総務委員会

○鈴木（淳）国務大臣　様々な分野で関連もありますので、そごが生じないように、適切に配分をしてまいりたいと思います。

○岡本（あ）委員　ありがとうございました。 　基金に関しては、是非、取崩しで実効が上がる基金の活用をということを申し上げて、質問を終わります。 　ありがとうございました。

○古屋委員長　次に、阿部司さん。

○阿部（司）委員　日本維新の会、阿部司です。 　お見苦しい姿をお見せしますが、実は今年の夏にお祭りで頑張っておみこしを担いでいましたら痛めまして、ちょっと御容赦をいただければと思います。 　内閣提出第六号、国立研究開発法人情報通信研究機構法の一部を改正する等の法律案について質問させていただきます。 　今回の法案は、ＮＩＣＴが実施する特定アクセス行為を伴うＩＤ、パスワードに脆弱性のあるＩｏＴ機器調査を令和六年以降も実施できるようにすること及びその調査対象の拡充、そして二つ目にＮＩＣＴの債務保証業務等を規定した特定通信・放送開発事業実施円滑化法の廃止の二つを柱としておりますけれども、私からは一つ目の特定アクセス行為の方を中心に質問させていただきます。 　先ほど来、様々な委員から御指摘があったと思いますが、ＮＯＴＩＣＥの事業というのは、サイバー上ではありますけれども、例えるならば日本全国

○鈴木（淳）国務大臣　ＮＩＣＴでは、平成三十年に成立をしました改正ＮＩＣＴ法に基づきまして、平成三十一年から今年度末までの時限の業務として、ＩＤ、パスワードの設定に不備のあるＩｏＴ機器の調査を実施してまいりました。 　こうした取組を通じまして一定の成果は上がっておりますけれども、依然としてＩＤ、パスワードの設定に不備のあるＩｏＴ機器を標的としたサイバー攻撃が発生しておりまして、最近ではＩＤ、パスワード以外のソフトウェアなどの脆弱性を狙ったサイバー攻撃も増えているなど、ＩｏＴ機器を悪用したサイバー攻撃のリスクは引き続き高い状況にあると思っております。 　こうした状況を踏まえまして、今回の法案では、ＩＤ、パスワードの設定に不備のあるＩｏＴ機器の調査を来年度以降も継続して実施可能としまして、また、ＩＤ、パスワード以外のソフトウェア等の脆弱性を有するＩｏＴ機器にも調査対象を拡充することとしたも

○阿部（司）委員　ありがとうございます。 　サイバー攻撃が年々増えてきているというお話だったと思うんですが、更に質問なんですけれども、増えていった先にどんな危険、脅威があるのか。大臣の御認識をお伺いできればと思うんですけれども。

○鈴木（淳）国務大臣　被害者が今度は加害者になっていってどんどん拡大しますので、そこは、小さく抑えるためにもそれは必要だと思います。

○阿部（司）委員　ありがとうございます。 　まず、先ほど来ほかの委員からも御指摘がありましたが、世界中で、国際情勢も非常に大きな変化を迎えておりまして、戦争も起きていますし、そうしたサイバー攻撃の脅威というのが高まって、重要インフラが攻撃されて生活に重大な影響を及ぼしたりだとか、例えば医療機関が攻撃を受けて止まっちゃったりしたら命の危険にさらされるわけであります。このようなことをよく国民の皆さんに御理解いただくことというのは非常に重要かと思うので、その点をもう一度、目的、事業の効果、国民の命をさらさない、経済を止めない、ここをしっかりと御認識いただきたいなと思っております。 　今申し上げたような重大インフラが攻撃を受けるような対策をしていく上で非常にこの事業は重要だと思うんですけれども、踏み台とされるおそれのあるルーター、ＩｏＴ機器というのは、大臣からも少し言及がありましたが、管理者、

○山内政府参考人　お答え申し上げます。 　ＩＤ、パスワードに不備があるＩｏＴ機器の調査に関しましては、ＮＯＴＩＣＥのプログラムに参加をしている通信事業者、合計で七十九社でございます、この七十九社のネットワークの下で、インターネットに直接接続されている約一億台のＩｏＴ機器を対象に実施してまいりました。 　この調査によりＩＤ、パスワードに不備がある機器が見つかった場合には、通信事業者への通知、機器の利用者への注意喚起を行って、ＩＤ、パスワードの変更対応をお願いしてまいりました。調査開始以来、これまでの累計で延べ約十万件の通知を行っております。 　この結果として、通知それから機器利用者への注意喚起によって、直接的には数千台程度のＩｏＴ機器についてＩＤ、パスワードの脆弱性の解消につながったと考えております。 　これに加えまして、ＩＤ、パスワードに不備が多く見つかった機器のメーカー、このメー

○阿部（司）委員　御答弁ありがとうございました。ＮＯＴＩＣＥの事業で脆弱性が見つかって通信事業者に通知をした件数が十万件、数千台のＩｏＴ機器の脆弱性解消につなげることができた、こんな成果があると。 　ところが、ＮＯＴＩＣＥの実施状況を拝見しますと、先ほどもほかの委員から御指摘がありましたが、令和五年八月には五千五十五件の注意喚起がなされているものの、三千四百六件は同年の七月に検知されたものということで、注意喚起を受けた三分の二はそのまま稼働し続けているということになります。 　こうした状況を見ますと、脆弱性の注意喚起を受けても、直接的な不利益を感じる局面が少ない機器管理者、利用者はアクションを起こさないケースが多いということではないのかなと思います。せっかく脆弱性の指摘をしても対処してもらえないというのは非常にもったいないことで、この部分の対処率を上げていく取組というのが課題ではないか