まずは条文を読んで見ましょ
http://www.ipa.go.jp/security/ciadr/law199908.html
不正アクセス行為の禁止等に関する法律 への、あたしなりの思考実験よ。
先にはっきり申告しておくわ。あたしは法律の専門家じゃないの。むしろ素人と言っていいわ。だから読み間違いとかがあるかもしれないの。でも、間違いを恐れてたら一歩も歩けないわ。批判するならして頂戴。正当な批判なら諸手を挙げて歓迎いたしますわ。
そうそう。これに関しては、多分たっぷりと修正が入るわ。とりあえず修正履歴をいれておくから、必要なら参考にして頂戴。
修正履歴
2005/07/07 初版のUpよ
2005/07/08 修正を少しと、あとは例題をひとつ追加したわ。
2005/07/20 追加を少し入れてみたわ。
さて。早速、あたしなりの解読をしてみるわね。
第一条は「目的」よ。一番大切な「根っこ」の部分だわね。
不正アクセスをしないことで、秩序が守られて、高度情報通信社会が健全に発展しますように（はぁと
って感じかしら？
言い方を変えると「バカなことするんじゃねぇわよ!!」って感じね。まぁ…わかるようなわかんないような、微妙なラインだわ。
第二条は「定義」よ。言葉ってのはちゃんと定義されないと「同じつもりで違う内容」を語ってしまうわ？
この第二条では、「アクセス管理者」と「識別符号」、「アクセス制御機能」っていう言葉の定義をしているの。
アクセス管理者はそのまんま「対象となるコンピュータを管理をしている人」よ。これはいいわよね？
識別符号ってのは…ちょっと語弊があるんですけれども。大まかには「パスワード」って読み替えるとわかりやすいかしら？ 法律の文章では、厳密には例えば「指紋」や「虹彩」や「静脈」なども識別符号に入るんですけれども。
とりあえずしばらくは、問題がないと思われる範囲内で「パスワード」って読み替えるわ。
アクセス制御機能ってのは…これが結構問題のある定義なの。とりあえず切り刻んでみるわ。
…ふぅ、長いわねぇいきなり。この部分から、まず「コンピュータが、"コンピュータを利用する際において"その利用を自動的に制御するために、コンピュータ自身に備わっている機能」であることが伺えるわ。
http://www.ipa.go.jp/security/ciadr/law199908.html より
この法律において「アクセス制御機能」とは、特定電子計算機の特定利用を自動的に制御するために当該特定利用に係るアクセス管理者によって当該特定電子計算機又は当該特定電子計算機に電気通信回線を介して接続された他の特定電子計算機に付加されている機能であって
…まだ難解ねぇ。ようは「特定の機能に関して、つかっていい輩とつかっちゃ駄目な輩をえり分ける機能」ね。root権限じゃないと使えないコマンドとかがその典型かしら？
で、問題なのは「輩ってのをどうやって認識するのかしら？」って部分。それが後半に書いてあるわ。
つまり「パスワードとかで認証をかけてOKなら使わせてあげる」って感じね。
http://www.ipa.go.jp/security/ciadr/law199908.html より
当該特定利用をしようとする者により当該機能を有する特定電子計算機に入力された符号が当該特定利用に係る識別符号（識別符号を用いて当該アクセス管理者の定める方法により作成される符号と当該識別符号の一部を組み合わせた符号を含む。次条第二項第一号及び第二号において同じ。）であることを確認して、当該特定利用の制限の全部又は一部を解除するものをいう。
まとめると
「パスワードで認証がOKなら、ユーザ毎に管理者が決めた範囲で"非認証の輩には使えない"機能を使わせて差し上げても"よろしくってよ？"」
って感じなの。
ここまでは「ああなるほど確かにそれがアクセス制御機能だなぁ」って思う方も多いと思うんですの。
ちょっと後でもう少し考察してみるわ。
第三条は「不正アクセス行為の禁止」よ。ここで初めて「やっちゃ駄目」って言われるの。問題は、何をもって「不正アクセス行為」ってみなすのかしら？
それもまたこの条に書いてあるわ。まとめると
- 他人のパスワードとかを使っちゃった時
- アクセス制御をすり抜けるような事をしちゃった時(SQL インジェクションとか、バッファオーバフロウとかがこれよね)
- 信頼関係を結んだほかのコンピュータを経由してのアタック(XSSとか、一部のウィルスやワームの挙動とかがこれにあたるわね)、または「別のマシンに認証機能がある場合の想定」って感じだわね
で…三がもうひとつ意味がつかみにくいのよね。「信頼関係を結んだほかのコンピュータを経由してのアタック」を意識しているのかしら？
まぁようは「使っちゃ駄目っていってるものを使っちゃ駄目」って事ね。やっぱりここでのポイントは「どれがOKでどれが駄目なの？」っていう判断材料だと思うの。そうして、それは「アクセス制御がなされているか否か」が焦点になるのね。ここ、ポイントだから覚えていて頂戴。
第四条は「不正アクセス行為を助長する行為の禁止」。パスワードとかを無断で他人に教えちゃだめよ、って感じ。
第五条は「アクセス管理者による防御措置」。管理人はちゃんと管理しましょうね…っていう内容のはずなんですけれども。
「適正な管理に努める」とか「常に当該アクセス制御機能の有効性を検証し、必要があると認めるときは速やかにその機能の高度化その他当該特定電子計算機を不正アクセス行為から防御するため必要な措置を講ずるよう努める」とか。ニュアンスがかなり曖昧で微妙なのが気になるわ。
だってそれこそ「適正な管理をしていた」「有効性に問題はないと思ってた」「必要があるとは思わなかった」で逃げられそうなんですもの。
ちなみに「罰則規定が無いので『無意味』ですね。罰則規定が無いのに誰が努力するんでしょうか（苦笑）」ってお話をいただいたの。まったくだわね。
第六条は「都道府県公安委員会による援助等」。公的な援助が受けられるって話なんですけれども。「必要な資料の提供、助言、指導その他の援助を行う」って…クラックされまくってる公的機関にお願いするのもちょっとリスキーじゃなくってかしら？
第七条は公表とか啓蒙とかその辺をがんばりますっていうお話。まぁ大切ではあるわね。それが有益なものであるのならば。
第八条、第九条は「罰則」。数字だけなんで省略するわ。
