内閣官房内閣審議官

お答えを申し上げます。 　御指摘のとおりでございまして、アクセス・無害化の実施に当たりまして、国家安全保障会議四大臣会合で決定された総論的な対処方針に基づきまして、内閣官房に設置されます新組織が、サイバー安全保障担当大臣の指導の下で、個々の措置について警察、自衛隊の役割分担等を検討し、決定するということになっております。 　その上で、当該新組織と国家安全保障局の関係でございますが、国家安全保障局はＮＳＣ四大臣会合を主催する国家安全保障会議事務局でございます。そこにおける総論的な対処方針の決定、あるいはその決定に基づく、対処方針に基づくアクセス・無害化措置の実施が我が国の安全保障政策の中で整合性の取れた形で行われるようにするという点においては責任を共有していると考えております。 　そういった観点から、内閣官房に設置する新組織と緊密に連携していくこととなりますが、新組織を率いることになり

お答えいたします。 　基幹インフラ事業者については、官民連携を通じてサイバーセキュリティーの確保に取り組む必要性が特に高いことから、特定重要電子計算機を導入した場合に届出を行う義務、サイバーセキュリティーインシデントが発生した場合に報告を行う義務、当事者協定に係る協議に応じる義務等を課しておるということでございます。

お答えいたします。 　先生おっしゃるとおりでして、そのタイミングがあやふやで、どういうタイミングで出せばいいか分からないというのは非常に困ると思いますので、これから政省令、下位法令作るときにしっかり事業者の皆様と御相談しながら設定してまいりたいと思います。 　それで、導入に関しては、この基幹インフラ事業者が一定の電子計算機を設置するなど、自ら利用することができるような状態、ここがポイントだと思っていまして、途中おっしゃったとおり、クラウドの所有権とかいろいろ考えると難しいことになってきますので、とにかく自らが利用できることができるような状態になっている、するというタイミングを適切に設定してまいりたいと思っております。

お答えいたします。 　まさに今後御相談ではありますが、基本的に想定しているのは、ＶＰＮ装置やファイアウォールといった特別社会基盤事業者の内部システムと外部のインターネットとの接点になる電子計算機、これが基本でございまして、これなどの製品名を想定しているということでございます。

お答えいたします。 　この製品名の等に当たる部分、今後まさにこれ主務政令で定めていきますので、よく関係業界、事業者の皆様と御相談をしていくということだと思いますが、現時点では、製造者名であったりとか、インターネットから一定のネットワーク機器を通じて特定重要設備と接続されるまでの機器同士の関係を示すネットワーク構成図、製造者名やネットワーク構成図といったものを想定しているということであります。

お答えいたします。 　本法案において、まずサイバーセキュリティーとは、サイバーセキュリティ基本法第二条に規定をしておりまして、電磁的方法により記録され、又は発信され、伝送され、若しくは受信される情報の漏えい、滅失又は毀損とあるんですけど、その防止その他の当該情報の安全管理のための必要な措置、また情報システム及び情報通信システムの安全性及び信頼性の確保のための必要な措置が講じられ、その状態が適切に維持管理されていることをサイバーセキュリティーと定義しています。 　なので、特定重要電子計算機のサイバーセキュリティーが害された状態というのは、まさにサイバー攻撃等によりこれらの措置が講じられた状態が損なわれたということが指されるということでございます。

お答えいたします。 　特定侵害事象の原因となる事象でございますが、例えば、特定重要電子計算機に保管されているシステム管理者等のＩＤ、パスワードが窃取され、システム全体に広範な攻撃が可能になったことが判明している、そういった場合、また、特定重要電子計算機において、マルウェア自体は見付かっていないがその実行された痕跡が残されているようなことが判明している場合、こういった場合についてを想定しているということでございます。

お答えいたします。 　現行のサイバーセキュリティ基本法に基づくサイバーセキュリティ協議会、現行の協議会は、官民が相互に連携することでサイバーセキュリティーの確保に資する情報を官民で迅速に共有する、これが基本的な考え方でできているものであります。 　その上で、本法案の情報共有及び対策に関する協議会については、政府が新たな権限の下で収集した情報を内閣総理大臣が整理、分析し、その結果をサイバー攻撃による被害防止のために協議会の構成員に共有する旨を新たにきちんと規定をしております。 　また、政府が保有する秘匿性の高い情報についても共有できるように、協議会の構成員による安全管理措置を法定いたしました。守秘義務違反に対する罰則を引き上げているということでございまして、こうした点が主な違いになっているということでございます。

当事者協定で取得をしました通信情報の利用につきましては、人による閲覧等の知得を伴わない自動的な方法によって選別された外内通信に関する機械的情報に限定され、御指摘のとおり、内外通信を分析することとはしておりません。 　内外通信を分析しないこととしておりますのは、一定の重大なサイバー攻撃による被害の防止という目的の達成のために、分析の対象を必要最小限のものとしたためでございます。不正な内外通信は外内通信による不正な指令を受けて行われることが多く、外内通信を分析していれば一定の不正な内外通信の情報や兆候を把握できるため、当事者協定により内外通信の通信情報の分析を行う必要は現時点では必ずしもないというふうに考えてございます。

先ほど大臣からも御答弁申し上げたとおりでありますけれども、当事者協定で取得した情報は外内に限るわけでございますけれども、外内にするときに、人による閲覧等の知得を伴わない自動的な方法によって選別をして外内のみを残してほかは消去するということですので、利用しているというところまでは行っていないのではないかというふうに考えているところでございます。