書面による許可なく他人のシステムをテストしない。「善意からだった」「後で報告した」は無罪の理由にならない

コスト

費用はかかりません。メーカーのSRC（企業が自ら設けるセキュリティ緊急対応窓口。外部からの脆弱性報告を受け付けます）やテストに参加する前に、許可範囲、対象リスト、テストできる時間帯を明記した文書を入手してください。脆弱性が確かに存在すると確認できたら、そこで止めてください。難しいのは「ついでに少し試す」のをやめることです。

得られるもの

一般の企業や個人のシステム（国家事務、国防建設、先端科学技術の分野以外のコンピュータ情報システム）に侵入し、またはその他の技術的手段で、そこに保存・処理・送信されているデータを取得した場合、情状が重大なら3年以下の有期懲役または拘役、罰金の併科または単科です。特に重大なら3〜7年の懲役と罰金の併科です。「情状重大」の基準はいくつかあります。決済、証券取引、先物取引などのネット金融サービスの認証情報（アカウントとパスワードなど）を10組以上取得すること。その他の認証情報を500組以上取得すること。コンピュータ情報システムを20台以上不法に制御すること。違法所得5000元以上、または経済的損失1万元以上を生じさせること。これらの数字の5倍以上なら「情状特に重大」です。公式の事例：検察指導性事例（検例）第36号は、「許可された範囲を超えてアカウントやパスワードを使ってコンピュータ情報システムにログインすることは、コンピュータ情報システムへの侵入行為である」という原則を示しました。つまり、アカウントとパスワードを正当に持っていても、許可範囲外で使えば、その行為自体が侵入になるという意味です。この事件では、三人が業務で得たアカウント、パスワード、トークンを使って、遠隔地から会社の内部システムにログインし、業務範囲外のデータをダウンロードしてネットで売りました。違法所得は37000元。三人はそれぞれ懲役4年、3年9か月、4年、各罰金4万元（全国）。

補足

検例第36号は、データを売って利益を得た事件そのものです。ここで引用したのは「許可範囲を超えてログインすれば侵入になる」という一文のためで、善意のテストが同じ重さで判決されるという意味ではありません。何をしようと思っていたか、事後に報告したかどうかは、罪を打ち消すことはできず、影響するのは刑の重さや起訴されるかどうかだけです。メーカーがまず礼を言い、後から通報することは矛盾しませんが、礼を言われたからといって許可を得たことにはなりません。2016年、あるホワイトハッカー（白帽子）が世紀佳縁（世纪佳缘）サイトの脆弱性を第三者の脆弱性プラットフォームに報告しましたが、後に同社が警察に通報し、本人が逮捕されました。世紀佳縁は記者に、データが持ち出されたから通報したと話し、当時は持ち出したのが報告者だとは知らなかったと述べました。この件は報道のみで、判決も公式発表もなく、最終的な処理について公式の説明はありません。最高人民法院・最高人民検察院の公式サイトでも、逐語的に照合できる善意のテストの事例は見つからなかったため、この項目は条文と処罰基準だけで段階を定めています。やるなら、メーカーが公開しているSRC、または書面で委託された評価を使い、範囲、対象、時間帯をすべて文書に書いてください。脆弱性の存在を証明するには最小限の証拠にとどめ、データを大量に取得しないことです。犯罪に至らない段階でも治安処罰を受け、業務禁止の対象にもなります。罰金額と期間は第11節第8項（他人のマシンで自分のプログラムを動かさない）と同じです。脆弱性を見つけた後の扱いは、第11節第10項（脆弱性は規定に従って報告する）を参照してください。

根拠のレベル

A : メタ分析・大規模コホート・ランダム化試験の具体的な数字がある。法律・制度は条文や公式資料に当たっている.

出典

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）
3. 最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

中国語の原書からの翻訳です。 原書 第 11 節 第 9 項. この節は法律の話で、主に中国本土の制度です。一般的な情報で、法的助言ではありません。 内容が古くなっている場合があり、制度は地域によって違います。実際に手続き・受診・裁判をするときは、窓口・医師・弁護士の説明に従ってください。 免責事項