総務委員会

○委員長（新妻秀規君）　おまとめください。

○小沢雅仁君　何にも答えてないな、まあちょっと納得しない答弁ですが、時間が参りましたので、これで終わります。 　ありがとうございました。

○山本博司君　公明党の山本博司でございます。 　本日は、情報通信研究機構法の改正案の審議ということでお聞きをしたいと思います。 　今回の改正案は、サイバー攻撃対策のために、この総務省所管であります国立研究開発法人である情報通信研究機構、ＮＩＣＴが実施をする通信機器の調査を延長するものでありまして、この調査はこれまで今年度末までの五年間に限っておりましたけれども、来年度以降も継続できるようにする点が大きな見直しでございます。また、調査対象を拡大をして、これまでの通信機器に加えまして、機器に搭載をしているソフトウエアとウイルスに感染した機器を新たに対象とすることとしていることも承知をしております。 　そこで、冒頭お聞きをしたいんですけれども、時限措置について聞きたいと思います。 　平成三十年の法改正で五年間の時限措置を設けておりましたけれども、これは、五年間で解決できると思っていたのか

○政府参考人（山内智生君）　お答え申し上げます。 　まず、ＮＩＣＴでは、これ前回の経緯でございますが、平成三十年に成立した改正ＮＩＣＴ法に基づき、平成三十一年度から今年度末までの時限業務として、ＩＤ、パスワードの設定に脆弱性があるＩｏＴ機器の調査を実施してまいりました。委員御指摘、御質問のところにございました今年度末までにした理由でございますが、今おっしゃった、ある程度目途が付くということを想定をしてこの時限ということを考えていたところでございます。 　こうした取組を通じて一定の成果は上がってまいりましたが、このＮＯＴＩＣＥによる調査を継続をしている中で、ＩｏＴ機器のライフサイクルが私どもが想定をした以上に長いということが明らかになってまいりました。そして、依然としてＩＤ、パスワードの設定に脆弱性があるＩｏＴ機器を標的としたサイバー攻撃が続々と発生をしておりまして、ＩｏＴ機器を悪用した

○山本博司君　ありがとうございます。 　この平成三十年の法改正に基づいて、平成三十一年二月より、このＮＩＣＴにおけるサイバー攻撃に悪用されるおそれのある機器の調査、また利用者への注意喚起を取り組む、いわゆるＮＯＴＩＣＥを実施してきたわけでございます。実施してからおよそ四年余りが経過しましたけれども、これまでにどのくらいの効果があったのか、その実績を伺いたいと思います。 　また、我が国のサイバーセキュリティー対策の一層の充実強化を図るためにも、民間事業者への働きかけ、民間事業者が行うサイバーセキュリティー対策への十分な支援策、これも必要であると考えますけれども、どのように対応しているのか。また、働きかけによりまして未然にサイバー攻撃を防げた事例などあるのか。こうした点について確認をしたいと思います。

○政府参考人（山内智生君）　お答え申し上げます。 　まず、実績についてでございますが、ＩＤ、パスワードの設定の不備にあるＩｏＴ機器の調査に関しましては、国内のインターネットに直接接続をされている約一億台のＩｏＴ機器を対象に実施をしております。ＩＤ、パスワードに不備のある機器が接続をされたＩＰアドレスを累計十万件以上、通信事業者に向かって通知をしてまいりました。 　この通知を受けた通信事業者においては、不備のあるＩＤ、パスワードの変更などを行うよう、個別の利用者への注意喚起を行っております。また、設定に不備が多く見付かった機器のメーカーにも働きかけを行いまして、初期パスワードに変更が、をしなければその後の操作ができないようにセキュリティー機能を強化した製品の提供にもつながっております。 　これらの取組によりまして、少なくとも数万台規模のＩｏＴ機器について、ＩＤ、パスワードの脆弱性の解消

○山本博司君　このＮＯＴＩＣＥに関しましては、サイバーセキュリティーの対策の重要性と取組につきまして正しい理解を促進するためにも大変重要な取組であると思う次第でございます。 　不備があった場合にはこうしたインターネットプロバイダーを通じて利用者に注意喚起をしておりますけれども、十分な周知が大事でございます。メーカーの開発、製造の段階から適切なセキュリティー対策を実施するなど、インターネットに接続する機器の安全性の確保、これを民間事業者の皆様にも理解していただくことが今後も重要になると思います。 　そこで、今後のサイバーセキュリティー対策どのように強化していくのか、伺いたいと思います。

○大臣政務官（小森卓郎君）　先ほど政府参考人の方からも答弁ございましたし、また委員の方からも御指摘もございましたけれども、ＩｏＴ機器の脆弱性の解消には、電気通信事業者への通知、そして機器の利用者への注意喚起に加えまして、脆弱性が多く見付かった機器のメーカーにも働きかけることが有効であるというふうに考えているところでございます。 　そのため、今回の法案におきましては、ＮＯＴＩＣＥの調査対象の拡充とともに、メーカーなどへの情報提供につきましてもＮＩＣＴの業務として新たに法的に位置付けているところでございます。これによりまして、関係者を幅広く巻き込んで対策を促進することによって、より大きな成果を上げるべく取り組んでまいります。

○山本博司君　しっかり対策強化、お願いをしたいと思います。 　次に、特定アクセス実施業務に関して伺いたいと思います。 　通信の秘密は憲法で保障されました重要な権利でございますけれども、無制約ではありません。今後、電気、ガス、水道、通信、運輸、金融など私たちの暮らしを支えるこの基幹インフラの機能、これがサイバー攻撃によって停止するようなことがあれば、国民生活に与える影響は甚大でございます。支障を来す事例が国内外で増えている中におきまして、能動的なサイバー防御の措置、これは必須でございまして、官民挙げて対策を強化しなければならないと思います。 　先日も、大阪市内の医療機関におきまして、サイバー攻撃によりまして電子カルテシステムの障害によって診療業務が停止するという事態が発生したところでございます。こうした事態を未然に防ぐためにも、今回の措置、大変重要でございます。 　その上で確認させて

○政府参考人（山内智生君）　お答え申し上げます。 　今御指摘をいただきましたが、情報通信研究機構法に基づいてＮＩＣＴが行う特定アクセス行為による調査で得られた情報の取扱いにつきましては、総務大臣の認可を受けた実施計画に基づいて、例えば、情報を取り扱う区域では、生体認証を含む多要素認証により入退室を厳格に管理、情報を取り扱うサーバーは外部からの接続ができないよう設定するとともに、アクセスできる職員を限定をしてその通信履歴を監視するなど、極めて厳格な安全管理措置を講じております。平成三十一年の調査開始以来、ＮＩＣＴにおいて遺漏なく適切に情報管理が行われているものと認識をしております。 　さらに、情報の適切な取扱いを法的に担保する観点から、特定アクセス行為などに従事する者については、機構法上、秘密保持の義務が課せられております。この同義務に違反をした場合の罰則も併せて設けられることに加えまし