内閣委員会

ありがとうございます。石原委員にお答えをいたします。 　これまで政府において、攻撃側への対処として、サイバー攻撃の手口の公表や、サイバー攻撃の主体を特定して公表するパブリックアトリビューションなどに積極的に取り組んできました。 　今般の立法措置により、一定の要件を満たす場合には、我が国としてアクセス・無害化措置の実施も可能となります。この点で、アクセス・無害化措置は、公共の秩序の維持の観点から、警察権の範囲内で、比例原則に基づき、攻撃サーバー等にアクセスして不正プログラムを無害化する措置等を想定しており、措置の対象となるサーバー等に物理的被害や機能喪失等、その本来の機能に大きな影響を生じさせることは想定していません。サーバーそのものをぶっ壊すとか、よくアニメに出てくる、サーバー自体が火を噴くとか、そういうのはなくて、そういった攻撃をしようとした人がアクセスしようとしてもアクセスできなく

ありがとうございます。 　次に、事業者による情報セキュリティーインシデントの報告についてお伺いしたいと思います。 　既に、個人情報の漏えいや、重要インフラ分野において、個人情報保護法や業法により、企業に連絡義務を課しています。なぜ、今回の新法において、基幹インフラ事業者に対してサイバー攻撃の報告が義務化されるのでしょうか。お教えください。

お答えいたします。 　先生御指摘のとおり、現在、基幹インフラ事業者がサイバー攻撃を受けた場合には、法令等に基づきまして、業法等に基づくインフラ所管省庁への報告、また都道府県警への相談、通報であったりとか、個人情報保護委員会への報告が行われてきたところでございまして、内閣サイバーセキュリティセンターは、報告を受けたインフラ所管省庁等から情報提供を受けるという形になっておりました。一方で、石油分野を始めとして、基幹インフラ事業者であっても、法律に基づきサイバー攻撃に関連する報告を行う義務が明確に定まっていないといった分野も存在しているということも事実であります。 　こうした中で、本法案が成立した暁には、ウイルスが見つかったが基幹インフラ事業者としての業務には影響が生じていないといったような、これまでの業法等の基準ではインシデント報告の対象となるのか曖昧であったような情報も含めて、基幹インフ

本法律案において、基幹インフラ事業者との事前の協定に基づいて通信情報の利用が行われます。基幹インフラ企業は十五分野二百十五者とのことですが、その全てと協定を結ぶのでしょうか。そうでないとすれば、どのような優先順位をつけるのでしょうか。また、この十五分野の企業の子会社などとも協定を結ぶ必要があるのか。所見をお聞かせください。

お答えをいたします。 　政府における人員あるいは予算には限りがございますところ、社会全体の重大サイバー攻撃対策のため、重要度が高いと考えられる分野や事業者を優先して協議を求めることが想定されるところでございます。 　協定に向けた協議の求めの優先順位につきまして、具体的には、サイバー攻撃の状況でありますとか攻撃を受けた場合の被害の範囲といった、そういう事情も踏まえましてよく検討してまいりたいというふうに考えております。 　また、協定の締結については、基幹インフラ事業者の各法人単位で行うことを基本というふうに考えておりまして、子会社との協定の締結につきましては、個々の事例に即して判断してまいりたいというふうに考えてございます。

次に、協定を結ぶ時期について伺います。 　必要な企業全てと一日も早く協定を結ぶことが望ましいことはもちろんです。一方で、協定はあくまで同意に基づくものであり、丁寧に説明して納得を得なければなりません。さらに、ソフト、ハードの両面において、情報提供のために企業に新たな負担を負わせることのないように配慮が必要ではないかと思います。 　いつから、いつまでに協定締結を結ぼうとしているのか。所見をお聞かせいただきたいと思います。

お答えいたします。 　基幹インフラ事業者等との間の同意による協定でありますけれども、政府だけではなく双方がそのメリットを認めて初めて締結がなされるものというふうに理解をしておりまして、企業の負担への配慮も重要であると考えております。 　当事者協定に関する規定でありますが、公布の日から二年六か月以内での施行を予定しておりまして、本法律案の施行後速やかに協定の締結を進められるよう、法案の成立後、協定の締結に向けた準備を進めてまいりたいというふうに考えております。例えば、協定締結のための協議につきましては公布の日から一年以内で可能となりますため、こうした期間を活用して、政府から協定を締結するメリットを丁寧に御説明させていただくなど、協定の締結が促進されるよう努めてまいります。 　また、協定におきましては、施設や設備の整備主体や費用負担に関する事項等についても定めることとしておりまして、企業

ありがとうございます。 　次に、通信情報の取得についてお伺いしたいと思います。 　協定を結んだ後に、実際に事業者から通信情報を取得する際には、当然、セキュリティー上万全を期した方法が取られなければならないと思います。どのような方法で取るのか、お聞かせ願えればと思います。

通信情報を取得する方法につきましては、協力いただく基幹インフラ事業者等との調整の上でその方法を決める必要がございますため、現段階で具体的にお示しすることは困難ではございますが、本法律案におきましては、取得通信情報の取扱いに係る安全管理措置が義務づけられておりまして、こうした措置も考慮し、セキュリティー上万全を期した方法を検討してまいりたいというふうに考えております。 　安全管理措置の具体的な内容につきましては、既存の法令における安全管理措置等も参考にしながら、今後内閣府令で定めていくこととなりますが、その制定に当たっては、サイバー通信情報監理委員会への協議も含め、慎重に検討してまいります。

私は、もう四十年前ぐらいに銀行に勤めていたんですけれども、内為の送金なんかは、大企業だと一々紙に書くのは大変なので、その頃はカセットテープみたいな、ＭＤと呼んでいたかと思うんですけれども、そういうものに全部データを入れて、それで送金、送っていたんです。しかし、今の時代は、もうネットもつながっていますし。ただ、そうはいっても、普通にネットで重要な通信情報を送るわけにはいかないと思いますので、個人的には、恐らく専用回線を政府と引くようになったりするんじゃないかな。若しくは、さっき言った、ちょっと古臭いですけれども、そういう、ＣＤみたいなものにデータを入れて、ＡＬＳＯＫとか、会社名は言わない方がいいかもしれませんが、警備会社が一緒にくっついてきて届けたりするようになるんじゃないかと思います。 　是非、そのときにお金がかかったら、私、事前のレクでは、協定の中でそういうコストについても協議をすると