参議院

仮定の質問にお答えすることはなかなか難しいんですが、一般論として申し上げれば、隊法八十一条の三に規定する通信防護措置の発令に際しましては、どういった電子計算機へのサイバー攻撃であるか、当該のサイバー攻撃が本邦外にある者による特に高度に組織的かつ計画的な行為であるかなどの要件を満たす必要がありまして、それらの要件の該当性については個別具体的な状況に応じて判断することとなります。 　いずれにいたしましても、政府として入手した様々な情報を踏まえて総合的に分析して、内閣総理大臣が発令の可否について判断をすることになるということであります。

いや、そうだと思います。これ、できると言われちゃうと、また混乱するんですけど。 　これ、今回の法案でいうと、重要電子計算機というのは、国や地方自治体、電力や金融分野の基幹インフラ事業者に関してです。さっきのは暗号資産関連事業者の加害関係電気通信なので、これ、基本的にはなかなか自衛隊動きにくいんだと思うんです。だからこれは警察に委ねられるのではないかと思いますが、一方で、こういった事案でも、今局長は極めて抑制的な御答弁をされましたが、背景に国家がある場合には、出ることも想定し得るのではないかと。 　抑制的な答弁で、僕は理解しているんですよ、法案の中身的には理解しているんですけれども、でも、こういう場面で何らかの形で自衛隊がアクセス・無害化措置をできるような状況は起こり得るのかどうか。これ個別具体的な状況ですから、何というか、答えにくいのはよく分かっていますが、局長、いかがでしょうか。

繰り返しのようになって恐縮ですが、要件の該当性については個別具体的な状況に応じて判断するということになります。要件に該当すれば内閣総理大臣が発令を判断することもあり得るということでございます。 　以上であります。

警察庁にお伺いしたいんですが、ですから、これ、重要電子計算機でなければ、やっぱり自衛隊動きにくいと思います。これ、警察庁は先ほどやれるとおっしゃいましたが、この場合でもＮＳＣに上げるんでしょうか。承認は僕は要ると思いますが、ＮＳＣまで上げて意思決定が要るのか。警察官職務執行法上、外務大臣との協議、それからサイバー通信情報監理委員会の承認をもらえれば警察はできるのか。どう判断されますか。

お答えいたします。 　サイバー危害防止措置執行官がアクセス・無害化措置を実施することができる法律上の要件は先ほどお答え申し上げたとおりでございますが、措置の適正性を確保する観点から、原則として、サイバー通信情報監理委員会の承認を受けることとしております。 　また、警察といたしましては、国家安全保障局を含む内閣官房の所掌事務の観点から行われる総合調整の下、警察庁長官等の指揮を受けてアクセス・無害化措置を実施することとしております。

今のは、実際どうかは別にして、法文上はそうなっているということで、先ほど午前中申し上げたように、これＮＳＣに上げる義務は、全然、警察官職務執行法の中には条文ないんですね。ＮＳＣも法案改正していないんですね。 　ですから、これ、あのポンチ絵は上からずうっと指示、方針が出ることになっていますが、実は一番ベースとして出てくるのは、このポンチ絵でいうと一番下の警察の情報が一番多分早くて、一番今のところでいうと大切な情報が上がってくるんですけど、ここからＮＳＣに上げてというところのプロセスは法文上は僕は全く担保されていないと思っているので、それはもう先ほども申し上げましたので、指摘だけにしておきます。 　それでは、もう一個お伺いしますが、じゃ、総理大臣による通信防護措置命令は、民主的統制、アクセス・無害化措置の迅速性との関係でいえば、ここに出ているのは、ＮＳＣからの方針というのは出ているんですけ

お答えいたします。 　新設する自衛隊法第八十一条の三の通信防護措置は、国や基幹インフラ等の一定の重要な電子計算機に対して、本邦外にある者による特に高度に組織的かつ計画的なサイバー攻撃が行われ、自衛隊が対処を行う特別な必要のある場合に、自衛隊が警察と共同して措置をとることとして、内閣総理大臣により発令されるものであります。 　この内閣総理大臣による通信防護措置の発令は、内閣の首長として行うものであることから、閣議決定に基づいて行うことになります。そのため、通信防護措置の発令の際には、その都度閣議決定がなされることとなります。

そうですか。閣議決定も要るとなると、これ迅速性の問題、課題は出てくると思います。 　もう一点、これは参議院側の内閣委員会の参考人質疑で出た話なので、ちょっと僕は教えていただきたいんですけど、参考人の持永先生では、米国政府が昨年一月に公表したボルト・タイフーンによる攻撃ということを詳細に御報告をされました。 　このボルト・タイフーンによる攻撃に関して日本政府が理解をしている状況を御説明ください。

お答え申し上げます。 　米国において、中国を背景とすると指摘されるボルト・タイフーンと呼ばれる組織によるサイバー攻撃について公表している例があることは承知しております。 　このボルト・タイフーンによる攻撃は、相手方の重要インフラのシステムに侵入し、そのシステムに長期間にわたって寄生、潜伏するシステム寄生型戦術を用いて将来の有事における機能不全を目的とするものとされております。 　具体的な攻撃手法としては、ネットワーク機器のゼロデー脆弱性をついて侵入した上で、マルウェアを使わず正規ユーザーに成り済まし、侵入痕跡などとなるログを消去するなど、長期間の潜伏に必要な高度な検知回避能力を保有していることが特徴です。 　米国においては、ボルト・タイフーンにより、本土、米国本土ですね、あと島嶼部の米軍基地にサービスを提供する重要インフラへの攻撃の脅威が高まっているというふうにされておるというとこ

これ、長期間、五年ほど掛かったということで、アメリカ政府は察知するまでも一年ぐらい掛かって、その後、無害化措置をやったということなんですね。 　そうすると、今回の法律でいうと、自衛隊法によれば、通信防護措置命令の発令というのはこれ措置の対象、期間をあらかじめ指定することになるんですけど、これ対象というのは包括的に指定することになるのか、どういう形での対象になるのか。 　また、期間です。このボルト・タイフーンの例でいけば、これ五年ですね。そうすると、これ特定の終了時期を定めない、無期限、つまり期間ずっと発令中、通信防護措置命令は発令しっ放しということもあり得るかもしれないと思うんですが、常時発令の可否や対象の問題、こういった問題については今どういうふうに考えておられますか。