参議院

まず、既存の内部通報制度を活用していただけると思います。更に言えば、新しくできる第三者委員会のところにそういう通報する窓口を置くというやり方もあるかもしれません。

是非、そこら辺は周知をしていただいて、携わる皆さんには、何か不正があったときにはしっかり報告をたとえ内部であっても当然してもらうというようなことができるということは周知をしていただきたいと思います。 　そして、大分時間がなくなってまいりましたが、サイバー通信情報監理委員会の権限についてですけれども、どのぐらいの権限が与えられるのかというのがいまいち分からない中で、行政の職員と同じぐらいの権限が与えられるんだみたいな説明も受けたんですが、例えば抜き打ち検査なんかもできるしということなんですが。例えば、海外の事例ですけれども、第三者委員会で入っていくと全ての鍵を与えられて、この鍵使って自由にどこ開けてもいいよというようなことも言われるような第三者委員会もあるようですけれども、ここの権限の内容について教えてください。

サイバー通信情報監理委員会は、いわゆる三条委員会として、府省等の他の行政機関と同等の立場で自らの名義をもって審査を行い、また、他の行政機関に対し自らの名義をもって勧告等を行うことができるものであり、その点においても職権行使の独立性が保障されています。 　加えて、委員会の委員長と委員は独立してその職権を行う旨の規定が設けられているほか、国会の同意を得て任命され、また任命された後は、拘禁刑以上の刑事罰に処されるなどの法律で定められた事由がなければ罷免されることはありません。 　また、サイバー通信情報監理委員会の委員長及び委員には、法律あるいはサイバーセキュリティー等に関して専門的知識及び経験並びに高い見識を有する者から任命することを法律上で定めているほか、委員会の事務を処理させるために事務局を置くこととされているところ、独立性や実効性が確保された委員会となっているものと認識をしています。

是非、しっかりそういったところを保障していただいて、サイバー通信情報監理委員会というものが忖度をする、そういうなあなあの委員会にならずに、この委員の皆さんにはしっかりと監視をするんだということで職務に当たっていただきたいというお願いもしたいと、将来これ任命をされるわけだと思いますけれども、お願いをしておきたいと思います。 　時間になりました。終わります。ありがとうございました。

立憲民主・社民・無所属会派の石垣のりこでございます。 　今の石川委員の質疑がございましたので、ちょっとそれを受けて、私の方も質疑のちょっと順番を変えたいと思います。 　選別後通信情報の目的外利用についてから伺いたいと思います。 　前回私も質問しました第二十三条の選別後通信情報の目的外利用について、平大臣が、選別後通信情報は重大なサイバー攻撃に関係があると認めるに足りる機械的情報と、重大なサイバー攻撃に関係があるということをまずは強調されていたわけですね。 　これ、一般的に、重大なサイバー攻撃に関係があるというふうに聞きますと、サイバー攻撃を仕掛けてくる攻撃者の情報そのものというふうに、ぱっと、その直接的な攻撃者イコールであるようにちょっと受け取れてしまうんですけれども、実はそうとは限らなくて、攻撃者がサイバー攻撃を行う上で踏み台として利用しているサーバーとか、あとはマルウェアに感染

重大なサイバー攻撃に関係あるというのはどういう意味かということだと思いますが、本案の通信情報の利用の措置では、自動的な方法による選別により、一定の重大なサイバー攻撃に関係があると認めるに足りる機械的情報に限定されたもののみを分析の対象とすることとしています。 　ここで、重大なサイバー攻撃とは、国外設備を送信元とした重要電子計算機に対する特定不正行為と、協定当事者が使用する電子計算機に対する特定不正行為をいいます。 　その際、一定の重大なサイバー攻撃に関係があると認めるに足りる機械的情報とは、より具体的には、攻撃に用いられていると考えられるＩＰアドレス、攻撃に用いられているコマンド等が主に想定をされています。

なので、攻撃に用いられているということは、本当にたまたま乗っ取られてしまった、感染させられてしまったものであって、そのＩＰアドレスの持ち主そのものが犯罪を意図的に行っているというわけではないという情報の方が、むしろ踏み台の方に、ダイレクトに攻撃することの方がほぼないと言ってもいいと思いますので、多いということでよろしいですか。

これ一概に言えませんが、実際にＩＰアドレスそのものは、実際攻撃者から踏み台にされているサーバーのＩＰアドレスである可能性はかなりあると思います。

ということで、集められたものが犯罪に関係をしているからそれは見られても仕方がないだろうということではなくて、やはり、全く関係ない善意の第三者、皆さん、私たちも含めて対象になり得る情報を収集されるのだということはちょっと認識をしていただかなきゃいけないと思うんですね。 　その上で、第二十三条四の特定被害防止目的以外の目的とは何かというところなんですが、政府のこれまでの答弁が非常に分かりにくいなと思ったので整理をすると、特定被害防止目的以外の目的ではあるんだけれども、法律自体の目的である第一条に規定された重要電子計算機に対する不正な行為による被害の防止を図ることという目的の範囲内であるという解釈でよろしいですか。

そのとおりでございます。