総務委員会

○鈴木（淳）国務大臣　ＮＩＣＴでは、平成三十年に成立をしました改正ＮＩＣＴ法に基づきまして、平成三十一年から今年度末までの時限の業務として、ＩＤ、パスワードの設定に不備のあるＩｏＴ機器の調査を実施してまいりました。 　こうした取組を通じまして一定の成果は上がっておりますけれども、依然としてＩＤ、パスワードの設定に不備のあるＩｏＴ機器を標的としたサイバー攻撃が発生しておりまして、最近ではＩＤ、パスワード以外のソフトウェアなどの脆弱性を狙ったサイバー攻撃も増えているなど、ＩｏＴ機器を悪用したサイバー攻撃のリスクは引き続き高い状況にあると思っております。 　こうした状況を踏まえまして、今回の法案では、ＩＤ、パスワードの設定に不備のあるＩｏＴ機器の調査を来年度以降も継続して実施可能としまして、また、ＩＤ、パスワード以外のソフトウェア等の脆弱性を有するＩｏＴ機器にも調査対象を拡充することとしたも

○阿部（司）委員　ありがとうございます。 　サイバー攻撃が年々増えてきているというお話だったと思うんですが、更に質問なんですけれども、増えていった先にどんな危険、脅威があるのか。大臣の御認識をお伺いできればと思うんですけれども。

○鈴木（淳）国務大臣　被害者が今度は加害者になっていってどんどん拡大しますので、そこは、小さく抑えるためにもそれは必要だと思います。

○阿部（司）委員　ありがとうございます。 　まず、先ほど来ほかの委員からも御指摘がありましたが、世界中で、国際情勢も非常に大きな変化を迎えておりまして、戦争も起きていますし、そうしたサイバー攻撃の脅威というのが高まって、重要インフラが攻撃されて生活に重大な影響を及ぼしたりだとか、例えば医療機関が攻撃を受けて止まっちゃったりしたら命の危険にさらされるわけであります。このようなことをよく国民の皆さんに御理解いただくことというのは非常に重要かと思うので、その点をもう一度、目的、事業の効果、国民の命をさらさない、経済を止めない、ここをしっかりと御認識いただきたいなと思っております。 　今申し上げたような重大インフラが攻撃を受けるような対策をしていく上で非常にこの事業は重要だと思うんですけれども、踏み台とされるおそれのあるルーター、ＩｏＴ機器というのは、大臣からも少し言及がありましたが、管理者、

○山内政府参考人　お答え申し上げます。 　ＩＤ、パスワードに不備があるＩｏＴ機器の調査に関しましては、ＮＯＴＩＣＥのプログラムに参加をしている通信事業者、合計で七十九社でございます、この七十九社のネットワークの下で、インターネットに直接接続されている約一億台のＩｏＴ機器を対象に実施してまいりました。 　この調査によりＩＤ、パスワードに不備がある機器が見つかった場合には、通信事業者への通知、機器の利用者への注意喚起を行って、ＩＤ、パスワードの変更対応をお願いしてまいりました。調査開始以来、これまでの累計で延べ約十万件の通知を行っております。 　この結果として、通知それから機器利用者への注意喚起によって、直接的には数千台程度のＩｏＴ機器についてＩＤ、パスワードの脆弱性の解消につながったと考えております。 　これに加えまして、ＩＤ、パスワードに不備が多く見つかった機器のメーカー、このメー

○阿部（司）委員　御答弁ありがとうございました。ＮＯＴＩＣＥの事業で脆弱性が見つかって通信事業者に通知をした件数が十万件、数千台のＩｏＴ機器の脆弱性解消につなげることができた、こんな成果があると。 　ところが、ＮＯＴＩＣＥの実施状況を拝見しますと、先ほどもほかの委員から御指摘がありましたが、令和五年八月には五千五十五件の注意喚起がなされているものの、三千四百六件は同年の七月に検知されたものということで、注意喚起を受けた三分の二はそのまま稼働し続けているということになります。 　こうした状況を見ますと、脆弱性の注意喚起を受けても、直接的な不利益を感じる局面が少ない機器管理者、利用者はアクションを起こさないケースが多いということではないのかなと思います。せっかく脆弱性の指摘をしても対処してもらえないというのは非常にもったいないことで、この部分の対処率を上げていく取組というのが課題ではないか

○山内政府参考人　お答え申し上げます。 　ＩＤ、パスワード以外のソフトウェアなどの脆弱性を狙ったサイバー攻撃が増えているなど、ＩｏＴ機器を悪用するサイバー攻撃が年々巧妙化している状況だと認識してございます。 　こういうものも含めてサイバー攻撃に機動的に対応するために、今回の法改正によって、従来のＩＤ、パスワードに不備があるＩｏＴ機器の調査に加えて、先ほど申し上げましたソフトウェアなどに脆弱性のあるＩｏＴ機器、既にマルウェアに感染しているＩｏＴ機器にも調査対象を拡大することで、サイバー攻撃に悪用されるおそれのあるＩｏＴ機器により総合的に対応することが可能になるというふうに考えてございます。 　もう一点御指摘のあった機種特定が困難なものにつきましては、調査の過程で得られる情報、メーカーなどの関係者との連携によって得られた情報を組み合わせて分析することによって、機種が特定できる割合を今まで

○阿部（司）委員　新たにソフトウェア等に脆弱性があるＩｏＴ機器、既にマルウェアに感染しているＩｏＴ機器に調査対象を拡大して調査を継続することで巧妙化するサイバー攻撃に対処していけるということで理解いたしました。また、いわゆる機種特定困難事例についても御答弁をいただきました。是非こうしたデータ解析を、今御答弁がありましたが、しっかり進めて有効策を打ち出していただけますよう要望いたします。 　次に、個人保護の取組強化ということでお伺いします。 　本来、様々なＩｏＴ機器にログインを試みる行為は、不正アクセス禁止法における不正アクセス行為に該当します。これをＮＯＴＩＣＥの一環としてＮＩＣＴが行うものに限って法で特定アクセス行為として位置づけて、適法な行為としております。このため、ＮＯＴＩＣＥにおけるログインは、先ほども申し上げましたが、ドアをノックするもので部屋の中には入らないものと理解してい

○山内政府参考人　お答え申し上げます。 　今御指摘がございましたＮＩＣＴが行う調査は、脆弱性のあるＩＤ、パスワードを利用していないかどうかを確認するための調査でございます。 　この調査、ＮＩＣＴが行う調査で得られた情報の取扱いにつきましては、総務大臣の認可を受けた実施計画に基づいて、例えば、情報を取り扱う区域は、管理区域とよく言いますが、生体認証を含む多要素認証により入退室の管理をする、情報を取り扱うサーバーについては、外部からの接続ができないような設定を行うとともに、アクセスできる職員を限定して、その通信履歴、ログを監視いたします。こういう極めて厳格な安全管理措置を講じておりまして、二〇一九年の調査開始以来、ＮＩＣＴにおいて遺漏なく適切に情報管理が行われていると認識をしております。 　さらに、情報の適正な取扱いを法的に担保する観点から、特定アクセス行為などに従事する者については、Ｎ

○阿部（司）委員　万全である、もし仮に違反を行った場合は罰則があるということで、今の御答弁で国民の皆様にも御安心いただけるのではないかなと思いました。 　次に、ＮＯＴＩＣＥにおける国民理解と啓発ということでお伺いをしてまいります。 　もし、私の家族ですとか友人が、プロバイダーを名のるところから、あなたのルーターのパスワードは脆弱ですよとかマルウェアに感染していますよという、こうした連絡を受けた状況を想像すると、果たして素直に、そうか、では対応しようとなるか非常に疑問なんですよね。 　そうしたときに、今、日常的に、フィッシングメールを送ってきたり偽サイトで個人情報を取得しようとすることはよく起こっております。こうしたことを考えると、ＮＩＣＴの取組は有意義なものだとしても、脆弱性を指摘する連絡は無視される、警戒される確率が高いのではないかなと思います。重要なのは、ＮＯＴＩＣＥの事業におい