ア　独占禁止法上違法となる契約条項

独占禁止法上違法となる契約条項については、民法第90条（公序良俗違反）に基づき、私法上の効力も無効となる場合があり、リバースエンジニアリングを禁止する条項は、市場における公正な競争を阻害するおそれがある場合においては、無効となる可能性がある¹⁴。

イ　権利制限規定がある部分について利用制限を課すライセンス契約の条項

著作権法で保護されている著作物であっても、同法の規定により著作権が制限されている部分（著作権法第30条から第49条まで）が存在する。この部分は著作権法によって著作権者の許諾なく著作物の利用が認められている部分である。この著作権が制限されている部分について利用制限を課す契約条項の効力については、有効・無効様々な考え方があり得るため、留意する必要がある¹⁵。

ア　サイバーセキュリティに関する義務の履行としての利用

事業者に一定の情報についてセキュリティ義務を課している法律は多く、そのセキュリティ義務の履行の方法として暗号が利用される。

個人情報取扱事業者は、個人データに対して安全管理措置（個情法第23条）を講ずる必要があるが、個情法ガイドライン（通則編）においても、安全管理措置のうち、技術的安全管理措置として、個人データを含む通信の経路又は内容を暗号化することが手法の例示の一つとして挙げられている。同様に、行政機関の長等は、保有個人情報について安全管理措置を講ずる必要があり（個情法第66条第1項）、また、総務大臣等は、特定個人情報の提供システムについて秘密管理として適切な方法を取らなければならないが（番号利用法第24条）、これらの方法としても暗号化がその方法の一つとして利用される。

ただし、暗号化はあくまでも安全管理措置の一環として行われるものであり、個人情報（個情法第2条第1項）を暗号化しても、暗号化された情報は非個人情報となるわけでない⁶。

その他個情法との関係では、要配慮個人情報が含まれる個人データの漏えい等一部の類型の漏えい等事案（報告対象事態）が生じた場合、個情委への報告及び本人への通知が必要となる（個情法第26条、個情法施行規則第7条）ところ、漏えい等した個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合には、上記個情委への報告及び本人への通知を行う必要がないとされている⁷。

ここにいう「高度な暗号化等の秘匿化がされている場合」とは、漏えい等事案が生じた時点の技術水準に照らして、漏えい等した個人データについて、これを第三者が見読可能な状態にすることが困難となるような暗号化等の技術的措置が講じられるとともに、そのような暗号化等の技術的措置が講じられた情報を見読可能な状態にするための手段が適切に管理されている場合をいう。そして、第三者に見読可能な状態にすることが困難となるような暗号化等の技術的措置としては、電子政府推奨暗号リストやISO/IEC18033シリーズ等に掲載されている暗号技術が用いられ、それが適切に実装されていることをいい、また、暗号化等の技術的措置が講じられた情報を見読可能な状態にするための手段が適切に管理されているといえるためには、①暗号化した情報と復号鍵を分離した上で、復号鍵自体の漏えいを防止する適切な措置を講じていること、②遠隔操作により暗号化された情報若しくは復号鍵を削除する機能を備えていること、又は③第三者が復号鍵を行使できないように設計されていることのいずれかを満たすことが必要である⁸。

イ　法的保護の前提としてのセキュリティ確保のための利用

事業者が一定の情報についてセキュリティ等を確保している場合、当該情報が法的に保護を受け得ることがあるが、その方法として暗号が利用される。

一定の情報が不正競争防止法における営業秘密（不正競争防止法第2条第6項）や限定提供データ（同法第2条第7項）に該当する場合、民事上、刑事上の保護を受け得る⁹。この際、営業秘密や限定提供データと認められるためには、それぞれ秘密管理性や電磁的管理性などの要件を満たす必要があり、対象情報を暗号化し、特定の者のみがアクセスすることができるようにすることも、これらの要件を満たすための方法の一つである¹⁰。

また、技術的制限手段（同法第2条第8項）として暗号が利用されており、技術的制限手段を回避する装置やプログラム等を譲渡等することは不正競争に該当し（同法第2条第1項第17号、第18号）、民事上、刑事上の保護を受けることができる。

さらに、著作物についても、技術的利用制限手段（著作権法第2条第1項第21号）や技術的保護手段（同項第20号）として暗号が利用されている。技術的利用制限手段を回避する行為や、技術的保護手段の回避又は技術的制限手段を回避する装置やプログラム等を譲渡等する行為は、当該技術的利用制限手段にかかる著作物に係る著作権、出版権又は著作隣接権を侵害する行為とみなされる（同法第113条第3項）。また、著作物の利用については、私的使用のための複製（同法第30条第1項本文）について著作権の制限であるとされているが、その場合であっても、技術的保護手段によってコントロールされた著作物について、その技術的手段が回避されたことを知って複製を行う場合には、制限の例外とされている（同項第2号）¹¹。

最後に、電波法は、暗号通信という概念を設定しており、無線通信が暗号化されている場合には、その内容を漏えいし、又は窃用する目的で、無線通信を復号する行為が罰則の対象となる（電波法第109条の2第1項、第2項）。

ウ　一定の法制度の基礎技術としての利用

電磁的記録に記録された情報について本人による電子署名が行われているときは、真正に成立したものと推定される（電子署名法第3条）。また、電子署名法上の電子署名に該当するためには、電磁的記録に記録することができる情報について行われる措置であって、①当該情報が当該措置を行った者の作成に係るものであることを示すためのものであること、②当該情報について改変が行われていないかどうかを確認することができるものであることの二つの要件を満たす必要がある（同法第2条第1項）。また、電子署名法上の特定認証業務による電子署名の要件を技術的に満たす方法として、暗号を応用した技術が使われている（同法施行規則第2条各号）¹²。

ア　なりすましについての民事的論点

民事上の論点としては、本人になりすました者による意思表示の効果がなりすまされた本人に帰属するかという点がある。

まず、本人以外の者が本人になりすましておこなった意思表示の効果は本人に帰属しないのが原則である。ただし、例外的に、表見代理（民法第109条、第110条、第112条）の規定は、本人の帰責性等の一定の要件の下、代理行為の効果の本人への帰属を認めている。表見代理制度は、あくまでも、相手方に、代理権がある旨を誤認した場合の制度であり、なりすましの場合に直接適用されるものではないが、判例において、代理人が直接本人名義で権限外行為を行い、相手方が当該行為を本人自身の行為と信じたことに正当事由がある場合に、民法第110条の類推適用を認めたものがある（最判昭和44年12月19日民集23巻12号2539頁）。

一方で、一定の方式に基づく認証がなされた利用者による意思表示の効果が本人に帰属する旨の事前同意がある場合は、原則として、同意した方法で認証された利用者による意思表示を本人による意思表示とみなし、契約が成立すると考えうるが、以下のような考慮が必要である。

まず、対等な当事者間（例：事業者間取引）において、上記のような本人確認方式について合意した場合は、契約自由の原則（民法第521条）の下、当該本人確認方式の効力が認められ、契約が成立すると考えられる。もっとも、定型約款（民法第548条の2第1項）の個別条項として事前合意される場合は、その内容如何によっては、民法第548条の2第2項により、定型約款の合意内容から排除されることがあるので留意が必要である。

次に、利用者が消費者であり、一方当事者が消費者ではない場合は、消費者契約法に基づく考慮も必要である。ID・パスワードを使ってログイン等した利用者を常に本人とみなし、事業者に帰責性がある場合でも利用者の行為が本人に効果が帰属する旨を本人との間で合意した場合、そのような合意は、消費者の利益を一方的に害するものとして無効となり得る（消費者契約法第10条）。例えば、インターネット通販におけるクレジットカードのなりすましによる利用については、本人ではない者がクレジットカード番号等を入力して商品を購入したとしても、現行の主なクレジットカード会員規約からすると、本人に帰責性がない限り、本人が支払義務を負わないとするケースが多い¹⁰。

イ　なりすましについての刑事的論点

例えばSNSで他の誰かになりすまして何らかの投稿をすると、著作権侵害や、名誉毀損で刑事罰を科される可能性がある。そして、なりすまして得た営業秘密を使用又は開示する行為については、営業秘密侵害罪に該当する可能性がある（不正競争防止法21条1項1号、2号）。また、なりすましに必要な、IDやパスワード等を販売、公開する行為は、不正アクセス禁止法第5条により、同法に規定する識別符号の不正な提供であるとして刑事罰を科される可能性がある。

ア　規制対象について

外為法に基づく規制対象については、政省令で定める品目（武器、機微な汎用品など）に該当する貨物の輸出又は技術の提供を規制する「リスト規制」と、「リスト規制」に該当しない貨物又は技術であっても、その用途や需要者に兵器の開発等に関する懸念がある場合などに貨物の輸出又は技術の提供を規制する「キャッチオール規制」がある。

イ　貨物の輸出と技術の提供

ア　規制対象となる貨物について

輸出貿易管理令別表第一の八の項において、「電子計算機若しくはその附属装置又はこれらの部分品…であつて、経済産業省令で定める仕様のもの」と規定されており、これに基づき、輸出貿易管理令別表第一及び外国為替令別表の規定に基づき貨物又は技術を定める省令（以下「貨物等省令」という。）第7条第5号において、「電子計算機若しくはその附属装置又はこれらの部分品であって、侵入プログラムの作成、指揮統制又は配信を行うように特に設計又は改造されたもの」が挙げられている。

典型的にはいわゆるC&Cサーバ⁶や、侵入プログラムのビルダーがこれに該当するが、「特に設計又は改造されたもの」でなければならないため、一般的に使用されているPCやサーバは該当しない。

イ　規制対象となるプログラム及び技術について

外国為替令別表の八の項において、「（一）　輸出貿易管理令別表第一の八の項の中欄に掲げる貨物の設計、製造又は使用に係る技術であつて、経済産業省令で定めるもの（四の項の中欄に掲げるものを除く。）」、「（二）　電子計算機若しくはその附属装置又はこれらの部分品の設計、製造又は使用に係る技術であつて、経済産業省令で定めるもの（（一）及び四の項の中欄に掲げるものを除く。）」と規定されており、これに基づき、貨物等省令第20条第1項及び第2項において、規制対象となるプログラム及び技術（プログラムを除く。）が挙げられている。主たるものを抜粋すると以下のとおりである。

1. プログラム関係

   1. 上記アの貨物を含む貨物等省令第7条各号に該当する貨物を設計し、又は製造するために設計したプログラム（貨物等省令第20条第1項第5号）
   2. 侵入プログラムの作成、指揮統制又は配信を行うように設計若しくは改造されたプログラム（貨物等省令第20条第2項第6号）

2. 技術（プログラムを除く。以下aからcにおいて同じ。）関係

   1. 上記アの規制対象貨物等の設計又は製造に必要な技術（貨物等省令第20条第1項第2号）若しくは使用に必要な技術（同項第6号）
   2. 上記①a又はbのプログラムの設計、製造又は使用に必要な技術（同項第5号、同条第2項第6号）
   3. 侵入プログラムの設計に必要な技術（同項第7号）

ウ　セキュリティの脆弱性の開示又はサイバー攻撃の対応に係る例外

上記イの①、②、プログラムを除く技術については、セキュリティの脆弱性の開示に係るもの又はサイバー攻撃の対応に係るものは規制対象から除かれる。

役務通達別紙１「外為令別表中解釈を要する語」によれば、「セキュリティの脆弱性の開示に係るもの」とは、「脆弱性を解決する目的のプロセスであって、脆弱性を特定するもの、報告するもの、対策を行い、若しくは調整する責任がある個人若しくは組織に伝達するもの又はこれらの個人若しくは組織と分析するもの」をいい、脆弱性関連情報の取扱いプロセス（Q67参照）を念頭に置いているものと考えられる。

また、「サイバー攻撃の対応に係るもの」とは、「サイバーセキュリティ攻撃に対処するための対策を行い、又は調整する責任がある個人又は組織とサイバーセキュリティ攻撃に関する情報を交換するプロセス」をいうとされている。

上記イの規制は、海外のサイバー攻撃者や組織に対し、攻撃に転用されるおそれがあるツールや技術情報が渡らないようにするための規制であるが、サイバーセキュリティ分野において迅速な防御活動を行うためには、日々複雑化・巧妙化する攻撃手法や新たなソフトウェアの脆弱性に対応するため、海外のセキュリティベンダ等との連携や情報収集が不可欠である一方で、形式的には、マルウェアを製造するための脆弱性関連情報や、マルウェアによる動作・被害・振舞い等の侵入プログラムのビルダーやC&Cサーバに関わる情報などを電子メールで海外に送信することが「技術の提供」として規制の対象になるおそれがあった。海外との情報交換のために逐一経済産業大臣の許可を取得する必要があるとなると、許可を取得する間にサイバー攻撃の被害が拡大するおそれもあり、そのような事態を招くのは本末転倒となるため、上記のとおり、セキュリティの脆弱性の開示に係るもの又はサイバー攻撃の対応に係るものを例外としたものである。

ア　外為法に基づく対内投資に関する規制の概要

外為法は、「外国為替、外国貿易その他の対外取引が自由に行われることを基本とし、対外取引に対し必要最小限の管理又は調整を行うことにより、対外取引の正常な発展並びに我が国又は国際社会の平和及び安全の維持を期し、もって国際収支の均衡及び通貨の安定を図るとともに我が国経済の健全な発展に寄与することを目的と」し（同法第1条）、外国為替、外国貿易その他の対外取引を総合的に対象としている法律であり、日本の対外取引の基本法となっている。同法による規制の1つに、対内直接投資規制がある。すなわち、同法は、対外取引の原則自由という基本的考え方に立ちつつ、経済協力開発機構（OECD）の資本移動自由化コード等の国際的な投資ルールの範囲内で、国の安全等の観点から対内直接投資規制を導入している。

具体的には、①外国投資家が行う国内の会社の株式又は議決権の取得等のうち一定の要件を満たすもの⁴を「対内直接投資等」（外為法第26条第2項、対内直接投資等に関する政令第2条第16項第1号～第7号）として原則として事後報告を義務付ける（同法第55条の5第1項）。特に、②「国の安全」、「公の秩序」、「公衆の安全」、「我が国経済の円滑な運営」の観点から、一部の指定業種に係る対内直接投資等に限定して、事前届出並びに財務大臣及び事業所管大臣による審査を要求している（同法第27条第1項、同令第3条第2項）⁵。

イ　サイバーセキュリティ業に係る対内直接投資等に関する規制

以下に述べるとおり、サイバーセキュリティに関する事業は、令和元年5月に指定業種に追加されたため、②の規制の対象となった（後記（ア）参照）。なお、同年11月の同法改正では、事前届出免除制度（同法第27条の2）が新設されたものの、サイバーセキュリティに関する事業の一部は、この免除制度が利用できないコア業種となっているため、この免除制度のメリットを享受することはできない（後記（イ）参照）。

そのため、外国投資家が、サイバーセキュリティに関する事業を営む日本の上場会社の議決権を取得する場合、それが「対内直接投資」の要件を満たせば、原則として事前届出並びに財務大臣及び事業所管大臣による審査を経る必要がある。

ア　サイバーセキュリティ協議会

平成30年のサイバーセキュリティ基本法の改正により組織された法定の情報共有体制であり、NISC及び政令指定法人JPCERT/CC¹が事務局を務めている。情報共有を行う上で阻害要因となっていた事項について法律改正等により改善を図り、既存の情報共有体制の活動を補完し、これらと有機的に連携しつつ、従来の枠を超えた情報共有・連携体制を構築することを目標としている（詳細は後述）。

イ　早期警戒情報の提供システム「CISTA²」

JPCERT/CCは、国民の社会活動に大きな影響を与えるインフラ、サービス及びプロダクトなどを提供している組織におけるセキュリティ関連部署又は組織内CSIRTに向けて、セキュリティに関する脅威情報やそれらの分析・対策情報を早期警戒情報として提供している³。

ウ　重要インフラ行動計画に基づく情報共有体制

重要インフラ行動計画における5つの施策群の一つとして、「情報共有体制の強化」が挙げられており、NISCは、重要インフラ所管省庁、情報セキュリティ関係省庁等と相互にシステムの不具合等に関する情報の共有を行うこととされている。

エ　サイバー情報共有イニシアティブ「J-CSIP⁴」（ジェイシップ）

IPAは、平成23年、サイバー情報共有イニシアティブ「J-CSIP」を発足し、重工や重電等、重要インフラで利用される機器の製造業者を中心として、標的型メール攻撃に関する情報共有を実施している。

オ　日本サイバー犯罪対策センター（JC3⁵）による情報共有

平成26年に業務を開始した一般財団法人日本サイバー犯罪対策センター（JC3）においては、産学官（セキュリティ関係等の産業界、学術機関、警察庁等）の情報や知見を集約・分析し、その結果等を還元することで、脅威の大元を特定し、これを軽減及び無効化することにより、以後の事案発生の防止を図ることとしている。

カ　サイバーセキュリティ対処調整センター

NISCは、サイバーセキュリティ戦略を踏まえ、2020年東京オリンピック・パラリンピック競技大会（以下本項において「大会」という。）におけるサイバーセキュリティの確保に向け、脅威・事案情報の共有等を担う中核組織としてサイバーセキュリティ対処調整性センターを構築し、情報共有システム（JISP⁶）を構築、運用している。大会後も、今後の取組方針として、2025年に開催が予定される大阪・関西万博におけるサイバーセキュリティの確保に向けた取組みの推進の一環として、JISPを提供することが予定されている⁷。

キ　セプター及びセプターカウンシル

NISCは、重要インフラ事業者等の情報共有・分析機能を担う組織である「CEPTOAR（セプター）⁸」及び各セプターの代表で構成された協議体である「セプターカウンシル」の運営および活動を支援している。

ク　ISAC（アイザック）

民間の各業界において、自主的な情報共有を行う組織である「ISAC⁹」が徐々に増加している。主要なものを挙げると、「ICT-ISAC」（通信事業者等）、「金融ISAC」（金融事業者）、「電力ISAC」（電力事業者）、「交通ISAC」（交通・運輸事業者等）、「J-Auto-ISAC」（自動車関係事業者等）、「Software ISAC」（ソフトウェア産業等）などがある。

ア　個情法

共有しようとする情報の中に個人データ（個情法第16条第3項）¹⁰が含まれている場合には、原則として本人の同意なく第三者提供ができない（同法第27条第1項）。

ただし、法令に基づく場合など、同法第27条第1項各号のいずれかに当たる場合は、本人の同意は不要である。

イ　不正競争防止法

仮に共有しようとする情報の中に営業秘密や限定提供データが含まれている場合、当該情報を他者と共有することで、営業秘密にあっては「秘密として管理されている」（不正競争防止法第2条第6項）という要件、限定提供データにあっては「業として特定の者に提供する情報として」、又は「電磁的方法により…管理され」（同条第7項）という要件が失われ、当該情報が営業秘密、又は限定提供データとしての法的保護を受けられなくなるという事態を招かないよう留意しなければならない。

営業秘密において適切な管理状況を保つための対応としては、提供に当たって営業秘密を特定した秘密保持契約を締結する等して自社の秘密管理意思を明らかにすることなどが考えられる。

ウ　金融商品取引法

上場会社等における会社関係者が業務に関する重要事実を職務等に関して知りながら当該重要事実が公表される前に株式の売買等を行うことは、いわゆるインサイダー取引として禁止される（金融商品取引法第166条第1項）。これに違反した者は、個人については5年以下の懲役又は500万円以下の罰金（同法第197条の2第13号）、当該個人が代表者又は代理人、使用人、その他の従業者である法人に対しては、5億円以下の罰金が科される（同法第207条第1項第2号）。

例えば、サイバーセキュリティに関する情報共有を行うに当たっては、自社がサイバー攻撃を受け、情報漏えいが疑われているという事実を含めて情報を伝達することもあり得る。当該事実は、公表されれば会社の株価に影響を及ぼし得る情報として、上記にいう「重要事実」に該当し得る。

また、ここにいう「会社関係者」には、上場会社等の役員、代理人、使用人その他の従業者（以下本項において「役員等」という。）のほか、当該上場会社等と契約を締結している者又は締結の交渉をしている者（法人の場合はその役員等）も含まれる（同法第166条第1項第4号、第5号）。

サイバーセキュリティに関する情報共有体制は、当該体制が持つ規約といった内規を守る旨を合意することを前提に各々のメンバーが当該体制に加入し、当該内規に基づき情報を共有することとなる。また、メンバーには上場している会社も含むため、当該体制に加入しているメンバーが上場会社等と各々相互に情報共有の契約を締結していると評価することも可能である。この場合、当該体制に加入し、情報共有活動を行っているメンバー会社及び当該活動に従事している者が全て「会社関係者」に該当することとなる。

なお、情報共有体制が上場会社等と契約を締結していると評価できない場合であっても、会社関係者から情報伝達を受けた者はインサイダー取引規制の対象となる（同法第166条第3項）¹¹。

情報共有体制において情報共有活動を行うに当たっては、外形的な情報共有又は情報伝達行為のみをもってインサイダー取引を疑われないよう、当該情報をサイバーセキュリティの確保目的以外に利用してはならないといった利用目的の制限、情報共有体制に加入している上場会社がサイバー攻撃の被害に遭った場合には、加入メンバー会社及び当該活動に従事している者は、被害会社の株取引を禁止すること、このような取決めに違反した場合にはサンクションを課す等の対応を行うことが考えられる。

エ　刑法（不正指令電磁的記録に関する罪）¹²

サイバーセキュリティに関する情報共有を行うに当たっては、マルウェアの挙動の解析や対応策の発見など、対策のためにマルウェアそのものを共有することも考えられる。

このような場合、外形的には不正指令電磁的記録の提供（刑法第168条の2第1項）又は供用（同条第2項）に当たり得るため、他人の電子計算機の実行の用に供されることのないよう、情報の提供側と受領側でマルウェアの授受を行う旨を合意することを前提として、提供者・受領者ともに、外部に当該マルウェアが送られることがないよう、厳格に管理しながらやりとりするなどの対応を行うことが考えられる。

オ　独占禁止法

競合事業者同士の価格、供給数量等の重要な競争手段である取引条件に関する情報交換は独占禁止法上のカルテル規制（同法第3条）との関係で問題となる可能性がある。そのため、共有体制において情報共有活動を行うに当たってはこれらの情報が交換されないよう十分に留意する必要がある。

カ　秘密保持契約等の自社が締結している契約上の秘密保持義務

自社が締結している秘密保持契約その他の契約の秘密保持義務の対象となっている情報を契約の相手方の同意を得ることなく第三者に共有した場合、秘密保持義務に抵触する可能性がある。そのため、情報共有活動を行うに当たっては、共有する情報が自社の締結している契約における秘密保持義務の対象となっていないか確認する必要がある。

ア　情報提供等協力の求めと応答義務

協議会は、構成員に対して必要に応じて情報の提供等の協力を求めることができ、当該求めを受けた構成員は、正当な理由がない限り、これに応じなければならない（サイバーセキュリティ基本法第17条第3項）。

これは、協議会の判断で必要な協力の求めを行い、それに対応して情報の提供等の協力を行うことに法的な裏付けを付与することを趣旨の一つとしており、例えば、本項に基づく情報提供の求めに応じて情報を提供する場合に、そこに個人データに当たるものが含まれているとしても、「法令に基づく場合」（個情法第27条第1項第1号）の提供として許容されうる¹³。ただし、個人のプライバシーに配慮し、サイバーセキュリティの確保のために必要のない余分な情報を提供しないよう留意が必要である。

なお、情報提供の求めが濫用されないよう、サイバーセキュリティ協議会規約においては、本項に基づき、以下の2つの場合に限って一般の構成員に対する情報提供等の協力の求めを行うこととしている。

1. 大規模なサイバー攻撃が発生するなど、情報提供等の協力を求める特別の必要性が認められる場合又はこれに準ずる状況であると認められる場合

2. 構成員が協議会による協力の求めを受けることについて同意している場合

イ　守秘義務

協議会の事務に従事する者又は従事していた者は、正当な理由がなく、当該事務に関して知り得た秘密を漏らし、又は盗用してはならない（サイバーセキュリティ基本法第17条第4項）。

ここで禁止されている行為は、秘密を「漏ら」すという第三者への提供行為のみならず、「盗用」、つまり、受領した情報を自らが不正に利用することも含まれているため、サイバーセキュリティ協議会において情報共有を行う者は、情報を受領する者に守秘義務がかかっており、提供した情報が不正に利用・提供されないことを前提として、安心して情報を提供できる仕組みとなっている。

ア　攻撃の全容解明及び被害企業自身の二次被害防止目的

サイバー攻撃を受けた被害企業においては、自社がどういった攻撃を受けているのか、また、どのような対応を行えば脅威を除去できるのかがわからないケースも多く見られる。これに対処し、被害の原因調査及び根本的な原因への対処を行うためには、早期の段階での情報共有が重要となる。このとき、専門機関に対して技術情報を共有し、専門機関を含む他組織が保有する情報のフィードバックを受けることで、まずは、自組織が受けた攻撃を一定程度の確度をもって一次判定を行い、初期対応を行うことができる。また、攻撃の全容解明につなげるとともに、脅威を除去して被害企業自身の二次被害を防止する目的を果たすことができる。

この場合にコンテクスト情報を広く共有又は公開することは推奨されない。被害企業のネットワーク内に攻撃者が未だに潜伏している可能性があるため、コンテクスト情報を含めて広く公開を行うことは、攻撃者による被害企業への更なる攻撃を招くおそれがある。

イ　同種の攻撃による他の企業の被害拡大防止目的

同種の攻撃による他の企業の被害拡大防止を目的とする場合にも、公表等を行う前の早期の段階における情報共有が重要となり得る。専門機関や情報共有体制に対して技術情報を共有することで、専門機関や情報共有体制において当該技術情報のうち重要なエッセンスを抽出し、対策情報として展開することで被害拡大の防止という目的を果たすことができる。

この場合にコンテクスト情報を広く共有又は公開することは、自社が特定されることによる二次被害を生じる可能性がある一方で、被害拡大防止への寄与度が大きく変わるものではないため、その意義は乏しいと評価することができる。また、そのような情報を外部に出すためには、社内調整及び関係者との調整を経るためのハードルが高くなるところ、調整をしている間に、情報が陳腐化する、又は同種の攻撃による被害の拡大を招く結果となりかねない。

ウ　漏えいした情報の関係者の二次被害防止目的

例えば個人データが漏えいした場合には、漏えいした個人データが悪用されるなどして本人に対する二次被害が発生する可能性がある。本人に対して直接連絡することができれば、一定程度二次被害の防止に資すると考えられるが、本人の連絡先が古いなどして直接の連絡ができない場合には、その代替措置としての公表を検討する必要が生じる。

この場合、個人データの本人に対して説明責任を果たす、又は信頼関係を維持するために、一定程度コンテクスト情報を連絡内容又は公表内容の中に盛り込む必要が出てくると考えられる。

エ　レピュテーションリスク対策目的

サイバー攻撃を受けた際には、自社以外の第三者からサイバー攻撃を受けたことが露呈する場合がある。例えば、ランサムウェア攻撃の場合は、攻撃者がリークサイトに情報を公開する、又は自らメディアを含めて広く情報を流すケースなどが挙げられる。また、一定の範囲で流通しているマルウェアの中に攻撃対象に関する情報が含まれていることで、当該攻撃対象に対するサイバー攻撃が行われた事実が推定されるケースもある。

この場合に、何らの情報も公表しなければ、サイバー攻撃を受けたことを隠蔽しているのではないかという誤解を与え、企業のレピュテーションを毀損する可能性がある。そこで、レピュテーションリスク対策としての公表を検討する必要が生じる。

この場合も、上記ウと同様、企業としての説明責任を果たしつつ、隠蔽という誤解を解くために、一定程度コンテクスト情報を公表内容の中に盛り込む必要が出てくると考えられる。

オ　法令に基づく義務を果たす目的

サイバー攻撃を受けた際に、法令又はガイドライン等に基づき当局等への対応が必要となる場合がある（詳細についてはQ7~Q9を参照）。

このとき、法令に基づく義務を果たさない場合には、違法行為として当局から法執行を受けるリスクがあるため、少なくとも、その義務を果たす為に必要な範囲で、情報共有又は公表を行う必要が生じる。

　サイバー攻撃被害組織等において、被害に係る情報のうち、どのような情報を、どのタイミングで、どのような主体と共有すればよいかの検討を行うにあたり、実務上参考となるガイダンス文書を策定するために、令和4年4月20日、サイバーセキュリティ協議会の運営委員会の下で、「サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会」を開催することが決定され、令和5年3月8日に、「サイバー攻撃被害に係る情報の共有・公表ガイダンス」が公表されている¹⁴。

ア　ダークウェブ上で流通する個人情報を閲覧又はダウンロードすることの適法性

ダークウェブ上で流通する情報を収集するタイプの脅威インテリジェンスサービスにおいても、どのような情報を収集するかはさまざまなものがある。例えば、ダークウェブ上で、不正アクセスにより窃取されたと思われるユーザID・ユーザ名・パスワードのリスト等が取引されている場合に、どのようなデータなのかという抽象的な情報のみを取り扱うサービスもあれば、実際に取引されているデータをダウンロードして取り扱うサービスもある。

とくに後者については、ダークウェブ上で取引されている個人情報を含むデータをダウンロード等することがありうるため、これが、偽りその他不正の手段による個人情報の取得を禁ずる個情法第20条第1項に反しないかが問題となる。

個情法GL（通則編）によれば、まず、「取得」について、個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報の「取得」にあたらないとされている。一方で、個人情報に該当するデータをダウンロード含め転記等する行為は、個人情報の「取得」に当たると考えられる。

そして、同GLでは、個情法第20条第1項違反に当たる事例として、同「法第27条第1項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合」や「不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合」が示されている。

ダークウェブ上で掲載・取引されている個人情報は、掲載した者が偽りその他不正の手段により取得した個人情報である蓋然性が高く、また、掲載した者が個情法第27条第1項に違反してこれをダークウェブ上で提供している蓋然性が高い。このため、個人情報取扱事業者が、ダークウェブ上で掲載・取引されている個人情報を当該ダークウェブからダウンロード等により取得することは、偽りその他不正の手段による個人情報の取得に該当するものとして、法第20条第1項に違反するおそれがあると考えられる。

ただし、個別の事案ごとに判断することとなるが、例えば、人（法人を含む）の生命、身体又は財産の保護のために個人情報をダークウェブから取得してこれを取り扱う必要がある場合、社会的に影響のあるサイバー攻撃の解析等のために研究機関等が必要最小限の範囲で個人情報をダークウェブから取得してこれを取り扱う必要がある場合には、法20条1項には違反しないものと考えられる（ただし、その取得したデータに上記の取扱いの必要性が認められない個人情報も含まれていた場合には、直ちにこれを削除する必要がある）。他方、みだりに個人情報を含むデータをダークウェブから取得する場合には、法第20条第1項に違反するおそれがあると考えられる²。

加えて、当該個人情報が特定個人情報に当たる場合は、マイナンバー法で認められていない目的での情報の取得は、同法に違反する可能性もあるので、注意が必要である。

イ　ダークウェブ上で流通する営業秘密及び限定提供データを閲覧又はダウンロードすることの適法性（不正競争防止法第21条）

営業秘密及び限定提供データのダウンロードは、窃取、詐欺、強迫その他の不正な手段による取得についての不正競争には当たらないと考えられる（不正競争防止法第2条1項4号・11号）。しかし、不正取得行為が介在したことを知って、取得している場合には、不正競争に当たる（同法第2条1項5号・12号）。ただし、営業上の利益の侵害等がなければ、同法上の差止請求及び損害賠償請求の対象にはならない（同法第3条・第4条）。なお、限定提供データに関しては刑事責任に関する規定がなく、営業秘密についても、「不正の利益を得る目的で、又はその営業秘密保有者に損害を加える目的」がなければ、営業秘密の取得についても、刑事責任を負うことはないと考えられる（同法第21条1項7号・8号）。

ウ　ダークウェブ上で流通するマルウェアをダウンロードすることの適法性

正当な理由がなく、人の電子計算機における実行の用に供する目的で、不正指令電磁的記録を取得又は保管する行為は、不正指令電磁的記録取得又は同保管罪（刑法第168条の3）が成立する場合がある（Q65参照）。マルウェアは、この不正指令電磁的記録に該当しうるため、マルウェアのダウンロードについては、同罪に注意する必要がある。ただし、例えば、脅威インテリジェンスサービスの提供目的であれば、「正当な理由がないのに」及び「人の電子計算機における実行の用に供する目的」という要件を欠くと思われるため、同罪は成立しないと考えられるが、ダウンロード及び保管する際には正当な理由及び目的があることを明らかにできるよう準備しておく必要がある。

エ　ダークウェブ上で流通するID・パスワード等の識別符号をダウンロードすることの適法性

何人も、不正アクセス行為の用に供する目的で、アクセス制御機能に係る他人の識別符号を取得してはならず（不正アクセス禁止法第4条）、同目的でそれを保管してはならない（同法第6条）。

ダークウェブ上で流通しているIDやパスワードは、同法に規定する識別符号に該当する可能性があるため、これをダウンロードし、保管する行為は、同法上問題となり得る。ただし、これらの罪が成立するのは、あくまで「不正アクセス行為の用に供する目的」が肯定される場合である。そのため、脅威インテリジェンスサービスの提供のために他人の識別符号を取得・保管する行為について、「不正アクセス行為の用に供する目的」という要件を欠く場合には、同罪は成立しないが、ダウンロード及び保管する際には、正当な理由及び目的があることを明らかにできるよう準備しておく必要がある。

ア　NIST SP800-88 Revision 1

アメリカ国立標準技術研究所（National Institute of Standards and Technology）が発表しているガイドラインである「NIST Special Publication 800-88 Revision 1」²は、記録媒体のサニタイズ（消去や破壊）に関する内容をまとめたもので、消去や破壊を行う機器やソフトウェアにて処理方法の基準となっており、主に大容量のハードディスクをソフトウェア消去（上書き方式）する場合の標準方式として参照されている。

イ　地方公共団体における情報セキュリティポリシーに関するガイドライン

総務省が令和4年3月に公表した「地方公共団体における情報セキュリティポリシーに関するガイドライン(令和5年3月版)」³は、各地方公共団体が情報セキュリティポリシーの策定や見直しを行う際の参考として、情報セキュリティポリシーの考え方及び内容について解説したものとなっている。同ガイドラインでは、「情報システム機器が不要になった場合やリース返却等を行う場合には、機器内部の記憶装置からの情報漏えいのリスクを軽減する観点から、情報を復元困難な状態にする措置を徹底する必要がある。この場合、一般的に入手可能な復元ツールの利用によっても復元が困難な状態とすることが重要であり、OS及び記憶装置の初期化（フォーマット等）による方法は、ハードディスク等の記憶演算子にはデータの記憶が残った状態となるため、適当でないことに留意が必要である。」という記載がある。また、記録されている情報の機密性に応じて、情報システム機器の廃棄等を行う際の「機器の廃棄等の方法」及び「確実な履行を担保する方法」を整理した表が掲載されており、参考になる（同ガイドラインiii-53頁）。

ウ　政府機関等統一基準群

政府機関等統一基準群の一つであるNISC「政府機関等の対策基準策定のためのガイドライン（令和３年度版）」⁴では、「「ファイル削除」の操作ではファイル管理のリンクが切断されるだけであり、ファイルの情報自体は抹消されずに電磁的記録媒体に残留した状態となっているおそれがある。」として、電磁的記録媒体に記録されている情報を抹消するための方法を次のように列挙している。

• データ抹消ソフトウェア（もとのデータに異なるランダムなデータを 1 回以上上書きすることでデータを抹消するソフトウェア）によりファイルを抹消する方法
• 暗号化消去を行う方法
• ATAコマンドの「Enhanced SECURITY ERASE UNIT」コマンドを使用する方法
• ハードディスクを消磁装置に入れてディスク内の全てのデータを抹消する方法
• 媒体を物理的に破壊する方法

上記のうち、「暗号化消去」とは、情報を電磁的記録媒体に暗号化して記録しておき、情報の抹消が必要になった際に情報の復号に用いる鍵を抹消することで情報の復号を不可能にし、情報を利用不能にする論理的削除方法と定義されており、暗号化消去に用いられる暗号化機能の例としては、ソフトウェアによる暗号化（Windows の BitLocker 等）、ハードウェアによる暗号化（自己暗号化ドライブ（Self-Encrypting Drive）等）などが挙げられている。暗号化消去は、同ガイドラインの令和3年改正時に新たに加わったものであり、この方法による消去も積極的に検討されるべきである。

なお、前掲のハードディスクが盗まれオークションサイトに流出した事例では、ハードディスクのデータの消去に関して委託を受けた業者の従業員が一連の行為を行っている。企業のスタッフ自らが情報を抹消することが不可能な場合は、あらかじめ抹消の手段と抹消の措置を行う者を企業内で実施することや情報の抹消を外部の事業者等へ業務委託することは合理的であるが、外部事業者にデータの消去を委託する場合には、適切な事業者を選定し、情報の漏えいに関して規定した契約を締結したうえで、情報が適正に抹消されたことを証明する資料の提出を求める、スタッフ等による立ち合いを行う等、委託先での履行状況を確認することが重要である⁵。