仮説の第1の柱です。

しかも、政府機関がアクセス・無害化措置を実際に運用するには、攻撃者の手法を内側から理解している 人材が必要です。その人材の供給源は、結局のところ民間と研究コミュニティです。民間の層が薄ければ、 官の新しい権限もまた、それを行使できる人員に制約されます。権限と人材は、独立変数ではなく 直列につながっています。

5. 情報処理安全確保支援士(登録セキスペ)という国家資格

では、日本の公的な人材パイプラインはどう設計されているのか。中核にあるのが 情報処理安全確保支援士、通称「登録セキスペ」です。まず事実関係を正確に 確認します。

• 2017年(平成29年)に制度開始。IPA(独立行政法人 情報処理推進機構)が試験の実施、有資格者登録簿の管理、講習の実施を所管する国家資格です。サイバーセキュリティ分野で初の士業型(登録制)資格として設計されました
• 初回登録は2017年4月1日付で4,172名。全都道府県に登録者が生まれたことが当時報じられています
• 登録制であり、名称独占。合格しただけでは名乗れず、登録免許税(収入印紙9,000円)と登録手数料(10,700円)を納めて登録簿に載る必要があります
• 3年ごとの更新制。登録日または更新日から3年で有効期限を迎え、期間中に定められた講習(オンライン講習および実践講習)を修了することが更新の条件です。更新手数料自体は不要ですが、講習費用が発生します。IPAの実践講習を選択する場合、オンライン講習3回分と実践講習を合わせて3年間で十数万円規模になります
• 2025年10月1日時点の登録者数は24,937名。平均年齢44.3歳、40代が36.9%、50代が25.5%と、中堅以上に大きく寄った年齢構成です。地域別では関東が69.2%を占めます
• 制度は現在も更新が続いており、2026年4月からは実務経験者に対する講習制度が導入されています

数字を見る限り、制度は機能しています。2017年の4,172名から2025年の約2.5万名へと、登録者は着実に 積み上がりました。資格として社会に定着させるという当初の目的は、相応に達成されていると 言ってよいでしょう。

ここで提起したい構造的な問い

そのうえで、本記事が提起したいのは「量」ではなく「どういう種類の能力が増えるように 設計されているか」という問いです。

登録セキスペの試験と講習は、情報セキュリティマネジメント、リスクアセスメント、関連法令、 セキュアな設計・運用、インシデント対応体制の構築といった領域を広くカバーします。これは 組織としてセキュリティを成立させるための知識体系であり、企業のセキュリティ 統制を設計・監督する立場の人材を想定した設計になっています。この設計自体は、目的に照らして 一貫しています。

一方で、実際に攻撃を防ぐ現場で効くもう1つの能力軸があります。エクスプロイト開発、 リバースエンジニアリング、脆弱性研究、レッドチーム運用といった「攻撃側の思考を実際に手で 再現できる」種類の技能です。防御は、攻撃の具体的な手順を知っているほど精度が上がります。 EDRのルールを書くにも、YARAシグネチャを設計するにも、検知回避の実際を知っているかどうかで 出来が変わります。

国際的な認定資格の世界を見ると、この2つの軸はある程度分業されています。たとえば CISSPは、セキュリティマネジメントを含む広範な領域を体系的にカバーし、 実務経験要件とCPE(継続教育)による維持を伴う、世界的に認知された資格です。他方、 OSCPのようにハンズオンの侵入テスト実技を課す資格群は、より攻撃的・実践的な技能の証明に 重心を置いています。どちらが優れているという話ではなく、測っているものが違います。 そして、成熟した人材エコシステムには両方の経路が存在しています。

問いはここです。国が設計し、国が講習を提供し、登録と更新で維持される資格制度が、 人材パイプラインの中心に置かれたとき、そのパイプラインは自然と「コンプライアンスと統制を 担える人材」に最適化されていくのではないか。そして、攻撃的技能の側を伸ばす経路は、 制度の外側に置かれたまま——しかも第2章で見たとおり、その技能を法的に安全な形で磨ける場が 限られたまま——になるのではないか。

6. 経営層と技術者のあいだの情報の非対称性

3つ目の要素は、法制度ではなく組織のなかにあります。これは日本に固有の現象ではなく、 組織行動論として広く知られたパターンですが、上の2つと噛み合うことで効果が増幅されます。

セキュリティ業務には、本質的な評価の困難があります。うまくいっているとき、何も起きません。 投資の成果が「起きなかったインシデント」という観測できない形で現れる以上、技術的内容を 理解していない評価者は、成果そのものを直接評価できません。

そのとき評価者が使えるのは、代理指標(プロキシ)だけです。

• セキュリティ担当の人数
• 保有資格の種類と数
• 認証取得の有無(ISMS等)と、監査での指摘件数
• 対策製品の導入本数
• 規程・手順書といった文書の整備状況

これらはいずれも観測可能で、会議資料に載せやすく、前年比で比較できます。だからこそ選ばれます。 問題は、これらが実際の防御能力と相関はしても、同一ではないという点です。 資格保有者が10名いる組織と、攻撃者の最新手口を追い続けている技術者が2名いる組織とで、 どちらが実際に侵害を止められるかは、代理指標からは読み取れません。

ここから2つの副作用が生じます。

第1に、翻訳労働の恒常化です。技術者は、自分の作業の価値を非技術的な語彙に翻訳し、 予算のたびに再説明しなければなりません。この翻訳コストは技術的成果を1ミリも増やしませんが、 技術者の時間を確実に消費します。セキュリティ業務の「オーバーヘッド」は、この翻訳と再正当化の 層で膨らみます。

第2に、代理指標への最適化です。評価が代理指標で行われることが分かれば、 組織は代理指標を改善する行動を選びます。攻撃手法の研究に3か月を使うより、資格取得者を3名増やす ほうが、評価者に対して説明しやすい。これは個々の担当者の怠慢ではなく、評価関数に対する 合理的な反応です。

そして、ここが第5章とつながります。国家資格という明確で数えやすい代理指標が 制度として整備されると、それは非技術的な評価者にとって極めて使い勝手のよい指標になります。 「登録セキスペ何名」は、稟議書に書ける。「当社の技術者は最新のローダー難読化手法を追えている」は、 書きにくい。結果として、制度が提供する代理指標の方向に、組織の投資が引き寄せられる という力が働きます。制度設計者の意図とは独立に、評価構造がそう作用します。

この力学は、日本のIT産業構造とも無関係ではありません。多重下請けと人月商慣行によって 「工数」が価値の単位になっている構造では、能力ではなく人数と資格で見積もる習慣がすでに 組み込まれています。詳細は日本のSIer構造に関する記事 で扱っています。

7. 統合:3つの要素が同じ方向に働くとき

ここまでの3要素を並べます。

• (a) 広い不正アクセス犯罪化 + 明示的セーフハーバーの不在 — 攻撃的技能を法的に安全な形で磨ける場が、許可済みの業務ペネトレーションテストに実質的に限定される。許可を出してくれる雇用主をすでに持っている人にしか、その入口が開かない
• (b) コンプライアンス志向の国家資格パイプライン — 公的に認知され、数えられ、キャリアに接続する経路が、統制・管理側の能力に最適化されている
• (c) 経営側の情報の非対称性 — 評価が代理指標で行われ、その代理指標として(b)が使われ、翻訳と再正当化のオーバーヘッドが膨らむ

この3つは、それぞれ単独では穏当な制度設計です。しかし方向が揃っています。いずれも 「見える・数えられる・説明できる能力」を増やす方向に働き、「攻撃者と同じ土俵で考える 能力」を増やす方向には働かない。そして(a)は、その能力を独学で身につけようとする経路に 法的リスクを載せます。

したがって導かれる仮説は次のようになります。日本の民間セクターのサイバー防御力は、 法令の整備状況や資格登録者数から想像されるほどには厚くなっていない可能性がある。 そしてこれは、国家的な攻撃者や組織犯罪グループによる脅威が増大している時期と重なっています。

能動的サイバー防御法は、この文脈では「政府側の能力を立法で一気に引き上げる」施策として 理解できます。それは合理的な選択です。しかし、上の仮説が部分的にでも正しいなら、 官の権限拡大だけでは総量は埋まりません。民間側の層が薄いまま官の権限だけが 伸びれば、実装を担う人員がボトルネックになり、また民間で最初に検知・封じ込めを行う能力は 別途手当てが必要なままです。

8. 構造を動かしうる方向

仮に上の整理に一定の妥当性があるとして、どの変数が動かせるのか。断定を避けつつ、 論理的に対応する打ち手を挙げておきます。

• 予見可能性の明示化 — 米司法省の2022年方針が示したように、法改正を伴わなくても、訴追・運用方針を公に明文化するだけで研究者側の予見可能性は変わりうる。日本でも、善意の脆弱性調査について、どこまでが安全でどこからがそうでないかを公的に可視化することには意味がある
• 合法的な演習環境の拡充 — 攻撃的技能を法的リスクなしに磨ける場(公式のバグバウンティ、演習レンジ、CTF、脆弱性開示ポリシーを持つ企業の増加)は、(a)のボトルネックを直接的に緩める
• 評価語彙の整備 — 経営層が代理指標に頼らざるを得ないのは、能力を語る共通語彙がないからでもある。検知・対応の実力を測る運用指標(MTTD/MTTR、脅威ハンティングの実績、演習結果)を経営報告の標準語彙に組み込めば、(c)の歪みは小さくなる
• パイプラインの複線化 — 国家資格を軸に据えたまま、その外側に攻撃的技能の公式な評価・認知経路を並置する。両方が公的に認知されていれば、(b)の一方向性は緩和される

いずれも、ここで即断できる話ではありません。ただ、「法規制を強化する」「資格保有者を増やす」 という2本の軸だけでは届かない領域があること自体は、構造から見て指摘できると考えます。

まとめ

• 不正アクセス禁止法(平成11年法律第128号、1999年成立・2000年2月施行、2012年改正で処罰範囲と法定刑を拡大)は、なりすまし型に加え、認証を経ないセキュリティホール攻撃型も第3条で禁じている
• この「広さ」は法目的上自然だが、善意の脆弱性実証と重なりうる。同じ緊張は米国のCFAAでも長く議論され、Van Buren判決(2021年)と司法省の訴追方針改訂(2022年)で「善意の研究は訴追しない」という予見可能性が公に示された
• 日本には情報セキュリティ早期警戒パートナーシップという届出の枠組みがあるが、これは情報流通の手続きであって法的免責ではない。同等の明示的セーフハーバー宣言は本記事執筆時点で確認できない
• 日本で「研究者が不正アクセス禁止法で訴追された」確立した代表的事例は本調査範囲では確認できなかった。Coinhive事件(2022年最高裁無罪確定)とアラートループ事件(2019年、不起訴)はいずれも刑法168条の2の事案であり、別条文である
• いわゆる能動的サイバー防御法は「サイバー対処能力強化法」および同整備法として2025年5月16日成立・5月23日公布(令和7年法律第42号)。本則の中核は2026年10月1日施行、通信情報に関する章は2027年11月22日までの政令指定日に施行される段階施行
• 同法は基幹インフラ事業者の報告義務、通信情報の利用、警察・自衛隊によるアクセス・無害化措置、サイバー通信情報監理委員会による監督を柱とする。国会審議では憲法21条2項(通信の秘密)や令状主義との関係が争点となった
• 情報処理安全確保支援士は2017年開始の国家資格。初回登録4,172名から2025年10月1日時点で24,937名(平均年齢44.3歳)に成長。3年ごとの更新と講習受講を要する
• 本記事の仮説は、(a)明示的セーフハーバーなき広い犯罪化、(b)統制志向の資格パイプライン、(c)経営側の情報の非対称性による代理指標依存、の3つが同方向に働き、民間の実戦的防御力が制度の見た目ほど厚くならない可能性があるというもの
• これは実証された因果関係ではなく、国内のセキュリティ実務者のあいだでも評価が分かれる、現在進行形の政策論点である