参議院

立憲・社民・無所属の奥村政佳です。 　本当にこの法案、多岐にわたる議論がされております。我が会派も今回は百四十分ということで、それぞれ質問の内容がかぶらないように、どの辺を担当しようかということも事前に相談なんかも必要でございました。 　私は、主に技術とか運用面、その辺りについて伺っていきたいと思います。どうぞよろしくお願いします。 　今日の質問でも、冒頭、山本委員からもお話がありましたけれども、今回のこの法案で、事前承認ということがあるという中で、スピード感を持って、サイバー領域から基幹インフラへの大規模攻撃などが想定される場合はしっかりと対応していかないといけないということがあります。 　そういう意味で、確実性と迅速というのはある意味相反するようなところがありますから、その辺りをどういうふうにバランスを取るのかということがあります。有識者会議でも、緊急性を意識して対応することが

御指摘、私も問題意識は共有をしています。迅速に意思決定をする必要があると思いますし、また、しっかりと内容を確認をして形骸化しないようにということを両立をさせる必要があるんだろうと思います。 　アクセス・無害化措置は、国、基幹インフラ事業者等に対する一連の重大なサイバー攻撃の発生又は予兆を認知し、実施をする必要があると認められる場合に、内閣総理大臣が議長を務める国家安全保障会議、ＮＳＣで速やかに審議した上で、総論的な対処方針を定め、内閣官房に設置をする新組織がサイバー安全保障担当大臣の指導の下、国家安全保障局、ＮＳＳと連携して総合調整を行い、統一した方針の下で警察と自衛隊が緊密に連携をして対処をすることになっております。 　一連のプロセスに係る意思決定の迅速化は非常に重要であり、情報収集・分析能力を強化するとともに、今回の整備、今回の制度整備の実現を通じた官民連携の強化や通信情報の活用に

ありがとうございます。 　やはり言葉として迅速というのは出てくるんですけど、じゃ、具体的に、例えばどれぐらいのタイミングで判定をしてということは、僕、しっかりとあらかじめ目安を決めておくべきだと思うんですね。 　例えば災害とかですと、去年も今年もありましたけれども、南海トラフ地震臨時情報なんかであると、何か地震が起こった後に何時間以内に委員が集まって判定をして、それからこういうことをしますということが国民にある意味共有をされているわけですね。その中で、ああ、なるほど、これぐらいのタイミングでそういう情報が出てくるんだなということで皆さん準備をして動くわけなんですけれども。 　例えば、国民に共有をするかしないかというか、事業者と共有するというレベルでもいいんですけれども、しっかりとその辺りはあらかじめやはり決めておかないと、迅速って言っているけれども対応ができるのかどうかということが実

お答えいたします。 　危機管理におきましては、委員御指摘のとおり、幅広い観点から発生し得る事態を予測し、平素からその備えを着実に進めておくことが重要であると認識をしております。 　政府におきましては、サイバー攻撃により重要インフラサービスの重大な供給停止等緊急事態が発生した場合に備え、関係省庁、重要インフラ事業者等と連携した対処訓練を毎年実施するなど、事案発生時の対処体制の構築に努めているところでございます。 　今後とも、政府といたしましては、様々な事態への対応を想定し、不断に検討、訓練を行い、対処に万全を期してまいる所存でございます。

私がこの質問をした理由は、やはり想定をして訓練をしているといっても、やっぱり十分ではない例がたくさんあるということが過去の日本の前例でもあるわけです。 　例えば、東日本大震災があって、その後に福島第一原発の事故があって、あの後も、やはりそういういろいろな放射性物質がどういう方向に流れるかというのはあらかじめＳＰＥＥＤＩというシステムで予測がされていたんだけれども、それが実際に有効に使われることはなかった。 　そういう意味で、やはり訓練、想定をして訓練といっても、やはりこれもやり過ぎてやり過ぎることはないと思いますので、しっかりとその辺りは、具体的なシナリオからの想定、そして訓練というのはこれはやはりやっていくべきだということで問題提起とさせていただきたいと思います。 　三問目に移りたいと思います。 　民間によるサイバー反撃とこの正当防衛の整理ということでちょっと伺いたいんですけれど

刑法は自然人を対象とする法規範でございまして、御指摘の刑法三十六条一項の正当防衛の成否についても自然人の行為が対象となります。その上で、一般論として申し上げますと、正当防衛は、急迫不正の侵害に対して自己又は他人の権利を防衛するためやむを得ずにした行為について成立するものとされているところでございます。

今、成立し得るも成立し得ないというのもお答えはいただけなかったんですけれども。自然人がということでしたけれども、自然人がやってきているんだということで、その瞬間には判断ができなくても、その事業者の方でそういうふうに解釈をして何かアクションを起こすことはあり得るわけです。 　仮に、これが成立し得る場合は、民間事業者が、いわゆるハックバックと言われる、攻撃対象に向かって何かアクションが、技術的にはかなり難しいとは思いますし、仮の話にはなるんですけれども、それをした場合に攻撃者との間でそれがエスカレートをするようなシナリオも考えられ得るわけです。 　もう一つのシナリオとして考えられるのは、そういう攻撃に関して、国の方でもこれは攻撃者に対して何かアクセス・無害化措置をせねばならぬと、アクションをせねばならぬということで動き出すと。そうすると、二つの主体が同時に動くようなときに、責任の所在がよく

サイバー攻撃に対する民間事業者の方々の取組としては、まず防御を固めていただくことが極めて重要だと思います。その上で、違法とされる可能性もあるハックバックを認めるという立場を取ることは、私としては控えたいと思います。本当に被害が大きいので、やり返したい思いは強いのはよく分かります。私もよく、「攻殻機動隊」なんかは攻撃されると相手のサーバー焼き切る攻性防壁というのがあって、国もそういうのできないのかとよく地元で言われることがありますが、実際は、実際アクセス・無害化というのはそういうえぐいことをやるわけではなくて、設定を変えたりコマンドが出ないようにということであります。それを民間の方がやるということは、なかなか想定できないかなというふうに今思っております。 　こうした認識の下で、国は、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合に、これによる被害

今大臣の、御本人からそういうことはやっぱりやっちゃいけないんだと思うというお話がありましたけれども、それがしっかりと、ガイドラインという形であるのか何かちょっと分からないですけれども、しっかりと共有されることは必要だと思うんですね。でないと、例えば自分のところの基幹インフラ事業者が攻撃を受けていると、受け続けていると、それに対して国の方がなかなか、先ほどそれでタイムラインという話をしたんですけれども、動きが遅いと、このままやられ続けるとうちの株価が下がっちゃうと、もうこうなったらしようがないということで動くということも、まあ仮の話としてはあり得るわけです。 　そういうところで、しっかりと官民コンセンサスを取って動くような体制と、そんなことをしなくても国がしっかりと対応するよという体制を整えていただきたいというふうに思います。 　次の質問に移りたいと思います。 　この制度のアップデート

委員御指摘のように、サイバー空間をめぐる環境変化は速いということで、昨年十一月の有識者会議提言においても、重要インフラ等の機能を停止させることを目的とした高度な侵入、潜伏能力を備えたサイバー攻撃に対する懸念が急速に高まっていること、社会全体でデジタルトランスフォーメーションが進んだ結果、サプライチェーン全体のセキュリティーを確保する必要が高まり、官のみ、民のみでのサイバーセキュリティー確保が極めて困難となっていること等について御指摘をいただき、本法案の検討に際してこうした状況変化を十分に考慮したところであります。 　一方、デジタル技術の進展は日進月歩であり、サイバー攻撃の態様等も大きく変化し得ることも考慮すれば、法整備でサイバー対処能力強化のための取組が終わりということではありません。運用面も含め不断の見直しを行い、適時適切に改善を図っていくことが重要と考えております。 　さらに、衆議