コラム第922号：「security、safetyと刑法」

第922号コラム：石井　徹哉 理事（明治大学法学部　専任教授）
題：security、safetyと刑法

時々訊かれることの一つに、securityとsafetyの違いは何かということがあります。私なりの答えは、securityが安全保障と訳されたりするように、危険などに対して備えたり、防護策を講じたりするもので、safetyはたんに危険がない状態を意味するにすぎないものだというものです。

　safetyの反対にはdanger（危険）、すなわち損害や結果が発生する蓋然性が高い状態があります。刑法では、危険の概念がなじみのあるもので、安全はどちらかといえば扱いにくい概念です。例えば、銃弾が顔の横をかすめれば、危険があると評価しやすいですが、どのような状態又は情況が安全であるかはそれほど明確に答えることができません。また、危険の程度が処罰に値するほど高いのであれば、当罰的であり、可罰的であるといえます。しかし、当罰的でなく、可罰的でない状態が安全であるといえるかはそれほど明確ではないでしょう。さらに、危険であったかどうかは、事後的に判明したすべての事情をもとにして適切に判断できるものです。事後的にすべての事情をもとにしても、そのような情況が安全であったと断言できる事態は、それほど多くはないでしょう。これに対して、安心、安全感などは、一般の人たちの感覚をもとにするため、安全かどうかよりは判断しやすいでしょうが、これらは必ずしも安全と一致しないでしょう。

　securityについて、私は、リスクマネジメントであると回答しています。この場合、リスクは、損害の程度とこれが発生する確率の積であり、リスクを受容可能な程度に低減させることがsecurityの中心にあると考えています。どの程度のリスクが受容可能かどうかは、主体や行動、事業などによりことなるでしょうし、リスク低減の措置とこれに伴うコスト、期待されうるベネフィットなどと比較衡量することも必要になるかもしれません。

　こうしたsecurityの考え方は、実際のところ刑法、ベナルティと相性が悪いものです。securityを侵害するということが時折言われますが、概念的にリスクを受容可能な程度に低減させることが侵害されるということが具体的に意味することが曖昧なままです。考えられるのは、リスクを受容可能な程度に低減させるためのマネジメントの措置のどこかに問題が生じ、受容できない程度にまでリスクが高まることだといえます。換言すると、リスクマネジメントのどこかに瑕疵や欠缺が生じ、組織として問題がある程度にまでリスクが増加することだといえます。それは、システムの設計、構築などに問題がある場合もあるでしょうし、実際の運用における人的な懈怠である場合もあるでしょう。いずれにしても、リスクが増大した場合には、速やかにこれを探知し、その原因を究明するための措置を講じることができる備えが必要です。

　故意にリスクを増大させた場合、サイバーセキュリティ又は情報セキュリティの侵害として刑罰を科すことに問題はなさそうですが、リスク増大の原因究明において、問題の行為や要因が故意によるものであることを明らかにするのは、容易なものであるとはいえません。危険が発生し、その原因となった行為が明らかになれば、当該行為の遂行について故意があることを認定するのは、比較的たやすいことです。しかし、リスクマネジメントにおいて求められる特定行為を懈怠したことについて、それが故意によるものかを明らかにするのは、困難です。他方、過失による懈怠は、場合により認定しやすいでしょうが、過失による懈怠にペナルティを科すことは、実際のところリスクマネジメントにおいてやるべきこととはいえないでしょう。例えば、フィッシングメールで安易に認証情報を入力したことを放置する行為にペナルティを科すことは、逆に正直な情報共有を妨げることとなり、逆に被害を拡大する可能性があります。特に風通しのよい上下左右の情報共有を躊躇させ、萎縮させるようなマネジメントは、かえってリスクを高めるものとなりえます。この意味において、刑事罰、組織内罰は、情報セキュリティ、サイバーセキュリティにとって相性がよくないものです。それゆえ、刑法的な介入は、当罰的、可罰的な危険を故意に惹起させた場合に限定せざるをえないのです。このほかにセキュリティという点で刑法的な介入が可能となるのは、おそらくリスクを受容できない程度に増大させる行為についてですが、はたしてそれがリスクマネジメントという観点において適切なものといえるか慎重に検討されるべきでしょう。

※著作権は、石井氏に属します。
※本稿は筆者の見解であり、IDFの見解を示すものではありません。