総務委員会

○山内政府参考人　お答え申し上げます。 　先ほどお答えを申し上げておりますが、まず、特定アクセス行為そのものというのは、実際にＩＤ、パスワードを入力して結果を得ることというのが特定アクセス行為でございます。実際にそれを通知することというのがＮＩＣＴの法律の中でも決まっていて、ここの部分については明確な定めが見えていなかったことがございますので、これに関して私どもの中でも議論をした上で、そこの部分を委託が可能ではないかということで、規定を切り分けて今作っているという形になってございます。

○宮本（岳）委員　通信履歴等の電磁的記録の作成という業務はどのようなものか。これは、つまりは、セキュリティーが脆弱で容易に不正アクセスができるＩＰアドレスの一覧表を抽出して作るという業務なんですよ。だから、これは、委託なんかできないということで、ＮＩＣＴ本体でやってきたわけですね。 　もしも作成されたセキュリティーが脆弱で容易に不正アクセスができるＩＰアドレスの一覧が悪意ある第三者に渡った場合には、どのようなことが起こると予想されますか、参考人。

○山内政府参考人　お答え申し上げます。 　仮に委託をした者が悪意を持って漏えいするようなことがあった場合には、御指摘のとおり、非常に大きな問題が生じるというふうに認識をしてございます。 　したがいまして、ＮＩＣＴが仮に委託を行う場合には、ＮＩＣＴが行っている情報の安全管理措置と同様の措置が講じられるということを実施計画において定めた上で、総務大臣は委託先における当該情報の適切な取扱いの確保の措置の内容の妥当性を判断した上で実施計画の認可を行うということを考えてございます。 　さらに、特定アクセス行為で得られた情報の処理、分析に係る業務の委託に従事する者については、ＮＩＣＴ職員と同等の秘密保持義務が課されるとともに、違反した場合の罰則規定も設けられるということになります。 　本法案の制度的な枠組みの中で外部委託が行われる場合でも、情報が厳格に管理をされ、適切に業務が行われるというふう

○宮本（岳）委員　この資料が流出すると、とんでもないんですね。セキュリティーが脆弱で容易に不正アクセスができるＩＰアドレスの一覧なんですから、最も効率的に悪意ある不正アクセスが可能となるわけです。だからこそ、これまでは当然のことながら外部委託を避けてきたんですね。これを委託して、絶対に悪意ある第三者にこのような情報が漏えいしないと断言できるかどうか。これはひとつ大臣にお答えいただきたい。大丈夫ですか。

○鈴木（淳）国務大臣　その辺りをしっかりと厳格に切り分けた上での判断でありますので、御理解を賜りますようお願いします。

○宮本（岳）委員　私はそうは思わないんですね。発注書や契約書に明記しようが、罰則や賠償責任をかけようが、それだけでは防げないんです。 　最近も、企業や自治体が業務委託していたＮＴＴ西日本の子会社で働いていた元派遣社員が、サーバーに不正アクセスして、ＵＳＢに顧客情報を保存し、十年近くで九百万件の顧客情報を流出させたという事件が発生しております。 　十一月七日の会見でＮＴＴの島田社長が語っておりますが、記録媒体は持ち込んではいけない、振る舞い検知のソフトを入れないといけない、ログをしっかり残さないといけないなどのルールはできていたが、実際のガバナンスが利いていなかったのは非常に反省していると述べております。 　これらの情報漏えい事案が示しているのは、当然、守秘義務がかかり、ルールはあっても、それだけでは決して漏えいは防げないということなんですね。 　では、聞きますが、新たに外部委託が可

○山内政府参考人　お答え申し上げます。 　今委員御指摘のとおり、情報をしっかり管理するということが非常に大切でございます。したがいまして、当該情報の管理はＮＩＣＴ内で行うということを想定しております。

○宮本（岳）委員　これは、外でやるわけにいかない業務だと思うんですね。厳格な管理が必要で、中で行う。 　では、重ねて聞きますけれども、外部委託をした場合に、ＮＩＣＴの研究員や職員がその委託業者の社員に指図できるのか。ＮＩＣＴの内部で指示をしたら、偽装請負になりませんか。

○山内政府参考人　お答え申し上げます。 　今の関係が生じるのは、特定アクセス行為を行っているＮＩＣＴから実際にその情報を活用して通信事業者に対する提供を行う委託事業者に対する関係というふうに認識しておりますが、この関係に関しましては、実施計画の中で何を指図するかということを決めることになりますので、それ以外は、逆に言うと、法律に定められた行為に基づいて様々なことを行うということと認識してございます。 　逆に、それ以外のことを、もし何らかの形で計画に外れたことをやるのであれば、計画と合わない、整合しないということになりますので、これは実施計画に違反をすることになります。

○宮本（岳）委員　もう一つだけ更問いしたいんですけれども、特定アクセスをやる場所と今の電磁的記録の作成をする場所とは同じですか、違うんですか。