総務委員会

○古屋委員長　次に、西岡秀子さん。

○西岡委員　国民民主党・無所属クラブ、西岡秀子でございます。 　本日は、ＮＩＣＴ法改正案についての質疑ということで、質問の機会をいただき、ありがとうございます。どうぞよろしくお願いいたします。 　これまでの質疑の中で、若干、同様の質問があるかと思いますけれども、どうぞよろしくお願いいたします。 　今回の法改正につきましては、ＮＩＣＴのサイバーセキュリティー関連業務につきまして、今年度末に期限を迎えるＩＤ、パスワードに脆弱性のあるＩｏＴ機器の調査を来年度からも継続的に実施するようにという内容と、調査対象を拡充する、この二つの内容が盛り込まれております。 　まず、鈴木総務大臣に、その立法趣旨、理由についてお伺いをさせていただきます。

○鈴木（淳）国務大臣　お答えします。 　ＮＩＣＴでは、平成三十年に成立しました改正ＮＩＣＴ法に基づきまして、平成三十一年から今年度末までの時限の業務として、ＩＤ、パスワードの設定に不備のあるＩｏＴ機器の調査を実施してまいりました。 　この取組により、少なくとも数万台規模のＩｏＴ機器につきまして、ＩＤ、パスワードの脆弱性の解消に資する成果が上がっているものと受け止めております。 　他方で、依然としてＩＤ、パスワードの設定に不備のあるＩｏＴ機器を標的としたサイバー攻撃が発生しておりまして、最近では、ＩＤ、パスワード以外のソフトウェアなどの脆弱性を狙ったサイバー攻撃も増えております。 　このように、ＩｏＴ機器を悪用したサイバー攻撃のリスクが引き続き高い状況にあることを踏まえて、今回の法案では、ＩＤ、パスワードの設定に不備があるＩｏＴ機器の調査を来年度以降も継続して実施可能とし、ＩＤ、パス

○西岡委員　今大臣から御説明いただきましたけれども、ＮＯＴＩＣＥの事業でございますけれども、総務省、ＮＩＣＴ及びインターネットプロバイダーが連携をして、ＩｏＴ機器へのアクセスによるサイバー攻撃に悪用されるおそれのある機器に対する調査と機器利用者への注意喚起をプロバイダーを通じて行うものです。この枠組みにおける具体的な調査対象数と実際の調査カバー率につきましてお尋ねをさせていただきます。

○山内政府参考人　お答え申し上げます。 　御指摘の調査につきましては、ＮＯＴＩＣＥのプロジェクトに参加をしている電気通信事業者七十九社のネットワークの下で、インターネットに直接接続をしている約一億台のＩｏＴ機器を対象に調査を毎月実施しております。 　具体的な方法といたしましては、サイバー攻撃に利用されたことのあるＩＤやパスワード、単純な英数字の羅列など容易に推測をされやすいＩＤ、パスワードを用いて、コンピューターを用いて実際にログインを試すことによって脆弱性の調査を行っております。 　御指摘の調査カバー率につきましては、具体的な数字を推計、公表はしておりませんが、主要な通信事業者が全てＮＯＴＩＣＥのプロジェクトに参加をしていることを踏まえますと、ＩｏＴ機器のセキュリティー対策を行うのに必要な調査範囲はカバーされているものと考えております。

○西岡委員　存在するＩｏＴ機器からすると、約半数ぐらいを対象としているというふうに思っておりますけれども、まず、この改正案が成立した場合には、これまで時限的な措置として実施していたものが、総務大臣の認可を受けた実施計画に基づいて定めた期間において実施できるということになりますので、事実上、令和六年度以降も継続的に恒久的に行っていくということになるというふうに認識をいたしておりますけれども、その前提としては、これまでの検証がしっかりと行われなければならないというふうに思っております。 　実際に注意喚起が行われた対象機器の改善状況、また、その検証の状況について、総務省としてこれまでの成果をどのように総括しておられるのかということについてお伺いをさせていただきます。

○山内政府参考人　お答え申し上げます。 　ＮＩＣＴが行う調査によりＩＤ、パスワードに脆弱性がある機器が見つかった場合には、電気通信事業者への通知、それから事業者を通じて機器の利用者への注意喚起を行って、ＩＤ、パスワードの変更等の対応をお願いしております。二〇一九年の二月から調査を開始いたしまして、これまでの累計で延べ約十万件の通知を行ってまいりました。 　また、その通知対象となっている機器のうち、ルーター及びネットワークカメラがその大半を占めている状況だと判明しております。 　通知を受けた電気通信事業者においては、脆弱性のあるＩＤ、パスワードの変更等を行うよう、個別の利用者への注意喚起を行ってまいりました。 　また、個別の利用者への注意喚起に加えて、設定に不備が多く見つかった機器のメーカーにも働きかけを行い、初期パスワードを変更しないとその後の操作ができないなどのセキュリティー機能

○西岡委員　今御説明がありましたけれども、現在、インターネットに常時接続するＩｏＴ機器を始めとした機器が私たちの生活に幅広く普及して、社会に普及して進化を続けている中で、サイバー攻撃のリスクが常に私たちの生活と隣り合わせの中でサイバー攻撃の脅威にさらされている状況を考えますと、この取組は大変重要な取組であると認識をいたしております。 　一方で、ＮＯＴＩＣＥ事業が開始されるときに、プライバシーの侵害ですとか通信の秘密に抵触するのではないかといった懸念の声が専門家を中心に発せられたことも事実でございます。現在までの間にそのような問題事案の発生というものはなかったのかどうか、このことについてお尋ねをさせていただきます。

○山内政府参考人　お答え申し上げます。 　まず、ＮＩＣＴが行う調査に関しましては、脆弱性のあるＩＤ、パスワードを利用していないか否かを確認するための調査でございますので、個人情報、第三者の通信の内容を取得する内容ではございません。したがいまして、プライバシーや通信の秘密との関係で問題があるというものではございません。 　また、ＮＩＣＴが行う特定アクセス行為による調査で得られた情報の取扱いにつきましては、総務大臣の認可を受けた実施計画に基づいて極めて厳格な安全管理措置を講じております。二〇一九年の調査開始以来、ＮＩＣＴにおいて遺漏なく適切に情報管理が行われており、法令違反事例はないと認識をしてございます。 　御指摘のＮＯＴＩＣＥの情報発信につきましては継続して取り組んでまいりますが、ＮＯＴＩＣＥプロジェクトの実効性をより上げるためには利用者の十分な理解を得るということが極めて重要でござ

○西岡委員　次の質問にもほぼお答えをいただいたというふうに思いますけれども、この調査業務は、誰がどのような法的な根拠に基づいて権限を持って行うのかどうか、また、情報アクセスは脆弱性のみの調査であって、データの閲覧等の目的外の行為は行われないということをしっかり担保していただいているかというのが次の質問だったんですけれども、今そのことについてもお答えをいただいたというふうに思っております。 　その中で、守秘義務が課されているということで部会等のヒアリングでもお聞きをして、守秘義務違反があった場合には罰則もあるということで理解をいたしておりますけれども、ＮＩＣＴの当該調査業務というのは、本来、不正アクセス禁止法で処罰される行為の例外としてＮＩＣＴ法によって期限付で今の時点では認められているという状況を考えますと、この業務内容につきましては、先ほど御説明のあった守秘義務では、今後の対応としては