1990年コンピュータ不正使用防止法

1990年コンピュータ不正使用防止法

議会法
英国議会
長いタイトル	コンピューター資料を不正アクセスや改ざんから保護するための規定を制定し、関連する目的のために制定する法律。
引用	1990年頃 18歳
紹介者	マイケル・コルビン
領土の範囲	イングランドとウェールズ スコットランド 北アイルランド
日付
王室の裁可	1990年6月29日
開始	1990年8月29日
その他の法律
修正者	1994年刑事司法および公共秩序法 1998年刑事司法（テロリズムおよび陰謀）法 2006年警察法および司法法 2015年重大犯罪法
ステータス: 修正済み
制定当初の法令文
改正後の法令文

1990年コンピュータ不正使用法（ c. 18）は、イギリス議会の法律であり、 R v Gold & Schifreen（1988）1 AC 1063の判決に応じて部分的に導入されました。この法案の批評家^{[誰？ ]}は、法案が急いで導入され、十分に検討されておらず、その意図を証明するのが難しい場合が多く、法案ではGoldやSchifreenのような「無謀な」ハッカーと深刻なコンピュータ犯罪者を適切に区別していないと不満を述べています。それでも、この法律は「サイバー犯罪に対処するという点で堅牢で柔軟な法律」と見なされているため、カナダやアイルランド共和国を含むいくつかの他の国がその後独自の情報セキュリティ法を起草する際にインスピレーションを得るモデルとなっています。 ^[1]この法律を最新の状態に保つために、いくつかの修正が可決されています。

ロバート・シフリーンとスティーブン・ゴールドは、1984年後半から1985年初めにかけて、一般的な家庭用コンピュータとモデムを使用して、ブリティッシュ・テレコムのPrestelインタラクティブ・ビューデータ・サービスに不正アクセスした。展示会で、シフリーンは、後にショルダー・サーフィンとして知られるようになる行為によって、Prestelエンジニアのパスワードを観察していた。^[要出典]エンジニアのユーザー名は22222222で、使用されたパスワードは1234であった。^{[2] [3]これは後に、ブリティッシュ・テレコム（BT）がセキュリティを真剣に受け止めていなかったという非難を招いた。この情報を使って、2人はシステムを調査し、}フィリップ王子の個人メッセージボックスへのアクセスにまで成功した。

プレステルは容疑者の口座に監視装置を設置し、入手した情報を警察に渡した。2人は1981年偽造・偽造取締法第1条に基づき、盗聴したゴールドのパスワードを処理した後のBTの機器の内部状態を偽造し、BTを欺いた罪で起訴された。サザーク刑事法院で裁判にかけられ、2人はサンプル容疑（シフリーン容疑者5件、ゴールド容疑者4件）で有罪となり、それぞれ750ポンドと600ポンドの罰金を科せられた。

科された罰金は少額であったが、彼らは控訴院刑事部に上訴することを選択した。彼らの弁護人は、2人がその行為で物質的利益を得ようとしたことを示す証拠が不足していることを理由に、彼らの行為には偽造および模倣品取締法が誤って適用されていると主張した。彼らはレーン判事によって無罪となったが、検察は貴族院に上訴した。1988年、貴族院は無罪判決を支持した。^[4] ブランドン判事は次のように述べた。

したがって、我々は、この法律の文言は、本件で存在することが示された状況に適用されることを意図していなかったという結論に達した。検察側の主張は成功すべきだった。これは、我々が後悔することなく達した結論である。これらの事実を、それらに適合するように設計されていない法律の文言に無理やり押し込もうとするプロクルステスの試み^[5]は、裁判官と陪審員の両方にとって重大な困難を生じさせ、我々はそれが繰り返されることを望みません。すでに述べたように、上告者の行為は、本質的に、トリックによって関連するプレステルデータバンクに不正にアクセスしたことに相当します。これは犯罪ではありません。そうすることが望ましいと考えられる場合、それは裁判所ではなく立法府の問題です。

法廷貴族院の判決により、当時の法律ではハッキングは違法ではないと多くの法学者が信じるようになった。イングランド法委員会とスコットランドの同委員会はともにこの問題を検討した。スコットランド法委員会は、スコットランドでは詐欺に関する慣習法の下で侵入行為は十分にカバーされていると結論付けたが、イングランド法委員会は新しい法律が必要だと考えた。

この事件以来、両被告はIT関連について幅広く執筆している。ゴールド氏は『ハッカーズ・ハンドブック』で事件の全容を詳細に記述しており、事件の逮捕警官らとともに会議で講演を行っている。^[6]

ELCの勧告に基づいて、保守党議員マイケル・コルビンが議員法案を提出した。この法案は政府の支持を得て1990年に施行された。この法律の第1条から第3条では、3つの刑事犯罪が規定されている。^{[7] [全文引用が必要]}

1. コンピューター資料への不正アクセスは、12ヶ月の懲役（スコットランドでは6ヶ月）および/または「標準スケールのレベル5を超えない」罰金（2015年以降は無制限）で処罰される。^[8]
2. さらなる犯罪を犯す、または犯すことを容易にする意図を持って不正にアクセスした場合、即決裁判で12ヶ月または最高罰金（スコットランドでは6ヶ月）または起訴で5年または罰金の刑に処せられる。^[9]
3. コンピュータ資料の不正な改変は、略式起訴で懲役12ヶ月（スコットランドでは6ヶ月）または最高罰金、起訴で懲役10年の罰金が科せられる。^[10]

（その他の犯罪については、以下の§改正を参照）

第 2 条および第 3 条の犯罪は、より重大な犯罪者がコンピューターを使用して犯罪の実行を支援したり、コンピューターに保存されているデータへのアクセスを妨害したり妨害したりするのを抑止することを目的としています。第 1 条の基本的な犯罪は、アクセスを保護する目的でコンピューターに何らかの機能を実行させることにより、コンピューターまたはコンピューターに保存されているデータへのアクセスを試みたり、アクセスを達成したりすることです。したがって、パスワードの組み合わせを検索するようにコンピューターをプログラムしたハッカーは、ログオンの試みがターゲット コンピューターによって拒否された場合でも、責任を負います。責任を負わされる唯一の前提条件は、ハッカーが試行されたアクセスが不正であることを認識していることです。したがって、データまたはプログラムにアクセスするための適切な権限なしに他の人のユーザー名または識別子(ID) とパスワードを使用すること、プログラムまたはデータを変更、削除、コピー、または移動すること、または単にプログラムまたはデータを画面またはプリンターに出力すること、または電子メール、オンライン チャット、Web またはその他のサービスを使用して他の人になりすますことは、犯罪を構成します。最初のアクセスが許可されたとしても、システムに権限の階層がある場合、その後の調査によって、必要な権限がないシステム部分への侵入につながり、犯罪が成立する可能性があります。ユーザーの肩越しに覗いたり、高度な電子機器を使用してVDUから放出される電磁波を監視したりすること (「電子盗聴」) は、この犯罪の範囲外です。

§§2～3の犯罪は加重犯罪であり、別の犯罪を犯すという明確な意図を必要とする（これらの目的では、他の犯罪は逮捕可能であるため、詐欺と不正行為というすべての主要なコモンローおよび法定犯罪が含まれる）。したがって、金銭または株式を転送する目的でシステムにアクセスするハッカーは、窃盗を犯すか、脅迫またはゆすりのために機密情報を取得する意図がある。したがって、§1の犯罪は不正アクセスが試みられた時点で成立し、犯罪目的で特定のアクセスが行われるとすぐに§2の犯罪の責任が課せられる。§3の犯罪は、LAN上またはネットワークを介してコンピューターウイルスまたはワームを作成して配布する者を特に対象としている。同様に、フィッシング技術やトロイの木馬を使用して個人情報を入手したり、許可されていないソースからその他のデータを取得したり、オペレーティングシステムのファイルやコンピュータの機能の一部を変更して操作を妨害したり、ファイルの破壊を含むデータへのアクセスを阻止したり、システム全体の誤動作を引き起こすコードを意図的に生成したりすることは、すべて犯罪となる「改変」です。2004 年、ジョン・ソーンリーは、ライバルサイトへの攻撃を仕掛け、トロイの木馬を複数回導入してサイトをダウンさせたとして、§3 に基づく 4 つの犯罪で有罪を認めましたが、^{[11] [12]すべての形態の}サービス拒否攻撃が含まれることを確認するために、犯罪の文言を明確にする必要があると認識されました。^[要出典]

この法律は、表面上はさまざまな目的でコンピュータ システムに不正アクセスしようとする者を対象としているが、ソフトウェアの「タイム ロック」など、以前から比較的広く普及していた、またはよく知られていた業界の慣行への影響については、さまざまなコンピューティング業界の出版物で説明されている。タイム ロックとは、機能またはプログラム全体を無効化して、追加支払いを条件に提供される可能性のあるソフトウェアが「期限切れ」になり、機能しなくなるようにする慣行である。注目の 1 つの事例では、「ミッドランドの特注システム開発者」が、未払いの請求書に関する顧客との紛争でソフトウェアの一部にタイム ロックをかけた。顧客はこれを警察に報告し、警察は同法第 3 条に基づいてプログラマーを告訴した。その結果、治安判事裁判所で有罪判決が下され、治安判事は条件付き釈放を与えた。つまり、プログラマーが再犯しないという条件で、処罰は適用されなかった。^[13]

1998年刑事司法（テロリズムおよび陰謀）法第2部附則1 （「陰謀」）は、第8条（外部法の関連性）、第9条（2）（b）（英国国籍は重要ではない：陰謀）および第16条（北アイルランドへの適用）を改正した。^[14]

2004年、超党派インターネットグループは法律の見直しを発表し、改善の余地がある分野を浮き彫りにした。その勧告は、サイバー犯罪に関する欧州条約に準拠するためにCMAを改正することを目指した1990年コンピュータ不正使用法（改正）法案の起草につながった。^[15]その条項によると、法律違反に対する最長懲役刑は6か月から2年に変更された。また、サービス拒否攻撃やサービス拒否によって助長されるその他の犯罪を明示的に犯罪化することを目指していた。議会が閉会されたため、法案は国王の裁可を受けなかった。

2006 年警察および司法法の第 35 条から第 38 条には、1990 年コンピューター不正使用法の改正が含まれています。

第 37 条 (「コンピューター不正使用犯罪に使用するための物品の製造、供給、または入手」) は、1990 年の法律に新しい第 3A 条を追加したもので、IT 専門家からかなりの批判を集めています。これは、彼らのツールの多くが、正当な目的に加えて犯罪者によって使用される可能性があり、したがって第 3A 条に該当するためです。

2011年のニューズ・インターナショナルの電話ハッキング事件の後、この法律を改正して「スマート」フォン（インターネットブラウザやその他の接続機能を備えたもの）をこの法律の下でコンピュータと定義する議論があった。^[要出典]このような改正により、「意図的に情報を利用可能にする」という新しい犯罪、つまり他人が違法にアクセスできるように誰かの電話やコンピュータのパスワードを公開するという犯罪も導入される可能性がある。^{[16] [検証失敗]}

2015年には、この法律は2015年重大犯罪法第2部第41条から第44条（およびその他の条項）によってさらに改正されました。^[17]

2006年警察司法法第5部による1990年コンピュータ不正使用法の改正^[18]は、

• 第35条 コンピューター資料への不正アクセスは、最高2年の懲役または罰金、あるいはその両方で処罰される。^[19]
• 第36条 コンピュータ等の動作を妨害する意図をもって不正行為を行った者は、最高10年の懲役もしくは罰金、またはその両方に処せられる。^[20]
• 第37条 コンピュータ不正使用犯罪に使用するための物品を製造、供給、または入手した場合、最高2年の懲役または罰金、あるいはその両方が科せられる。^[21]
• 第38条 経過措置及び保存規定^[22]

2015年重大犯罪法第2部による1990年コンピュータ不正使用法の改正^[17]は、

• 第41条（1990年コンピュータ不正使用法の新第3ZA条）。重大な損害を引き起こす、または重大な損害を引き起こすリスクを生じさせる不正行為は、最高14年の懲役または罰金、あるいはその両方で処罰され、人類の福祉または国家の安全が危険にさらされた場合は終身刑となる可能性があります。^[23]
• 第42条 コンピュータの不正使用に関連する目的で物品を入手すること － 第3A条の改正。^[24]
• 第43条 コンピュータ不正使用の地域的範囲 - 第4条、第5条、第10条を改正し、主な地域的範囲を英国とするが、特に加害者（または共謀者）が英国人で現地の法律に違反した場合は、世界中に及ぶ可能性がある。^[25]
• 第44条 貯蓄 – 第10条および第16条の差し押さえおよび制定改正を規定する。^[26]
• 第47条 重大犯罪防止命令：「重大犯罪」の意味 - 2007年重大犯罪法の重大犯罪リストにコンピューター不正使用を追加し、会社の強制清算の根拠となることを含む。^[27]
• 第86条 移行および保存規定 – 第42条および第43条が施行されてからでないと適用されないことを規定している。^[28]
• 附則1. 2007年重大犯罪法改正：スコットランド – スコットランド法に対する同様の変更。^[29]
• 付録4 軽微な修正および付随的な修正 - 1990年コンピュータ不正使用法および2006年軍隊法の変更。^[30]

2020年4月、マット・ハンコックは、COVID -19に対処するためのNHSサービスまたは公衆衛生サービスの提供を直接的または間接的にサポートするネットワークと情報システムのセキュリティをサポートおよび維持するために、2020年末までGCHQに国民保健サービスの情報システムに対する一時的な権限を与える指示を出しました。^[31]

2021年5月、英国内務大臣プリティ・パテルは、コンピューター不正使用法の正式な見直しを発表した。^[32]また、彼女は同法に関する情報提供の呼びかけを開始し、同法の対象となる分野で、犯罪では十分にカバーされていない危害を与える活動があるかどうか、CMA導入後の技術進歩を受けて同法が使用に適しているかどうか、サイバー犯罪に対する立法上の対応を強化する方法に関するその他の提案などについて意見を求めている。^[33]

この法律の見直しは、新たな改革をもたらすために、政府によるコンピューター不正使用法の全面的な見直しを求める声が近年高まっていることを受けて行われた。

2019年11月、国家犯罪対策庁（NCA）のリン・オーウェンズ長官は、「コンピューター不正使用法が議会を通過したのは、サイバーが詐欺などあらゆる犯罪を可能にする現在のツールではなかった時代だ」と警告し、この法律が「現代の目的に合致したもの」となるよう改革を導入する計画について語った。^[要出典]

2020年1月、刑法改革ネットワーク（CLRNN）は、この法律の欠点を指摘し、改革のための詳細な勧告を行った包括的な報告書を発表しました。^[34]

同月、英国政府に同法を「更新・アップグレード」するよう働きかける目的でサイバーアップ・キャンペーンが立ち上げられた。キャンペーンの開始はガーディアン紙の記事で取り上げられ、「緊急の改革」を求める声に呼応した。^{[35]サイバーアップ・キャンペーンは、大手サイバーコンサルタントの}NCCグループやF-Secure、サイバー業界の業界団体TechUKなど、サイバーセキュリティ業界内の幅広い支援団体の連合体で構成されている。2020年11月、キャンペーンは英国産業連盟の支援を得た。

この連合は、英国のサイバー犯罪法の改正が国家安全保障の保護と英国のサイバーセキュリティ産業の経済成長の促進に必要であるという共通の見解に基づいて結成された。キャンペーンは、同法の第1条「コンピュータへの不正アクセスの禁止」に言及し、英国のサイバーセキュリティ専門家が頻繁に行っているサイバーセキュリティと脅威情報の研究と調査の大部分が意図せず犯罪化されていると述べている。

キャンペーンでは、2つの重要な改正を求めています。

1. 法律を改正し、公共の利益のために活動するサイバーセキュリティおよび脅威インテリジェンスの研究者が自らの行動を説明・正当化し、犯罪の検出や予防を行えるようにします。
2. 明確な法的定義を作成し、行動する権限があると合理的に信じるサイバー セキュリティおよび脅威インテリジェンスの研究者が合法的に行動できるようにします。

2020年6月29日、サイバーアップキャンペーンは、この法律の30周年を記念して、サイバーセキュリティ業界の関係者を代表して首相に公開書簡を送り、急速なデジタル化の時代にこの法律が時代遅れであることを訴えた。これはデイリーテレグラフ紙に「サイバーセキュリティの専門家は、コンピューター詐欺を阻止するのを妨げられていると言う」という見出しで掲載された。^{[36] [要検証]}

2020年7月、英国諜報機関の監視を担当する議会の情報安全保障委員会は、情報安全保障委員会のロシア報告書を発表し、「コンピューター不正使用法は、個人用電子機器の現代的な使用を反映するように更新されるべきである」と勧告した。報告書に対する政府の回答では、同法は法改正の利点を判断するために定期的に見直されていると述べられていたが、影の外務大臣リサ・ナンディは2021年1月に、勧告の実施に向けて進展が見られなかったことを強調した。

2020年11月、サイバーアップキャンペーンとTechUKは、コンピューター不正使用法に関する新しいレポート^{[37] [信頼できない情報源? ]}を発表しました。これは、英国のセキュリティコミュニティ全体の意見を定量化し分析した最初の作品でした。レポートによると、サイバーセキュリティの専門家の80％が、脆弱性の調査やサイバー脅威の行為者の調査を行う際に法律違反を心配していることがわかりました。さらに、レポートの調査に回答した企業の91％が、この法律によって競争上の不利な立場に置かれたと示唆しており、改革によって組織は生産性、成長、回復力の大幅な向上を実現できると考えています。レポートでは、政府に対して上記2つの改正の実施を検討するよう勧告しています。

• コンピュータ犯罪
• インターネット詐欺
• 1998年データ保護法

• ニール・マキューアン、「1990 年コンピューター不正使用法: 過去からの教訓と将来への予測」(2008 年)、刑法レビュー 955。
• ステファン・ファフィンスキー『コンピュータの不正使用：対応、規制、法律』（カロンプション、ウィラン 2009 年）
• Yaman Akdeniz、「1990 年コンピュータ不正使用法第 3 条: コンピュータウイルスの解毒剤!」 (1996 年) 3 Web JCLI [2] には、1995 年 11 月の Christopher Pile (別名「ブラック バロン」) 事件への言及も含まれています。
• デレク・ワイアット、コンピュータ不正使用法（改正）に関する演説
• 法廷貴族の判決

Wikisource にはこの記事に関連する原文があります:

1990年コンピュータ不正使用防止法

• インターネット犯罪フォーラム
• EURIM – IPPR 電子犯罪研究
• 2004年に否決された改正法案の文言
• オープン・ライツ・グループが取り上げる1990年コンピュータ不正使用法の改正
• マイケル・J・L・ターナーがまとめたコンピュータ不正使用法の事例リスト