情報処理技術者試験対策のページ
>
午前対策 目次
ストラテジ系 企業と法務 法務
知的財産権
知的財産基本法
知的所有権について定めた法律
知的財産権は、特許権や著作権などの創作意欲の促進を目的とした「知的創造物についての権利と、商標権や商号などの使用者の信用維持を目的とした「営業標識についての権利」に大きく分けられる
著作権法
著作物
思想又は感情を文章や音、絵などで創造的に表現したもの
著作権法における著作物に関する記述
著作権法では、著作物を「思想または感情を創作的に表現したものであって、文芸、学術、または音楽の範囲に属するもも」と規定している。著作物の例としては、小説、脚本、論文などの言語の著作物、音楽の著作物、舞踊または無言劇の著作物、映画の著作物、プログラムの著作物がある
文芸、学術、美術又は音楽の範囲に属する著作物を、その著作者が独占的・排他的に支配して利益を受ける権利
二次的著作物
著作物の翻訳、編曲、変形、脚色、映画化などにより創作されたもの
二次的著作物を他人が創作する場合には、原著作物の著作者の許諾が必要である
データベース著作物
論文、数値、図形などの情報の集合物に対し、電子計算機を用いて検索できるように体系的に構成されたもので、その情報の選択または体系的構成によって創作性を有するもの
編集著作物
新聞や百科事典のように、その素材の選択または配列によって創作性を有するもの
著作権法の保護の対象となる著作物
インターネットで公開されたフリーソフトウェア
ソフトウェアの操作マニュアル
データベース
コンパイラのプログラム
著作権法の保護の対象とならない著作物
国または地方公共団体の機関が発する告示、訓令、通達その他これに類するもの
プログラム言語や規約
アルゴリズム
著作権の存続期間
著作権の存続期間は、著作物の創作の時に始まり、著作権法に別段の定めがある場合を除いて、著作者の死後50年を経過するまでの間は存続する。また、共同著作物の場合には、最終に死亡した著作者の死後50年を経過するまでの間は存続する。法人その他団体が著作の名義を有する著作物の著作権は、原則として、その著作物の公表後50年は存続する。一方、映画の著作物の場合は、原則として、映画の公表後70年は存続する。
著作者は、諸作物を創作したときに「著作権者」となり、権利取得のために特別な方式を必要としない。なお、著作権は譲渡や相続が可能であるが、著作人格権は一身専属的な権利であるため、他人に譲渡できないし、相続の対象にもならない
著作物を創作した時点で権利が発生する
個人の著作物の保護機関化終了するのは、著作者の死後50年
法人が作成し、公開、販売したソフトウェアの著作権の権利期間は公開から50年
権利の発生のために申請や登録の手続を必要としない
日本国内においては、著作物に著作権表示が明記されていない場合でも、無断で複製して配布したときには著作権の侵害になる
特許権の場合、独自の発明の実施であっても、先に権利を取得した人がいれば権利の侵害になるが、著作権では、独自の創作であれば、結果として同じものを創作しても権利の侵害にはならない
著作権者の許諾なしに公衆に情報を送信する行為は、サーバに情報を蓄積するか否かにかかわらず権利侵害となる
ソフトウェア/プログラムの著作権
特徴
プログラム中のアイデアやアルゴリズムは保護しないが、プログラムのコード化された表現を保護する
機能を実現するために必要なソフトウェアとして作成されたプログラムは保護の対象となる
ソフトウェアには、著作権の移転や権利の設定にかかわる登録制度が設けられている
ソースプログラムとオブジェクトプログラムの両方とも著作権法によって保護される
インターネットで公開されたフリーソフトウェア、ソフトウェアの操作マニュアル、データベースは保護の対象
著作物を作成するために用いるプログラム言語や規約(アルゴリズム)は、著作権法による保護の対象外
使用許諾契約の場合、使用者は著作権を取得できない
著作権の帰属
特に取り決めのない場合、労働者派遣契約によって派遣された派遣労働者が派遣先企業の指示の下に開発したプログラムの著作権の帰属先は派遣先企業にある
開発されたプログラムの著作権の帰属に関する規定が契約に定められていないとき、著作権の原始的な帰属は請負の場合は発注先に、派遣の場合は派遣先に帰属する
A社は、B社と著作物の権利に関する特段の取決めをせず、A社の要求仕様に基づいて、販売管理システムのプログラム作成をB社に依頼した場合のプログラム著作権の原始的帰属
B社に帰属する
プログラム開発における職務上の著作について、就業規則などに特段の取決めがない限り、権利は法人に帰属する
法人の発意に基づき、その法人の従業員が職務上作成するプログラムの著作権は、別段の定めがない限り、その法人が著作者となる
改変が認められているフリーソフトウェアを改変した場合、改変部分の著作権は改変者の著作物となる
適法の例
他人の著作物であるプログラムを購入し、自社のパソコンでより効果的に利用するために(パフォーマンスを上げるために)改変を加える事
処理速度の向上など、購入したプログラムを効果的に利用するための改変
購入したソフトウェアをバックアップコピーする
著作者の了解を得ないで、購入したCDの楽曲を自分のPCにコピーし、PCで毎日聴いている
インターネットの掲示板で議論されていたアイディアを素にプログラムを作成した
学生のころに自分が作成したプログラムを使い、会社業務の作業効率を向上させるためのプログラムを作成した
購入した書籍に掲載されていた流れ図を基にプログラムを作成した
A社が開発したソフトウェアの公開済みプロトコルに基づいて、A社が販売しているソフトウェアと同等の機能を持つソフトウェアを独自に開発して販売した
他人のソフトェアを正当な手段で入手し、逆コンパイルを行った
複製及び改変する権利が付与されたソース契約の締結によって、許諾されたソフトウェアを改造して製品に組込み、ソース契約の範囲内で製品を販売した
違法の例(著作権侵害)
使用許諾を受けている購入プログラムを、著作者に無断でコピーし、子会社に使用させた場合、著作権法に抵触するおそれがある
海賊版を複製したプログラムと事前に知りながら、業務で使用した
業務処理用に購入したプログラムを複製し、社内教育用として各部門に配布した
職務著作のプログラムを、作成した担当者が独断で複製し協力会社に貸与した
違法な複製を防止する技術的保護手段を解除しコピーする行為やそのためのツールを製造・販売・配布する行為
著作者の承諾を得ないで雑誌に掲載されていた漫画を記録媒体に記憶させて、インターネット上に公開し、ファイル共有ソフトによって、不特定多数の者に自動公衆送信できるようにした場合
ある自社製品のパンフレットで使用しているスポーツ選手の写真を、撮影者に無断で、ほかの自社製品のパンフレットに使用する
新聞の写真をスキャナで取り込んで、提案書に記載する
ユーザ団体の研究会のように限られた対象者に対し、雑誌の記事をコピーして配布する
インターネットからダウンロードしたHTMLのソースを流用して、別のWebページを作成した
ソフトウェアハウスと使用許諾契約を締結し、契約上は複製権の許諾は受けていないが、使用許諾を受けたソフトウェアにはプロテクトがかけられていたので、そのプロテクトを外し、バックアップのために複製した
webページの著作権
特定の分野ごとにWeb ページのURLを収集し、簡単なコメントをつけたリンク集は、著作権法で保護される
マルチメディアの素材集(画像データや効果音など)をソフトウェア販売店で購入し、自社の Web ページ作成時に利用しても、使用許諾の範囲内で使用していれば、著作権法違反にはならない
Webページを作成する際、著作権者に確認せずに行った著作物利用
適切なもの
車の販売台数を説明するために、通商白書の統計データをそのまま使って図表化し、Webページに活用した
経済白書の記載内容を説明の材料として、出所を明示してWebページに転載する
不適切なもの
カーテン記事のカタログに掲載された図柄が、著名デザイナ制作のもので、背景に適切だったので、スキャナで取り込んで、色を変更して活用した
最新情報を提供するために、新聞の写真をスキャナで取り込んで活用した
雑誌のイラストを加工して、Webページ上の自社広告に活用した
著作財産権
契約書に記載があれば譲渡できる
複製権、上演権などがある
著作者人格権
著作者人格権は著作者に専属し、他者には譲渡できない
契約書に記載があっても譲渡できない
公表権、氏名表示権、同一性保持権の3つがある
著作隣接権
産業財産権法
特許権(特許法)
特許法は、発明の保護及び利用を図ることによって、発明を奨励し、もって産業の発展に寄与することを目的としている
発明とは、自然法則を利用した技術的思想の創作のうち、高度なものである
自然法則を利用した技術的思想に基づいて発明したもの
創作ではないただの発見は発明ではなく、自然法則そのものも発明ではない
先願主義であり、二つ以上の同一特許出願が競合した場合、一番早く出願した人に特許が与えられる
原則として、出願前に自ら発表して公知となった発明は特許登録できない
産業上利用することができる新規の発明を独占的・排他的に利用できる権利であり、所轄の官庁への出願及び審査に基づいて付与される権利
有効期限は出願を行ってから20年間(ソフトウェア特許、ビジネスモデル特許含む)
A社が特許を出願するより前に独自に開発して販売した製品は、A社の特許権の侵害にならない
特許を受けるためには「産業上利用できる発明」や「新規性」などの要件が必要であり、新規性がなければ発明と認められない
新規性がないとされる場合
特許出願前に日本国内または外国において公然と知られた発明
特許出願前に日本国内または外国において公然実施された発明
特許出願前に日本国内または外国において、頒布された刊行物に記載された発明あるいは電気通信回線を通じて公衆に利用可能となった発明
ビジネスモデル特許
インターネットやコンピュータ、コンピュータソフトウェアを利用した新しいビジネスの方法を対象とした具体的なビジネスモデルに対して登録が認可される
コンピュータを活用した新しいビジネスモデルを構築したときに、このビジネスモデルを保護する
ビジネス方法のアイディアだけで認められるのではなく、これをコンピュータで実現することで発明として認められる
ソフトウェア特許の保護の対象
ハードウェアと関連づけられた場合に特許の保護の対象とされる
アルゴリズムは特許の対象となる
例)高圧縮率を実現する、新しいデータ圧縮プログラムを記録した記録媒体
開発した製品で利用している新規技術に関して特許の出願を行った
日本において特許権の取得が可能なもの
顧客と守秘義務の確認を取った上で技術内容を説明した後、製品発表前に出願した
学会で技術内容を発表した日から6か月以内に出願した
日本において特許権の取得ができないもの
学会で技術内容を発表した日から11か月目に出願した
製品に使用した暗号の生成式を出願した
製品を販売した後に出願した
使用許諾
日本において特許Aを取得した特許権者から、実施許諾を受ける事が必要になり得るもの
日本国内で製造し、米国に輸出する製品に特許Aを利用する場合
不要
出願日から25年を超えた特許Aと同じ技術を、新たに事業化する場合
特許Aの出願日より前から、特許Aと同じ技術を独自に開発して、製品を製造・販売していたことが証明できる場合
特許Aを家庭内で個人的に利用するだけの場合
実用新案権(実用新案法)
実用新案権の考案とは、自然法則を利用した技術的思想の創作である
実用新案権を侵害した者は、刑事罰が処せられる
実用新案権の侵害があった場合に、実用新案権者は、損害賠償や不当利益返還請求、差止請求、信用回復措置請求権を行使できる
実用新案権の存続期間は、実用新案の登録出願の日から10年間である
意匠権(意匠法)
意匠の定義
物品の形状、模様、色彩、またはこれらの結合であり、視覚を通じて美観を起こさせるもの
物の形状や模様、色彩などで表した商品のデザイン
新規の美術・工芸・工業製品などで、その形・色・模様・配置などについて加える装飾上の工夫を、独占的・排他的に使用できる権利
形状のデザインが美しいパソコンは、意匠として登録できる
商標権(商標法)
事業者が自己の商品を他人の商品と識別するために商品について使用する標識を、独占的・排他的に使用できる権利
事業者の取り扱う商品やサービスを、他社の商品やサービスと区別するための文字、図形、記号など(識別標識)を保護する法律
商標権者の申請によって、何度でも更新できる
申請は、存続期間満了6ヶ月前から満了の日までに行わなければならない
一定範囲の周知性があれば、文字のみでも登録ができる
商標
文字や図形、記号、立体的形状などで表した商品のマーク
文字、図形、記号、立体的形状、またはこれらを結合したもの、またはこれらと色彩を結合したもの
役務商標
サービスマークのこと
店員の制服やショッピングカートに使用している商標も役務商標として保護される
不正競争防止法
目的
事業者間の公正な競争及びこれに関する国際約束の的確な実施を確保するため、不正競争の防止及び不正競争に係る損害賠償に関する措置等を講じ、もって国民経済の健全な発展に寄与すること
不正競争
他人のノウハウを盗んだり、勝手に自分の商売に使用するなどの不正行為によって、他人の営業活動を妨害し、利益を得ようとすること
不正競争の範囲
不正競争防止法では、他人の形態を模倣した商品を譲渡し、貸し渡し、譲渡もしくは貸し渡しのために展示し、輸出し、または輸入する行為である商品形態模倣行為を不正競争に該当するとしている
商品の形態:需要者が通常の用法に従って使用する際に、近くによって認識される商品の外部及び内部の形状、その形状に結合した模様や質感などのこと
模倣:他人の商品の形態に依拠して、これと実質的に同一の形態の商品を作り出すこと
不正競争の例
混同惹起行為
他人の商品等表示として需要者の間に広く認識されているものと同一もしくは類似の商品等を表示して使用し、他人の商品または営業と混同を生じさせる行為
他人の周知な商品等表示と同一もしくは類似の商品等表示を使用することにより、他人の商品又は営業と混同を生じさせる行為
市場において広く知られている他社の商品表示と類似の商品表示を用いた新商品を販売する
著名表示冒用行為
他者の著名なブランドイメージや名声などの顧客誘引力にただ乗りする行為
誤認惹起行為
商品や役務、もしくはその広告や取り引きに用いる書類に、商品などの原産地、品質、内容、製造方法などに誤認を与えるような表示行為
商標無断使用行為
不正取得使用行為
取引先から入手した情報が他社の営業秘密に当たるものであることを知っていながら、自社で使用した
Webサイトのドメイン名の不正取得や不正使用
不正開示行為であることを知って、あるいは重過失により知らないで、営業秘密を取得したり、取得した営業秘密を使用または開示したりする行為
視聴機器の技術的制限の無効化等行為
営業上用いられている映像や音などにかけられているプロテクト機能を外すための装置などの譲渡
競争者営業誹謗行為
ライバル会社に関して事実無根の悪い噂を流す行為
営業秘密(トレードシークレット)
事業活動に有用な技術又は営業上の情報で、秘密として管理されているもの
秘密として管理されている生産方法、販売方法、その他の事業活動に有利な技術上または営業上の情報であって公然と知られていないもの
特許は技術情報を公開した上で保護されるが、トレードシークレットは秘密として管理されていることを条件として保護される
営業秘密の3つの要件
秘密管理性
施錠されている保管室への保管などのように、情報にアクセスできる者が制限されていることが必要となる
情報にアクセスした者にその情報が営業秘密であることが認識できるようにされていること(客観認識可能性)が必要である
有用性
事業活動に有用な技術上または営業上の情報
顧客名簿、製造ノウハウ、販売マニュアルなど、客観的に事業活動に利用されている情報や、利用されることによって経費の節約や営業効率の改善などに役立つもの
脱税等の反社会的な活動の情報などは有用性がない
非公知性
公然と知られていないこと
第三者が偶然同じ情報を開発し、保有していても、当該第三者も当該情報を秘密として管理している場合などは、非公知となる
不正競争防止法で保護される営業秘密の例
秘密保持契約を締結した下請業者に対し、部外秘と表示して開示したシステム設計書
"社外秘"の表示をして施錠したロッカーに保管され、公然とは知られていない生産方法に関する情報
秘密として管理している事業活動の非公開の顧客名簿
営業秘密の不正取得による不正競争
営業秘密を取得後に、不正取得行為の介在を知って、あるいは重過失によって知らずに、取得した営業秘密を使用または開示する行為
※重過失とは、結果の予見が極めて容易な場合や、著しい注意義務違反のための結果を予見・回避しなかった場合の過失
窃取や詐欺などの不正の手段によって、営業秘密を取得する行為
不正取得行為の介在を知って、営業秘密を取得する行為
営業秘密の管理
人的管理
営業秘密の取扱いに関するルールについて、日常的に教育し、研修を行うこと
自社の営業秘密の外部への漏洩だけでなく、自社の従業者などによる他社の営業秘密の不正な取得、使用、開示を防止する必要がある
物理的管理
記録媒体が保管されている施設を適切に管理すること
営業秘密にアクセスできるアクセス権者を特定すること
記録媒体として管理される営業秘密について、媒体の保管、持ち出し制限、廃棄などを適切に行うこと
技術的管理
営業秘密の管理方法やバックアップのルールをマニュアルに設定すること
記録媒体を特定できない営業秘密の情報に対し、情報へのアクセス権者及びその管理者を特定すること
組織的管理
自社の営業秘密を適切に管理するためのものと、他者への営業秘密を侵害しないためのもの、2つの側面から管理されることが望まれる
企業の経営計画や経営方針または店舗ごとの売り上げや顧客情報などの営業秘密に当たる情報を保護するために、企業とその情報に触れるものとの間で秘密保持契約を締結する
民事的措置
故意または過失により不正競争を行って他人の営業上の利益を侵害した者は、損害賠償の責任を負うが、その損害の額については、侵害した者がその行為によって受けた利益の額を、侵害された者が受けた損害の額と推定する
不正競争を行って他人の営業上の秘密を侵害した者は、故意または過失がある場合に、これによって生じた損害賠償の責任を負う。また、裁判所は、故意または過失によって不正競争を行って他人の営業上の信用を害した者に対して、その営業上の信用を害された者の請求により、損害の賠償に代え、または、損害の賠償とともに、そのものの営業上の信用を回復するのに必要な措置を命ずることができる
不正競争により営業上の利益を侵害される、またはそのおそれがある者は、その侵害の停止または予防を請求できる。また、侵害の行為を組成したもの(侵害の行為により生じたものを含む)の廃棄などを請求することができる
営業秘密に係る不正行為に対する差止請求権は、不正競争行為によって営業上の利益が侵害される者が、不正競争行為の事実や行為者を知ったときから3年間のうちに請求を行わないときは、時効によって消滅する
刑事的保護
人を欺き、人に暴行を加え、または人を脅迫する詐欺行為等、または財物(営業秘密が記載または記録された書面や記録媒体)の窃取、(営業秘密が管理されている)施設への侵入、不正アクセス行為により取得した営業秘密を、不正競争の目的(不正の利益を得る、保有者に損害を加える)で、使用しまたは開示したものは、10年以下の懲役または1000万円以下の罰金に処せられ、またはこれを併科される
法人の従業者が、営業秘密を不正競争の目的で使用する行為をした場合には、その行為者が罰せられるほか、その法人に対して3億円以下の罰金刑が科せられる
日本国内で管理されている営業秘密を海外で使用する行為は、刑事罰の対象となる
TRIPS協定
GATTウルグアイラウンドの協定
知的財産権の全般的保護に関する国際条約
セキュリティ関連法規
不正アクセス禁止法(不正アクセス行為の禁止等に関する法律)
利用権限を持たない第三者が、他人のIDやパスワードを使ってネットワークに接続されたコンピュータを利用可能にする行為及びその助長行為を処罰の対象にしている法律
ID・パスワードの不正使用やその他の攻撃的手段でアクセス権限のないコンピュータ資源にアクセスすることを禁止する法律
他人のID・パスワードを第三者に教えることも禁止されている
他人のID・パスワードを不正に使用するだけでも対象となる
ID・パスワードなどのアクセス制御機能を持たないコンピュータの場合は、管理者の承諾を得ずに侵入しても、ID・パスワードを使用しなくてもアクセスできるため保護対象とならず不正アクセス行為として処罰の対象とはならない
不正アクセスを助長する行為
何人も、アクセス制御機能にかか他人の識別符号を、その識別符号がどの特定電子計算機の特定利用に係るものであるかを明らかにして、またはこれを知っている者の求めに応じて、アクセス制御機能に係るアクセス管理者及び識別符号に係る利用者以外の者に提供してはならない。ただし、アクセス管理者がする場合またはアクセス管理者もしくは利用権者の承諾を得てする場合は、この限りではない。
実際に被害が発生しなくても、不正アクセス行為をするだけで不正アクセス禁止法違反となる
違法となる行為
他人のIDを無断で使用して、インターネットオークションに出品や入札をした
他人のIDとパスワードを使って、インターネットでオンラインショップのWebサーバに侵入し、会員情報を窃取しようとした
インターネットなどのネットワークを介してコンピュータを利用する場合において、他人のIDとパスワードを、本人の許可なく、その利用方法を知っている第三者に教えること
パスワードで保護されているサーバに、ネットワーク経由で他人のIDとパスワードを使ってログインすること
社内の正規利用者でない者が、不正に入手したID・パスワードを用いて、LAN経由でサーバにアクセスした
Webサイトで使用している他人のID・パスワードを無断で第三者に教える行為
他人の利用者IDとパスワードを無断で使用して、他人の電子メールを閲覧した
不正アクセス行為に該当するもの
他人の利用者ID、パスワードを許可なく利用して、アクセス制御機能によって制限されているWebサイトにアクセスした
不正アクセスが行われたと認められる場合に、不正アクセス行為に係る特定電子計算機を利用するアクセス管理者から、その再発を防止するために、不正アクセス行為が行われた際の特定電子計算機の作動状況及び管理状況その他の参考となるべき事項に関する書類その他の物件を添えて、援助を受けたい旨の申出があり、その申出が相当であると認めるときは、都道府県公安委員会は、アクセス管理者に対して、必要な資料の提供、助言、指導その他の援助を行う
刑法
電磁的記録不正作出及び供用罪
いやがらせを目的に、通信事業者のコンピュータに不正アクセスし、他人の通信記録を書き換えて、通信会社から過大な請求をさせた
バーコードは電磁的記録に含まれない
文書性が認められた電磁的記録を改変又は偽造する
キャッシュカードを偽造して、他人の銀行口座から現金を引き出した
私電磁的記録や公電磁的記録の不正作出、不正に作られた権利、義務、事実証明に関する電磁的記録を人の事務処理の用に供する行為を処罰するもの
人の事務処理の用に供するとは、不正に作られた電磁的記録を、他人の事務処理のために使用される電子計算機で処理し得る状態におくことである
電磁的記録の共用罪は、5年以下の懲役または50万円以下の罰金に処せられる
電子計算機損壊等業務妨害罪
オンラインショップのWebサーバに不正アクセスし、ホームページを改ざんしたことで、一定時間オンラインショップを閉鎖させた
データやプログラムを改変し、使用目的に反する動作をさせ、業務の遂行を妨害する
原本データが格納されている磁気ディスクを破壊して、帳票の出力をできなくした
人の業務に使用する電子計算機もしくはその用に供する電磁的記録を破壊し、もしくは人の業務に使用する電子計算機に虚偽の情報もしくは不正の命令を与え、またはその他の方法により、電子計算機に使用目的に沿うべき動作をさせず、または使用目的に反する動作をさせて、人の業務を妨害した者は、5年以下の懲役または100万円以下の罰金に処せられる
サーバに対して大量の電子メールを送信し、サーバの機能を停止させたり、ウイルスによってデータを破壊する行為
電子計算機使用詐欺罪
銀行のパソコンバンキングシステムを悪用して、偽りの振込送金情報を与えて、特定口座へ資金を移動して不当な利益を得た
インターネットを経由して銀行のシステムに虚偽の情報を与え、不正な振込みや送金をさせる
データやプログラムを改変し、不法な利益を得る
プログラムを改ざんして、自分が出資している取引先への納品量を水増しした
電磁的公正証書原本不実記録罪
転入届の際に事実と異なる情報を届け出て、住民台帳システムに登録させた
電磁的記録毀棄の罪
文書性が認められた電磁的記録を破壊又は消去する
ウイルス作成罪
インターネットを介在した犯罪
Webサイト上に他人の名誉を傷つける文言を掲載した者には、名誉毀損罪が適用される
Webサイト上にわいせつ画像を掲載した者には、わいせつ図画公然陳列罪が適用され、管理者が、投稿されたわいせつ画像を放置し、その公然陳列を容易にした場合には、公然わいせつ図画陳列罪の幇助罪となる
Webサイト上の掲示板に虚偽の事実を示して、他人の名誉を傷つける文言を掲載した者は、刑法上の名誉毀損罪が適用される。この他人には死者も含まれる
ネットオークションで落札して、相手方に品物代を支払ったにも係わらず、品物が送られてこないだけでなく、その連絡先も架空であった場合には、詐欺罪が適用される
通信傍受法
傍受を実施する際、電気通信事業者は正当な理由なく協力を拒んではならない
個人情報保護法(個人情報の保護に関する法律)
目的
個人情報の不適切な取り扱いによって、個人の権利利益が侵害されることを未然に防止する
個人情報保護法は、個人情報の有効性に配慮しつつ、個人の権利利益を保護することを目的としている
個人情報取扱業者が、個人情報の適切な取扱いのルールを遵守することによって、プライバシーを含む個人の権利利益の侵害を未然に防ぐことも狙いにしている
個人情報保護法において、保護の対象となるもの
個人情報とは、生存する個人に関する情報であって、その情報に含まれる氏名、生年月日、その他の記述により、特定の個人を識別できるものをいい、他の情報と容易に照合が可能で、それによって特定の個人を識別できるものも含まれる。死者の情報や実在の個人ではない者の情報は、個人情報ではない。ただし、死者に関する情報が、同時に生存する遺族に関する情報である場合には、その情報は遺族などに関する個人情報となる。また、法人や団体そのものの情報などは、個人情報に該当しない
生存している個人に関する情報
氏名、生年月日、住所が記入された顧客台帳
営業担当者が保有している個人見込客リスト
索引付きのファイルを用いて、手作業で管理されている名刺
従業員の人事考課情報
個人情報保護法において、保護の対象とならないもの
企業の名称、電話番号、住所など、特定の企業が識別できる情報
記名方式で取得したアンケートから、回答だけを集計して作成した報告書
年代別顧客の人数分布と売上金額が表示された表
顧客のアンケート結果を統計処理し、年齢別に集約したデータ
個人情報取り扱い事業者
個人情報データベース等を事業の用に供しているもの
事業の用に供する個人情報データベース等を構成する個人情報により特定される個人の数の合計が、過去6ヶ月以内のいずれかの時点でも5000人を超えない事業者は除外される
過去6ヶ月以内に1度でも5000人を超えた場合には、個人情報取り扱い事業者になる
個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者を指すが、個人情報取扱事業者に課せられる義務などの規定は、報道機関、学術研究機関、宗教団体などの活動について、適用除外とされる
個人情報取り扱い事業者の義務
利用目的の特定
個人情報の利用目的をできる限り特定しなければならない
利用目的による制限
利用目的の達成に必要な範囲を超えて個人情報を扱ってはならない
目的外利用を行う場合は本人の同意を得なければならない
適正な取得
個人情報の不正な取得の禁止
利用目的の通知
情報主体から直接に個人情報を収集する場合には、必ず情報主体に収集目的を通知しなければならない
正確性の確保
個人情報を正確かつ最新の内容に保つよう努めなければならない
個人データを取り扱う場合、利用目的の達成に必要な範囲内で、正確かつ最新の内容に保つよう努めなければならない
安全管理措置
個人データの安全管理上適切な措置を講じる
個人データに対して、組織的、人的、物理的及び技術的な安全管理措置を講じなければならない
取り扱う個人データの漏洩、滅失または棄損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない
従業者の監督
個人データを取り扱う従業者を適切に監督する
個人データを取り扱う場合、社内規定、教育や監査の規則を作って監督するだけでなく、従業者がそれを遵守しているかどうかの確認や指導をする
従業者に個人データを取り扱わせるに当たっては、個人データの安全管理が図られるよう、従業者に対する必要かつ適切な監督を行わなければならない
委託先の監督
個人データの委託先を適切に監督する
個人データを取り扱うような業務を委託する場合には、委託先に対して、必要かつ適切な監督をする必要がある
第三者提供の制限
次の場合を除くほかは、あらかじめ本人の同意を得ずに個人データを第三者に提供してはいけない
法令に基づく場合や人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
公衆衛生の向上または児童の健全な育成の推進のために必要がある場合であって、本人の同意を得ることが困難であるとき
国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
個人データの開示
本人の求めに応じて保有個人データを開示しなければならない
個人情報取扱事業者が、自社の提供サービスに関して、住所や氏名を記入させるアンケート調査を実施する場合の留意点
OK
アンケートの回答者には特別なプレゼントを用意するなど、回答率を高めるための施策を実施する
アンケート用紙に、質問票とその回答情報の利用目的を並記しておく
ブラウザの画面でアンケート調査を行う場合も、紙で行う場合と同じ規定を適用する
NG
アンケート実施時に特には言及せずに、回答者へ新製品発表会の招待状を郵送する
個人情報保護法の中で規定された、個人情報の取り扱いに関する不正行為に対して用意されている仕組み
苦情処理の制度及び主務大臣が個人情報取扱事業者に対して行う報告の徴収、助言、勧告又は命令
認定個人情報保護団体
個人情報保護法制の実効性担保を担う団体
当該認定個人情報保護団体の構成員である個人情報取扱事業者または認定業務の対象となることについて同意を得た個人情報取扱事業者を対象事業者とする
対象事業者の氏名または名称を公表しなければならない
本人等から対象事業者の個人情報の取扱いに関する苦情について、解決の申出が会ったときは、その相談に応じ、申出人に必要な助言をし、その苦情にかかる事情を調査するとともに、当該対象事業者に対し、その苦情の内容を通知してその迅速な解決を求めなければならない
個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として、本人からの申し出に応じて、情報処理などを行う法人は、主務大臣の認定を受けて、認定個人情報保護団体となる
認定個人情報保護団体は、個人情報の適正な取扱いの確保に寄与する事項についての対象事業者に対する情報の提供などの業務を行う
個人情報の利用目的の通知
個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、または公表しなければならないが、以下の場合は適用が除外される
利用目的を本人に通知し、または公表することにより、当該個人情報取扱事業者の権利または正当な利益を害するおそれがある場合
国の機関または地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、または公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき
刑罰
主務大臣は、必要な限度で、個人情報取扱事業者に対し、個人情報の取扱に関して、報告させたり、必要な助言をすることができる。この報告をしなかったり、虚偽の報告をした者は、30万円以下の罰金に処せられる。また、主務大臣は、個人の権利利益を保護するために必要があると認めるときは、個人情報取扱事業者に対、違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる。この勧告を受けた個人情報取扱事業者が、正当な理由がなく、その勧告に係る措置をとらなかった場合において、個人の重大な権利利益の侵害が切迫していると認めるときは、個人情報取扱事業者に対し、その勧告に係る措置をとるべきことを命ずることができる。この命令に違反した者は、6ヶ月以下の懲役または30万円以下の罰金に処せられる
特段の措置を取らずになされた個人情報取得事業者の行為
適法な行為
開設しているWebサイトの問い合わせページで自社製品販売促進ダイレクトメール送付可否欄に可と記入した依頼者の氏名及び住所を、自社の製品販売促進用ダイレクトメール発送先住所録に登録した
違法
開催したセミナで回収した、商品企画立案を目的としたアンケートに記載された参加者の氏名及び住所を、自社の販売促進セミナ案内用ダイレクトメール発送先住所録に登録した
自社が主催した市場動向に関する勉強会の参加者リストの内容を、自社の子会社の製品販売促進用メールマガジン発送先アドレスリストに登録した
従業員が参加した同窓会で配布された同級生名簿に記載されている、同窓生の氏名及び電話番号を、自社製品販売促進用コールセンタのアウトバウンド用電話番号リストに登録した
行政機関個人情報保護法および保護条例
行政機関の保有する電子計算機に係る個人情報の保護に関する法律
国の行政機関だけを対象としており、民間の保有する情報は保護の対象外
プロバイダ責任制限法(特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律)
Webサイトの掲示板に個人のプライバシを侵害する書き込みがあった場合などの事例に対し、プロバイダや掲示板の運営者の責任範囲を定めたもの
インターネット上に公開されているWebサイトや電子掲示板によって他人の権利が侵害された場合のプロバイダや電子掲示板管理者が負う損害賠償責任の範囲、発信者情報の開示請求権などを規定
Webサイト上に自己の画像を勝手に掲載されて、プライバシーの権利を侵害された者は、プロバイダ責任法に基づき、その掲載の削除をサイトの管理者に対して求めることができる
プロバイダの対応責任の対象となり得る事例
書込みサイトへの個人を誹謗中傷する内容の投稿
特定電子メール法
コンピュータ不正アクセス対策基準
コンピュータ不正アクセスにより被害の予防、発見及び復旧並びに拡大及び再発防止について、企業などの組織及び個人が実行すべき対策をとりまとめたもの
企業の組織だけでなく個人ユーザも対象としている
組織のセキュリティ方針を文書化し、定期的に研修を開催する
利用者IDを設定する場合は、権限を必要最低限のものにし、その利用者IDを登録する対象機器も限定する
構成
システムユーザ基準
システム管理者基準
ネットワークサービス事業者基準
ハードウェア・ソフトウェア供給者基準
コンピュータウイルス対策基準
コンピュータウイルスに対する予防、発見、駆除、復旧などについて実効性の高い対策をとりまとめたもの
構成
システムユーザ基準
システム管理者基準
ソフトウェア供給者基準
ネットワーク事業者基準
システムサービス事業者基準
ソフトウェア等脆弱性関連情報取扱基準
経済産業省告示
Webアプリケーションに関する脆弱性関連情報の適切な取扱い
受付機関は、Webサイト運営者からWebアプリケーションの脆弱性が修正されたという通知を受けたら、それを速やかに発見者に通知する
クラウドサービス利用のための情報セキュリティマネジメントガイドライン
2011年に経済産業省が公表
策定された目的
JIS Q 27002の管理策を拡張し、クラウドサービス利用者が情報セキュリティ対策を円滑に行えるようにする
情報セキュリティ監査制度
情報セキュリティ基本方針の目的
情報セキュリティのための経営陣の指針及び支持を規定する
組織内の情報セキュリティを管理する
情報セキュリティ監査が確保すべきもの
情報資産のセキュリティ
利用者のアクセス管理のコントロール
情報システムにおける特権の割り当て及び使用を制限し、管理すること
情報セキュリティ監査基準
位置づけ
情報セキュリティ監査業務の品質を確保し、有効かつ効率的に監査を実施することを目的とした監査人の行為規範
監査の対象
監査対象は情報資産なので、コンピュータを導入していない部署でも、情報セキュリティ監査は必要となる
システム監査と情報セキュリティ監査における監査対象の違い
システム監査では情報システムにかかわらない文書情報を対象に含めないが、情報セキュリティ監査では含める
PCIデータ・セキュリティ基準(PCI DSS Version 2.0 ; Payment Card Industry Data Security Standard)
国際的なクレジットカード会社が共同で策定した、カード会員データを取り扱う事業者が準拠すべきグローバル基準
要件
安全なネットワークの構築と維持
要件 1:カード会員データを保護するために、ファイアウォールをインストールして構成を維持すること
要件 2:システムパスワードおよび他のセキュリティパラメータにベンダ提供のデフォルト値を使用しないこと
カード会員データの保護
要件 3:保存されたカード会員データを保護すること
要件 4:オープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化すること
脆弱性管理プログラムの整備
要件 5:アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新すること
要件 6:安全性の高いシステムとアプリケーションを開発し、保守すること
詳細要件の選択肢として、WAFの導入を含む
強固なアクセス制御手法の導入
要件 7:カード会員データへのアクセスを、業務上必要な範囲内に制限すること
要件 8:コンピュータにアクセスできる各ユーザに一意のIDを割り当てる
要件 9:カード会員データへの物理アクセスを制限する。ネットワークの定期的な監視およびテスト
要件 10:ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および監視する
プライバシーマーク制度
JIS Q 15001の内容を満たしていると認められる場合にその旨を示すために付与される
個人情報の取扱いについて、財団法人日本情報処理開発協会(JIPDEC)が運営し、適切な保護措置を講ずる体制を整備し運用している事業者を認定する制度
財団法人日本情報処理開発協会及びその指定機関による評価と認定の結果、個人情報保護が適切に行われていることの証としてプライバシーマークを付与し、事業活動に関して、その使用を認める制度
財団法人日本情報処理開発協会は、指定機関の指定や、事業者からのプライバシーマーク付与の申請を受け付け、申請内容の審査や調査などの業務を行う
プライバシーマーク付与の有効期間は、認定から2年間であり、更新を行うことができる
プライバシーマークの申請が受け付けられるためには、事業者が申請の日前1年以内に、プライバシーマーク付与の取消またはプライバシーマーク使用契約の解除を受けていないことが必要である
プライバシーマークの申請が受け付けられるためには、事業者が申請の日前3ヶ月以内に、プライバシーマーク付与認定の申請または再審査の請求について、プライバシーマークが付与されないという決定を受けたことがないことが必要である
プライバシーマークの付与機関は、JIPDEC(財団法人日本情報処理開発協会)である
プライバシーマークの有効期間は認定を受けてから2年間である
更新の申請は、有効期間が終了する4ヶ月から3ヶ月前までに行わなければならない
プライバシーマークを取得している事業者が、個人情報保護に関する理念や取組みを内外に宣言する文書
個人情報保護方針
TRUSTe(トラストイー)プライバシーシールプログラム
オンライン上の個人情報の取扱いについて第三者審査機関が審査・認証を行う世界標準の個人情報保護第三者認証プログラム
労働関連・取引関連法規
労働基準法
労働基準法において、時間外及び休日の労働を認めるために規定されていること
労使の協定を書面で締結し、行政官庁に届け出ること
労働条件は、労働者が人たるに値する生活を営むための必要を満たすものでなければならない
労働基準法で定める条件の基準は最低のものであるから、労働関係の当事者は、この基準を理由として労働条件を低下させてはならない
この法律で定める基準に達しない労働条件を定める労働契約は、その部分について無効となる
使用者は、労働者の国籍、信条、社会的身分を理由として、賃金、労働時間その他の労働条件について、差別的取扱いをしてはならない
労働条件は、労働者と使用者が、対等の立場において決定すべきものであり、労働協約や就業規則を遵守し、誠実に各々がその義務を履行しなければならない
労働関連法規
労働安全衛生法
月100時間を越える時間外労働など、省令に定められる要件に該当する従業員がいる場合、企業は医師による面接指導を受けさせなければならない
外部委託契約
請負契約
「完成」が定義できる業務を発注する場合の契約形態で、委託先の総合的な能力を期待した契約
一方が仕事の完成を約束し、相手方が仕事の目的物の引渡しに対して報酬の支払を約束する契約
一括請負契約
契約で合意した内容を実現するために、指定された期日までに決められた価格で作成された成果物に対して対価が支払われる
委託先には完成責任、瑕疵担保責任がある
システム開発を外部に発注する場合、受託側が瑕疵担保責任を負う
指揮命令は受託者側にある
請負契約の下で、自己の雇用する労働者を契約先の事業所などで働かせる場合、雇用主が自らの指揮命令の下に当該労働者を業務に従事させる
ソフトウェア開発の請負契約において、請負業務の検収基準が契約書に明記されていないことが原因で起こり得る問題
納品時の成果物確認作業が必要以上に長引いたり、納品物件の追加要求が発生したりする
受注者が雇用する労働者に対して、受注側監督者が業務遂行に関する指示を行い、開発作業を行わせる
著作権の帰属
著作権は原則として受託側にある
A社がシステム開発を行うに当たり、外部業者B社を利用する場合の契約
請負契約によるシステム開発では、特に契約に定めない限り開発されたプログラムの著作権はB社に帰属する
民法上の扱い
民法では、請負契約における注文者と請負人の義務が定められている
民法上の請負人の義務となるもの
請け負った仕事の欠陥に対し、期間を限って責任を負う
請け負った仕事を完成する
請け負ったすべての仕事を自らの手で行う必要はない
発注者側監督者の行為として不適切なもの
受注者が雇用する労働者に対して、発注者側監督者が服務規律の設定及び指示を行い、開発作業を行わせる
発注者側監督者が、受注者の雇用する労働者に対して作業場所に関する指示を行い、開発作業を行わせる
発注者側監督者が、発注者の雇用する労働者に対して作業開始時刻及び終了時刻の指示を与え、開発作業を行わせる
請負契約を締結していても、労働者派遣とみなされる
休暇取得のルールを発注者側の指示に従って取り決める
請負契約を締結していても、労働者派遣とみなされない受託者の行為
業務の遂行に関する指導や評価を自ら実施する
勤務に関する規律や職場秩序の保持を実施する
発注者の業務上の要請を受託者側の責任者が窓口となって受け付ける
偽装請負
A社はB社に対して業務システムの開発を委託し、A社とB社は請負契約を結んでいる時に、B社の従業員が、A社を作業場所として、A社の責任者の指揮命令に従って設計書を作成している
請負契約の要員と発注者の社員が混在しているチームで、発注者側の責任者が業務の割り振り、指示を行う
契約関係
委任契約
業務の内容に制限がある
一方がある法律行為を行うことを相手方に委託し、相手方がこれを承認する契約
原則的に業務の完成責任を負うものではなく、また成果物を伴わなければならないものでもない
瑕疵担保責任はない
義務として、進捗報告義務、終了報告義務、善管義務(善良なる管理者の注意義務)のみがある
指揮命令は受託者側にある
成果物の引渡しが基本的にない
準委任契約
役務を提供する側に仕事を完成して引き渡す責任はない
作業のために必要な労働に関する指揮命令は役務を提供する側で行う
法律に関すること以外の契約
労働条件は役務を提供する側で定められる
作業場所の制約は特にない
出向
契約関係
ライセンス契約
シュリンクラップ契約
標準の使用許諾を定め、包装を解いたときに権利者と購入者との間に使用許諾契約が成立したものみなすもの
ソフトウェアの使用許諾契約が成立するのはソフトウェアの入ったCD-ROMの包装を破った時点
ボリュームライセンス契約
企業などのソフトウェアの大量購入者向けに、マスタを1本だけ提供して、必要な数だけインストールすることを許諾するライセンス形態
サイトライセンス
特定の企業や団体などにある複数のコンピュータでの使用を一括して認めるソフトウェアパッケージのライセンス契約形態
ソフトウェア使用許諾
ソフトウェアメーカが使用を許諾する条件を示し、ユーザがそれを承諾した旨を契約にしたもの
CD-ROMに記録されたPCのソフトウェアパッケージを購入することによって、購入者に帰属する権利
CD-ROMに記録されたプログラムの使用権
OSSライセンス
The Open Source Definition(OSD)
オープンソースプログラムに求められる配布・ライセンス形態を定義する文書
OSIが定義しているOSSの特質:営利目的の企業での使用や、特定の研究分野での使用も許可される
OSDに基づく場合、OSSをパッケージ化したり、自社のソフトウェアを組み合わせたりして、有償で販売することができる
OSSを商用ソフトウェアに組み込んだ場合には、ライセンスによっては商用ソフトウェアのソースコードを公開することが求められる
ソフトウェアをオープンソースソフトウェアとして公開するための条件の一つ
派生著作物に元のソフトウェアとは異なる名前やバージョンを付けるように、要請することができる
社内での利用などの様にオープンソースソフトウェアを改変しても再配布しない場合、改変部分のソースコードを公開しなくても良い
GPL
GPLで公開されたOSSを使用するに当たって、ソフトウェアの一部を改変し再配布する場合、ソースコードの公開義務が発生する
GPLの下で公開されたOSSを使い、ソースコードを公開しなかった場合にライセンス違反となるもの
OSSの入手、改変、販売を全て自社で行っている
GPLの下で公開されたOSSを使い、ソースコードを公開しなかった場合でもライセンス違反とならない物
OSSとアプリケーションソフトウェアとのインタフェースを開発し、販売している
OSSの改変を他社に委託し、自社内で使用している
OSSを利用して性能テストを行った自社開発ソフトウェアを販売している
電機メーカのA者は、GPLが適用されたオープンソースソフトウェアの一部を改変した二次的著作物を搭載してテレビの新製品を開発した。この製品を販売するに当たり、A社が求められるGPLのルールに則した適切な対応
請求があればA社が修正した部分を含む全ての二次的著作物のソースコードを公開しなければならない
Webサーバ用のソフトウェアであるApacheを変更して、新しい製品を作って頒布するとき、実行しなければならないもの
変更したファイルには変更した旨の告知を入れる
パブリックドメイン
パブリックドメインソフトウェアとするための条件
著作権を放棄する、又は放棄の宣言をする
下請代金支払遅延等防止法(下請法)
下請事業者は、親事業者が受領検査をするか否かにかかわらず、親事業者の受領日から起算して60日以内に、代金を受け取ることができる
親事業者と顧客との間の委託内容が変更になり、すでに受領していたプログラムが不要になった場合であっても、下請業者から受領したプログラムの返品を禁止している
下請業者から納品されたプログラムに、下請業者側の事情を原因とするバグが発見され、プログラムの修正が必要となった。このとき、支払期日を改めて定めようとする場合、下請代金支払遅延等防止法上認められている期間(60日)の起算日
修正済みプログラムが納品された日
ユーザから請負うソフトウェア開発を下請け業者に委託する場合
下請代金遅延等防止法で禁止されている行為
下請け業者に委託する業務内容は決まっているが、ユーザとの契約代金が未定なので、下請代金の取決めはユーザとの契約決定後とする
禁止されていない行為
交通費などの経費については金額を明記せず、実費負担とする旨を発注書面に記載する
発注書面を交付する代わりに、下請業者の承認を得て、必要な事項を記載した電子メールで発注を行う
ユーザの事情で下請業務内容の一部が未定なので、その部分及び下請代金は別途取り決める
下請け業者から受領したプログラムの返品について
禁止
親事業者と顧客との間の委託内容が変更になり、すでに受領していたプログラムが不要になった
禁止されない
委託内容の一部を受領したが、下請け業者の要員不足が原因で開発が遅れている旨の説明を受けた
開発途上で発生した仕様変更の内容、対価などを下請け業者と合意していたが、受領したプログラムには仕様変更が反映されていなかった
受領時の通常のテストでは発見出来なかった重大なバグが、受領後5ヶ月経過した時点で発見された
労働者派遣法(労働者派遣事業の適正な運営の確保および派遣労働者の就業条件の整備等に関する法律)
業務内容に制限がある派遣要員個人の能力に期待する契約であるが、要員をあらかじめ指名することはできない
派遣要員に関して知ることができるのは、氏名、性別、年齢のみ
派遣要員には、原則として完成責任も瑕疵担保責任もない
委託側にも労働者派遣法に伴う義務が多く発生する
原則的には派遣要員を派遣した側には著作権がない
契約範囲外の業務を指示してはいけない
自己の雇用する労働者を、契約の相手方の指揮命令を受けて、契約の相手方の労働に従事させる契約
労働者派遣における派遣元の責任
派遣先での時間外労働に関する法令上の届出
派遣された労働者を別会社へ再派遣することは認められていない
派遣労働者の就業場所の変更を伴う配置転換は、派遣先企業に認められていない
派遣期間
派遣要員の1回の派遣期間には限度があり、延長は再契約が必要
労働者派遣事業法で認められた特殊な技能を要する業務であれば、同一人の派遣を3年を越えて行うことができる
指揮命令
指揮命令は委託者側にある
労働者の就労に関して、雇用関係とは別の指揮命令系統に従うことになる
派遣労働者への指揮命令権は派遣先企業にある
派遣先の責任として定められているもの
派遣先企業には派遣労働者からの苦情処理に当たる義務がある
派遣契約内容を派遣労働者を指揮命令する者やその他の関係者に周知すること
契約関係
労働者派遣法に適合するもの
グループウェアのメンテナンスを行うために、自社社員と同様に作業を直接指示した
システム開発期間が長期になるので、派遣されるプログラマの派遣期間を3年とする契約を結ぶ
労働者派遣法で認められた特殊な技能を要する業務であれば、同一人の派遣を3年を超えて行うことができる
労働者派遣法に適合しないもの
派遣契約の内容にかかわらず合理的な理由がある場合には、派遣先の作業指示者の判断で派遣労働者に残業を命じることができる
派遣先の事業所に属する従業員はだれでも、派遣労働者に業務命令を行うことができる
派遣者労働法で認められた業務であれば、派遣先の判断で派遣労働者の業務内容を変更できる
営業情報システムのメンテナンスを担当させている派遣社員から、直接に有給休暇の申請があり、業務に差し障りがないと判断して、承認した
生産管理システムへのデータ入力を指示したところ、入力ミスによって、欠陥製品ができたので、派遣元企業に対して製造物責任を追及した
販売管理システムのデータ処理が提示に終了しなかったので、自社社員と同様の残業を行うよう指示した
派遣期間中は作業負荷がかかることが予想されるので、20代男性の派遣を依頼する
派遣されるプログラマ候補者の業務経歴書を提出させ、書類選考によって面接の対象となる候補者を絞り込む
労働管理実務に詳しい担当者がいないので、責任者を置かず派遣社員からの苦情処理を派遣元会社に依頼する
事例
プロジェクトマネージャのP氏は、A社から受託予定のソフトウェア開発を行うために、X社から一時的な要員派遣を受けることを検討しているが、このとき、派遣者への業務指示など、派遣に伴う各種業務をP氏が直接行うことをX社に伝えることは労働者派遣法に照らして適切である
A社で雇用しているオペレータのQ氏を、B社に派遣することになった場合に、Q氏は、B社の定められた指揮命令者の下で労働に従事する事は労働者派遣法で定められている
[A社(発注元)]←請負契約→[B社]←派遣契約→[C社]
上記のような契約でA社、B社、C社の開発要員がプロジェクトチームを組んでソフト開発業務を実施するときB社の担当者がC社の要員に業務の割り振りや作業スケジュールの指示を行う事は適法
A社では、自社で働いている派遣会社B社からの派遣社員の就業管理用に、B社のWeb版の派遣社員就業管理システムをインターネット経由で使用している時、このシステムを用いた当該派遣社員の日常の就業時間の承認者は派遣先A社の業務責任者である
民法
製造物責任法 ( PL法 )
製造物を引き渡した時点での科学または技術に関する知見では欠陥を認識できなかったことを証明した場合、その欠陥によって被害が発生しても、製造者に責任を負わせる事はできない
製造業者とは、製造物を業として製造、加工または輸入した者、あるいは製造業者として製造物に氏名などを表示する者を指す
製造物にお欠陥により、人の生命、身体、財産に係る被害が生じた場合における製造業者等の損害賠償の責任について定めている
製造物とは、製造または加工された動産で、その製造物の欠陥が、通常有すべき安全性を欠いている場合に損害賠償の責任を負う
欠陥とは、製造物の特性、その通常予見される使用形態など、その他の製造物に係る事情を考慮して、製造物が通常有すべき安全性を欠いていることをいう
ソフトウェアやデータに瑕疵がある場合に、製造物責任法の対象となるもの
ROM化したソフトウェアを内蔵した組込み機器
ソフトウェアやデータに瑕疵がある場合に、製造物責任法の対象とならないもの
アプリケーションがCD-ROMに入ったソフトウェアパッケージ
利用者がOSをインストールしたPC
利用者によってネットワークからダウンロードされたデータ
製造物責任法によって責任を問われるケース
取扱説明書に従った使い方をしていても過熱してやけどするなどの危険がある製品を販売した
問われないケース(製造物責任法以外で問題が問われる場合がある)
再販売価格を維持することを条件に小売店に製品を販売した
実際にはない機能を持っていると誤解される広告をして製品を販売した
兵器として転用可能な製品を担当省庁の許可なしにテロ支援の懸念がある国家に販売した
例
A社が設計、B社がコーディングを行った製品を”製造元A社”としてC社が販売した場合、A社が製造物責任を問われる
A社は、B社に委託して開発したハードウェアに、C社が開発して販売したソフトウェアパッケージを購入して実装し、組み込み機器を製造した。
A社はこの機器を自社製品として出荷した。小売店のD社はこの製品を仕入れて販売した。
ソフトウェアパッケージに含まれていた欠陥が原因で、利用者が損害を受けたとき、製造物責任法(PL法)上の責任を受けるのは、機器を製造し出荷したA社となる(ここで、A〜D社は日本国内の法人又は個人とする)
メーカのA社は、A社が設計しB社がコーディングしたソフトウェアをROMに組込み、そのROMを部品とした製品Xを製造し、販売会社であるC社に卸している。C社は、この製品Xに"製造元A社"と表示し、一般消費者に販売した。ある消費者が購入した製品Xを使用したところ、ROMに組み込まれたソフトウェアの欠陥によってけがをした。原因はソフトウェア設計の不具合であった。製造物責任法上、製造物責任を問われる企業
A社
製造物責任法の対象となる制御用ソフトウェアの不具合(ここで、制御用ソフトウェアはエレベータの制御装置に組み込まれているものとする)
対象となる
人的被害が出たエレベータ自己の原因となった不具合
ならない
エレベータの待ち時間が長くなる原因となった不具合
エレベータの可動部分の交換を早める原因となった不具合
エレベータメーカの出荷作業の原因となった不具合
電子契約法(eコマースの契約)
電子メールによる購入申し込みにおいて意思表示の効力が発生するのはメールが到達した時点
消費者の操作ミスによる申し込み行為は錯誤により無効となる
申し込み最終段階で契約内容の確認訂正のための画面が用意されている場合は、「消費者の操作ミスによる申し込み行為は錯誤により無効となる」は適用外となる
サービス提供者が定めた約款の具体的内容を消費者が知らなかったとしても、約款の存在を前提に契約が行われ、消費者が容易に約款の内容を確認できるような措置が取られていれば消費者は約款の内容に原則として拘束される
サーバーモールにおける売買契約は、出店者と消費者の間での契約でありモール運営者は売買契約には関係しないため、原則として売買に関する紛争にモール運営者が介入する義務はない
商法
e-文書法(電子文書法)
各法令によって保存が義務付けられている文書について、電子化された文書ファイでの保存を可能とするもの
国税当局に申請して承認を受けることで、一定の書類をスキャナで読み取って作成された電磁的記録によって保存することができる
取り引きに関して相手から受け取った契約書、領収書、その他これらに準ずる書類及び自己の作成した書類に記載された契約金額又は受領金額が、3万円未満のものを対象とする
公益通報者保護法
公益通報者保護法は、民事に関する法律であり、この法律に違反した場合でも、当該事業者が刑罰や行政処分を科せられることはない
公益通報者保護法は、営利・非営利に関係なく、企業、行政機関、学校法人といった各種法人など、幅広い事業者に適用される
公益通報者保護法は、公益通報者が、組織内で法令に違反する犯罪行為の事実を外部に通報した結果として、解雇などの不要な取扱を受けないように、当該労働者の保護に必要な事項を規定している
公益通報者保護法は、公益通報者の保護を図るとともに、国民の生命、身体、財産その他の利益の保護に関わる法令の規定の遵守を図り、もって国民生活の安定及び社会経済の健全な発展に資することを目的としている
公益通報をしたことを理由とする公益通報者の解雇の無効、その他不利益な取扱いを受けないように、保護されている
特定商取引法
インターネット通販事業者が広告中に記載する項目として要求されているもの
価格(送料別の場合は送料も含む)
商品の引き渡し時期
返品の可否と条件
有効期限がある場合にはその期限
販売事業者の代表者または責任者の名前
申し込みの撤回又は契約の解除に応じない旨の取引条件を告知していた販売業者からPCを購入した場合に、法令で定めた期間内であれば特定商取引法に基づく契約の解除の可否
可能
自宅に訪れた営業担当者と契約して購入した
不可能
Webサイトから、最終申込画面で取引条件を承諾して購入した
コンピュータ専門誌の広告を見て電話で購入した
コンピュータ専門店舗の店頭で購入した
電子帳簿保管法
国税関係帳簿を磁気媒体で保存する場合、あらかじめ所轄の税務署長の承認が必要となる
国税関係帳簿書類を電磁的記録として保存するには、これらを作成するシステム関係書類も備え付けておく必要がある
電子署名及び認証業務に関する法律(電子署名法)
電子署名には、民事訴訟法における押印と同様の効力が認められている
電子署名とその認証に関する規約を定め、電子署名が手書き署名や押印と同様に通用する法的基盤を整備し、情報流通の促進を目的としたもの
特定の認証業務については認定制度があるものの、一般の認証業務について許認可制度を設けていない
電子署名とは、それを施した電磁的記録に記録することができる情報が作成者本人のものであることを示し、かつ作成後に改変されていないことを確認する措置のこと
将来新しい技術が誕生する可能性を考慮し、認証方式を特定のものに定めていない
電子証明された電磁的記録が真正に成立したものと推定するという意味は、その電磁的記録は電子署名した者の意志内容を示していると裁判上推定されるということである
消費者契約法
消費者の利益の擁護を図り、もって国民生活の安定向上と国民経済の健全な発展に寄与することが消費者契約法の目的である。消費者契約法では、消費者と事業者との間の情報の質量及び量並びに交渉力の格差にかんがみ、事業者の一定の行為によって、消費者が誤認し、または困惑した場合について、契約の申込またはその承諾の意思表示を取り消すことができると定められている
事業者は、消費者契約の条項を定めるに当たっては、消費者の権利義務その他の消費者契約の内容について必要な情報を提供するように努めなければならない。その内容が消費者にとって明確かつ平易な者となるように配慮する必要がある
契約書に事業者の債務不履行により消費者に生じた損害を賠償する責任の全部を免除する条項を規定している場合、その条項は無効となる
消費者と事業者との情報の質及び量並びに交渉力の格差にかんがみて、消費者の利益の擁護を図り、もって国民生活の向上と国民経済の健全な発展に寄与することを目的とする
消費者は、事業者が消費者契約の締結をするに際し、重要な事項について事実と異なることを告げられて、事実であると誤認した場合には、その契約を取り消すことができる
その他の法律・ガイドライン・技術者倫理
コンプライアンス
法律や規則、社会的規範や企業倫理(モラル)を守ること
企業における、コンプライアンス強化の目的
企業存続の危機につながりかねない、経営者や従業員による不祥事の発生を抑制する
コンプライアンス経営
企業倫理に基づき、ルール、マニュアル、チェックシステムなどを整備し、法令や社会規範を遵守した企業活動を行うこと
会社法
委員会設置会社における企業統治に関して、執行役の選任は取締役会が行うよう規定している
会社の規模によって、会社法で設置が義務づけられているもの
会計監査人
会社法に基づく監査委員会の役割
委員会設置会社の期間であり、取締役及び執行役の職務の執行を監査し、株主総会に提出する会計監査人に選任などに関する議案の内容を決定する
金融商品取引法(日本版SOX法)
従来の金融証券取引法の枠を拡大し、有価証券に関わる情報開示義務(ディスクロージャ義務)や投資勧誘説明義務、市場の公正さを維持して一般投資家を保護するための経営者責任の諸事項が盛り込まれている
不公正取引
インサイダー取引が禁止される会社関係者には、上場会社の役員、代理人、総株主の議決権の100分の3以上に当たる株式を保有する者、その上場会社と契約を締結している者、上場会社の使用人などが該当する
有価証券等の売買について、不正の手段、計画、技巧をなすことや、重要な事項についての虚偽の表示があり、または誤解を生じさせないために必要な重要な事実の表示が書けている文書その他の表示を使用して金銭その他財産を取得することなどの行為を、何人もしてはいけない
有価証券等の売買や相場の変動を図る目的で、風説の流布を行うことは禁止されている。この風説の流布とは、行為者が直接経験または認識していない、合理的根拠のない事実を不特定多数の者に流すことであるが、少数の貴社に対する発表も該当する
上場会社の関係者は、会社の業務に関する重要な事実を知った場合、その事実の公表後でなければ、その上場会社の有価証券に係る売買などはできない。当該会社関係者から業務に関する重要な事実を伝達された情報受領者や、情報受領者が所属する会社の役員は、その業務に関する重要事実を知ったときには、公表される前には、同様に売買できない
輸出関連法規
外国為替及び外国貿易法(外為法)
暗号化技術に関連するソフトウェア製品を輸出する場合、法による規制を考慮する必要がある
COBIT(Control Objectives for Information and related Technology)
情報技術管理についてのフレームワーク
ソフトウェアプロセス評価(SPA ; Software Process Assessment)
情報システムの企画、開発、運用、保守作業に関わる国際標準
ソフトウェアプロセスがどの程度標準化・定量化され、継続的に改善されているかを判定することを目的としている
プロセス習熟度モデル/プロセス成熟度モデル(CMM ; Capability Maturity Model / CMMI ; Capability Maturity Model Integration)
W.ハンフリーが提唱会社や組織、プロジェクトなどのソフトウェア開発能力や習熟度を客観的に示す品質評価基準
ソフトウェア開発組織は、その開発プロセスの成熟段階において、5つの段階を経て発展していくという考えに基づき、プロジェクトやソフトウェア開発工程を評価・改善するのに用いられる
ソフトウェアプロセスの標準化と最適化を推進し、製品やサービスの開発、調達及び保守活動において、組織のもつプロセスを改善するためのガイドラインを提供する
製品やサービスについて、組織が開発と保守のプロセスを改善するのを助ける
ソフトウェア開発組織及びプロジェクトのプロセスの成熟度を評価するためのモデル
成熟度レベル
レベル1(初期プロセス ; initial process)
プロジェクトの予測がつかず、失敗が多いレベル
プロセスが確立されていない状態
レベル2(反復できるプロセス ; repeatable process)
プロジェクトマネジメントができるレベル
特定のプロジェクトリーダーや技術者に依存している状態
作業成果物の状況が、主要なタスクの完了時点で管理層に対して見える状態になっている
レベル3(定義されたプロセス ; defined process)
レベル2のプロジェクトをマネジメントを組織運営できるレベル
システム開発の経験が組織として共有され、首尾一貫したプロセスを標準として持っている状態
プロセスが明文化されて、組織内のすべての人がそれを利用している
レベル4(管理されたプロセス ; managed process)
組織的なプロセスを定量的に管理できるレベル
プロセスの実績が定量的に予測可能であり、標準化されたプロセスを定量的に測定し、洗練化していくことが可能な状態
実績が定量的に把握されており、プロセスが組織的に管理されている
レベル5(最適化しているプロセス ; optimizing process)
定量的な計測法を用いて、プロセス改善ができるレベル
技術、要件環境の違いによって標準プロセスを最適化して用いることが可能であり、プロセスそれ自体を改善していくための仕組みが規定されている状態
プロセスを継続的に改善していくための仕組みが機能している
システム管理基準
経済産業省が定めた基準
情報戦略を立案し、効果的な情報システム投資とリスクを低減するためのコントロールを適切に整備・運用するための事項をとりまとめたもの
情報システム戦略に基づき、効果的な情報システム投資のための、また、リスクを低減するためのコントロールを適切に整備・運用するための実践規範
運用業務におけるソフトウェア管理に該当するもの
プログラムの違法コピーが発生しないよう教育する
全体最適化に含まれる作業
情報システム基盤の整備計画の策定
全体最適化計画策定の段階で、業務モデルを定義する目的
企業の全体業務と使用される情報の関連を整理し、情報システムの全体像を明確化すること
データ管理のポイント
適切なアクセスコントロールを行っていること
組織全体の情報システムのあるべき姿を明確にする計画
全体最適化計画
情報戦略の全体最適化計画策定において、実施すべきこと
個別開発計画の優先順位及び順位付けのルールを明確にする
情報システムの費用、スケジュール、開発体制、投資効果などを明確にする計画
開発計画
企画業務の段階で策定すべきもの
関連するほかの情報システムと役割を分担し、組織体として最大の効果を上げる機能を実現するために、全体最適化計画との整合性を考慮して策定する開発計画
調達の要求事項に含まれる運用業務の要員スキル
情報処理全体の体系を理解し、障害などの異常処理に対する判断ができる
情報化投資計画を策定する段階
情報戦略
企画業務で立案する開発計画で明確にすべきもの
ユーザ部門及び情報システム部門の役割分担
システム管理基準で定義されているシステムライフサイクル
企画、開発、運用、保守
情報システムの全体最適化を実現するために設置する情報システム化委員会の役割
情報技術の動向に対応するため、技術採用に関する指針を明確にする
組織体が情報システムにまつわるリスクに対するコントロールを適切に整備・運用する目的
情報システムが、組織体の目的を実現するように安全、有効かつ効率的に機能するため
情報システム全体の最適化目標を設定する際の着眼点
経営戦略への貢献を明確にしていること
情報システム安全対策基準
情報システムの機密性、保全性、可用性を確保するために情報システムの利用者が実施する対策項目を列挙したもの
設置基準、技術基準、運用基準の三つで構成されている
システム開発と取引のための共通フレーム2007(SLCP-JCF2007 ; Software Life Cycle Processes-Japan Common Frame 2007)
作成の目的
システム開発作業全般にわたって"共通の物差し"や"共通語"を使うことによって、作業範囲・作業内容を明確にし、取得者(購入者)と供給者の二者間取引に共通の物差しを用いて取引を明確化すること
共通フレーム2007をソフトウェア産業界に導入する目的
ソフトウェアの開発及び取り引きの内容を明確にし、市場の透明性を高め、取り引きのさらなる可視化を実現する
ソフトウェアを中心としたシステムの開発及び取引を可視化できる、契約者双方の共通の枠組み
顧客と開発ベンダの受発注契約にかかわる取引以外に、社内の部門間取引も対象に規定している
取得者(発注者)と供給者(受注者)の二者間取引を明確化するためのものであり、業務分析、業務設計、ソフトウェアを中心としたシステムの企画、要件定義、開発、運用、保守及びそれらにかかわる諸活動を対象としており、国際規格に適合している
システム開発作業をJIS X 0160に基づいてプロセス、アクティビティ、タスクの3階層構成で定義している
特徴
特定の業種、システム形態、開発方法論などに極力依存しないように配慮されている
ソフトウェ開発プロセスの作業項目を列挙したものであるが、標準作業を規定するものではない
記載されている作業範囲や作業項目の使用を強制するものではない
作業をプロセス(大分類)、アクティビティ(中分類)、タスク(作業)の順に詳細化し、ライフサイクルモデルとして表現している
取り決められているもの
プロセスごとの作業の主体者(役割)と責任の所在
適用方法
プロジェクトの環境、特性、開発モデルや手法にあわせ、プロセスやアクティビティを選択し組み立てる
構成
主ライフサイクルプロセス
取得プロセス
開始(要件の定義と分析など)
提案依頼書の準備
契約準備及び更新
供給者の監視
受け入れ及び完了
供給プロセス
開始
提案書の準備
契約締結
計画立案
実行及び管理
レビュー及び評価
納入及び完了
契約の変更管理プロセス
取得者と供給者間で変更内容の合意を導くプロセス
企画プロセス
経営事業の目的、目標を達成するために必要なシステム化の方針及びシステムを実現するための実施計画を得る
事業の目的、目標を達成するために必要なシステムに関連する要求事項の集合とシステム化の方針、及び、システムを実現するための実施計画を得る
業務の新しい全体像及び新システムの全体イメージを作成する
システム化計画の立案を実施する
経営事業の目的、目標を達成するために必要なシステムに完成する経営上のニーズ、システム化、システム改善を必要とする業務上の課題などの要求事項を定義する
対象業務を確認・分析し、業務機能をモデル化する
流れ
プロセス開始の準備
情報戦略の立案
情報システム構想の立案
経営事業目標
システム化計画の立案
導入の費用対効果の予測
対象業務システム課題を定義する
システム構築プロジェクトを開始するにあたり、"品質"、"コスト"、"納期"の目標値を設定する段階
アクティビティ
システム化構想の立案
実施すべきタスク:対象となる業務の明確化
システム化計画及びプロジェクト計画を作成し、承認を受ける
競争優位や事業機会を生み出す情報技術の利用方法について分析する
要件定義プロセス
業務システムのIT化範囲と機能の内容について利害関係者間の合意を目的とするプロセス
アクティビティ
利害関係者要件の定義
システムの機能要件を定義する上で、前提となる要件定義作業
利害関係者からのニーズを整理し、新しい業務の在り方や運用をまとめた上で、業務上実現すべき要件を明らかにする
機能要件
求められるシステムを構成するソフトウェアの動作や処理内容を定義する
非機能要件
ソフトウェアの信頼性、効率性など品質に関する要件
開発プロセス
対象システムをテストするためのテスト仕様書を作成する
プロセス開始の準備
システム要件定義
システム適格性確認テストで確認する内容を明確にする
システム方式設計
"システム方式の評価"の際に考慮する項目
システムと要件との一貫性
ソフトウェア要件定義
ソフトウェア方式設計
ソフトウェア詳細設計
ソフトウェアコード作成及びテスト
ソフトウェア結合
ソフトウェア適格性確認テスト
システム結合
システム適格性確認テスト
ソフトウェア導入
ソフトウェア受入れ支援
運用プロセス
ソフトウェア製品やシステムの運用
利用者に対する運用支援
保守プロセス
問題発生、改善要求、環境変化への適応のためにソフトウェア製品及び関連文書を変更する
修正されたシステムの完全性の確認のため保守レビューを行う
保守プロセスにおいて修正分析を行い、既存システムの通信ミドルウェアを改修することとした。改修をソフトウェア要件定義アクティビティから始めるとき、最後に実行するアクティビティ
ソフトウェア適格性確認テスト
支援ライフサイクルプロセス
文書化プロセス
構成管理プロセス
品質保証プロセス
検証プロセス
妥当性確認プロセス
負荷テスト
共同レビュープロセス
取得者と供給者がプロジェクトの状況や成果物について評価し、共同レビュー手法を用いて調整、合意する
監査プロセス
問題解決プロセス
ユーザビリティ(使用性向上)プロセス
組織に関するライフサイクルプロセス
管理プロセス
環境整備プロセス
改善プロセス
人的資源プロセス
資産管理プロセス
再利用プログラム管理プロセス
ドメイン技術プロセス
システム監査プロセス
情報システム全体にわたる信頼性、安全性、効率性をチェックする
プロセス開始の準備
契約・合意の視点に関するシステム監査
企画・要件定義の視点に関するシステム監査
開発プロセスのシステム監査
運用プロセスのシステム監査
保守プロセスのシステム監査
共通特定業務のシステム監査
システム監査報告及びシステム監査フォローアップの実施
修正プロセス
組織やプロジェクトの特性に合わせて共通フレームを部分的に変更するための要求事項をまとめたもの
プロジェクト環境の識別
情報提供の依頼
プロセス、アクティビティ及びタスクの選択
修正上の決定及び判断根拠の文書化
OECDのプライバシガイドライン
基本8原則
収集制限の原則
法律の規定による場合には、個人データの収集ができる
データ内容の原則
個人情報は、その利用目的に沿ったもので、かつ、正確、完全、最新であるべきとする原則
目的明確化の原則
個人情報の収集目的を明確にして、情報利用は収集目的に合致すべきであるとする原則
利用制限の原則
情報主体の同意がある場合や法律の規定による場合を除いては、収集した情報を目的外に利用してはならないという原則
安全保護の原則
個人データは紛失もしくは無制限アクセス・破壊・使用・修復・開示の危険に対し、合理的な安全保護措置により保護されなければならないことを定めている
公開の原則
データ収集の実施方針等を公開し、データの存在、利用目的、管理者等を明示するべきである
個人参加の原則
自己に関する情報の所在及び内容を確認させ、または異議申し立てができるようにされるべきとする原則
責任の原則
データの管理者は諸原則実施の責任を有する
個人情報の保護に関するガイドライン
厚生労働省
医療・介護事業者における個人情報の適切な取り扱いのためのガイドライン
金融庁
金融分野における個人情報保護に関するガイドライン
総務省
電気通信事業における個人情報保護に関するガイドライン
経済産業省
個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン
物理的安全簡易措置
個人データを取り扱う情報システムを、ICカードによる入退室管理を実施している室内に設置する
個人情報とは生存する個人に関する情報について、その情報に含まれる氏名、生年月日、そのほかの記述により特定の個人が識別できるもの
死者の情報や実在の個人ではない者の情報は個人情報ではないが、それらに関する情報が、同時に生存する個人に関する情報である場合には、その個人に関する個人情報となる
会社が、雇用管理のために取り扱う従業者に関する情報は個人情報となる
文字だけでなく、映像や音声であっても、特定の個人が識別できる場合には個人情報に該当する
個人情報取り扱い事業者が、開示、内容の訂正、追加または削除、利用の停止を行うための権限を有する個人データであっても、その存否が明らかになると公益その他の利益が害されるものや、6ヶ月以内に消去されるものは除外される
情報の利用目的の特定や利用目的の制限
個人情報取り扱い事業者は、個人情報を取り扱うに当たっては、その利用の目的をできるだけ特定しなければならない。これは、利用目的を単に抽象的、一般的に特定するのではなく、個人情報取り扱い事業者において、最終的にどのような目的で個人情報を利用するかをできる限り具体的に特定する必要がある。
特定された利用目的の達成に必要な範囲内で個人情報を取り扱うことができる。利用目的の達成に必要な範囲を超える場合には、あらかじめ本人の同意が必要である
取得に際しての利用目的の公表の例
「商品の発送、関連するアフターサービス、新製品の情報をお知らせのために利用します」
通信販売において、通信販売用のパンフレットに掲載すること
店舗販売において、店舗の見やすい場所に掲示すること
自社のWebサイトにトップページから1回の操作で到達できる場所に掲載すること
本人への利用目的の明示または本人の同意の例
利用目的を明記した契約書を相手方に送付すること
本人から同意する旨のメールを受信すること
同意することが明記され、本人が記名押印した申す込み書を受領して確認すること
本人への利用目的の明示または本人の同意とはらなない例
本人の代理人から同意することを口頭で確認すること
ソフトウェア管理ガイドライン
経済産業省が策定
ソフトウェアの違法複製などを防止するために法人団体などがソフトウェアを使用するに当たって実施すべき事項を取りまとめたもの
ソフトウェアの使用許諾契約の内容は、ソフトウェアユーザ全員に周知徹底する必要がある
ソフトウェアを使用する法人、団体などが実施すべき基本的事項
ソフトウェアの違法複製などの有無を確認するため、すべてのソフトウェアを対象として、その使用状況についての監査を実施する
情報倫理
メディアリテラシ
Online Shopping Trustマーク制度
日本商工会議所がインターネットショッピングの事故を防止するために制定した制度
通信販売事業者が実在し、ホームページの表記が通信販売の法令等を守っている事業者であることを審査し付与する
平成12年から開始し平成20年3月に新規発行及び更新受付を終了した
標準化関連
標準化団体
日本工業標準調査会(JISC ; Japan Industriak Standards Committee)
工業標準化法に基づいて経済産業省に設置され、日本工業規格の制定、改正の審議を行っている審議会
経済産業省に設置されている審議会で、工業標準化法に基づいて工業標準化に関する調査・審議を行っており、特にJISの制定、改正などに関する審議を行っている
日本工業規格(JIS ; Japanese Industrial Standards)
工業標準化の促進を目的とする工業標準化法に基づき制定される国家規格
国際標準化機構(ISO)
工業及び技術に関する国際規格の策定と国家間の調整を実施している
ISO規格
WTO加盟国の政府関係機関での採用が見込まれる製品の開発で採用すべき規格
電気電子学会(IEEE)
アメリカに本部を持つ電気工学と電子工学に関する学会
LAN、その他のインタフェース規格の制定を行っている米国規格協会(ANSI)
アメリカ国内の工業分野の規格を策定する民間の標準化団体であり、アメリカの代表としてISOに参加している
国際電気通信連合-電気通信標準化部門(ITU-T)
電気通信の標準化に関して勧告を行う国際連合配下の機関である
ICANN
ドメイン名、IPアドレスおよび自律システム(AS)番号、プロトコルポート番号およびパラメータ番号の割り振り・割り当てを全世界的かつ一意に管理する
DNSルートネームサーバの運用と調整、ポリシー策定の調整などを行う
IPアドレスが重複しないよう管理する
IETF
インターネットの各種技術の標準化を進めている任意団体
技術仕様をRFCとして発行している
セキュリティ分野にはRADIUSやLDAPの仕様がある
JAS(日本農林規格)
農林物資の規格を制定した規格
農林物資の品質の改善、生産の合理化、取引の単純公正化及び使用又は消費の合理化を図る
品質に関する適正な表示を行う
世界貿易機関(WTO)
"貿易の技術的障害に関する協定"(TBT協定)が加盟国に義務付けているもの
国内強制規格を策定する場合には国際規格を基礎として使用すること
国際認証の枠組み(認定/認証/試験機関)
CEマーク
ヨーロッパで運用されているマーク
製品が該当するEC指令に適合していることを保証する
欧州経済領域(EEA)、トルコ、スイスで販売する際には取得が必要
各種コード
文字コード
Unicode
各国の文字の多くを一つの体系で表現することでPCでのデータ交換が円滑にできるように、米国のベンダ主導で制定され、ISOで規格化された文字コード体系で、2バイト(UCS-2)、4バイト(UCS-4)がある
多国籍文字を扱うために、日本語や中国語などの形の似た文字を同一コードに割り当てて2バイトの文字コードで表現する
UCS-2
世界各国の文字体系に対応できるようにISO/IECで規格化された文字コード体系ISO/IEC 10646(JIS X 0221)のBMP(Basic Multilingual Plane ; 基本多言語面)として採用され、1文字を16ビット(2バイト)で表現する文字コード(文字を16ビット又は32ビットで表す時の16ビット表現を用いるサブセット)
EUC
UNIXを中心に普及している多国籍環境をサポートする標準コードであり、日本語環境(漢字)では1バイト、2バイト、3バイトからなるコード表現を採用している
ASCII符号(ASCIIコード)
米国規格協会が制定した7ビットの情報交換用符号
アルファベット、数字、特殊文字及び制御文字からなり、漢字に関する規定はない
EBCDIC符号(拡張2進化10進数交換符号)
IBMにより定義された文字コード
バーコード
CODE39
数字、アルファベット、数種類の記号を43個にコード化したもの
9本のバースペースのうち3本が太い
CODABAR(NW-7)
Narrow(狭い)とWide(広い)の2種類の7本の黒・白バーで構成されるバーコードで、数字、アルファベット、記法が使用できる
宅配便の配送伝票で使用されている
ITF(Interleaved Two of Five)
集合包装(段ボールなど)の物流識別用の標準物流シンボル(JIS X 0502)として使われているバーコードの規格
5本のバースペースで1文字を表し、5本のうち2本が太い
JAN(Japan Article Number)
一般的に使用されているバーコード
POSシステムなどで商品を一意に識別するために、バーコードとして商品に印刷されたコード
13桁の標準バージョンと8桁の短縮バージョンがある
構成
国コード、メーカコード、商品アイテムコード、チェックディジット
標準JANコードの3〜7けた目は商品メーカコード
エラー検出用のチェックディジットをもっている
OCR-Bフォント
バーコードのバーの下部の文字に使われるフォント
2次元コード
小さな領域に多くの情報を詰め込むことができ、読み取り時にコードの一部が読めなくてもデータを正しく読み出せるようなエラー訂正機能を持つコード
同じ面積であれば、1次元バーコードに比べて多くの情報を記録できる
QRコード(JIS X 0510)
縦・横方向に情報をもたせることによって,1次元シンボルよりも多くのデータを記録することができる
3個の位置検出要素パターン(切り出しシンボル)で、回転角度と読取り方向が認識できるため360度のどの方向からも読取り可能
小さな領域に多くの情報を詰め込むことができ、読取り時にコードの一部が読めなくてもデータを正しく読み出せるようなエラー訂正機能をもつ
同じデータでも、生成するアプリケーションによって、異なるパターンのQRコードになることがある
縦横のマトリックスに白黒の格子状のパターンで情報を表し、情報量が多く数字だけでなく英字や漢字データも格納できる
国際標準図書番号(ISBN ; International Standard Book Number)
世界共通で図書を特定するための13桁の番号
日本では書籍JANコードとして使われている
ISO 14000
環境マネジメントシステムに関する国際規格
JIS Z 26000(ISO 26000)
社会的責任に関する手引
ISO 9000シリーズ
顧客満足度の向上を目指した品質マネジメントシステムの規格
ISO 9000:2005(JIS Q 9000:2006)品質マネジメントシステム―基本及び用語
品質マネジメントシステムの基本を説明し、品質マネジメントシステムの用語を規定している
第三者監査
審査機関が依頼を受けた会社の品質マネジメントシステムを監査する
品質マネジメントシステム
品質管理を実施するための組織構造、責任、手順、工程(プロセス)および経営資源
品質マネジメントにおける品質保証
プロジェクトで定めた品質基準を確実に満たすための、計画的かつ体系的な活動のこと
妥当性確認
客観的証拠を提示することによって、特定の意図された用途又は適用に関する要求事項が満たされていることを確認すること
是正処置
検出された不適合又はその他の検出された望ましくない状況の原因は除去するための処置
品質の定義
本来備わっている特性の集まりが、要求事項を満たす程度
この定義に基づいて評価したとき、品質の良い製品
クレームが少なく顧客満足度が高い製品
ISO 9001:2000(JIS Q 9001:2000)品質マネジメントシステム―要求事項
品質要求事項を満たすための品質システムの構築と品質マニュアルの作成を要求している
品質マネジメントシステムの国際規格要求事項を満たす組織を認定する
設計・開発の妥当性確認を、指定された用途又は意図された用途に応じた要求事項を満たし得ることを確実にするために実施する行為と規定している
トレーサビリティが要求される製品は、製造番号などによって固有の識別を管理し記録する
内部監査についての規定
内部監査では、品質マネジメントシステムの効果的な実施と維持、個別製品の実現計画や規格要求事項への適合を確認する
ソフトウェアの品質マネジメントシステムを構築する方針
トップマネジメントは、JIS Q 9001に基づいた製品の品質保証にくわえて顧客の満足度の向上を目指し、JIS Q 9004を組織全体のパフォーマンスと効率との継続的な改善の手引きとしてQMS(Quality Management System)を確立・実行・維持し、プロセスの改善を推進する。また、QMSに基づいてコスト、納期、安全、環境などの経営要素の維持向上と合わせてTQM(Total Quality Management)を推進する
品質マネジメントの活動
品質に関する記録は、関係者間での情報共有化のためにサーバに保管している
運用
よく吟味されて作成された品質マネジメントシステムであっても、運用段階で不都合があった場合は、正規の手続きを経て変更する
経営者の責任
経営者は、品質マネジメントシステムの構築及び実施、改善に対するコミットメントの証拠を示さなければならない
審査登録
"品質マネジメントシステムの国際規格要求事項を満たす組織"を審査し登録する
ISO 9000-3
ソフトウェアの取引において、供給者の責任だけでなく、購入者の責任も規定している
購入者側の責任:受け入れ基準および手続きの明確化
ISO 9004:2000(JIS Q 9000:2000)
品質マネジメントシステムのパフォーマンス改善の指針
JIS X 7011(EDIFACT)
EDIに対して、EDIにおける標準メッセージなど、対象となる情報データをお互いのコンピュータで理解できるようにするための取決めが規定されている
JIS Z 8521
ユーザビリティ(使用性)の規格
使用性の定義
"ある製品が、指定された利用者によって、指定された利用の状況下で、指定された目的を達成するために用いられる際の、有効さ、効率及び利用者の満足度の度合い"
"利用者の満足度"を評価するときに用いる方法:インタビュー法
JIS Q 20000シリーズ
JIS Q 20000-1:2007
情報技術サービス提供者に対する要求事項を規定した規格
ITSMS適合性評価制度における認証基準
ITサービスマネジメントの情報セキュリティ管理プロセスに対して、JIS Q 20000-1が要求している事項
変更を実装する前に、変更がセキュリティ管理策に与える影響のアセスメントを行わなければならない
JIS Q 20000-1において供給者管理に求められるもの
サービス提供者は、供給者管理プロセスを文書化する
JIS Q 20000-2:2007
JIS Q 20000-1:2007の適用範囲内における、サービスマネジメントのプロセスのためのベストプラクティスを規定した規格
JIS Q 20000規格群の関係プロセスの規定における、問題管理プロセスでは、既知の誤り及び是正された問題に関する最新情報を、インシデント管理プロセスが利用できるようにしなければならない
JIS Q 20000規格群の関係プロセスの規定における、供給者、サービス提供者および顧客の3者の関係
供給者のサービスも含めて、サービス提供者が責任をもって、顧客にサービスを提供する
JIS Q 20000規格群におけるサービス継続及び可用性の管理プロセスで行う活動
サービス中止の許容可能な最長継続時間などの要求事項を、事業計画、SLA及びリスクアセスメントに基づいて特定する
JIS Q 13335-1:2006
情報技術−セキュリティ技術−情報通信技術セキュリティマネジメント−第1部:情報通信技術セキュリティマネジメントの概念及びモデル
リスクの定義
脅威が資産の脆弱性につけ込み、そのことによって組織に損害を与える可能性
脅威の分類と例
人間
環境
意図的
偶発的
盗聴
情報の改ざん
システムのハッキング(クラッキング)
悪意のあるコード
盗難
誤り及び手抜かり
ファイルの削除
不正な経路
物理的事故
地震
火災
洪水
落雷
JIS Q 2001:2001
リスクマネジメントシステム構築のための指針
7つの原則
リスクマネジメント方針
リスクマネジメントに関する計画策定
リスクマネジメントの実施
リスクマネジメントパフォーマンス評価及びリスクマネジメントシステムの有効性評価
リスクマネジメントシステムに関する是正・改善の実施
組織の最高経営者によるレビュー
リスクマネジメントシステム維持のための体制・仕組み
JIS X 0129-1(ソフトウェアの品質特性 ISO/IEC 9126)
品質を評価するために設定された測定要素
特性
機能性(Functionality)
ソフトウェアがある目的を達成するために、必要な機能を実装している度合い
ソフトウェアが、指定された条件の下で利用されるときに、明示的及び暗示的必要性に合致する機能を提供するソフトウェア製品の能力
副特性…合目的性、正確性、相互運用性、セキュリティ、機能性標準適合性
機能性に関するテスト
使用目的や要件に従って正しく動作することを検証する
仕様書通りの実行結果や操作が提供されている
信頼性(Reliability)
実装している機能が、あらゆる条件の下で機能要件を満たして、必要な時間、正常動作し続けることができる度合い
故障時に、指定された達成水準を再確立し、直接に影響を受けたデータを回復するソフトウェア製品の能力
指定された条件の下で利用するとき、指定された達成水準を維持するソフトウェア製品の能力
副特性…成熟性、障害許容性、回復性、信頼性標準適合性
ソフトウェアの信頼性
想定外のデータを入力しても異常な動作が起きないようにする
ソフトウェアの平均故障間隔が長い
使用性(Usability)
ソフトウェアシステムの使いやすさ、使うことにかかる労力、使うことによって得られる結果の善し悪しの度合い指定された条件の下で利用するとき、理解、習得、利用でき、利用者にとって魅力的であるソフトウェア製品の能力
副特性…理解性、習得性、運用性、魅力性、使用性標準適合性
利用者の習熟時間が短い
だれにでも使いやすい画面インタフェースにする
効率性(Efficiency)
明示された条件におけるソフトウェアがもつ目的達成と、使用する資源量の度合い
明示的な条件の下で、使用する資源の量に対比して適切な性能を提供するソフトウェア製品の能力
副特性…時間効率性、資源効率性、効率性標準適合性
入力後3秒位内に検索結果が得られるようにする
保守性(Maintainability)
改訂(訂正や環境適合のための改修等を含む)を行うために必要な労力の度合い
副特性…解析性、変更性、安定性、試験性、保守性標準適合性
パラメタを指定するだけで画面や帳票の変更ができるようにする
移植性(Portability)
ソフトウェアをある環境から別の環境下に移した場合のソフトウェア能力の度合い
ソフトウェアの品質特性の定義において、あるコンピュータ用に作成したプログラムを別のアーキテクチャのコンピュータで動作出来るようにすることの容易さを表す特性
副特性…環境適応性、設置性、共存性、置換性、移植性標準適合性
他のOS環境でも稼働できる
品質特性と測定方法の組み合わせの例
機能性:必須な要求仕様のうち、ソフトウェアで実現できた仕様の割合
使用性:特定の機能の使い方を学ぶのに必要となる時間
保守性:識別された類似の変更に対して変更が必要となるモジュール数
効率性:システムに処理を要求してから、応答が返ってくるまでの時間
信頼性:特定の運用期間中の停止時間
移植性:他のOS上で動作させるために再コンパイルが必要なモジュール数
ISO 27000シリーズ(情報セキュリティマネジメント規範)
ISO/IEC 27001:2005(JIS Q 27001:2006)情報セキュリティマネジメントシステム(ISMS)―要求事項
BS7799パート2に基づいて定められた
規定されているもの:経営者の責任が重要であり、コミットメント、経営資源の提供、マネジメントレビューなどに関与しなければならない
情報セキュリティは、機密性、完全性、可用性三つの特性を維持するものとして特徴づけられている
情報システムのリスクとその評価
リスクとは、脅威が情報資産の脆弱性につけ込み、情報資産に損失又は損害を与える可能性のこと
リスクの特定では、脅威が管理策の脆弱性に付けこむことによって情報資産に与える影響を特定する
情報セキュリティインシデント
定義
望まない単独もしくは一連の情報セキュリティ事象、または予期しない単独もしくは一連のセキュリティ事象であって、事業運営を危うくする確立及び情報セキュリティを脅かす確率が高いもの
報告の目的
情報システムに関連する情報セキュリティの事象及び弱点を、時期を失しない是正措置をとる事ができるやり方で連絡するとこを確実にするため
例
物理的セキュリティの取り決めに対する違反
管理されていないシステム変更
人的な誤りやアクセス違反
個別方針または指針の非遵守
システムの誤動作やハードウェアの不具合
セーフガード
リスクマネジメントにおいてリスクを低減する実践、手順、又はメカニズム
BS7799-2 セキュリティ管理システム構築の枠組み
セキュリティポリシを定める
情報セキュリティ管理システムの運用範囲を決める
リスクアセスメントを行う
リスクを管理する
実施すべき管理目的および管理策を選択・追加する
適用宣言書を作成する
リスク対応計画
組織の経営陣は、リスク対応計画を策定させ、策定された計画を承認する責任を負う
リスク対応計画には、日程表、優先順位、詳細な作業計画、管理策を実施する責任者などの項目を盛り込むことが望ましい
リスク対応計画により、残留リスクが受容可能基準以下に低減されていない場合のリスクへの追加対策の進捗を把握することができる
リスクアセスメントに取り組む際の手順
リスク値の算出方法、リスク評価基準、実施する頻度などを手順書に盛り込む
リスクアセスメントに対する取り組み方の定義
情報セキュリティの要求事項と法令や規制の要求事項に適したリスクアセスメントの方法を特定する
リスク受容基準を設定し、受容可能レベルを特定する
リスクの特定
情報資産の洗い出しを行い、資産の管理責任者を特定する
洗い出した情報資産に対する脅威と脅威がつけ込む可能性のある脆弱性、機密性、完全性、可用性が失われたときに情報資産にどのような影響があるかを特定する
リスク分析とリスク評価
セキュリティインシデントなどによる事業への影響、セキュリティインシデントなどの発生の可能性をアセスメントする
脅威、脆弱性、情報資産に関連する影響の視点から、セキュリティインシデントなどの発生の可能性をアセスメントする
リスクのレベルを算定する
あらかじめ決めておいたリスク受容基準と照合し、リスクを受容できるか、対策が必要かを判断する
詳細リスク分析で行う作業
リスクの評価
ISO/IEC 27002:2005(JIS Q 27002:2006)情報セキュリティマネジメントシステム―実践のための規範
組織としてセキュリティを構築運用するためのガイドライン
情報セキュリティマネジメントの実践のための規範であり、組織における情報セキュリティマネジメントの導入、実施、維持と改善のための指針及び一般的原則について規定する
情報セキュリティ管理システム(ISMS)を立ち上げ、実装し、運用するための情報セキュリティ管理に関するベストプラクティスを提供する
情報セキュリティを、機密性、完全性、可用性の三つの事項を維持するものとして特徴付けている
真正性、責任追跡性、否認防止及び信頼性のような特性を含めてもよい
情報資産の洗い出し
情報資産の洗い出しを行う際に、情報のオーナーである情報の管理責任者の設置を推奨している。それによって、情報資産の取扱の制限などを行い、評価結果に応じた対策の実施に責任を持ち、開示範囲などを決定する役割が明確となる。また、情報資産を洗い出した結果は、情報資産台帳あるいは情報資産目録としてまとめる。台帳の項目には、情報資産の種類や名称だけでなく、保管場所や保管期間、利用者の範囲、廃棄方法などを含めることが一般的である。なお、状態に応じて、バックアップの実施方法、アクセス制御、認証方法、ライセンス情報なども盛り込み、個人情報については、利用目的や利用範囲なども付記する必要がある
変遷
ISO BS7799パート1→ISO 17799→ISO/IEC 27002
JIS ISO/IEC 27002→JIS X 5080→JIS Q 27002
ISO/IEC 15408(システム及び製品に関する情報技術セキュリティ評価基準 / CC /Common Criteria)
情報システム製品が、セキュリティ用件を満足しているかを評価するための国際標準規格
評価対象:パケットフィルタリング機能を持つファイアウォール用ソフトウェア
CC(Common Criteria)
米国で運用されたTCSECや欧州政府調達のITSECを統合して、標準化が進められた情報技術に関するセキュリティの評価基準
JIS X 5070(ISO/IEC 15408;情報セキュリティ評価基準)
IT製品やシステムのセキュリティ機能及び実装のレベルを技術面から評価する基準
品質維持の基準は含まれないが、セキュリティ要件や環境の変化などに伴って行われる評価済み製品の再評価の手順を対象範囲としている
EAL(評価保証レベル)による評価
評価を受けるには、IT製品やシステムのセキュリティ設計仕様が記されたPP(プロテクションプロファイル)を提出する必要がある
評価保証レベルEAL4に相当するもの
詳細設計書と一部のソースコードや製造図面など、実装を確認するレベル
JIS X 5731-8(ITU-T X.509)
開放形システム間相互接続−ディレクトリ−第8部 認証の枠組み
公開鍵証明書の標準形式や証明書パス検証アルゴリズムなどを定めている
CRL(Certificate Revocation List)の運用
認証局は、ディジタル証明書を有効期限内にCRLに登録することがある
JIS Q 15001:2006
個人情報を事業の用に供している、あらゆる種類、規模の事業者に適用できる個人情報保護マネジメントシステムに関する要求事項
事業者が、一般に公開されている個人情報を使用して継続的にダイレクトメールを送付する場合、JIS Q 15001:2006に規定された通知事項を本人に通知し、同意を得れば送付できる
JIS Q 15001の内容を満たしていると認められる場合にその旨を示すプライバシーマークが付与される