総務委員会

○山野政府参考人　お答えいたします。 　御指摘のように、社会全体がデジタル化が進展しておるところでございまして、これに伴いまして、情報通信技術に係るインフラサービス、これも国民生活の基盤となっている状況でございます。こうした中でございますので、サイバー攻撃につきましては、これは地方公共団体に限らず、その頻度が日本全体で増加しておるところでございまして、かつ、攻撃側の手法も極めて高度化しているというふうに認識しておるところでございます。 　様々な情報を保有しております地方公共団体側としましても、こうしたサイバー攻撃等に対して的確に対応することが喫緊の課題だというふうに認識しているところでございます。

○阿部（司）委員　ありがとうございました。高度化している、そして多発もしている、しっかり対応していかなければならないといった御趣旨の答弁でした。 　例えば、令和四年の情報通信白書、二〇二一年のデータになりますけれども、こちらで観測されたサイバー攻撃関連の通信数、五千百八十億パケット、ちょっと途方もない数字ということで余り想像できないんですけれども、二〇二一年時点で三年前の二・四倍にも増えている。 　あとは、よくサイバー攻撃の被害に関する報道などもなされておりますが、この前の内閣委員会における、いわゆるセキュリティークリアランスの法案の質疑の際にも話題に上ったんですが、大阪の急性期・総合医療センター、こちらの電子カルテシステムがランサムウェア攻撃によって停止をした。これで、手術ですとか外来の診療の仕組みに影響が出まして、復旧まで六か月かかった。こういう命にも関わるような被害が出ているとい

○山野政府参考人　お答えいたします。 　脆弱性評価でございますけれども、これは、地方公共団体情報システム機構、Ｊ―ＬＩＳと独立行政法人の情報処理推進機構、ＩＰＡが協力しまして、御指摘のように、希望する地方公共団体に対してウェブサイト簡易チェックという名前で行っておりますが、昨年度は八十五団体、二百五十八サイトにおいて実施をしたところでございます。 　当該調査を実施した地方公共団体におきましては、負担なくウェブサイトの脆弱性診断を行うことができた、あるいは高度な脆弱性診断サービスを受検する際の参考となった、こういった効果があったものというふうに私ども承知しておりまして、地方公共団体の情報セキュリティーの向上に貢献しているものと認識しているところでございます。

○阿部（司）委員　ありがとうございます。 　ちょっと追加で質問させていただきたいんですが、こちらは、希望した自治体は全てこの調査を行っていただけるんでしょうか。

○山野政府参考人　お答えします。 　希望しまして断られた団体があるかどうかについては、私ども把握していないところでございます。

○阿部（司）委員　希望して断られた団体があるかどうか分からないということだったんですが、多分、予算にも限りがあって、恐らくは、やりたいと思っていてもできていない自治体というのは実際存在しているんじゃないかなと思っております。 　二〇二二年のＮＩＳＣの重要インフラの安全基準等の浸透状況に関する調査、これはサイバーセキュリティーの安全基準がどれだけ達成できているかというものを調査したものだと聞いておりますけれども、やはり各自治体の対応というのは進んできていまして、セキュリティー能力は向上しているという調査結果だったそうですが、中でも、特に脆弱性診断の実施については相対的に弱いという調査結果だったそうです。 　サイバー攻撃がどんどん増えてきていて、巧妙化して高度化してきている中、自治体の皆さんも、今実施されているＪ―ＬＩＳとＩＰＡのテストをやってほしいなと思う自治体さんは増えてくる可能性もあ

○山野政府参考人　脆弱性評価について、できる限り自治体の要望に応えてということでございますが、私ども、サイバーセキュリティーも含め、情報システムのセキュリティー、これをしっかり確保していくということは重要なことだと思っております。 　当然のことながら、このウェブサイト簡易チェック、全体の枠ですとか、あるいは予算の問題もあるかもしれませんが、我々としては、自治体の状況を聞きながら、できる限り支援をしていきたいというふうに考えております。

○阿部（司）委員　できる限り支援していくという力強い御答弁をいただきました。ありがとうございます。よろしくお願いします。 　順番を少し入れ替えて質問してまいりたいと思います。 　今し方、希望する自治体に対しては脆弱性調査を行っているという御答弁がありましたけれども、もう一歩踏み込んだ調査をするべきではないかという御提案をしたいと思います。 　サイバー攻撃の脅威が年々高まっている中、地方自治体のサイバーセキュリティー能力を高めていくために、抜き打ちによるペネトレーションテスト、こちらを行うべきだと思うんですけれども、このペネトレーションテスト、いわゆる侵入テストと言われまして、サイバー攻撃の侵入経路となり得る脆弱性のあるポイントから実際に侵入をするテストだと言われております。セキュリティーですとかサイバー攻撃の専門家が、攻撃者の視点で侵入までのシナリオを想定して、その後、不正アクセスな

○松本国務大臣　各自治体が高度化するサイバー攻撃に対応していただくために、総務省におきましては、団体の規模を問わずに一定の対応ができる手法として、自治体情報セキュリティクラウドを都道府県ごとに構築し、小規模団体も含めた広域で高度なセキュリティー対策を実施する体制整備を推進しているところでございます。 　さらに、自治体が攻撃を受けたときに対策が講じられるよう、総務省は、情報セキュリティーインシデントに対処するための体制の整備の推進、Ｊ―ＬＩＳや自治大学校等における研修の充実、情報通信研究機構における自治体に対する実践的な訓練の提供にも取り組んでおります。 　委員が御指摘されましたペネトレーションテストなどの手法によって情報システムの脆弱性を検証することも有用であるというふうには考えております。ペネトレーションテストは、抜き打ちでやることについては課題もあるようでございますけれども、これま

○阿部（司）委員　ありがとうございました。 　例えば、アメリカでも、ガスパイプラインですとか、あとは下水道ですとか、様々な重要インフラと言われるようなところに外国の手によるものと思われるような侵入があった。実際、日本でも、米軍のある地域の重要インフラに侵入があった、こういう痕跡もあったという報告があったというような報道もありましたけれども、結構、各自治体レベルで対処できるものと、やはり、より国からの強力なバックアップをした上で能力を高めていかなければならないところとあると思うんですよね。 　なので、その辺、ペネトレーションテストも含め、あとはまた、スレットハンティングなんという、もう既に侵入しているものに対してその脅威を見つけていくような、そういう手法もあるそうですけれども、是非、もう一歩踏み込んだ対策というものを地方公共団体としっかり相談をし合いながら策を講じていただきたい、このよう