内閣委員会

○中溝政府参考人　お答え申し上げます。 　内閣サイバーセキュリティセンターにおきましては、政府機関へのサイバー攻撃等について、二十四時間体制による横断的な監視を行ってございます。そこにおきまして、不審な通信等を検知し対応が必要と判断された場合には、当該政府機関へ通報を行っているということでございまして、その件数をお答えさせていただきます。 　令和五年四月から令和六年三月までの一年間に政府機関に通報を行った件数は、速報値で二百十件でございます。 　また、情報漏えいの代表的な事例といたしましては、内閣サイバーセキュリティセンターあるいは気象庁におきまして、電子メール関連システムに対し不正通信があり、メールデータの一部が外部に漏えいした可能性がある旨を両組織が令和五年八月に公表したものが挙げられるところでございます。

○阿部（司）委員　今御案内いただきましたけれども、サイバー攻撃の脅威というのは依然として高まっているわけであります。 　セキュリティークリアランスを実施しまして情報保全の体制を取ったとしても、万全のサイバー防御を講じていかなければ、サイバーセキュリティーのリスク、情報漏えいのリスクは存在し続けるわけであります。我が会派の前原議員も、セキュリティークリアランスがあっても、アクティブサイバーディフェンスの穴があると指摘をしておりますけれども、経済安保担当のお立場から、サイバー防御の必要性について御認識をお伺いしたいと思います。

○高市国務大臣　まさに阿部委員御指摘のとおりでございます。昨今は、サイバー攻撃の巧妙化によりましてサイバー空間における脅威が高まっていて、我が国全体のサイバーセキュリティー対策を一層強化していく必要があると思っております。 　政府では、サイバーセキュリティ戦略を策定して、情報漏えいの防止、情報システムや情報通信ネットワークの安全性確保のための様々な対策を講じてきたということは承知しております。 　私の所管といたしましては、一部改正案を御審議いただいております経済安全保障推進法の基幹インフラ制度も、サイバー攻撃などの特定妨害行為を防止することによって基幹インフラ役務の安定的な提供を確保する重要な施策でございますので、この制度の運用をしっかりと行ってまいります。

○阿部（司）委員　ありがとうございました。 　私も高市大臣と同じ認識であります。 　また、この後でアクティブサイバーディフェンスについて質問させていただきたいと思いますが、次は少し違った角度から質問させていただきたいと思います。 　セキュリティークリアランスで情報保全を図ることで我が国のサイバー防御力というのは上がっていくと思いますけれども、例えば、クリアランス保有者へのサイバー攻撃によって情報漏えいが起こった場合、罰則が適用されるんでしょうか。また、この場合、過失によって漏えいしたケースとなるのか。また、企業がサイバー攻撃によって情報が漏えいしてしまった場合にも罰則は適用されるのか。高市大臣にお伺いいたします。

○高市国務大臣　サイバー攻撃による情報漏えいのようなケースは、まずは、サイバー攻撃を行った者が、本法案第二十三条の不正取得の罪に問われるか否かという場面だと思います。 　それに加えて、サイバー攻撃を受けた適合事業者の従業者が、本法案第二十二条四項に規定する過失による漏えいの罪に問われるか否かというお尋ねだと存じます。 　サイバー攻撃を受けた適合事業者の従業者の過失が認定されるかどうかということについては、個別具体の状況に基づいて判断されることとなります。 　その上で、本法案の運用に当たっては、特定秘密保護法の運用も参考に、重要経済安保情報を取り扱う従業者について、行政機関と適合事業者との契約で、取扱い時におけるコンピューターの使用の制限に関する事項を遵守していただくよう義務づけることを想定しております。例えば、これに基づいて適合事業者が従業者に対して適切な指導、教育などを行っていたに

○阿部（司）委員　重要なことなので、もう一度確認でお伺いしたいんですけれども、適合事業者が政府の指導に従ってコンピューターのいわゆる使用ですとか対策をしっかりと施していれば、サイバー攻撃を受けて情報を漏えいしたとしてもいわゆる処罰の対象には当たらない、こういう理解でいいですか。 　　　　〔中山委員長代理退席、委員長着席〕

○高市国務大臣　事業者の方が、契約に基づいて、コンピューター使用の制限ですとか、施設、場所への出入りの制限ですとか、それからクリアランスホルダーとなった従業者の方への教育、こういったものもしっかりとやっておられるということでしたら、これは、適合事業者はやるべきことをやっているわけでございますので、従業者による過失ということにはなる可能性がございますけれども、適合事業者に対して何か罰則が及ぶというようなものではございません。

○阿部（司）委員　ありがとうございました。 　こちらは民間の方も御心配されている点だと思いますので、確認をさせていただきました。 　それでは、特定秘密保護法で、先ほど少し触れていただきましたけれども、同じようなケース、いわゆるサイバー攻撃を受けて情報が漏えいしてしまった場合、これは特定秘密保護法についてはどのような対象になっているか、これも確認でお伺いをしたいんです。

○岡政府参考人　まず、特定秘密保護法におきましても同旨の過失漏えい罪の規定がございます。何者かによるサイバー攻撃により漏えいが発生した場合に過失が認定されるかどうかにつきましては、個別具体な状況に基づき判断されるものであり、ただ、一般論として申し上げますと、取扱事業者は、適合事業者の従業者も含めまして、特定秘密を取り扱う電子計算機の使用の制限に関するルールを遵守する義務がございます。もし当該ルールを遵守せずに漏えいが発生したときは、過失が問われる場合もあり得ると考えられます。 　なお、各行政機関は、スタンドアローンの電子計算機又はインターネットに接続していない電子計算機であって、なおかつ、特定秘密の取扱いの業務を行う職員のみがアクセスできるものを用いることを定めておりまして、そもそも外部からのサイバー攻撃による窃取が行われにくいようにしておりますけれども、引き続き、サイバー攻撃対策を含む

○阿部（司）委員　それでは、更にお伺いをいたします。政府参考人にお伺いします。 　今お答えいただいた、特定秘密保護法の、そうしたサイバー攻撃のいわゆる過失の判断については今のようなお答えだったんですけれども、今般のセキュリティークリアランスの法案についても同じような基準になってくる、そういう理解でよろしいですか。