衆議院

次に、古川あおい君。

チームみらいの古川あおいです。 　本日は、医療機関におけるサイバーセキュリティー対策についてお伺いしたいと思います。 　チームみらい、ほかの委員会でも何度か質問させていただいておりますけれども、今年の四月にアメリカのアンソロピック社という会社が、クロード・ミュトスという新しいＡＩモデルを発表いたしました。このミュトスはすごい力を持っていて、主要なＯＳやウェブブラウザーにおける未修正の脆弱性を数秒から数分で幾つも見つけることができる能力を持つとされており、開発のアンソロピック社は、危険性を考慮して一般公開を見送っております。 　これを受けて金融庁は、日銀やメガバンクと官民連携の作業部会を設置いたしました。経産省も、電力やガスといった重要インフラ分野の業界団体と意見交換を行っていると聞いております。 　医療も、サイバーセキュリティーに係る行動計画における、重要インフラとして位置づけられ

クロード・ミュトスを始めとして、ＡＩがサイバー攻撃に悪用されるリスク、これをいかに回避するかという点におきましては、医療機関におきましても、金融機関等と同様に重要な課題だというふうに認識しています。 　厚労省では、これまで、医療機関におけるサイバーセキュリティーの現状について、医療関係団体を含めた関係者との対話や調査を継続的に行ってきましたけれども、この事案、クロード・ミュトスに関しましても、医療関係団体との連携の枠組み、既にありますが、この枠組みも活用しながら、密接に意見交換、これを図っていきたいと考えております。 　その上で、こうした課題への具体的な対応については、多くの省庁に関わる課題でもあります。昨日の閣僚懇談会におきましても、総理の方から、松本サイバー安全保障担当大臣に対し、政府全体での対応を早急に具体化をして実施するよう指示があったところでありますので、厚労省といたしまして

ありがとうございます。 　先ほども申し上げましたけれども、既に金融庁では作業部会を設置して、経産省は関係団体と対話をしてということを始められております。今、上野大臣からも前向きなお言葉がありましたので、これから是非、関係者ですとか業界団体との対話を通じて、必要な対策というものを取っていただくことをお願いいたします。 　続いて、ちょっと一問後に回させていただいて、三問目と書いておりましたガイドラインについてお伺いしたいと思います。 　医療機関におけるサイバーセキュリティーの対策としては、現行、医療情報システムの安全管理に係るガイドラインというものがあると承知をしております。このガイドライン、二〇二三年五月に第六版が改定されたものであり、現在は次期改定に向けた作業中であると承知しております。 　こちら、今、改定に向けた作業を進めていく中で、この改定作業班における議論の中で、生成ＡＩを用

お答えさせていただきます。 　サイバー攻撃の手法というのは、これは日々多様化、それから巧妙化しておるということで、これに適切に対応するため、御指摘の医療情報システムの安全管理に関するガイドラインというのは不断に見直しを行っているところでございます。 　このガイドラインは、現在、改定作業中でございますけれども、医療機関の管理者に義務づけられているサイバーセキュリティー確保のための措置として具体的に遵守すべき事項を示すものでございまして、具体的な対策に関する方針などが定まっていない現時点において、検討事項としては取り上げておりません。 　御指摘いただきましたミュトスを含む生成ＡＩを用いたサイバー攻撃への対応に関してでございますが、引き続き、国家サイバー統括室等とも連携しながら最新の動向や知見を注視するとともに、実態や影響を分析した上で、各医療機関において実行可能な対策を整理し、必要に応じ

ありがとうございます。 　生成ＡＩなど技術も進化する、サイバー攻撃の方法も日々進化していくという中で、ガイドラインについても不断の見直しを行っていくということを御答弁いただき、ありがとうございました。 　元々、前回の改定というのは、振り返ってみると、三年前、二〇二三年だったわけです。お話にもあったような技術の進化のスピードというのを考えると、数年に一度改定するというのでは、技術の進歩に対して、ガイドラインのアップデート、対応が追いつかないのではないかと考えます。 　ここでお伺いいたしますが、ガイドラインの改定が必要であると判断されてから、実際にそこから改定に向けた検討をスタートして、作業部会を設置してというような作業を行われると思いますけれども、ガイドラインが必要であるというふうに厚労省で判断をされてから、実際に改定版のガイドラインができ上がって、発出されるまでというところにはどの程

お答え申し上げます。 　このガイドラインにつきましてでございますけれども、ガイドラインの改定に要する期間ということでございますが、改定の規模、それから内容によってその期間については異なりますけれども、例えば、直近の五・二版から六・〇版への改定の際には、改定作業班の立ち上げから発出まで約十か月を要したという状況でございます。 　本ガイドラインの改定の際には、医療機関への浸透にも一定の時間や負担がかかることもありまして、新たな脅威が発生する都度、短時間で部分的に改定を行うというようなことは想定をしておりませんけれども、今回の事案につきまして、これは関係省庁とも連携しながら、想定される課題や課題に対応する施策、これを整理しながら速やかに適切に対応していきたいというふうに考えております。

ありがとうございます。 　ガイドラインというのは、位置づけとしてもこれはやはり重みがあったりとか、おっしゃるように医療機関にある程度周知期間を持ちたいというところなので、若干ハードルが高いというところは承知をいたしました。 　ただ、とはいえ、クロード・ミュトスのような大きな脅威ですとか大きな変化があった際には、必ずしもガイドラインによらないような形、ＱアンドＡであるとか事務連絡、通知のような形で注意喚起を促すような仕組みも必要なのではないかと思います。例えば、ガイドラインについても部分改定のようなやり方であるとか、また、ガイドラインの改定にとどまらない、医療機関に対する周知や注意喚起といったものも行うべきではないかと思いますけれども、今回のミュトスの事案に対応して、そういったものを行う予定はありますでしょうか。

お答えを申し上げます。 　御指摘のとおり、ガイドラインにつきましては、一定の期間を今、五・二版から六・〇版に関しては十か月という時間をかけておりますけれども、その都度都度、脅威の内容、それから課題として挙がったようなものの内容に応じて適切に、一部注意喚起で流したり、また、速やかな改定を行うといったようなことも必要だというふうに考えておるところでございます。 　御指摘のミュトスの件でございますけれども、これにつきましても、発生した事案ですとか、それから分析の結果といったものを分析した上で、各医療機関において実行可能な対策、これを検討するということが非常に重要だと考えておりまして、その際についてはしっかり対応していきたいというふうに考えておるところでございます。

ありがとうございます。 　ちょっと話が戻るんですけれども、改定について、通常ですと、通常ですとというか、前回ベースでいくと十か月近くかかるというのは、結構、周知期間を別に取るにしても、時間がかかるなというふうに認識しているんですけれども、この十か月、厚労省が改定した方がいいんじゃないかというふうに決めてから実際に改定が行われるまで、具体的にはどのようなプロセスがあるかということについて、お答えできる範囲で教えていただけますか。