学内情報基盤のネットワーク管理の法的側面と最新動向
駒澤綜合法律事務所
高橋郁夫

本日の話題• 大学でのネットワーク運用に関する法律的な側面の整理• 具体的な事例に対する法律面での考え方• 背景– ネットワーク運用が当然に– 特にクラウドの活用– 無線・携帯電話回線の利用
2

大学におけるネットワーク運用と法律の側面• 大学のネットワーク運用と法律– ネットワーク運用ガイドラインについて– ネットワーク管理について• 通信の秘密との関係• 個人情報保護法との関係について• 情報セキュリティの維持の義務• 著作権侵害について• ゼミの掲示板等での名誉毀損について• 大学のネットワーク利用による攻撃
3

クリッカー 1• 「高等教育機関の情報セキュリティ対策のためのサンプル規程集」について• １ よく知っている• ２ だいたい知っている• ３ 名前だけは知っている• ４ 知らない4ネットワーク運用ガイドラインについて• 高等教育機関におけるネットワーク運用ガ
イドライン– (http://www.ieice.org/jpn/teigen/nwgl.html)• 高等教育機関の情報セキュリティ対策のためのサンプル規程集– (http://www.nii.ac.jp/csi/sp/doc/sp-sample2013.pdf)
質問1 ：大学では、クラウドを大規模に導入して、アカウント管理・学生の管理の事務まわりに利用しようと考えています。
このようなクラウドを導入するのにあたって、特に考えておく事項はあるのでしょうか。
海外のクラウドを利用していた場合に、何か問題がおきたときに、どこの裁判所でどのような問題が判断されるということになるのでしょうか。
5サンプル規定集(ポリシー)の位置づけ

6セキュリティポリシーと個別プログラム
人
ポリシー

webmailシステム戦略
システム技術個別ガイドライン7人的なシステムについて• CIO、運用部門、技術サポート部門
理事会、評議会

全学ネットワーク運用委員会

事務部門
ネットワーク運用委員会

ネットワーク運用委員会

ネットワーク
運用委員会

総括責任者

総括責任者

総括責任者

技術責任者

技術責任者

技術責任者

利用者

利用者

利用者

部局 A

部局 B

部局 C

教授会

外部
ネットワーク「高等教育機関におけるネットワーク運用ガイドライン」による
8

クラウドの利用について• 「大学のクラウド活用における、検証と課
題と対策」– (http://www.nii.ac.jp/service/openforum/forum20123/)• アカデミッククラウドに関する研究– http://www.icer.kyushuu.ac.jp/topics_ac_20140213• 一般的な問題について– 日本クラウド・セキュリティアライアンス
9

クラウドコンピューティングの要素“仮想化技術もしくは分散コンピュータ技術”

No standard(標準)No location of data
(データの場所)

Virtualization (仮想化)

Disitributed(遠隔)Network Security(ネットワークセキュリティ)Beyond Boundary(国境の存在)10

組織方針
プランニングクラウドにおける脅威の認識

リスクアセスメント

資産からのリスクの識別

クラウド・リス
ク分析

対応案決定
対応策
実施
測定・検証

測定・検証
11

クラウドでの法適用の問題• 民事上の問題についても、適用される法律を決定するのは、きわめて種々の問題が存在する。
– ひとつの例• 情報主体（日本在住）のデータを処理していた利用者（日本企業）から、委託をうけていたクラウド事業者(例えば、iCloud情報流出事件(2014))• 脆弱性対応を怠り、流出させた• クラウド事業者が、外国に存在していたとする。情報主体が、クラウド事業者 に対して、プライバシー侵害を根拠に損害賠償を求めうるか• 日本法の考え方 対 米国での考え方
12

運用等に関して発生する
他機関への責任問題
質問2： 学内の掲示板で、ゼミでの議論に関して、一般の人も参加しうる方針でいとなんでいるものがあります。その掲示板に名誉毀損の表現が掲載されて、被害者が、名誉毀損だとして削除を求めましたが、管理者が、名誉毀損には、あたらないとして削除をしませんでした。被害者が、この掲示板を管理している大学に対して名誉毀損だとして損害賠償請求訴訟を提起してきました。
大学は、損害賠償の責任を負うのでしょうか。
また、学内のネットワークを利用した学生が、学外の組織に対して、無権限アクセスを行って、学外の重要な情報を取得したようです。このような学生のネットワーク利用を認めていたことから大学の責任が発生するということはあるのでしょうか。
(追加)学外には､公開されていない情報(無線LAN のPSK/業務システムのアクセス方法等)を教職員・学生が､一般に公開されているところに公開することは､法律違反になるのでしょうか｡
13

運用等に関して発生する他機関への責任問題 2
大学や研究機関などが研究会などを開いた際、主催組織の構成員でない者に対して無線LAN などでインターネットアクセスを提供した場合に､法律的な問題はあるのでしょうか｡
学内に設置する携帯電話の基地局経由で違法行為が行われた場合、大学側はどこまでの法的責任を負うのでしょうか？また､当該通信事業者に対してどこまでの情報を開示を要求できるものなのでしょうか？

14

Ｔ大学事件
東京地判 平成11年9月24日• 入学手続きのさいに衝突が発生した事件(自治会ないし新聞会の正当性をめぐる争い)• 被告Aが、原告らに対して名誉を毀損する文書を大学の教養教育用のパソコンのシステム内の学生個人の利用資格に基づいて開設していたホームページ内に掲載。
• 原告らは、大学当局に抗議文書を発送した。大学当局
は、リンク停止措置をとり、また情報教育担当教員は、当初、被告Aに、原告の趣旨を伝えるにとどめていた。

15

裁判所の判断 1• 「被害者保護のために運営委員会に情報の削除権は認められているというよりは、Ｔ大教育研究用情報処理システムの信用を維持するというＴ大構成員全体の利益のために運営委員会に情報の削除権が認められているものと解される」– 裁判所は情報教育担当教員が原告らに対する関係において本件文書の削除義務を負うという結論を導き出すことはできない– 外部の者との関係について(略) ネットワークの管理者が会社との関係において被害の防止に向けた何らかの措置をとる義務が生じるかどうかは問題となった刑罰法規や私法秩序の内容によって異なる
16

裁判所の判断 2• ネットワークからインターネット経由で外部にコンピューターウイルスを流す行為がなされたり、他のコンピューターに不法に侵入してシステムを破壊する行為がなされたりした場合(略) 条理上の義務として、その行為を妨げるための措置を可能な限度でとるべき義務が生じる• 名誉棄損行為-「被害者と加害者の両名のみが利害関係を有する当事者であり、当事者以外の一般人の利益を侵害するおそれも少なく、管理者においては当該文書が名誉毀損に当たるかどうかの判断も困難なことが多い」、「加害者でも被害者でもないネットワーク管理者に対して名誉毀損行為の被害者に被害が発生することを防止すべき私法上の義務があるわけではない」としている。
17

著作権等の知的侵害に対する寄与の責任• P2Pにおける著作権侵害– ナップスター事件やファイルローグ事件– 「JASRACやBSAなど権利者7団体、全国の大学にファイル共有ソフトに関する要請文を送付(2010年ほか)」• それを黙認している場合に大学等はどのような責任を負うか18

大学等の責任• この決定は、行為者以外の寄与者でも利益状況等によっては、当事者と同視されるという意味• 但し、大学等においては、特別の利益を受けることはないので、この法理の射程を強く受けることはないであろう。
• プロバイダ責任制限法の定めを参考に
19

P2Pの提供者(ファイルローグ事件)•

ファイルローグの行為が、送信可能化、および自動公衆送信権を侵害するか否かについては、外部の者の行為の内容・性質、事業者のする送信可能化状態に対するファイルローグの管理・支配の程度、本件行為によって生ずるファイルローグの利益の状況等を総合斟酌して判断。

•

ファイル情報の提供者について、直接の侵害者の侵害か第三者の侵害かの点をあまり明確にせずに、一定の要件のもとに直接侵害者と同様の責任を負わせた
なお、平成１５年１２月１７日東京地裁判決は、MMO側に約7000万円の支払いと差止を認めた

•

ユーザー

20

セキュリティの遵守義務違反の法的責任• 攻撃者の利用の「踏み台」などにされ被害者に対する損害が発生した場合– 損害賠償の責めに任じられるのでないか• 管理者自体が、システムのセキュリティホールに対してアップデートなどをしていない場合– 何らかの損害が発生する– 脆弱性を放置している場合に、サイト構築を請け負った業者の責任を認めた判決が出ている。

• ただし、大学自体に管理しうる状況がありえない場合は、別であろう
21

大学の研究員による脆弱性をついた不正アクセス事件• 被告人(大学の研究員)• 著作権の啓発を行う団体が運用するサイトに使われている特定のプログラムの脆弱性を発見• 脆弱性を利用して、個人情報を引き出した。
• 渋谷のクラブで開かれたセキュリティに関するシンポジウ
ムで手法および個人情報を公開• 東京地裁平成17年3月25日判決-有罪

22

大学のコメント• 新聞記事– Ｋ大学-所属組織等の教授らが記者会見– 教授は「パスワードなどは盗んでおらず、不正アクセスにはあたらないとみていた。警視庁の踏み込んだ判断に驚いている。今後の司法判断を見守りたい」と困惑した表情
で語った• 検討対象– Ｔ２大学 全裸教員出現の非常事態収束させた危機対応
力分析(http://www.newspostseven.com/archives/20150117_298226.html?PAGE=2)

23

ネットワーク管理と通信の秘密• 通信の秘密について
質問3 ：学内ネットワークの通信ログを運用の向上のために利用したいと考えています。この場合に、学内の利用規定に、一般的な規定として、運用向上のために利用することが記載されていますが、各利用者から個別に許諾を得る必要があるでしょうか。
また、自分の研究のために、学外から、学内のサーバに対する通信のログを分析して、近時のネットワーク攻撃の分析をしたいと考えています。通信の秘密との関係の問題はありませんでしょうか。

24

通信と託された情報

ヘッダー部分

通信内容25

通信の秘密の現在の解釈(1)• 電気通信事業法4条（秘密の保護）– 「電気通信事業者の取扱中に係る通信の秘密は、侵してはならない。
– ２ 電気通信事業に従事する者は、在職中電気通信事業者の取扱中に係る通信に関して知り得た他人の秘密を守らなければならない。その職を退いた後においても、同様とする。」• 電気通信法制研究会「逐条解説 電気通信事業法」– 「通信の秘密を保護する趣旨は個人の私生活の自由を保護し個人生活の安寧を保証する（プライバシーの保護）とともに、通信が人間の社会生活にとって必要不可欠なコミュニケーションの手段であることから、憲法第２１条２項の規定を受けて思想表現の自由の保障を実効あらしめることにある。そして自由闊達な通信がなされることを保証するための規定である」
26

通信の秘密の現在の解釈(2)•「通信の秘密」と「他人の秘密」(逐条解説)– 「通信の秘密」-通信内容にとどまらず、通信当事者の住所、氏名、発信場所と通信の構成要素や通信回数との通信の存在の事実– 「他人の秘密」-通信当事者 Bobの人相、言葉の訛りやプッ
シュホンに記憶された相手
番号等直接の通信の構成要素とはいえないが、それを推知させうるものを含むその他の事実通信のための事実
Alice
内容

27

通信の秘密の現在の解釈(3)• 電気通信事業法第4条の解釈– (1)積極的知得行為の禁止-通信の秘密および通信の存在自体について調査の対象とはされないこと。
– (2)漏洩行為の禁止-通信事業者によって職務上知り得た通信に関する情報を漏洩されないこと。
– （3)窃用の禁止−（自己または他人の利益のために？）通信に関する情報を利用しないこと。
• 解釈の帰結（消費者行政課的見解）– 中間者は、正当業務行為等の違法性阻却事由がないと行動できない（ルーティング自体も「秘密」侵害の構成要件該当）• 同意について– 個別・具体的な同意である必要がある(？)
28

「通信」の意味• 一連の解釈における通信は、種々のデータから、「一意の通信」であることが「識別しうること」が前提– 識別しうることとは、結局は、コストパフォーマンスによる• 通信の全体としての傾向としての「トラヒック・データ」については、上記秘密の対象にはならない
29

問題に対する回答は•学内ネットワークの通信ログを運用の向上のために利用したいと考えています。この場合に、学内の利用規定に、一般的な規定として、運用向上のために利用することが記載されていますが、各利用者から個別に許諾を得る必要があるでしょうか。
– 通信ログは、個別の通信を特定しうるのか-Yes– 特定しえないような形に加工するのはどうか-Yes– 許諾は、個別・具体的であることを要するのか、どうか-微妙•

また、自分の研究のために、学外から、学内のサーバに対する通信のログを分析して、近時のネットワーク攻撃の分析をしたいと考えています。通信の秘密との関係の問題はありませんでしょうか。
– 通信の秘密の例外規定の解釈-不明– 個人情報保護の例外規定が参考に

30

近時の大学のネットワーク構築の法律問題• 大学のサービスの一般化と電気通信事業法
質問4 ：私の大学では、こんど、学内の無線LAN AP にケータイキャリアのワイヤレス・アクセスポイントサービスを相乗りさせて、毎月の利用料をもらうこととなったのですが、大学自体が、電気通信事業者としての届出をしなければならないのでしょうか。
そもそも、電気通信事業者の届出をしないとどのような問題がおきるのでしょうか。
無線アクセスサービスを学内ネットワークへの入り口として利用する場合には、なにか異なるのでしょうか。

31

クリッカー 2• 大学のネットワーク接続設備であっても「電気通信事業者になりうる可能性があること」について• １ よく知っている• ２ だいたい知っている• ３ 名前だけは知っている• ４ 知らない
32

電気通信事業とは？/登録・届出？
••

電気通信事業法1条– 「電気通信事業の公共性」にかんがみ、– 「その運営を適正かつ合理的なものとするとともに、その公正な競争を促進することにより、電気通信役務の円滑な提供を確保するとともにその利用者の利益を保護」
同法9条– 電気通信事業を営もうとする者は、総務大臣の登録を受けなければならない。
– ただし、総務省令で定める基準を超えない場合-届出

33

電気通信事業とは？営むとは？
•「電気通信事業参入マニ
ュアル［追補版］」– 届出等の要否に関する考え方及び事例―– (http://www.soumu.go.jp/main_content/000267716.pdf)

34

電気通信役務•「電気通信設備を用いて他人の通信を媒介し、その他電気通信設備を他人の通信の用に供するもの」– 他人の通信• 自己間の通信以外の通信をいい、他人と他人との間の通信のほか、自己と他人との間の通信も含む。
• 電気通信設備を他人の通信の用に供する場合に合致しない場合– 「電気通信」に関して• 場所貸し• 携帯電話の代理店– 「他人の通信」に関して• 企業における内線電話、LAN• 自社データベースアクセスサービス
35

電気通信事業者•「電気通信役務」を「他人の需要に応ずる」ために提供する「事業」– 登録/届出/それらが不要– 「他人の需要に応ずるため」• 自己の需要に応じているものは含まれない。
– Webサイト開設・通販対応– 「事業」(反復・継続)• 非常災害発生対応等は含まれない• ホテル電話・ホテルインターネット– 宿泊サービスに付随して電話の設置・運営を行っており、電気通信役務の提供が独立した事業として把握できないことから、電気通信事業に該当しない。

36

電気通信事業を「営む」• 「営む」– その対価として料金を徴収することにより電気通信事業自体で利益を上げようとすること、すなわち、収益事業を行う場合をいう– 料金を徴収していないとしても、実質的に電気通信役務の提供により利益を上げているとみなされるときには、「電気通信事業を営む」に該当する
37

回答は？
• 学内の無線LAN AP にケータイキャリアのワイヤレス・アクセスポイントサービスを相乗り– 場所貸しといえますか？
– アクセスが大学の事業として利益をもたらすもののように設計されている可能性はありますか？

38日本クラウド・セキュリティアライ
アンスご紹介• 2010年に法人格なき社団として結成• 2013年に法人化• LinkedInやFacebook等で情報交換しています｡• アカデミッククラウドの問題を検討するのでしたら､是非ともご参加いただき､Wg等を提案いただければ､前向きに対応できるかと思います｡
39

法律問題のご相談・
ネットワーク関係の調査は• 2F駒澤綜合法律事務所• 4 株式会社ITリサーチ・アート• ikuo@comit.jp

40