「セキュリティクリアランス」という言葉を、海外ドラマの中の話だと思っていませんか。2025年5月16日、重要経済安保情報の保護及び活用に関する法律（重要経済安保情報保護活用法）が施行され、日本にも民間企業の従業者を対象とした国家レベルの身辺調査制度が正式に動き始めました。しかもその対象は防衛産業だけではありません。電力・通信・金融といった基幹インフラ、半導体や重要物資のサプライチェーンなど、情報処理安全確保支援士（SC）が日常的に関わる領域が正面から射程に入っています。
筆者はCIOとして情報システム全体を見ていた頃、自社が外部の委託先になるケースが多く、委託元から降ってくるセキュリティ要求を現場に徹底させるのに苦労しました。「なぜここまでやるのか」を説明できないルールは、必ず現場で形骸化します。セキュリティクリアランス制度はまさにこの構図の国家版で、政府から適合事業者へ、適合事業者から従業者へと保護義務が流れていきます。
この記事では、セキュリティクリアランス制度とは何かという定義から、特定秘密保護法との二層構造、適性評価（バックグラウンドチェック）の調査7項目、適合事業者の実務、罰則、そして国際的な文脈までを、条文と一次情報に基づいて整理します。法規分野は暗記勝負に見えて、実は「なぜその数字なのか」を理解した人が確実に得点する領域です。
セキュリティクリアランス制度とは何か
まず制度の輪郭を押さえます。セキュリティクリアランスは「人に対する情報保全」の仕組みであり、技術的対策（暗号化やアクセス制御）とは別の層で動く点が最大の特徴です。
セキュリティクリアランスの定義
内閣府はセキュリティ・クリアランスを、国における情報保全措置の一環として、①政府が保有する安全保障上重要な情報を指定し、②指定された情報に対して、アクセスする必要がある者のうち、情報を漏らすおそれがないという信頼性を確認した者の中で取り扱う制度、と説明しています。ポイントは2つです。
- 情報の側の指定：まず政府が「これは守るべき情報だ」と正式に指定する
- 人の側の資格：その情報を扱ってよい人を、評価に合格した者だけに限定する
この2つが揃って初めて制度として機能します。技術系の学習を進めてきた人ほど「アクセス制御ならRBACで足りるのでは」と考えがちですが、RBACはあくまで「与えられた権限を正しく執行する」仕組みです。そもそもその人に権限を与えてよいのかという信頼性の判断は、システムの外側で決めなければなりません。セキュリティクリアランスはその外側を担う制度です。
重要経済安保情報保護活用法の成立から施行まで
法律の経緯は次のとおりです。年号と日付は午前IIで狙われやすいので、流れで覚えるのが得策です。
- 2023年（令和5年）2月：経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議が第1回を開催
- 2024年（令和6年）1月：有識者会議が「最終とりまとめ」を提出
- 2024年5月10日：重要経済安保情報の保護及び活用に関する法律が成立
- 2024年5月17日：公布（令和6年法律第27号）
- 2025年1月31日：運用基準を閣議決定
- 2025年5月2日：運用に関するガイドライン（行政機関編・適合事業者編）とQ&Aを公表
- 2025年5月16日：施行（施行期日を定める政令＝令和7年政令第25号）
法律の附則第1条は「公布の日から起算して一年を超えない範囲内において政令で定める日から施行する」と定めており、実際にほぼ上限いっぱいの1年後に施行された形です。施行準備に丸1年を要したこと自体が、この制度の重さを物語っています。
なぜ経済安全保障の情報保全が必要になったのか
法第1条は、国際情勢の複雑化や社会経済構造の変化に伴い、経済活動に関して行われる国家及び国民の安全を害する行為を未然に防止する重要性が増大していることを目的の前提に置いています。
背景には2つの現実があります。1つは、基幹インフラや先端技術がそのまま安全保障の対象になったこと。2023年7月の名古屋港のランサムウェア被害のように、経済活動を止める攻撃が国家レベルの問題になりました。もう1つは、日本企業が国際共同研究や政府間プロジェクトから締め出される事態です。相手国が「クリアランス保持者でなければ資料を渡せない」と言った瞬間、資格制度を持たない国の企業は交渉の席にすら着けません。この法律には「保護」だけでなく「活用」という語が入っていますが、これは情報を秘匿するだけでなく、守れる体制を作った上で民間に流して使わせることを目的にしているためです。
＋おまけ：毎日1通の無料メール講座つき。登録した日が「1日目」、図解と論理で16週間かけて基礎も固まります。
秘密保護法制の二層構造を理解する
日本の秘密保護法制は、2025年5月を境に単層から二層になりました。SC試験の法規分野では、この2つの法律を混同させる出題が最も作りやすい論点です。
特定秘密保護法がカバーする範囲
特定秘密の保護に関する法律（平成25年法律第108号）は、別表に掲げる4つの事項に関する情報を対象とします。
- 防衛に関する事項
- 外交に関する事項
- 特定有害活動の防止に関する事項
- テロリズムの防止に関する事項
指定の要件は、別表の事項に関する情報であって公になっていないもののうち、その漏えいが我が国の安全保障に著しい支障を与えるおそれがあるため特に秘匿することが必要であるもの、です。この「著しい」の3文字が、後述する重要経済安保情報との決定的な境界線になります。
重要経済安保情報が埋めた空白
有識者会議の最終とりまとめは、諸外国では機微度に応じてトップ・シークレット、シークレット、コンフィデンシャルなど複数の階層で管理するのが一般的であるのに対し、日本の特定秘密は単層構造にとどまると指摘しました。そして特定秘密は情報保護協定上トップ・シークレットとシークレットの2階層に対応する一方、その下の階層であるコンフィデンシャルに相当する情報には対応していない、と整理されました。
重要経済安保情報保護活用法は、この空白を埋める制度です。法第3条第1項は、重要経済基盤保護情報であって公になっていないもののうち、その漏えいが我が国の安全保障に支障を与えるおそれがあるため特に秘匿することが必要であるものを重要経済安保情報として指定するとし、特別防衛秘密と特定秘密に該当するものは除外しています。
つまり両者の関係は次のとおりです。
- 特定秘密：「著しい支障」＝より機微度が高い層
- 重要経済安保情報：「支障」＝その下の層。特定秘密に当たるものは初めから除かれる
学び始めの人がよくつまずくのは、「経済分野は新法、安全保障は旧法」という分け方をしてしまうことです。正しくは、重要経済安保情報も安全保障の確保を目的としており、分野ではなく支障の程度と情報の性質で切り分けられています。防衛や外交に関する情報であっても著しい支障を与えるおそれがあれば特定秘密のままです。
数字で比較する二層構造
条文上の主な違いを並べます。ここは午前IIの比較問題で最も出しやすい部分です。
| 項目 | 特定秘密保護法 | 重要経済安保情報保護活用法 |
|---|---|---|
| 施行 | 2014年12月 | 2025年5月16日 |
| 漏えいの要件 | 安全保障に著しい支障 | 安全保障に支障 |
| 取扱従事者の漏えい罪 | 10年以下の拘禁刑（情状により10年以下の拘禁刑及び1000万円以下の罰金） | 5年以下の拘禁刑もしくは500万円以下の罰金または併科 |
| 提供を受けた者の漏えい罪 | 5年以下の拘禁刑（情状により5年以下の拘禁刑及び500万円以下の罰金） | 3年以下の拘禁刑もしくは300万円以下の罰金または併科 |
| 共謀・教唆・煽動 | 5年以下の拘禁刑 | 3年以下の拘禁刑または300万円以下の罰金 |
| 両罰規定 | なし | あり（法第28条） |
| 適性評価の有効期間 | 5年 | 10年 |
| 指定の有効期間 | 5年以内・更新可・通じて30年（内閣承認で延長、原則60年上限） | 同左 |
指定の有効期間の枠組みは両法で共通です。指定日から5年を超えない範囲で有効期間を定め、要件を満たす限り5年以内で延長し、通じて30年を超えることはできません。ただし内閣の承認を得た場合に限り30年を超えて延長でき、それでも一定の例外情報を除き通じて60年を超えることはできません。「5年・30年・60年」はセットで覚えます。
一方で明確に異なるのが両罰規定です。重要経済安保情報保護活用法第28条は、法人の代表者や従業者がその法人の業務に関して漏えい等の違反行為をしたとき、行為者を罰するほか法人にも罰金刑を科すと定めています。特定秘密保護法に同種の規定はありません。民間事業者を制度の中核に据えた新法ならではの設計であり、企業にとっては「従業員個人の問題では済まない」ことを意味します。
2つの法律が交差する場面
実務上ややこしいのが、両方の制度に関わる人です。法第11条第2項は、特定秘密保護法に基づく直近の適性評価で漏らすおそれがないと認められた者は、その通知があった日から5年間に限り重要経済安保情報の取扱いの業務を行うことができると定めています。重要経済安保情報の適性評価そのものの有効期間は10年ですが、特定秘密の適性評価を流用する場合は特定秘密側の5年に合わせられるわけです。「10年か5年か」を問う設問は、この使い分けを突いてきます。
何が守られるのか：3つの入れ子構造
新法の用語は似た言葉が3つ並んでいて混乱しやすい部分です。「重要経済基盤」「重要経済基盤保護情報」「重要経済安保情報」は入れ子の関係にあります。
重要経済基盤とは
法第2条第3項は、重要経済基盤を次の2つの総称と定義しています。
- 公共的な役務の提供体制：我が国の国民生活または経済活動の基盤となる公共的な役務であって、その安定的な提供に支障が生じた場合に我が国及び国民の安全を損なう事態を生ずるおそれがあるものの提供体制
- 重要な物資の供給網：国民の生存に必要不可欠な、または広く我が国の国民生活もしくは経済活動が依拠し、もしくは依拠することが見込まれる重要な物資（プログラムを含む）の供給網
前者が基幹インフラ、後者がサプライチェーンです。物資の定義にプログラムを含むと明記されている点は見落とせません。ソフトウェアそのものが重要物資として扱われるということであり、OSSを含むソフトウェアサプライチェーンの話が正面から制度の対象になります。
なお、基幹インフラの安定的な提供の確保については経済安全保障推進法（経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律）が特定社会基盤事業者に対する事前審査制度を設けており、電気・ガス・水道・鉄道・電気通信・金融などの事業が指定され、その後、名古屋港の事案を受けた改正で一般港湾運送事業が追加されました。この改正法が公布されたのは令和6年5月17日、重要経済安保情報保護活用法とまったく同じ日です。重要経済安保情報保護活用法は情報保全の側から、経済安全保障推進法は事業の審査の側から、同じ重要経済基盤を守っている関係です。
重要経済基盤保護情報の4類型
法第2条第4項は、重要経済基盤に関する情報のうち次の事項に関するものを重要経済基盤保護情報と定義します。
- 外部から行われる行為から重要経済基盤を保護するための措置、またはこれに関する計画もしくは研究
- 重要経済基盤の脆弱性、重要経済基盤に関する革新的な技術その他の重要経済基盤に関する重要な情報であって安全保障に関するもの
- 第1号の措置に関し収集した外国の政府または国際機関からの情報
- 前2号に掲げる情報の収集整理またはその能力
支援士の視点で最も重い意味を持つのが第2号の「脆弱性」です。基幹インフラの未修正の脆弱性情報や、その存在自体が攻撃の手がかりになる構成情報は、まさにここに該当し得ます。脆弱性情報の取扱いは日頃から慎重に扱う対象ですが、それが国家の指定情報になり得るという感覚は持っておく必要があります。
指定される情報の3要件
重要経済安保情報として指定されるには、次の3つを同時に満たす必要があります。
- 重要経済基盤保護情報であること
- 公になっていないこと
- 漏えいが我が国の安全保障に支障を与えるおそれがあるため、特に秘匿することが必要であること
さらに、特別防衛秘密と特定秘密に該当するものは除外されます。「公になっていない」が要件に入っているため、すでに公開されている情報を後から指定して隠すことはできません。ここは制度の濫用を防ぐ重要な歯止めです。
適性評価の中身とプライバシーとの緊張関係
制度の中で最も議論を呼んだのが適性評価です。国が個人の家族構成や病歴、借金の状況まで調べる仕組みである以上、当然の緊張関係があります。
誰が誰を評価するのか
法第12条第1項は、行政機関の長が、重要経済安保情報の取扱いの業務を行うことが見込まれる者について、その者が取扱いの業務を行った場合にこれを漏らすおそれがないことについての評価（適性評価）を実施するとしています。
実施主体と調査主体は分かれています。評価を実施するのは行政機関の長ですが、調査そのものは、法第12条第4項により行政機関の長が内閣総理大臣に求め、原則として内閣総理大臣（実務上は内閣府）が一元的に行います。ただし同項ただし書により、当該行政機関の業務の遂行に支障を及ぼすおそれがある場合には、行政機関の長が自ら調査を行います。調査結果には「漏らすおそれに関する意見」（調査意見）が付されて行政機関の長に通知され、最終判断は行政機関の長が下します。
調査を一元化した理由は、評価の水準を政府全体で揃えるためと、結果に一定のポータビリティを持たせるためです。実際、法第12条第7項は、他の行政機関が実施した直近の適性評価（通知から10年を経過しておらず、内閣総理大臣が調査を行ったものに限る）で合格していれば、改めて調査を行わずその結果に基づいて評価できると定めています。省庁をまたぐたびに一から身辺調査をやり直す事態を避ける設計です。
調査される7つの事項
法第12条第2項が定める調査事項は次の7つです。特定秘密保護法と同じ枠組みですが、第1号の内容だけが経済安全保障向けに置き換わっています。
- 重要経済基盤毀損活動との関係に関する事項
- 犯罪及び懲戒の経歴に関する事項
- 情報の取扱いに係る非違の経歴に関する事項
- 薬物の濫用及び影響に関する事項
- 精神疾患に関する事項
- 飲酒についての節度に関する事項
- 信用状態その他の経済的な状況に関する事項
「重要経済基盤毀損活動」は法第12条第2項第1号に定義があり、外国の利益を図る目的で行われ重要経済基盤に関して我が国及び国民の安全を著しく害するおそれのある活動（スパイ活動等）と、政治上その他の主義主張に基づき社会に不安や恐怖を与える目的で重要経済基盤に支障を生じさせる活動（テロリズム等）の両方を指します。
そしてこの第1号には、評価対象者の家族（配偶者、父母、子、兄弟姉妹、配偶者の父母及び子）及び同居人（家族を除く）の氏名、生年月日、国籍（過去に有していた国籍を含む）及び住所が含まれると明記されています。事実上婚姻関係と同様の事情にある者も配偶者に含まれます。調査対象が本人だけでなく家族と同居人にまで及ぶこと、そして過去の国籍まで対象になることが、この制度で最も重い論点です。
調査手法についても法第12条第6項が定めており、評価対象者本人だけでなく知人その他の関係者への質問、資料の提出要求、公務所または公私の団体への照会が可能です。人事評価とは次元の異なる調査であることが分かります。
本人同意が二重に置かれている理由
法第12条第3項は、適性評価は、7つの事項について調査が行われる旨などをあらかじめ告知した上で、その同意を得て実施すると定めています。同意なしに調査は始まりません。
適合事業者の従業者の場合、同意は実質的に二段構えになります。まず事業者が取り扱わせる必要がある従業者を選定し、本人の同意を得て名簿を整備します。その名簿の提出を受けた行政機関が、改めて本人の同意を得て調査を実施します。本人が記入した質問票は事業者を経由せず直接行政機関へ提出されます。雇用主に病歴や借金の情報が渡らないようにするための配慮です。
ただし、実務では「同意しない自由」が本当にあるのかという問題が残ります。プロジェクトに参加するには適性評価が必須という状況で、上司から名簿への記載を打診されたとき、断ることが事実上難しい局面はあり得ます。この点について法は次の防御線を置いています。
- 不同意を理由とする不利益取扱いの禁止：法第16条第1項は、同意しなかったこと、評価結果、調査で取得した個人情報を、重要経済安保情報の保護以外の目的で利用・提供してはならないと定める。第2項は適合事業者と派遣元事業主にも同じ禁止を課す
- 不合格理由の通知：法第13条第4項により、漏らすおそれがないと認められなかった場合、円滑な実施の確保を妨げない範囲で理由も併せて通知される（本人が希望しない旨を申し出た場合を除く）
- 苦情申出権：法第14条により、評価対象者は書面で行政機関の長に苦情を申し出ることができ、苦情の申出をしたことを理由に不利益な取扱いを受けない
企業側で押さえるべきなのは、法第16条第2項の目的外利用禁止です。「適性評価に落ちた社員」という情報を人事評価や配置に流用することは、法が明確に禁じています。制度を運用する立場になったら、通知結果へのアクセスを人事部門から分離するといった内部統制の設計が必要になります。
施行1年目の実データ
法第19条は、政府が毎年、指定及び解除、適性評価の実施、適合事業者の認定の状況を国会に報告し公表するものと定めています。2026年6月に公表された最初の報告（対象期間：2025年5月16日から同年12月31日まで）では、次の状況が示されました。
- 重要経済安保情報の指定：9機関で20件（うち1件が年内に解除され、年末時点では9機関19件）
- 指定の有効期間を延長したもの：0件
- 重要経済安保情報が記録された行政文書の保有：8機関で計43件
- 通報窓口に寄せられた通報：0件
- 適性評価の実施：2機関・18件（うち適合事業者の従業者は0件）。漏らすおそれがないと認められなかったものはなし
- 内閣総理大臣に適性評価調査を求めた行政機関：11機関、計217件
- 同意しなかった件数：3件、同意が取り下げられた件数：2件
- 適合事業者の認定：0件
施行から約7か月半の時点で、適合事業者の認定はまだ0件です。制度は動き出したばかりで、民間への情報提供が本格化するのはこれからということが数字から読み取れます。同時に、調査の求めが217件ある一方で評価の実施が18件にとどまっているのは、調査から評価の完了までに相応の時間がかかっているためとみられます。なお、施行後の一定期間は、行政機関または都道府県警察の職員のうち行政機関の長等が指名する者について、適性評価を経ずに取扱いの業務を行わせることができる経過措置（附則第2条）が置かれており、その期間は令和8年5月14日までとされています。この経過措置の対象は行政機関等の職員であり、適合事業者の従業者には適用されません。
民間事業者と支援士の実務
ここからが支援士にとって最も現実的な話です。制度の主役は行政機関ですが、情報を実際に扱う現場の多くは民間企業になります。
適合事業者とは何か
法第10条第1項は、重要経済安保情報を保有する行政機関の長が、我が国の安全保障の確保に資する活動を行う事業者であって、重要経済安保情報の保護のために必要な施設設備を設置していることその他政令で定める基準に適合するもの（適合事業者）に情報を利用させる必要があると認めたときは、当該適合事業者との契約に基づき情報を提供できると定めています。
つまり適合事業者になるには2つのハードルがあります。1つは施設設備を含む保護基準への適合、もう1つは行政機関との契約です。「認定さえ取れば誰でも情報がもらえる」制度ではなく、必要性が認められた事業者に対して個別の契約で提供される仕組みです。
保護のための措置は、物理・技術・人的の3側面にまたがります。指定された情報には重要経済安保情報である旨の表示を付す（表示が困難な場合は取り扱う者への通知で代替する）ことが法第3条第2項で定められており、施行令はその表示方法まで様式レベルで規定しています。ラベリング、区画された保管場所、アクセスログ、持ち出し管理、そして取扱者の限定。支援士が普段設計している情報資産管理そのものが、法定の要求事項として降りてくると考えれば理解しやすいはずです。
罰則の全体像
罰則は行為の類型ごとに整理されています。
- 取扱業務従事者の漏えい（法第23条第1項）：5年以下の拘禁刑もしくは500万円以下の罰金、または併科。業務に従事しなくなった後も同様
- 提供・提示を受けた者の漏えい（法第23条第2項）：3年以下の拘禁刑もしくは300万円以下の罰金、または併科
- 未遂（法第23条第3項）：処罰対象
- 過失による漏えい：第1項の罪は1年以下の拘禁刑または30万円以下の罰金、第2項の罪は6月以下の拘禁刑または20万円以下の罰金
- 不正取得（法第24条第1項）：外国の利益もしくは自己の不正の利益を図る等の目的で、欺罔・暴行・脅迫、または窃取・損壊・施設侵入・有線電気通信の傍受・不正アクセス行為等の管理を害する行為により取得した場合、5年以下の拘禁刑もしくは500万円以下の罰金、または併科。未遂も処罰
- 共謀・教唆・煽動（法第25条）：第23条第1項または第24条第1項に係るものは3年以下の拘禁刑または300万円以下の罰金、第23条第2項に係るものは2年以下の拘禁刑または200万円以下の罰金
- 自首による刑の減免（法第26条）：未遂や共謀等について自首したときは刑を減軽または免除
- 国外犯（法第27条）：第23条の罪は日本国外で犯した者にも適用
- 両罰規定（法第28条）：法人の業務に関する違反行為について、行為者に加え法人にも罰金刑
注目すべきは法第24条が不正アクセス禁止法第2条第4項の不正アクセス行為を明示的に取り込んでいる点です。サイバー攻撃で重要経済安保情報を盗み出した場合、不正アクセス禁止法だけでなくこの法律の不正取得罪も成立し得ます。法第24条第3項が刑法その他の罰則の適用を妨げないと明記していることから、複数の法律が重畳的に適用される設計になっています。
過失犯があることの重い意味
学び始めの人が驚くのが過失による漏えいも処罰される点です。故意にスパイ行為をしたわけではなく、うっかりメールの宛先を間違えた、資料を電車に置き忘れたといった事態でも、構成要件に当たれば刑事罰の対象になり得ます。
この事実は、現場の運用設計を大きく変えます。「気をつける」という精神論ではなく、誤送信を仕組みで止める、持ち出し自体を発生させない、印刷を制限するといった技術的統制が、法的リスクを直接下げる手段になるということです。逆に言えば、支援士が設計するDLPや持ち出し制御は、単なる情報漏えい対策から従業員を刑事責任から守る仕組みへと意味が変わります。
支援士がやるべきこと
適合事業者を目指す企業、あるいはその委託先になる可能性がある企業で、支援士に期待される役割を整理します。
- 情報区分の再設計：既存の社内区分（社外秘・極秘など）と、重要経済安保情報という法定区分をどう対応させるか。既存区分に無理やり押し込むと、法定の表示義務や取扱者制限が守られなくなる
- アクセス制御の分離：適性評価に合格した者だけがアクセスできる区画・システムを、既存の権限体系から独立させる。ここで「まとめて管理した方が楽だから」と既存のグループに統合してしまうのが典型的な失敗です
- 委託先管理：適合事業者に課される保護措置は、再委託先にも一貫して及ぶ必要がある。契約と監査の設計が必須
- 人事情報との遮断：法第16条第2項の目的外利用禁止を担保するアクセス制御を、人事システム側にも設ける
- インシデント対応手順：漏えいのおそれが生じたときの通報経路を、通常のインシデント対応とは別に定めておく
国際的な文脈と日本の現在地
この制度は国内事情だけで生まれたわけではありません。国際的な情報共有の枠組みに参加できるかどうかが、そもそもの動機です。
諸外国の階層構造
有識者会議の整理によれば、米国・ドイツ・カナダは3つの階層、英国・フランスは2つの階層に区分して機密情報を管理しています。米国は一般にトップ・シークレット、シークレット、コンフィデンシャルの3段階です。日本の特定秘密は情報保護協定上トップ・シークレットとシークレットの2階層に対応すると整理される一方、コンフィデンシャル級には対応していませんでした。重要経済安保情報保護活用法はこの層を新設したものと位置づけられます。
同等性という壁
制度を作ったからといって、自動的に同盟国のネットワークに入れるわけではありません。情報保護協定に基づく情報共有では、相手国が日本の制度を「自国の水準と同等」と認めるかどうかが問われます。評価されるのは条文だけでなく、調査の徹底度、罰則の抑止力、運用の実績、そして情報が漏れなかったという事実の積み重ねです。
米国・英国・カナダ・オーストラリア・ニュージーランドによるFive Eyesのような枠組みは、長年の運用実績と相互の信頼の上に成り立っています。日本の制度は2025年5月に始まったばかりで、適合事業者の認定はまだ0件という段階です。制度の有効性が国際的に評価されるまでには、相応の年数がかかると見るのが妥当でしょう。
民間企業にとっての実利
それでも企業側には明確な動機があります。国際共同研究や政府調達、同盟国企業とのプロジェクトで、クリアランス保持者の在籍が参加条件になるケースが増えているためです。経団連が2024年2月の提言で実効性のある制度を求めたのも、この現実を踏まえてのことです。制度は規制であると同時に、参加資格の証明書でもあります。
SC試験での出題パターンと対策
法規分野は範囲が広い割に配点が読みにくく、後回しにされがちです。しかし新法は出題者にとって作問しやすい素材であり、押さえておく価値があります。
午前IIで狙われる論点
新設された法律は、施行後しばらくしてから午前IIに登場する傾向があります。狙われやすいのは次の型です。
- 定義の言い換え：「重要経済基盤」「重要経済基盤保護情報」「重要経済安保情報」のどれの説明かを問う。3語の入れ子関係を理解していれば選択肢を切れる
- 二法の対比：漏えい罪の法定刑（10年か5年か）、適性評価の有効期間（5年か10年か）、両罰規定の有無
- 要件の細部：「著しい支障」と「支障」の書き分け、「公になっていないもの」という要件の有無
- 数字：指定の有効期間5年、通算30年、内閣承認で60年上限、調査事項7つ
午後の記述で問われうる論点
午後は事例の中で「この情報を扱う要員をどう限定するか」「委託先にどのような義務を課すか」といった形で問われる可能性があります。想定される論点は次のとおりです。
- 適性評価に合格した者だけがアクセスできるよう、既存の権限体系から独立した制御をどう設計するか
- 適性評価の結果を人事目的で利用しないことを、どのような統制で担保するか
- 過失による漏えいも処罰対象であることを踏まえ、誤送信・持ち出しをどう技術的に抑止するか
- 委託・再委託の連鎖の中で、保護措置の同等性をどう確認するか
いずれも記述の骨格は「誰が」「どの情報に」「どの条件で」アクセスできるかを明示する形になります。法律の知識そのものより、法定要求をアクセス制御の設計に翻訳できるかが問われると考えてください。
学び始めの人がつまずくポイント
3つ挙げます。
- 経済分野＝新法、と単純化してしまう：分野ではなく支障の程度と情報の性質で切り分けられており、重要経済安保情報も安全保障のための制度です
- 適性評価を人事の身辺調査と同列に考える：実施主体は行政機関の長、調査は原則として内閣総理大臣（内閣府）が一元的に行い、結果の目的外利用は法律で禁止されています。企業が主体の制度ではありません
- 認定を取れば情報がもらえる、と考える：基準への適合に加えて行政機関との契約が必要であり、提供は個別に判断されます
【演習】セキュリティクリアランス制度と重要経済安保情報保護活用法 理解度チェック（全10問）
法規分野は午前IIで用語の定義と数字が直接問われ、午後では事例中の「取扱者をどう限定するか」という形で間接的に問われます。定番のひっかけは、特定秘密保護法と重要経済安保情報保護活用法の数字の入れ替え（漏えい罪10年と5年、適性評価5年と10年）、「著しい支障」と「支障」の書き分け、そして適性評価の実施主体と調査主体の取り違えです。以下の練習問題で本記事の理解度を確認してみましょう。
まとめ：制度を知ることは、守る対象の重さを知ること
セキュリティクリアランス制度と重要経済安保情報保護活用法を、二層構造・適性評価・適合事業者・罰則・国際文脈の5つの視点から整理しました。要点を再確認します。
- 2024年5月17日公布、2025年5月16日施行。特定秘密保護法の下の層（コンフィデンシャル級相当）を埋める制度
- 「著しい支障」が特定秘密、「支障」が重要経済安保情報。分野ではなく機微度と情報の性質で切り分ける
- 重要経済基盤は基幹インフラと物資（プログラムを含む）の供給網。その保護情報の中に脆弱性が含まれる
- 適性評価は行政機関の長が実施し、調査は原則として内閣総理大臣が一元的に実施。調査は7項目で、家族と同居人の国籍まで及ぶ。有効期間は10年
- 本人同意が前提で、結果の目的外利用は禁止。苦情申出権もある
- 漏えい罪は5年以下の拘禁刑もしくは500万円以下の罰金または併科。過失犯・未遂・共謀教唆煽動・国外犯・両罰規定まで揃う
- 施行1年目（2025年5月16日から12月31日）の実績は、指定20件、適性評価18件、適合事業者の認定0件
CIO時代、個人情報を大量に格納したCD-Rを本人限定受取郵便でやり取りしていたことがあります。輸送中に紛失すれば大問題という緊張感が常にありました。当時は自社の判断で最も安全と思える手段を選んでいましたが、扱う情報が国家の指定情報になれば、選択肢は自社の判断ではなく法定の要求として決まります。そこに「面倒だから」という余地はありません。
新卒エンジニアに教えるとき、私はいつも「アクセス制御は権限を執行する仕組みであって、信頼そのものを作る仕組みではない」と伝えています。誰を信頼するかを決めるのは人と制度の仕事です。セキュリティクリアランスはその原則を国家規模で実装したものだと考えると、技術と制度が地続きであることが実感できるはずです。
法規分野は「暗記するもの」と思われがちですが、条文の数字には必ず理由があります。なぜ漏えい罪が特定秘密の半分なのか、なぜ適性評価の有効期間が10年なのか、なぜ両罰規定が新法にだけあるのか。理由まで理解しておけば、午前IIで数字を入れ替えた選択肢を見た瞬間に違和感が働きます。試験対策としても、実務でこの制度に関わることになったときの備えとしても、その理解が効いてきます。
本記事は情報処理安全確保支援士（SC）試験対策を目的として作成しています。
参考資料
- 内閣府「重要経済安保情報保護活用法」 https://www.cao.go.jp/keizai_anzen_hosho/hogokatsuyou/hogokatsuyou.html
- e-Gov法令検索「重要経済安保情報の保護及び活用に関する法律」（令和6年法律第27号） https://laws.e-gov.go.jp/law/506AC0000000027
- e-Gov法令検索「重要経済安保情報の保護及び活用に関する法律施行令」（令和7年政令第26号） https://laws.e-gov.go.jp/law/507CO0000000026
- e-Gov法令検索「特定秘密の保護に関する法律」（平成25年法律第108号） https://laws.e-gov.go.jp/law/425AC0000000108
- 内閣府「重要経済安保情報保護活用法の運用に関するガイドライン（適合事業者編）」 https://www.cao.go.jp/keizai_anzen_hosho/hogokatsuyou/doc/jigyousyagl.pdf
- 内閣府「重要経済安保情報保護活用法の運用に関するガイドライン（行政機関編）」 https://www.cao.go.jp/keizai_anzen_hosho/hogokatsuyou/doc/gyouseigl.pdf
- 内閣府「国会への報告」（重要経済安保情報の指定及びその解除、適性評価の実施並びに適合事業者の認定の状況に関する報告） https://www.cao.go.jp/keizai_anzen_hosho/kokkaihoukoku/kokkaihoukoku.html
- 内閣官房「経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議」 https://www.cas.go.jp/jp/seisaku/keizai_anzen_hosyo_sc/index.html
- 内閣府「経済安全保障推進法」 https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/suishinhou.html
＋おまけ：毎日1通の無料メール講座つき。登録した日が「1日目」、図解と論理で16週間かけて基礎も固まります。
