内閣委員会

ありがとうございます。 　やはり言葉として迅速というのは出てくるんですけど、じゃ、具体的に、例えばどれぐらいのタイミングで判定をしてということは、僕、しっかりとあらかじめ目安を決めておくべきだと思うんですね。 　例えば災害とかですと、去年も今年もありましたけれども、南海トラフ地震臨時情報なんかであると、何か地震が起こった後に何時間以内に委員が集まって判定をして、それからこういうことをしますということが国民にある意味共有をされているわけですね。その中で、ああ、なるほど、これぐらいのタイミングでそういう情報が出てくるんだなということで皆さん準備をして動くわけなんですけれども。 　例えば、国民に共有をするかしないかというか、事業者と共有するというレベルでもいいんですけれども、しっかりとその辺りはあらかじめやはり決めておかないと、迅速って言っているけれども対応ができるのかどうかということが実

お答えいたします。 　危機管理におきましては、委員御指摘のとおり、幅広い観点から発生し得る事態を予測し、平素からその備えを着実に進めておくことが重要であると認識をしております。 　政府におきましては、サイバー攻撃により重要インフラサービスの重大な供給停止等緊急事態が発生した場合に備え、関係省庁、重要インフラ事業者等と連携した対処訓練を毎年実施するなど、事案発生時の対処体制の構築に努めているところでございます。 　今後とも、政府といたしましては、様々な事態への対応を想定し、不断に検討、訓練を行い、対処に万全を期してまいる所存でございます。

私がこの質問をした理由は、やはり想定をして訓練をしているといっても、やっぱり十分ではない例がたくさんあるということが過去の日本の前例でもあるわけです。 　例えば、東日本大震災があって、その後に福島第一原発の事故があって、あの後も、やはりそういういろいろな放射性物質がどういう方向に流れるかというのはあらかじめＳＰＥＥＤＩというシステムで予測がされていたんだけれども、それが実際に有効に使われることはなかった。 　そういう意味で、やはり訓練、想定をして訓練といっても、やはりこれもやり過ぎてやり過ぎることはないと思いますので、しっかりとその辺りは、具体的なシナリオからの想定、そして訓練というのはこれはやはりやっていくべきだということで問題提起とさせていただきたいと思います。 　三問目に移りたいと思います。 　民間によるサイバー反撃とこの正当防衛の整理ということでちょっと伺いたいんですけれど

刑法は自然人を対象とする法規範でございまして、御指摘の刑法三十六条一項の正当防衛の成否についても自然人の行為が対象となります。その上で、一般論として申し上げますと、正当防衛は、急迫不正の侵害に対して自己又は他人の権利を防衛するためやむを得ずにした行為について成立するものとされているところでございます。

今、成立し得るも成立し得ないというのもお答えはいただけなかったんですけれども。自然人がということでしたけれども、自然人がやってきているんだということで、その瞬間には判断ができなくても、その事業者の方でそういうふうに解釈をして何かアクションを起こすことはあり得るわけです。 　仮に、これが成立し得る場合は、民間事業者が、いわゆるハックバックと言われる、攻撃対象に向かって何かアクションが、技術的にはかなり難しいとは思いますし、仮の話にはなるんですけれども、それをした場合に攻撃者との間でそれがエスカレートをするようなシナリオも考えられ得るわけです。 　もう一つのシナリオとして考えられるのは、そういう攻撃に関して、国の方でもこれは攻撃者に対して何かアクセス・無害化措置をせねばならぬと、アクションをせねばならぬということで動き出すと。そうすると、二つの主体が同時に動くようなときに、責任の所在がよく

サイバー攻撃に対する民間事業者の方々の取組としては、まず防御を固めていただくことが極めて重要だと思います。その上で、違法とされる可能性もあるハックバックを認めるという立場を取ることは、私としては控えたいと思います。本当に被害が大きいので、やり返したい思いは強いのはよく分かります。私もよく、「攻殻機動隊」なんかは攻撃されると相手のサーバー焼き切る攻性防壁というのがあって、国もそういうのできないのかとよく地元で言われることがありますが、実際は、実際アクセス・無害化というのはそういうえぐいことをやるわけではなくて、設定を変えたりコマンドが出ないようにということであります。それを民間の方がやるということは、なかなか想定できないかなというふうに今思っております。 　こうした認識の下で、国は、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合に、これによる被害

今大臣の、御本人からそういうことはやっぱりやっちゃいけないんだと思うというお話がありましたけれども、それがしっかりと、ガイドラインという形であるのか何かちょっと分からないですけれども、しっかりと共有されることは必要だと思うんですね。でないと、例えば自分のところの基幹インフラ事業者が攻撃を受けていると、受け続けていると、それに対して国の方がなかなか、先ほどそれでタイムラインという話をしたんですけれども、動きが遅いと、このままやられ続けるとうちの株価が下がっちゃうと、もうこうなったらしようがないということで動くということも、まあ仮の話としてはあり得るわけです。 　そういうところで、しっかりと官民コンセンサスを取って動くような体制と、そんなことをしなくても国がしっかりと対応するよという体制を整えていただきたいというふうに思います。 　次の質問に移りたいと思います。 　この制度のアップデート

委員御指摘のように、サイバー空間をめぐる環境変化は速いということで、昨年十一月の有識者会議提言においても、重要インフラ等の機能を停止させることを目的とした高度な侵入、潜伏能力を備えたサイバー攻撃に対する懸念が急速に高まっていること、社会全体でデジタルトランスフォーメーションが進んだ結果、サプライチェーン全体のセキュリティーを確保する必要が高まり、官のみ、民のみでのサイバーセキュリティー確保が極めて困難となっていること等について御指摘をいただき、本法案の検討に際してこうした状況変化を十分に考慮したところであります。 　一方、デジタル技術の進展は日進月歩であり、サイバー攻撃の態様等も大きく変化し得ることも考慮すれば、法整備でサイバー対処能力強化のための取組が終わりということではありません。運用面も含め不断の見直しを行い、適時適切に改善を図っていくことが重要と考えております。 　さらに、衆議

専門家会議の設置ということを伺いましたけれども、しっかりとその辺りは、平大臣も含めて定期的にしっかりアップデートをしていくという体制必要だと思います。 　委員の皆様もスマホ、スマートフォンお持ちだと思いますけれども、今まではそういう、何でしょうね、本が出たら毎日毎日内容が変わるということはなかったんでしょうけれども、アップデート、もう毎日毎日システムアップデートの通知が来るような、そんな世界でございますので、この法律や制度自体が陳腐化しないような体制というのはしっかりと取っていっていただきたいと思います。 　それでは、次の質問に移りたいと思います。 　ある意味、今回の攻撃、いろんな資料に、中に入ってくるのは、ゼロデーであるとか、未知の脆弱性、それに対してこれからしっかり対処しなければならないと、高度化されつつある中で法整備をやっていこうなんですけれども、相変わらず、迷惑メールであると

お答えいたします。 　先生御指摘のとおり、サイバー攻撃の初期侵入手口の一つとして、不審メールを送り付けて添付ファイルを開かせることなどによってマルウェアに感染させると、こういった手法があるということでございます。こうした不審メールですけど、そのメールを契機として基幹インフラ事業者の特定重要電子計算機にマルウェアが感染してしまったと、そういった場合はこの当該基幹インフラ事業者からの報告が行われることになるわけでございますので、こういった場合、一定程度捕捉することが可能なんだろうというふうに思っています。 　いずれにせよ、今回の法制度、法案において、インシデント報告の具体的な範囲について今後検討をしていきますが、事業者の負担等にも配慮しつつ、今後、専門家の意見も伺いながら詳細な制度の検討を進めてまいりたいというふうに考えております。