【SC試験・午前1】法務を攻略！知的財産権・派遣と請負・セキュリティ関連法規の頻出パターン完全ガイド

法務は、午前1（科目A-1）のストラテジ系で「暗記した分がそのまま得点になる分野」です。計算はほぼ出ません。その代わり、著作権と特許権、派遣と請負、仮名加工情報と匿名加工情報といった「隣り合った概念のどちらか」を選ばせる問題が集中します。つまり失点の原因は知識不足ではなく、境界線が曖昧なまま覚えていることにあります。

そこで本記事は、用語を並べるのではなく「何を基準に切り分けるか」を軸に進めます。読み終えたときに、問題文の一言（誰が指示を出したか、その情報は加工済みか、対象はネットワーク経由か）を見た瞬間に答えの側が決まる状態を目指します。

なお、SC試験は2026年度からCBT方式へ移行し、試験区分の名称も変更されます。午前Ⅰが科目A-1、午前Ⅱが科目A-2、午後が科目Bという呼び方になります。これはIPAの試験要綱Ver.5.6（2026年10月の試験から適用）に反映済みで、出題範囲・出題数・試験時間に変更はありません。制度変更の詳細は「【2026年度版】情報処理安全確保支援士試験のCBT化で何が変わる？科目A/科目Bの新名称と対策の変え方」で解説しています。本記事では検索でたどり着きやすい「午前1」の呼称を主軸にしつつ、新名称を併記して進めます。

筆者はインフラエンジニアとして1999年から2005年ごろまでサーバーやルーターの設定・設計を担当し、その後、事業会社のCIOとしてIT投資とIT統制の判断を行う立場になりました。当時の自社は外部の委託先になるケースが多く、委託元からはセキュリティや情報の取り扱いについてさまざまな指示が来ました。対応しなければ仕事がなくなるという事情もあり、それを現場に徹底させるのに苦労した記憶があります。契約書に書かれた「請負」の二文字や、覚書に並んだ秘密保持の条項は、そのとき現場の運用を実際に縛っていたものです。法務の用語は、試験のための暗記に見えて、契約の相手方と自分たちの責任範囲を決める言葉でもあります。

本シリーズの全体戦略は導入記事「元CIOが実践するスタミナ温存術！「コスパ極振り」最短エスケープルート・完全版ロードマップ」に、前回の企業活動は「企業活動を攻略！損益分岐点・財務諸表・OR/IEの計算パターン完全ガイド」にまとめています。本記事は第15回、ストラテジ系（第3部）の最終回です。

この記事で学べること

• 知的財産権の全体像と、著作権・産業財産権・不正競争防止法の切り分け
• プログラムの著作物として保護される範囲と、保護されない範囲
• 職務著作（法人著作）と職務発明の帰属、相当の利益
• 特許権・実用新案権・意匠権・商標権の存続期間と特徴
• 営業秘密の3要件と限定提供データ
• 労働者派遣・請負・準委任の指揮命令系統の違いと、偽装請負・二重派遣
• 民法の契約不適合責任、下請法から中小受託取引適正化法への改称
• 不正アクセス禁止法と刑法各罪の適用場面の切り分け
• 個人情報保護法の加工3類型（仮名加工情報・匿名加工情報・個人関連情報）
• サイバーセキュリティ基本法、電子署名法、情報流通プラットフォーム対処法
• ISO/IEC 27001とJIS Q 27001、CMMI、内部統制報告制度（J-SOX）

午前1の法務は暗記が最短で報われる分野

まず、どこに時間を使い、どこを捨てるかを決めます。法務は範囲だけを見ると膨大ですが、午前1で問われる論点は毎回ほぼ同じ場所に集まっています。

出題数は少なくても得点効率は最も高い

午前1は30問で、ストラテジ系はおおむね8問前後です。そのうち法務はおおむね1問から2問という規模になります。数だけ見れば小さい枠ですが、法務は「計算不要・図表の読解不要・その場の思考不要」という点で他の分野と決定的に違います。知っていれば5秒で終わり、知らなければ何分考えても当たりません。したがって投入時間あたりの回収率が最も高い分野です。

さらに、法務はSC試験の本体である午前2・午後でも直接使います。個人情報保護法の漏えい報告、不正アクセス禁止法、支援士自身の秘密保持義務。午前1のためだけの暗記にはならない、という点も投資判断を後押しします。

取る問題は知的財産権・派遣と請負・セキュリティ関連法規

出題の重心は、次の4つに集中しています。

• 知的財産権：著作権法とプログラムの保護範囲、職務著作、職務発明、産業財産権の期間、営業秘密
• 労働・取引関連法規：派遣と請負の指揮命令系統、偽装請負、請負契約と準委任契約
• セキュリティ関連法規：不正アクセス禁止法、個人情報保護法、刑法のコンピュータ関連犯罪
• 標準化とガバナンス：ISO/IEC 27001、CMMI、内部統制報告制度

この4本柱を押さえれば、法務で出る問題の大半は射程に入ります。

深追いしない範囲を決める

一方で、条文番号の暗記、罰則の金額の細部、税法や会社法の詳細な手続き、独占禁止法の類型といった領域は、午前1の投資対効果が低い部分です。罰則は「刑事罰がある／ないの区別」と、突出して重い電子計算機使用詐欺罪あたりを押さえれば足ります。金額まで覚え込むのは、他分野が仕上がった後で構いません。

法改正の扱いは「施行済みかどうか」で線を引く

法務は改正が多い分野です。試験対策としての原則はシンプルで、出題は基本的に施行済みの法令に基づきます。成立や公布はしていても未施行の内容は、そのまま正解として問われにくいと考えて構いません。本記事では2026年8月時点の状況として、施行済みの内容を主軸に置き、公布済みで未施行のものは「今後こう変わる」という補足として年次つきで明示します。

学び始めの人がここでつまずきやすいのは、ニュースで見た改正内容を現行制度だと思い込んでしまうケースです。改正情報に触れたら「成立」「公布」「施行」のどれなのかを毎回確認する癖をつけてください。試験で効くのは施行日です。

知的財産権：著作権と産業財産権の切り分け

知的財産権は法務の中で最も出題が安定した領域です。全体像を1枚で持っておくと、個別の設問がどこの話なのか迷わなくなります。

知的財産権の全体マップ

知的財産権は大きく3つに分かれます。著作権（文化的な創作物の表現を保護）、産業財産権（特許権・実用新案権・意匠権・商標権の4つ）、そしてその他の権利（不正競争防止法による営業秘密の保護、回路配置利用権、育成者権など）です。

産業財産権は特許庁への出願と登録が必要な方式主義であるのに対し、著作権は創作した時点で自動的に発生する無方式主義です。この違いは繰り返し問われます。

著作権法：無方式主義とプログラムの著作物

著作権は、著作物を創作した時点で発生し、登録や表示は不要です。よく見る「(c) 2026 …」の表示は、権利発生の条件ではありません。

著作権は2つの束から成ります。

• 著作者人格権：公表権・氏名表示権・同一性保持権。著作者に一身専属し、譲渡できません
• 著作権（財産権）：複製権・翻案権・公衆送信権など。譲渡や相続ができます

保護期間は原則として著作者の死後70年です。法人などの団体名義の著作物は公表後70年となります。2018年12月30日のTPP11発効に伴い、それまでの50年から70年へ延長されました。

そして試験対策上の要点は、プログラムは著作物として保護されるという点です（著作権法第10条第1項第9号）。データベースも、情報の選択または体系的な構成に創作性があれば著作物として保護されます。

アルゴリズムやプログラム言語は保護されない

一方、著作権法第10条第3項は、プログラムに関する次の3つを保護対象から明確に外しています。

• プログラム言語：文字その他の記号およびその体系
• 規約：プロトコルやインタフェースの約束事
• 解法：アルゴリズム（プログラムにおける電子計算機に対する指令の組合せの方法）

つまり著作権が守るのは「表現」であって、「アイディア」ではありません。ここは非常に高い頻度で問われます。優れたアルゴリズムそのものを独占したい場合は、著作権ではなく特許権（発明として出願する）や、公開せずに営業秘密として管理する道を選ぶことになります。同じソースコードでも、コードの記述という表現は著作権、そこに実装された技術的思想は特許という二階建てで理解しておくと混乱しません。

職務著作（法人著作）は要件を満たすと会社が著作者になる

会社の業務で従業員が作ったプログラムの著作者は誰か。原則は創作した人ですが、著作権法第15条の要件を満たすと、法人その他の使用者が著作者そのものになります。これが職務著作（法人著作）です。

要件は次のとおりです。

1. 法人などの発意に基づくこと
2. 法人などの業務に従事する者が職務上作成したこと
3. 法人などの名義で公表されること
4. 作成時の契約・勤務規則などに別段の定めがないこと

ここで押さえるべき例外があります。プログラムの著作物については、3の「法人名義で公表」の要件が不要です。社内でしか使わない業務プログラムは公表されませんが、それでも職務著作が成立するようにするための規定です。

注意したいのは、この規定が適用されるのは「業務に従事する者」、つまり雇用関係にある従業員などである点です。外部のベンダーへ委託して開発してもらったプログラムは職務著作になりません。何も取り決めがなければ著作権は受託側に残ります。委託契約で著作権の帰属を明記する実務上の理由がここにあります。

産業財産権：4つの権利の対象と存続期間

産業財産権は特許庁が所管し、いずれも出願と登録によって権利が発生します。

権利	保護対象	存続期間	特徴
特許権	発明（自然法則を利用した技術的思想の創作のうち高度なもの）	出願日から20年	実体審査あり。審査請求は出願から3年以内
実用新案権	考案（物品の形状・構造・組合せに係る考案）	出願日から10年	実体審査なしで登録される
意匠権	物品などのデザイン	出願日から25年	2020年4月1日施行の改正で20年から25年に延長
商標権	商品・サービスの目印（文字、図形、音など）	登録日から10年	更新登録により何度でも更新可能（半永久的）

日本は先願主義です。同じ発明について複数の出願があった場合、先に出願した者が権利を得ます。先に発明した者ではありません。また、出願された発明は原則として出願から1年6か月後に公開されます（出願公開）。

商標権の期間だけが「更新できる」という点は、選択肢で狙われる定番です。ソフトウェアやサービスの名前は、特許が切れた後も商標として守り続けられます。

職務発明は「相当の利益」がキーワード

職務発明は特許法第35条に定めがあります。従業者が職務上行った発明について、原則としては発明者である従業者に特許を受ける権利が生じますが、あらかじめ契約・勤務規則などで定めておけば、その権利は発生した時点から使用者（会社）に帰属します。これは2015年の改正（2016年4月1日施行）で導入された原始帰属の仕組みです。

その代わり、従業者は相当の金銭その他の経済上の利益（相当の利益）を受ける権利を持ちます。金銭に限られず、留学の機会やストックオプションなども対象になり得るという点が改正のポイントです。また、会社に権利が帰属した場合でも、発明者として名前が記される権利（発明者掲載権）は従業者に残ります。

なお、職務発明ではない自由発明（職務と無関係な発明）については、会社があらかじめ権利を取り上げるような定めをしても無効です。

不正競争防止法と営業秘密の3要件

特許は出願すれば公開されます。公開したくない技術やノウハウを守る手段が、不正競争防止法による営業秘密の保護です。営業秘密として保護されるには、次の3要件をすべて満たす必要があります。

1. 秘密管理性：秘密として管理されていること（アクセス制限、マル秘表示など）
2. 有用性：事業活動に有用な技術上・営業上の情報であること
3. 非公知性：公然と知られていないこと

3つのうち、実務で最も争いになるのが秘密管理性です。有用で非公知の情報であっても、誰でも見られる共有フォルダに置いていれば営業秘密とは認められません。技術的なアクセス制御と表示の運用が、法的保護の前提条件になっているという点は、SC試験の午後でもそのまま使える視点です。

2018年の改正（2019年7月1日施行）では、限定提供データという保護類型が加わりました。会員企業へ有償提供されるビッグデータのように、非公知性を満たさないため営業秘密にはならないが、電磁的に管理され特定の相手に提供されるデータを不正取得などから守るものです。

不正競争防止法はほかにも、周知な商品等表示の混同惹起、著名表示の冒用、商品形態の模倣（販売開始から3年間）、技術的制限手段（コピープロテクトやアクセス制御）を無効化する装置やプログラムの提供、不正な目的でのドメイン名の取得などを不正競争行為として規制しています。営業秘密の侵害には刑事罰も用意されており、他の知的財産権の侵害と比べても重い部類に入ります。

ソフトウェアライセンスとOSSの扱い

購入したソフトウェアは、著作権が譲渡されるのではなく使用許諾（ライセンス）を受ける形が基本です。午前1では次の区別が問われます。

• ボリュームライセンス／サイトライセンス：まとめて、あるいは組織単位で使用を許諾する契約
• シェアウェア：試用後に対価を支払う配布形態
• パブリックドメイン：著作権が消滅または放棄され、自由に利用できる状態
• クリエイティブ・コモンズ（CC）：条件を組み合わせて利用を許諾する意思表示の枠組み

OSSのライセンスは、コピーレフトの強さで整理すると覚えやすくなります。GPLは、それを組み込んだ派生物にも同じライセンスでのソースコード公開を求める強いコピーレフト型です。MITライセンスやBSDライセンスは著作権表示と免責の記載だけを求める寛容型で、Apache License 2.0は寛容型に特許の許諾条項を加えたものです。自社製品にOSSを組み込む際、GPLかどうかで公開義務の有無が変わるという点が実務でも試験でも要点になります。

労働関連法規と取引関連法規：指揮命令系統で切り分ける

法務でもう1つの頻出テーマが、外部の人材や企業と仕事をするときの契約形態です。ここは判別基準が明確なので、確実に取れます。

労働者派遣と請負の違いは指揮命令系統

判断基準はただ1つ、業務の指揮命令を誰が行うかです。

• 労働者派遣：派遣元と雇用関係を結んだ労働者が、派遣先の指揮命令を受けて働く。派遣先に指揮命令権がある
• 請負：注文者と請負人（企業）が仕事の完成を約束する。作業する労働者への指揮命令は請負人が行う。注文者に指揮命令権はない

この違いから、成果物の扱いも分かれます。派遣は労働力の提供であり、成果物の完成責任は負いません。請負は仕事の完成そのものが債務です。

偽装請負と二重派遣は「してはいけない形」で覚える

偽装請負は、契約上は請負でありながら、実態として発注者が請負人の労働者に直接指示を出している状態です。労働者派遣法や職業安定法の規制を潜脱するもので、違法とされます。現場では「同じ部屋にいるのだから直接お願いしたほうが早い」という理由で起きがちですが、この一言が契約形態を壊します。作業指示は必ず請負人側の責任者を経由させる、という運用が必要です。

二重派遣は、派遣された労働者をさらに別の会社へ派遣する行為です。派遣元と雇用関係のない会社が労働者を他社へ供給することになるため、職業安定法が禁じる労働者供給に該当し、違法となります。

労働者派遣法にはこのほか、次のような規制があります。

• 派遣期間の制限：同一の事業所での受入れは原則3年（事業所単位）、同一の組織単位での同一労働者の従事も原則3年（個人単位）
• 派遣禁止業務：港湾運送業務、建設業務、警備業務、病院等における医療関連業務の一部
• 同一労働同一賃金：2020年4月施行の改正により、派遣労働者の待遇について派遣先均等・均衡方式または労使協定方式のいずれかが求められる

労働基準法：法定労働時間・36協定・裁量労働制

労働基準法からは、次の点が問われます。

• 法定労働時間：原則1日8時間、1週40時間
• 36協定：法定労働時間を超えて働かせるには、労使協定を締結し労働基準監督署へ届け出る必要があります（労働基準法第36条に由来する呼称）。時間外労働の上限は原則として月45時間・年360時間
• フレックスタイム制：始業・終業時刻を労働者が決める制度。清算期間は最長3か月
• 専門業務型裁量労働制：研究開発やシステムコンサルタントなど、対象業務が省令等で限定される制度。2024年4月からは本人の同意が要件となりました
• 企画業務型裁量労働制：事業運営の企画・立案・調査・分析の業務が対象。労使委員会の決議と本人同意が必要
• 高度プロフェッショナル制度：一定の年収要件と対象業務を満たす労働者を労働時間規制の対象外とする制度

裁量労働制でよくある誤解は「残業代が一切発生しない制度」というものです。実際にはみなし時間が法定労働時間を超えれば割増賃金が必要であり、深夜労働や休日労働の割増も適用されます。

請負契約と準委任契約、そして契約不適合責任

システム開発の契約形態は、民法上は主に2つです。

	請負契約（民法632条）	準委任契約（民法656条）
債務の内容	仕事の完成	事務の処理（善管注意義務）
成果物の完成責任	あり	原則なし（成果完成型を除く）
主な適用場面	設計・製造・テストなど成果が明確な工程	要件定義の支援、コンサルティング、運用支援

2020年4月1日施行の改正民法で、それまでの瑕疵担保責任は契約不適合責任に整理されました。引き渡された成果物が種類・品質・数量に関して契約の内容に適合しない場合、注文者は追完請求（修補など）・代金減額請求・損害賠償請求・契約の解除を求めることができます。権利を保全するには、不適合を知った時から1年以内にその旨を通知する必要があります。

また、改正民法では準委任契約に成果完成型（成果に対して報酬を支払う）と履行割合型（履行の割合に応じて報酬を支払う）の区別が明示されました。準委任だから完成責任は絶対にない、と単純化しすぎないよう注意してください。

下請法は2026年1月に中小受託取引適正化法へ

いわゆる下請法（下請代金支払遅延等防止法）は、親事業者による代金の支払遅延、不当な減額、返品、買いたたきなどを禁止する法律です。ソフトウェア開発の再委託が典型的な適用場面で、親事業者には発注書面の交付義務、支払期日の設定（受領日から60日以内）、取引記録の書類作成・保存義務が課されます。

この法律は2025年5月に改正法が成立し、2026年1月1日から「中小受託取引適正化法」（通称は取適法）へ改称されました。正式名称は「製造委託等に係る中小受託事業者に対する代金の支払の遅延等の防止に関する法律」です。従来の資本金基準に加えて従業員基準が追加され、手形払が禁止されるなど、適用範囲と規制が広がっています。改正直後は旧称・新称の両方が出回るため、どちらを見ても同じ法律だと分かるようにしておけば十分です。

セキュリティ関連法規：適用場面で切り分ける

ここからはSC試験の本体に直結する領域です。似た行為を扱う法律が複数あるため、「どの場面でどの法律が出てくるか」という形で覚えます。

不正アクセス禁止法は「実害がなくても成立する」

不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）が禁止するのは、次の行為です。

• 不正アクセス行為：他人の識別符号（ID・パスワードなど）を無断で使ってネットワーク経由でアクセスする行為、およびセキュリティホールを突いて制限を免れアクセスする行為
• 識別符号の不正取得・不正保管
• フィッシング行為：他人の識別符号の入力を不正に要求する行為
• 不正アクセスを助長する行為：他人のIDとパスワードを無断で第三者へ提供する行為

要点は3つあります。第一に、対象はアクセス制御機能を持つコンピュータへの、電気通信回線（ネットワーク）経由のアクセスです。目の前のパソコンを直接操作した場合は、この法律ではなく別の法令や社内規程の問題になります。第二に、アクセスに成功した時点で成立し、データを盗んだり壊したりといった実害は要件ではありません。第三に、フィッシングや助長行為は、実際のアクセスがなくても処罰対象になります。このうち識別符号の不正取得・不正保管とフィッシング行為は2012年の改正で新設されたもので、助長行為の禁止は制定当初から置かれていた規定です（2012年の改正では対象範囲が拡大されました）。

学び始めの人がつまずくのは「侵入して何もしていないなら罪にならないのでは」という感覚です。この法律は不正なアクセスそのものを禁じているという点を、はっきり切り分けて覚えてください。

刑法のコンピュータ関連犯罪

刑法側にも、情報システムに関する罪が並んでいます。

• 不正指令電磁的記録に関する罪（いわゆるウイルス作成罪、刑法第168条の2・第168条の3）：正当な理由なくマルウェアを作成・提供・供用・取得・保管する行為。2011年の改正で新設されました
• 電子計算機損壊等業務妨害罪（第234条の2）：コンピュータやデータを壊す、虚偽の情報を与えるなどして業務を妨害する行為。DoS攻撃やデータ破壊が典型
• 電子計算機使用詐欺罪（第246条の2）：虚偽の情報や不正な指令を与えて、財産上不法の利益を得る行為。不正送金などが該当
• 電磁的記録不正作出・供用罪（第161条の2）：権利義務に関する電磁的記録を不正に作り出す行為

なお、2022年に成立した刑法改正により、2025年6月1日から懲役と禁錮が「拘禁刑」に一本化されました。旧来の教材では「3年以下の懲役」と書かれている箇所が、現行法では「3年以下の拘禁刑」になります。刑の重さそのものが変わったわけではありませんが、選択肢の文言として現れる可能性があるため、本記事では拘禁刑の表記に統一しています。

個人情報保護法：3つの用語階層をまず押さえる

個人情報保護法は、まず用語の階層を整理するところから始めます。

• 個人情報：生存する個人に関する情報で、特定の個人を識別できるもの（他の情報と容易に照合できる場合を含む）。個人識別符号（マイナンバー、旅券番号、指紋データなど）を含むものも該当します
• 個人データ：個人情報データベース等を構成する個人情報
• 保有個人データ：事業者が開示・訂正・利用停止などの権限を持つ個人データ

要配慮個人情報は、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実などを含む個人情報です。取得には原則としてあらかじめ本人の同意が必要であり、オプトアウトによる第三者提供はできません。この2点はそのまま出題されます。

漏えい等が発生した場合、次のいずれかに該当すると個人情報保護委員会への報告と本人への通知が義務になります。要配慮個人情報が含まれる場合、財産的被害のおそれがある場合、不正の目的による行為による場合、そして1,000人を超える漏えいの場合です。報告は速報と確報の2段階で行います。

仮名加工情報・匿名加工情報・個人関連情報の違い

加工に関する3つの類型は、午前1でも午前2でも頻出です。

類型	加工の程度	第三者提供	主な用途
仮名加工情報	他の情報と照合しない限り特定の個人を識別できないように加工	原則不可（委託・共同利用等を除く）	社内でのデータ分析・利活用
匿名加工情報	特定の個人を識別できず、かつ元の個人情報を復元できないように加工	本人同意なく可能（公表等の義務あり）	外部提供・データ流通
個人関連情報	生存する個人に関する情報で、個人情報・仮名加工情報・匿名加工情報のいずれにも該当しないもの（Cookie IDなど）	提供先で個人データとなることが想定される場合は本人同意の確認が必要	広告配信などの外部連携

仮名加工情報は2020年の改正で新設され、2022年4月1日に全面施行されました。内部での分析利用を想定した類型であり、外へ出すためのものではないという点が匿名加工情報との最大の違いです。加工の程度も、匿名加工情報のほうが厳しく（復元不可能なレベルまで）求められます。

もう1つの相違点として、仮名加工情報（個人情報である場合）については、漏えい等報告の義務や、本人からの開示・利用停止請求の規定が適用されません。内部分析専用という位置づけに合わせた設計です。

なお、個人情報保護法は3年ごとの見直し規定に基づく改正法が2026年7月17日に公布されました。課徴金制度の導入や、顔認証データなどを対象とする新たな類型の追加が盛り込まれていますが、施行は公布から2年以内とされており、2026年8月時点では未施行です。試験対策としては現行制度を軸に押さえ、改正内容はニュースとして知っておく程度で構いません。

サイバーセキュリティ基本法と支援士の義務

サイバーセキュリティ基本法は2014年に成立し、2015年1月に全面施行された基本法です。サイバーセキュリティに関する施策の基本理念を定め、内閣にサイバーセキュリティ戦略本部を置くこと、国・地方公共団体・重要社会基盤事業者・事業者・教育研究機関などの責務を定めています。基本法という性格上、個別の行為を禁じるのではなく、体制と方針を定める法律だという点が特徴です。

情報処理安全確保支援士の制度は情報処理の促進に関する法律に根拠があります。支援士には、信用失墜行為の禁止、秘密保持義務（登録を取り消された後も継続し、違反には罰則があります）、そして講習の受講義務が課されます。名称独占資格であり、登録を受けていない者が支援士を名乗ることはできません。自分が取ろうとしている資格の義務規定は午前2でも問われるので、必ず押さえてください。

なお、能動的サイバー防御に関する法律（正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」、通称サイバー対処能力強化法）が2025年5月に成立しました。組織関係の規定（サイバーセキュリティ戦略本部の改組、内閣サイバーセキュリティセンターを改組した国家サイバー統括室の設置）は2025年7月に先行して施行され、基幹インフラ事業者の届出制度や通信情報の利用に関する規定は2026年から2027年にかけて順次施行される予定です。こちらも現時点では出題の中心にはなりにくい領域ですが、法律名は覚えておいて損はありません。

電子署名法・情報流通プラットフォーム対処法・特定電子メール法

電子署名法（電子署名及び認証業務に関する法律、2001年4月1日施行）の要点は、本人による一定の電子署名が行われている電磁的記録は、真正に成立したものと推定されるという規定です。紙の文書における押印と同等の法的効果を電子署名に与えるものだと理解しておけば十分です。認証業務のうち一定の基準を満たすものは、主務大臣の認定を受けた認定認証事業者となります。

情報流通プラットフォーム対処法は、従来のプロバイダ責任制限法が2024年の改正で改称されたもので、2025年4月1日に施行されました。正式名称は「特定電気通信による情報の流通によって発生する権利侵害等への対処に関する法律」です。従来からの発信者情報開示請求や、プロバイダの損害賠償責任の制限に加え、大規模プラットフォーム事業者に対して削除申出の窓口・手続の公表、申出への対応結果の通知、削除基準の策定と公表といった義務が新設されました。参考書によっては旧称のままの場合があるため、プロバイダ責任制限法の後継であるという対応関係で覚えてください。

特定電子メール法は広告宣伝メールを規制する法律で、あらかじめ同意した者にのみ送信を認めるオプトイン方式を採用しています。送信者情報の表示義務や、受信拒否の通知先の明示義務も定められています。

標準化と内部統制：ISO/JISとJ-SOX

法務の最後は、法律ではないルール、つまり規格とガバナンスの枠組みです。ここも用語の対応関係を押さえるだけで得点できます。

ISO/IEC 27001とJIS Q 27001の対応関係

情報セキュリティマネジメントシステム（ISMS）の要求事項を定めた国際規格がISO/IEC 27001、それを日本産業規格として翻訳・制定したものがJIS Q 27001です。最新版は2022年に改訂されたISO/IEC 27001:2022で、これに対応するJIS Q 27001:2023が2023年9月20日に発行されました。附属書Aの管理策は93項目に整理され、組織的・人的・物理的・技術的という4つのテーマで構成されています。管理策の実践のためのガイドラインはISO/IEC 27002です。

覚えておきたい関連規格を並べます。

• ISO/IEC 27017：クラウドサービスの情報セキュリティ管理策
• ISO/IEC 27018：クラウドにおける個人情報（PII）の保護
• ISO/IEC 15408（JIS X 5070）：製品やシステムのセキュリティ評価基準（コモンクライテリア）
• ISO 22301：事業継続マネジメントシステム（BCMS）
• ISO 31000：リスクマネジメントの指針（認証を目的とした規格ではありません）

ここでの定番の引っかけは、ISO/IEC 27001が認証するのは組織のマネジメントシステムであり、製品ではないという点です。製品のセキュリティ評価はISO/IEC 15408の担当です。

ISO 9001・ISO 14001・CMMI

• ISO 9001：品質マネジメントシステム（QMS）
• ISO 14001：環境マネジメントシステム（EMS）
• ISO/IEC 20000：ITサービスマネジメントシステム（ITILのプロセスに対応）
• CMMI（能力成熟度モデル統合）：組織の開発プロセスの成熟度を5段階で評価するモデル。レベル1の初期段階から、管理された、定義された、定量的に管理された、最適化しているという順に上がります

CMMIは「プロセスがどれだけ組織として定着し、数値で管理され、改善が回っているか」を測るものです。レベルの並び順が出題されることがあるため、上位2段階が「定量的に管理」と「最適化」であることだけでも押さえておくと有利です。

コンプライアンスとコーポレートガバナンス

コンプライアンスは法令や社会規範の遵守、コーポレートガバナンスは企業経営を監視・統制する仕組みを指します。両者はしばしば混同されますが、ガバナンスは「誰がどう監視するか」という構造の話です。ITの分野でこれに対応するのがITガバナンスで、ITの利用に関する意思決定と統制の仕組みを意味します。

企業が自主的に定める行動規範をコーポレートガバナンス・コードや社内の行動規範として整備し、それを実効化する仕組みが内部統制です。

内部統制報告制度（J-SOX）とIT統制

内部統制報告制度（通称J-SOX）は、金融商品取引法に基づき、上場企業などが財務報告に係る内部統制の有効性を評価し、内部統制報告書を提出する制度です。2008年4月1日以後開始する事業年度から適用されました。米国のSOX法（サーベンス・オクスリー法）を参考にしたことから、この通称で呼ばれます。

内部統制の4つの目的は、業務の有効性と効率性、報告の信頼性、事業活動に関わる法令等の遵守、資産の保全です。かつては「財務報告の信頼性」でしたが、2023年に改訂された実施基準（2024年4月1日以後開始する事業年度から適用）で、非財務情報も含む「報告の信頼性」へと拡張されました。

6つの基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、そしてITへの対応です。ITへの対応はさらにIT全般統制（アクセス管理、変更管理、運用管理といった基盤側の統制）とIT業務処理統制（個々の業務システム内での入力・処理・出力の統制）に分かれます。この2つの区別はシステム監査でも問われます。

筆者がCIOを務めていた2005年から2008年ごろは、まさにJ-SOX対応が世間で叫ばれていた時期でした。ただし当時の自社は将来の株式上場を目指して動き始めた初期フェーズで、しかも金融商品を扱っていなかったため、仰々しいJ-SOX対応そのものは行っていません。それでも、誰がどのシステムに触れるのかを整理し、変更の記録を残す運用は必要でした。制度の適用対象かどうかにかかわらず、統制の考え方だけは先に効いてくるというのが当時の実感です。試験に出る枠組みは、そういう意味で実務の共通言語でもあります。

公益通報者保護法

公益通報者保護法は、組織の不正を通報した労働者が解雇や不利益な取扱いを受けないよう保護する法律です。2020年の改正（2022年6月1日施行）により、常時使用する労働者が300人を超える事業者には、内部通報に適切に対応するための体制整備（窓口設置、調査、是正措置）が義務化されました。300人以下の事業者は努力義務です。また、通報対応業務従事者には守秘義務が課され、違反には罰則があります。

なお、2025年に改正法が成立し、通報者の探索行為の禁止や刑事罰の追加などが盛り込まれましたが、施行は2026年12月の予定です。現時点の試験では、体制整備義務の対象規模を押さえておけば十分です。

午前1で狙われる混同ペア総まとめ

この分野の失点は、隣り合った概念の取り違えでほぼ説明できます。誤りの形と正しい形を対にして整理します。

誤りの表現（選択肢に出る形）	正しい表現・考え方
著作権は文化庁に登録して初めて発生する	創作した時点で自動的に発生する無方式主義。登録は権利発生の要件ではない
アルゴリズムはプログラムの著作物として保護される	解法（アルゴリズム）・プログラム言語・規約は著作権の保護対象外。守るなら特許か営業秘密
職務著作は必ず法人名義での公表が必要	原則は必要だが、プログラムの著作物は公表名義の要件が不要
職務発明の特許を受ける権利は常に従業者に帰属する	契約や勤務規則で定めれば発生時から使用者に帰属する。従業者は相当の利益を受ける権利を持つ
商標権の存続期間は10年で終了する	10年ごとに更新登録が可能で、半永久的に維持できる
営業秘密の3要件は秘密管理性・有用性・新規性	3要件は秘密管理性・有用性・非公知性。新規性は特許の要件
請負契約では注文者が作業者へ直接指示してよい	指揮命令は請負人が行う。注文者が直接指示すると偽装請負
準委任契約は成果物の完成を約束する契約である	完成を約束するのは請負。準委任は事務の処理（善管注意義務）。ただし成果完成型の準委任もある
不正アクセス禁止法は情報の窃取などの実害があって初めて成立する	不正アクセス行為そのもので成立する。実害は要件ではない
匿名加工情報は本人の同意なしに第三者提供できない	所定の基準で加工し公表等の義務を果たせば同意なく提供できる。原則提供できないのは仮名加工情報
要配慮個人情報はオプトアウトで第三者提供できる	要配慮個人情報のオプトアウト提供は認められていない。取得にも原則本人同意が必要
ISO/IEC 27001は製品のセキュリティを認証する規格	認証するのは組織のマネジメントシステム。製品評価はISO/IEC 15408
J-SOXはすべての企業に適用される	金融商品取引法に基づく制度で、対象は上場企業など

SC試験での出題パターンと対策

最後に、この分野がSC試験の中でどう出るかを整理します。

午前1で繰り返される3つの型

型1：事例から適用法令を選ばせる問題。 「他人のIDでログインした」「マルウェアを保管していた」「サーバーを停止させて業務を妨害した」といった行為が示され、該当する法律を選ばせます。行為から法律へ引く導線を持っていれば即答できます。適用場面の判別図をそのまま頭に置いてください。

型2：概念の境界を問う問題。 派遣か請負か、仮名加工情報か匿名加工情報か、著作権か特許権か。選択肢には必ず隣の概念の説明が混ざります。誤りの選択肢は、正しい説明の主語だけを入れ替えた形で作られることが多いため、混同ペアの表を持っていれば消去法が使えます。

型3：数値や要件を問う問題。 産業財産権の存続期間、営業秘密の3要件、職務著作の要件、漏えい報告の基準人数。数字は少ないので、覚える対象を絞れば負担になりません。

法務は、午前1で繰り返し出題されている定番テーマです。事例の題材が変わっても問われる境界線は同じなので、過去問を数年分回すだけで得点が安定します。

午前2・午後との接続

法務の知識は、SC試験の本体でそのまま使います。

インシデント対応の設問は個人情報保護法と直結します。 午後で漏えい事案が提示されたとき、個人情報保護委員会への報告義務や本人への通知義務の有無を判断できるかが問われます。速報と確報という2段階の枠組み、要配慮個人情報や1,000人超といった基準は、そのまま解答の根拠になります。

委託先管理の設問は請負・準委任と秘密保持の話です。 委託元には委託先の監督義務があり、契約に秘密保持や再委託の制限を盛り込む必要があります。「再委託を認める場合の条件」が問われたら、契約と監督の枠組みを思い出してください。

アクセス制御の設計は営業秘密の秘密管理性を支えます。 技術的な対策が、そのまま法的保護の前提条件になっているという関係は、午後の記述でも説得力のある論拠になります。

ログ取得や監視の設計には、通信の秘密と個人情報の観点が入ります。 従業員のメールやアクセスログを監視する場合、事前の周知と社内規程の整備が必要になるという論点は、実務でも試験でも登場します。

支援士自身の義務規定も出題対象です。 秘密保持義務は登録取消後も継続します。自分の資格に関する規定なので、確実に得点しておきたい部分です。

【演習】法務の判別パターン理解度チェック（全10問）

午前1の法務は、事例から適用法令を選ばせる問題、隣り合った概念の境界を問う問題、要件や期間の数値を問う問題という3つの型が出題の中心です。定番の引っかけは、アルゴリズムを著作権で保護できるとする誤り、職務発明の権利帰属の取り違え、注文者が請負人の労働者へ直接指示する偽装請負の見落とし、そして仮名加工情報と匿名加工情報の第三者提供可否の入れ替えです。以下の練習問題で本記事の理解度を確認してみましょう。

まとめ：法務は境界線を1本ずつ引いていけば取れる分野

午前1の法務は、覚える量よりも「境界線の引き方」が得点を決める分野です。著作権と特許権は表現とアイディアで、派遣と請負は指揮命令の向きで、仮名加工情報と匿名加工情報は外へ出せるかどうかで分かれます。この判別の軸を持っていれば、事例の題材が変わっても迷いません。逆に、用語だけを一覧で暗記すると、選択肢に隣の概念の説明が混ざった瞬間に崩れます。

改正が多い分野ですが、追いかけるべきは施行日だけです。下請法が2026年1月に中小受託取引適正化法へ改称されたこと、プロバイダ責任制限法が2025年4月から情報流通プラットフォーム対処法になったこと、懲役と禁錮が2025年6月から拘禁刑に一本化されたこと。この3つを押さえておけば、古い参考書との食い違いに動じずに済みます。

新卒エンジニアにインフラを教えていて感じたのは、契約形態や法令の話を「営業や法務の仕事」として切り離してしまう人が多いということです。しかし、共有フォルダの権限設定を怠れば営業秘密の秘密管理性が失われ、常駐先で気軽に受けた作業指示が偽装請負の証拠になり、ログの取り方ひとつが個人情報の取扱いに跳ね返ります。技術的な設定は、そのまま法的な保護の前提条件になっています。この分野を学ぶことは、自分の手を動かす作業が組織のどんな責任に接続しているのかを知ることでもあります。1問のための暗記だと割り切って構いませんが、現場で判断を求められたときに効いてくる知識だと思えば、費やす時間の価値は上がります。

これでストラテジ系（第3部）は完了です。経営戦略、技術戦略、システム戦略と企画、企業活動、そして法務。テクノロジ系・マネジメント系と合わせて、午前1で問われる全分野を一通り押さえたことになります。次回、第16回は計算問題の総ざらいです。稼働率、伝送時間、EVM、待ち行列、損益分岐点。分野をまたいで散らばっていた計算パターンを1本にまとめ、解法の手順として使える形に整理します。

本記事は情報処理安全確保支援士（SC）試験対策を目的として作成しています。

参考資料

• IPA 情報処理技術者試験・情報処理安全確保支援士試験 試験要綱・シラバス
• 文化庁 著作権制度に関する情報
• 特許庁 産業財産権について
• 経済産業省 営業秘密　～企業の情報管理のために～
• 厚生労働省 労働者派遣事業関係業務取扱要領
• 公正取引委員会 取適法（中小受託取引適正化法）
• 警察庁 不正アクセス行為の禁止等に関する法律
• 個人情報保護委員会 個人情報保護法・ガイドライン
• 国家サイバー統括室（NCO） サイバーセキュリティ関係法令
• 総務省 情報流通プラットフォーム対処法
• 消費者庁 公益通報者保護制度
• 金融庁 財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）

このドキュメントで一部のコンテンツが無効になっています