第176号コラム： 上原　哲太郎　理事（京都大学　学術情報メディアセンター　准教授）
題：「ウイルス罪とカレログ～ウイルス供用罪における不正指令電磁的記録の評価」

本年６月１７日、ついにサイバー犯罪関連法案( http://www.moj.go.jp/keiji1/keiji12_00025.html )が成立し、７月１４日には刑法改正部分について施行されました。今回の刑法改正については、本メルマガの１７２号コラム（ https://digitalforensic.jp/2011/09/01/column172/ ）において安冨副会長が概要を解説しておられますので、詳しくはそちらをご覧下さい。

今回の刑法改正において、特に技術者の関心を集めたのは、「不正指令電磁的記録」に関する罪、いわゆるウイルス罪の解釈を巡るものでした。刑法第１６８条の２第１項において規定された「ウイルス作成罪」は、プログラマにとって漠たる不安を与えるものだったからです。プログラムは多くの場合、プログラマにすら予測できない挙動、いわゆるバグを生じ、それがウイルスのような挙動を示す可能性を完全に排除することが出来ません。そのようなバグの可能性をプログラマが認識し認容していることは、プログラムが結果的にウイルス的な挙動を示した場合、ウイルス作成について未必の故意に問われかねないのではないかという不安が広がりました。

第175号コラム：和田　則仁　理事（慶應義塾大学　医学部　一般・消化器外科）
題：「病院における「紙」の取扱いについて」

慶應義塾大学病院では、来年１月から電子カルテを導入する。特定機能病院の中では後発組となってしまったが、診療・教育・研究のレベルをより高めていくためにも、医療情報システムの適切な設計が求められるところである。今回、縁あって当院の総合医療情報システム導入委員会の委員を拝命した。その活動を通して実感されられた病院における「紙」、すなわち紙に記された情報の電子化における諸問題について若干考察したい。

病院の診療業務において紙媒体の書類の発生は避けられない。例えば同意書である。患者さん（あるいは代諾者）は、侵襲的な検査や治療にあたり、事前に予定される医療行為の利害得失について説明を受けた上で書面で同意を表明する必要がある。いわゆるインフォームド・コンセントである。署名をしていただいた同意書は、患者さんに侵襲を加える根拠としてきちんと保管する必要がある。外科医が傷害罪で訴追されないための大事な証拠である。また医療行為を保険診療として行い支払基金に診療報酬を請求する場合、その要件として同意書等を整備する必要もあり、その保管方法までもが細かく規定されている。同意書以外にも他院からの診療情報（紹介状）も紙媒体で提供されることが一般的である。紙カルテでは、このような書類はカルテのバインダーに一緒に整理されていたが、電子カルテではスキャンした画像をファイリングすることで電子化される。

第174号コラム：芝　啓真　幹事（株式会社フォーカスシステムズ　フォレンジックセキュリティ室）
題：「第１回IDF講習会の開催に思うこと」

このコラムが配信されている本日、「デジタル・フォレンジック製品＆トレーニング概要説明会（略称：IDF講習会）」が開催されています。明日９／１６までの２日間の予定で開催される、IDFとして初めての講習会です。

このメールマガジンをご購読されている方は既にご存知の方が多いと思いますが、この講習会は、IDF団体会員が取扱っているトレーニングや製品の紹介、説明を行う場として開催されました。今回は２社８コースの開催となっておりますが、バラエティに富んだコースが開催されております。初級から中級、上級、専門コースまであり、さまざまなレベルの方のご要望に対応できるラインナップになっているのではないかと思っております。受講料も非常にリーズナブルな価格設定（一般￥５，０００、会員￥３，０００）となっており、どのようなトレーニングや製品があるのかを知るのにもよい機会です（開催当日のご案内となり遅きに失してしまいますが・・・）。

第173号コラム： 丸山　満彦　監事（デロイト トーマツ リスクサービス株式会社パートナー、公認会計士、公認情報システム監査人）
題：「想定外に対応するのが危機管理ではないか」

　２０１１年３月に起こった東日本大震災では、「想定外の津波が生じた」、「原子力発電所の全電源喪失は想定外であった」といったような、想定外という言葉が良く使われているように思います。しかも、時には「想定外のことが生じたので私には責任はありません」といいたいような使い方をしている場合も見られるように思います。しかし、危機管理の視点から見た場合、「想定外であった」では済まされないのではないかと思っています。いやむしろ、想定外に対応するのが危機管理なのではないかと思います。
　何かの対策を決める場合には、想定をおく必要があるのは理解できます。このような想定は対策を考える上での要件となります。たとえば、１０メートルの津波を想定して堤防を構築するとか、震度７を想定した耐震設計に基づく建物の建設といったようなことです。しかし、想定をおくということは、想定外のことがおこらないことを保証はしていません。考えれば当たり前のことです。もちろん、想定は過去の事象や科学的な見地から想定されるもので、思いつきで考えたものではないことはわかります。しかし、想定をおくことと想定外が起こったときのことを考えないというのは、別の話だと思います。
　リスクマネジメントのひとつに危機管理というものがあります。まさに危機が発生した場合にどのように対処するのかというのが重要となります。想定された危機への対応というのは本当の意味でいう危機管理ではないのではないかと思います。それは、想定に基づいた対策を計画通りにするだけに過ぎないからです。ある意味、通常業務です。本当の危機管理というのは、想定外でもなんとか対応するための対策を考えることなのではないかと思います。もちろん、想定外ですから事前にすべての準備ができるわけではありません。しかし、想定外のことが起こったとしても、そこにある資源を有効活用して復旧したり、事業継続をするのが重要なのではないかと思っています。

第172号コラム： 安冨　潔　副会長（慶應義塾大学大学院　法務研究科　教授、弁護士）
題：「サイバー犯罪関連法案について」

１　はじめに
すでにご承知のとおり、「情報処理の高度化等に対処するための刑法等の一部を改正する法律」（平成２３年法律７４号。以下「本法律」という。http://www.moj.go.jp/keiji1/keiji12_00025.html　）が２０１１年６月１７日第１７７回国会において成立し、同月２４日公布されました。
本法律は、コンピュータ・ネットワークが社会的基盤として機能している今日の社会において、いわゆるコンピュータ・ウイルスによる攻撃や、コンピュータ・ネットワークを悪用した犯罪など、サイバー犯罪が多発するとともに、証拠収集等の手続の面においても、コンピュータや電磁的記録の特質に応じた手続を整備する必要が生じたことから、制定されたものです。
サイバー犯罪に関する条約（Cybercrime Convention、以下「サイバー犯罪条約」という。）については、欧州評議会において２００１年１１月８日採択され、２００１年１１月２３日に我が国もこれに署名し、２００３年４月に国会において承認された（ http://www.mofa.go.jp/mofaj/gaiko/treaty/treaty159_4.html ）ものの、国内法整備がなされずにいたものです。本法律の制定によって、近いうちに我が国も批准するものと思われます。
すでに石井教授のコラム（第１６１号「サイバー犯罪に関する法整備」２０１１年６月１６日）で紹介され、鋭いご意見が述べられているところですが、今回は、あらためて本法律の罰則規定についての概要をご紹介したいと思います。