内閣委員会

お答えいたします。 　経済安全保障推進法における導入等計画書の届出、これと、本法案における特定重要電子計算機の届出は違うものではあるんですが、一部届出の対象設備について重複するものがあることは事実であります。 　その上で、経済安全保障推進法は、特定重要設備が特定妨害行為の手段として使用されるおそれが大きいかどうかを事前に届出を求めて、その内容を審査するというプロセスを取ります。法目的上、それをせざるを得ません。一方で、本法案は、政府から基幹インフラ事業者に情報提供をするのが目的でありまして、特定重要設備の機能に影響を与えるネットワーク機器等を事後的にお届けいただくということでございます。 　それぞれの制度趣旨や届出のタイミングを踏まえると、両制度の手続を完全一体化するというのはなかなか難しいかなというふうに思っております。 　ただ、先生御指摘のとおりで、事業者の過度な負担にならない

先ほどのクラウドの件でもありましたように、担当者が余り理解せずに行って、これを届出してくださいと言って、今みたいな、丁寧に、ちゃんと分かっている説明で、分かっている方が行ってくださればいいけれども、担当者に行ってこいといって、行ったら、いや、それはもう前に行っていますよ、いやいや、これは違うんだ、こういう話になると、そこでまた要らぬ時間と労力がかかるわけですから、またよろしくお願いを申し上げます。 　大臣、この点については、大臣から一言お願いできませんか。過度なものにならないようにということで。

設備と、それをコントロールするサーバーの違いと、あと、今、時系列の違いがありますが、二度手間、三度手間にならないように、共通部分に対しては工夫をしてまいりたいと考えます。

次に、いわゆるインシデント情報の報告義務ということでありますが、これも何度もここで申し上げているように、民間の過度な負担にならないようにしなければならないと思います。 　例えば、いわゆる外部からのサイバー攻撃というのは、サービスや社会の基幹的なシステムが長時間停止するような規模のものや、攻撃はあったけれどもサービスには影響しないものなど、大小様々なものがあるわけです。全てについて報告することになれば、それこそ何百万件などということであれば、余りにも過度な義務となりますので、やはり報告が必要な事象は可能な限り限定的なものとすべきだと私は考えますが、いかがでございますでしょうか。

お答えいたします。 　本件も、先生御指摘のとおりだと思います。 　本法案で、基幹インフラ事業者に対して、特定侵害事象等が発生した場合には、政府による対処や分析に必要な情報の報告を求めることを義務づけておるわけでございますが、御指摘のとおり、例えば、ＮＩＣＴに対する報告は、十三秒に一回とか、そんなものを全部報告するなんというのは不可能でありまして、効果的かつ効率的にどこまで御報告いただくかということは極めて重要だと思います。 　報告対象となる事象や報告方法等を明確にします。した上で、予見可能性を高めて、事業者の負担が過大にならないようにしていきたいと考えておりまして、この制度設計でも、事業者や専門家の皆さんの意見を十分に踏まえて対応してまいりたいと思います。

ありがとうございます。 　次に、今度は報告の期限について質問させていただきたいんです。 　例えば、大規模なサイバー攻撃が発生した場合、個人情報や通信の秘密に該当する情報が同時に漏えいする可能性がある。その場合にどうなるかといいますと、いわゆる所轄官庁や個人情報保護委員会及び総務省等への漏えい報告も必要になりまして、一方で、更なる攻撃への対処やシステム復旧のための対応も発生するということで、もうてんやわんやになるわけですね、簡単に言えば。てんやわんやになっているわけです。 　そのときに、おい、早く報告しろ、早く報告しろ、しかも、一か所だけじゃなくて、幾つかの省庁が一度に、はい、うちにも早く、うちにも早く、そして、個人情報保護委員会からも早く報告しろと。こうなると、てんやわんやしているところでもう大変なわけですね。だから、報告期限につきましても、しっかりと考えていただきたい。 　そして

市村委員御指摘のとおりで、サイバー攻撃が発生した場合における被害組織の負担軽減と政府の対応迅速化は極めて重要であり、有識者会議からも、インシデント報告先の一元化や報告様式の統一化等を進めることが必要である旨の御提言をいただいたところであります。 　このため、サイバー対処能力強化法案においては、基幹インフラ事業者によるインシデント報告を内閣総理大臣及び特別社会基盤事業所管大臣に同報する旨を規定しています。 　本法案の施行に当たっては、システム整備により報告窓口を一本化をし、報告を受けた情報を関係省庁にも共有できるような環境を整備したいと考えています。 　また、今後の報告期限など運用の詳細を検討していくに当たっても、専門家や事業者の皆さんの意見を丁寧に伺ってまいります。

ありがとうございます。 　次に、これは本会議でも私は話をさせていただいたんですが、要するに、今回御協力いただく関連事業者が、要らぬ誤解を受けて、例えば関連事業者が個人の秘密を漏らしたとか、そんなことにならないように、しっかりと制度の意義や利用の範囲等を国民に周知啓発することが必要不可欠と考えますが、いかがでございますか。

本法律案に基づく基幹インフラ事業者との協力は、重要な電子計算機に対するサイバー攻撃による被害を防止するため不可欠であり、委員御指摘のとおり、協力いただいた基幹インフラ事業者が批判や中傷を受けないようにすることが重要であります。 　その上で、基幹インフラ事業者の協力により得られた通信情報については、本法律案において、閲覧その他の人による知得を伴わない自動的な方法によって、不正な行為に関係があると認めるに足りる外内通信に含まれる機械的情報のみを選別して分析の対象とすること、重大なサイバー攻撃による被害防止目的以外の利用を原則として禁止すること、安全管理措置を講じること、独立機関の継続的な検査の対象とすることなどを明確に定めております。 　法案成立後の暁には、こうした今回のサイバー対処能力強化法案の制度の意義や内容について、あらゆる機会を捉え、国民の皆様に広く分かりやすく周知をしてまいりたい

次に、安全管理措置等について、法案第八条、第二十六条、四十四条に基づく各情報の安全管理措置等について、政府における適切な履行がマストと考えますが、いかがでしょうか。