個人情報漏洩 訴訟参加率0.02%
大変参考になります。
３０万人被害受けても、訴えるのは６０人と見積もられて、損害賠償請求額は総額で１０８万円、漏洩者側の弁護士の着手金は９万円。
被害者がなめられてますね。こんな認識では改善しない。
個人情報保護法施行による権利意識の向上に期待したいところです。
これまでに提訴と報道されているのは、３人ですが、
500万人で３人というのは、0.00006%
500万人の0.02%は、1000人
1000人くらいの訴訟になってもおかしくない。
泣き寝入りがこれほど多いと、来年のレポートからは、
訴訟提起率 0.00006%
に訂正されて、保険料も安くなるかもしれません。
もう個人情報、個人情報って、騒がなくてもいいんじゃないですか。
http://www.jnsa.org/active2003_1a.html
2003年度情報セキュリティインシデントに関する調査報告書」
セキュリティ被害調査ワーキンググループ＜第１部＞ 情報セキュリティのインシデントに関する調査および被害算出モデル
＜第２部＞ 情報漏洩による被害想定と考察(賠償額および株価影響額)
■ 報告書「はじめに」より抜粋
NPO 日本ネットワークセキュリティ協会(JNSA)では、技術分野から管理分野まで幅広いワーキンググループの活動が行なわれているが、前年に引き続き、３回目となる情報セキュリティインシデント被害調査をプロジェクトとして行った。＜第１部について＞
JNSA政策部会「情報セキュリティ被害調査ワーキンググループ」では、独立行政法人 科学技術振興機構 社会技術研究システム（RISTEX）にご協力頂き、日本の基幹産業を構成する代表企業および、ＪＮＳＡに所属するＩＴ関連企業について、前年を上回る規模でアンケートを行い、さらにその企業の中から面談のご了解をいただいた企業へのヒアリング調査を実施した。
そして、第一部では、これらの企業における情報セキュリティインシデントに係る被害額・投資額などの実態把握を本調査結果として提示する。また、これらの状況を踏まえ、従前より提案しているインシデントによる被害の状況額および対策額の算出モデルについても、現時点で被害として考えるべき損害範囲やモデルの一案として提示している。＜第２部について＞
被害額の算出モデルでは、情報セキュリティインシデントによる被害がシステム関連のみにとどまらず、波及的な影響として、損害賠償額などに及ぶことについても言及している。
今回の報告書においては、昨年提案した情報漏洩による「損害賠償の可能性」についての検討や考察をさらに進め、個人情報の「プライバシー要素」と「経済的要素」を織り込んだ賠償額を算出するモデルを提案している。また、企業価値の一端となる「株価への影響」について実例調査を再度行った。
本報告書で述べる「損害賠償金額の算出」や「株価への影響額」は、あくまでも当ワーキンググループによる一つの提案であり、確定したものではない。
しかしながら、今後様々な方面の専門家の方々に、共通の題材としてより深く検討していただき、企業経営者が考えるべき情報セキュリティのリスク量の把握や行うべき投資判断の一助となれば幸いである。
情報システム等の脆弱性情報の取扱いに関する研究会報告書
誰やねん？
「現時点において法律的判断が困難な行為は、不正アクセス禁止法第三条に抵触すると推察すべきである」
なんていうのは。
グレーゾーンはグレーであって、ブラックではないんだから、「グレーなので注意」と記載すべきですね。
情報システム等の脆弱性情報の取扱いに関する研究会」報告書
http://www.ipa.go.jp/security/fy15/reports/vuln_handling/documents/vuln_handling_2004.pdf
(イ) 抵触する行為
不正アクセス禁止法第三条に抵触する行為の例を以下に列挙する。
1) 脆弱性関連情報を利用して、アクセス制御機能を回避し、インターネットなどを介してシステムにアクセスした場合には、不正アクセス禁止法に抵触する
上記のアクセス制御機能の定義は、第二条第３項にあるが、具体的な技術に関して判例は示されていない。しかし、特定のウェブサイトにアクセスする場合、現時点において法律的判断が困難な行為は、不正アクセス禁止法第三条に抵触すると推察すべきである。
2) 例えば、管理者やユーザ本人の了解無く、他人のパスワードを取得し、それを用いて権限なしで、インターネットなどを介してシステムにアクセスした場合には、不正アクセス禁止法に抵触する
社会通念上、パスワードの設定はアクセス制御機能の設定に該当することは当然であると推察されるため、上記は明確に不正アクセス禁止法第三条に抵触する。
(ウ) 抵触しないと推察される行為
不正アクセス禁止法に抵触しないと推察される行為を以下に列挙する。
1) 当該ウェブアプリケーションの利用権者が、正規の手順でログインするなどして通常のアクセスをした際に、ブラウザとサーバとの通信の内容を観察したところ、それだけで脆弱性の存在を推定できた場合には抵触しないと推察される
2) Web ページのデータ入力欄にHTML のタグを含む文字列を入力したところ、入力した文字列がそのまま表示された。この段階ではアクセス制御機能の制限を回避するに至らなかったが、悪意ある者に別の文字列を入力されれば、このサイトにセキュリティ上の問題が引き起こされかねないと予想できた場合には抵触しないと推察される
（ただし、悪質な結果を招くタグを人にアクセスさせることを意図して公衆が閲覧する場に書き込み放置した場合等には、刑法の不正指令電磁的記録作成罪に触れる可能性がある。不正指令電磁的記録作成罪は「犯罪の国際化及び組織化並びに情報処理の高度化に対処するための刑法等の一部を改正する法律案」にて規定（4.4.3(1)②3)参照））
3) アクセス制御による制限を免れる目的ではなく、通常の自由なページ閲覧を目的として、日付やページ番号等を表すと推察されるURL 中の数字列を、別の数字に差し替えてアクセスしてみたところ、社会通念上、本来は利用できてはならないはずと推定される結果が、偶発的に起きてしまった場合には抵触しないと推察される（ただし、積極的に多数の数字列を変えて試す行為等は、制限を免れる目的とみなされ得る。）
3)については、不正アクセス行為に該当するが故意がないケース（この場合の「故意」とは、アクセス制御による制限を免れる目的であることをさす。故意が認められなければ罰せられることがない）であり、上記の枠の例としては適当でないとの意見もあった。本報告書では、発見者の届出が望まれるケースの例示として、本節で紹介することとした。
ただし、上記のような形で、脆弱性の発見を目的とした検査を、ウェブサイト運営者の許可なく実施することを奨励するものではない
ヤフーＢＢ恐喝未遂、情報取り出しは2回
http://it.nikkei.co.jp/it/news/privacy.cfm?i=2004061809077vl
「不正アクセス禁止法の適用も視野に捜査を続ける。」
普通は、不正アクセスの立件が先ですね。立証楽ですから。
そもそも、
http://it.nikkei.co.jp/it/news/privacy.cfm?i=2004053108545vl
「ＩＤやパスワードの両方が、昨年退職した後も有効になっていたため不正なアクセスが可能だった」
というのは、不正アクセスなんでしょうか？
考えようによっては、利用権を存続させていたとも思えるわけで、対策基準違反です。
逐条P39
② 識別符号の要件その一利用権者等の識別
ア ーで述べたとおり、アクセス管理者が自ら決定したところに従って、特定利用をさせることとした相手方にのみ、特定利用をさせることとした範囲の特定利用をさせることができるようにするためには、利用権者等に付される識別符号は、① 特定利用を認める相手方ごとに違うものであること、② その相手方以外に用いることができないようなものであること、の二つの要件を備える必要がある。
このうち、第一の要件について、本項では、「利用権者等」「に、当該アクセス管理者において当該利用権者等を他の利用権者等と区別して識別することができるように付される符号」であることと規定している。
イ 「識別」とは、見分けて、確認することである。特定電子計算機の特定利用に関して行われる識別は、電子計算
機における情報処理上行われるものであるが、本項の定義上、識別する主体はアクセス管理者であり、アクセス管理者が利用権者等を識別するために電子計算機が用いられることとなる
ウ 識別符号は、「利用権者等」に付されるものでなければならない。
インターネットによるデータ通信を行う際に必要なI P アドレスのようにコンピュータ等の機器に付される識別情報は、識別符号に該当しない。
また、利用権者等でなくなった者のID・パスワードで、アクセス管理者が特定電子計算機のパスワードファイルから消去し忘れていたものは、利用権者等に付されているものではないから、識別符号に該当しない。
エ 識別符号は、「当該利用権者等を他の利用権者等と区別して識別することができるように」付されるものでなければならない。したがって、識別符号であるためには、複数の利用権者等に同一の符号が付されないようにするとともに、どの利用権者等に付されたものであるかが分かるように付されていることが必要となる。
http://www.npa.go.jp/cyber/antai_sisin/kokuji.htm
情報システム安全対策指針
平成９年９月１８日制定（国家公安委員会告示第９号）
平成１１年１１月２２日一部改正（国家公安委員会告示第１９号）
４ ユーザＩＤ管理
(1) 退職、異動、長期出張、長期留学等により、不要となり、又は長期間使用されないユーザＩＤについては、廃止等の措置を講ずること。
(2) 長期間ログインが無いユーザに対して、文書等によりその旨を通知すること。
(3) ユーザから要求があったときは、当該ユーザによる使用状況を開示すること。
