内閣委員会総務委員会安全保障委員会連合審査会

攻撃主体の話というのがずっと議論されていましたので、もう一度伺いました。 　この主体というのは、やはり攻撃主体というものの特定にこだわって、逆にサイバー攻撃の無害化が遅れるということもありますので、この辺は本当にバランスだと思いますけれども、ただ、これまでの国会の議論の中でやはり心配されていることがあるので、その点については国民の皆様にもしっかりと分かるように、また我々国会議員にも分かるように政府は説明していただきたいと思いますので、よろしくお願いします。 　次に、能動的サイバー防御における通信の秘密ということでお伺いしていきます。 　先ほど申し上げましたように、今回のサイバー防御における通信の秘密に関わる情報というのは、具体的な攻撃が顕在化する前、すなわち、捜査の前提になる犯罪事実がない段階から取得する必要が出てくるわけですね。犯罪捜査でない以上は裁判所の令状は取ることは当然できな

本法律案による通信情報の利用は、同意によらずに利用する場合であっても、何人にも閲覧などの知得をされない自動的な方法によって、不正な行為に関係があると認めるに足りる機械的情報のみが選別をされ分析をされるものであることに加えて、国家及び国民の安全の確保などの観点から重要な電子計算機における一定の被害を防止をするという高い公益性があります。また、他の方法によっては実態の把握や分析が著しく困難である場合に限り行うという制約を課すとともに、独立機関による継続的な検査など、様々な措置を講じることとしています。 　したがって、本法律案の定める同意によらない通信情報の利用の措置は裁判官の令状によるものではありませんが、通信の秘密との関係において、公共の福祉の観点から必要やむを得ない限度の制約にとどまるものとなっております。

その自動選別をしていただいた上で、今度は手作業の選別の問題ということになります。 　個人を識別できないように非識別化措置を手作業で行うというふうに、本質的な内容を除いたメタデータの後はこれを手作業でやっていく、通信の秘密を不当に侵害する懸念はないのかということが考えられるんだと思います。 　メール本文に含まれるウイルスの抽出も、手作業であれば同じ懸念が生まれると思うんですけれども、この点をどのように考えているのかということを簡単に伺います。

御指摘のように、非識別化措置を取る際には、機械的情報に含まれる個人を識別することができることとなるおそれが大きいと認められる情報を網羅的に自動的な方法で判別をすることは技術的に困難であります。手作業により非識別化措置を講ずることを想定しています。 　この場合であっても、国家及び国民の安全の確保等の観点から重要な電子計算機における一定の被害を防止するという高い公益性を踏まえて、自動的な方法によって、不正な行為に関係があると認められるに足りる機械的情報として選別されるものだけが対象であり、また、手作業の過程で知り得た通信情報の秘密の漏えい、盗用には罰則が科せられ、さらに、独立機関による継続的な検査が行われるなど、様々な措置が講じられるため、通信の秘密に対する制約は公共の福祉の観点から必要やむを得ない限度にとどまり、憲法違反となるものではないと考えております。 　また、メールに含まれているウ

次に、選別主体の問題について伺います。 　自動選別とその後の手動的な選別作業は、全て政府の責任でやるということで間違いないのか。これは、費用だけでなく、自前のシステムを用意してきちっと選別するので、通信事業者が選別作業に関わることは一切ないということで考えていいんでしょうか。

法律上、自動選別は内閣総理大臣が実施するものとして明確に規定をしています。また、本法律案では、通信情報保有機関や委託事業者などの他の機関に選別前の通信情報を提供することを許容する規定はありません。 　このため、通信事業者が自動選別の実施そのものに関与することは想定されません。

ですので、手動的な選別も含めて全て政府の責任でやるのかということを伺っていまして、これは何でかというと、通信情報の利用の適正確保のために設置される第三者機関の所掌範囲の問題になるからなので、伺っています。 　外部の通信事業者を含むか含まないかというのは、これは第三者機関の性格を大きく変える可能性があるので、あえて聞いています。

政府の責任においてしっかり行います。

第三者機関の実効性確保の上で重要なことであるので、お伺いをいたしました。 　次に、対象期間を限定した通信の情報の監視ということでございます。 　通信事業者の通信情報量は莫大ですよね。その全てを常時監視することは不可能だということで、非効率的でもあるので、そのために、本法案では、一定期間を限って通信情報の送信を受けた上で、自動選別によって、怪しいと思われる機械的情報のみを取り出して分析するということは先ほどからもあるとおりだと思うんですが、この疑わしい機械的情報に絞って重点的に監視するためには、それを可能にする別の情報が必要と考えられます。今回の法案には、その情報の取得手段が必ずしも明示されていないんですね。だから、このことがやはり議論の中で法律の実効性に一抹の不安を感じさせる理由になっているんだと、これまでの議論を聞いていて考えています。 　私は、これまでのサイバー犯罪捜査や外国から

同意によらず通信情報を取得するための措置を講ずるに当たっては、一定の不正な行為に用いられていると疑うに足りる状況のある特定の国外設備を送信元又は送信先若しくはその両方とし、用いられていると疑うに足りる状況のある特定の機械的情報が含まれているものを分析をしなければ被害を防止をすることが著しく困難であるなどの要件を満たす場合にこれを行うこととしております。済みません、前提です。 　こうした要件を満たしていることを判断するためには、あらかじめ他の方法等により取得した情報を活用することが必要であるものと考えております。 　このため、例えば、本法律案に基づくインシデント報告の規定による事業者からの情報提供、本法律案に基づく当事者協定により取得した通信情報の分析、セキュリティー専門企業が公表した情報、関係省庁や外国政府からの情報提供等を通じて様々な情報を取得し、これらを一体的に活用することで、通信