内閣委員会

次に、時間がないので移りますが、機械的情報について、通信の秘密との関係でお伺いいたします。 　新法案の第二条第八項で、機械的情報ということで第一号から第三号までございますが、具体的に伺います。 　やはり、国民の皆さんの懸念や関心事に関わって、多くの皆さんが使っておられるＬＩＮＥ、これを例として、第一号、第二号、第三号が、どういったものが該当するのでしょうか。

お答えをいたします。 　本法案の第二条第八項でございますが、機械的情報として、ＩＰアドレスやコマンドといった、コミュニケーションの本質的内容に当たらないと考えられる情報の類型を定義してございます。 　まず、この第八項の第一号でございますが、機械的情報に含まれるものとして、通信履歴に係る情報を定めてございますけれども、ＬＩＮＥなど利用者間でメッセージをやり取りするサービスで申し上げますと、例えばＩＤでありますとか、番号でありますとか、それぞれの利用者を識別する情報で通信に用いられたものでございますとか、あるいは通信の日時等が該当する、含まれ得るものでございます。 　それから、第八項の第二号でございますが、これは、コンピューターに動作をさせるためのコマンドを機械的情報として定めてございます。メッセージをやり取りするサービスにおきましては、例えば、端末の情報を更新するためのサーバーの情報と

そうした機械的情報、今の一号から三号、かなり、やはり国民の皆さんの通信の秘密に関わると思うんですが、機械的情報を得ることによって、サイバー攻撃に関してどのようなことが分かるんでしょうか。

お答えをいたします。 　攻撃用のインフラを構成しますボットでありますとかＣ２サーバーなどの設備は主として国外に所在すると考えられておりまして、これらの設備同士のやり取りでございますけれども、通常、人の手を介さず、機械的、自動的な通信によって行われているものでございます。このため、これらの通信に含まれます機械的情報を分析することで、サイバー攻撃に関する様々な実態を把握することができるというふうに考えてございます。 　具体的には、まず、国外の設備から国外の設備に送信される外外通信に含まれる機械的情報を分析することで、例えば国外のＣ２サーバーやボットなどの攻撃インフラの実態を把握することが想定されます。 　加えまして、例えば、外内通信に含まれる機械的情報を分析することで、既に把握した国外の攻撃用インフラから国内への攻撃を捉えることができ、また、内外通信に含まれる機械的情報を分析することで、

機械的な情報を分析するに当たって、人は全く介さないんですか。完全に自動で対応できるんですか。どこかで人が入るんですか。

お答えを申し上げます。 　機械的情報は、機械的になされておりますので、機械同士で、まさに人の手を介さずにやり取りをされているというものでございます。

そうしたら、関連しますけれども、自動的な方法によって分析すべき情報だけ選別していくということは、本当に技術的に可能なんでしょうか。自動選別によって機械的情報のみが抽出をされて、非識別化、暗号化を行うということですけれども、非識別化は、人の目に全く触れることなく、機械的にやってのけることができるんですか。

お答えをいたします。 　まず、自動選別でございますが、これは、通信情報を取得した内閣府におきまして、人による閲覧等の知得を伴わない自動的な方法で、例えば、その送信元あるいは送信先が国外であるかを判定して、対象となる通信データを選別していくということでございます。同じく内閣府におきまして、自動的な方法により、対象としている不正な行為に関係があると認めるに足りる通信データを選別していくというもので、例えば、ＩＰアドレス、コマンド又は接続要求、受諾を示す文字列など、その他関係があるデータ等の探索が容易になる情報を条件として設定して行っていくものでございます。 　そうしたことで、自動選別は、人による知得を伴わない自動的な方法で行われるものでありますが、先ほど御指摘のあった非識別化措置については、確認をして、個人情報となり得るものが含まれている場合に行うものでございますので、そちらにつきましては

ですから、自動識別するから大丈夫だ、非識別化するから大丈夫だというふうに完全には言い切れないように私は受け取りました。 　それで、サイバー攻撃というのは日々進歩していて、イタチごっこという言い方がいいか悪いか分かりませんけれども、今日まで通用した手法が、あした以降駄目になるということも十分考えられます。 　それで、新法案では、内内通信は分析の対象外で、集めては駄目ですよ、触っちゃ駄目ですよということになっておりますが、外外通信などだけで、攻撃者が特定できず、原因が分からず、内内通信の取得、分析の必要性があると分かっているとしても、それは絶対にしない、できないという理解でよろしいでしょうか。

済みません、冒頭、ちょっと答弁の修正を一つお願いします。 　先ほど、サイバー攻撃と言うところをサービス攻撃と言って、言い間違えてしまいましたので、サイバー攻撃に訂正をさせていただきます。 　委員の御質問でございますが、本法律案では、サイバー攻撃関連通信の九九・四％は国外からというデータがありますので、サイバー攻撃が国外に所在する攻撃用インフラから行われることが多いと考えることを踏まえ、国外が関係する通信である外外通信、加えて、外内通信、更に必要があれば内外通信の分析も対象とさせていただきます。一方で、国内のみで閉じた通信の分析を行う必要は現時点では必ずしもないと考えられるため、内内通信の分析は対象外としています。 　この分析対象の制限については、現時点で必要な措置に対して通信情報の利用を必要最小限の範囲にとどめるために限定しているものであります。このため、将来的に分析対象が不十分とな