総務省サイバーセキュリティ統括官

○山内政府参考人　お答え申し上げます。 　御指摘の調査につきましては、ＮＯＴＩＣＥのプロジェクトに参加をしている電気通信事業者七十九社のネットワークの下で、インターネットに直接接続をしている約一億台のＩｏＴ機器を対象に調査を毎月実施しております。 　具体的な方法といたしましては、サイバー攻撃に利用されたことのあるＩＤやパスワード、単純な英数字の羅列など容易に推測をされやすいＩＤ、パスワードを用いて、コンピューターを用いて実際にログインを試すことによって脆弱性の調査を行っております。 　御指摘の調査カバー率につきましては、具体的な数字を推計、公表はしておりませんが、主要な通信事業者が全てＮＯＴＩＣＥのプロジェクトに参加をしていることを踏まえますと、ＩｏＴ機器のセキュリティー対策を行うのに必要な調査範囲はカバーされているものと考えております。

○山内政府参考人　お答え申し上げます。 　ＮＩＣＴが行う調査によりＩＤ、パスワードに脆弱性がある機器が見つかった場合には、電気通信事業者への通知、それから事業者を通じて機器の利用者への注意喚起を行って、ＩＤ、パスワードの変更等の対応をお願いしております。二〇一九年の二月から調査を開始いたしまして、これまでの累計で延べ約十万件の通知を行ってまいりました。 　また、その通知対象となっている機器のうち、ルーター及びネットワークカメラがその大半を占めている状況だと判明しております。 　通知を受けた電気通信事業者においては、脆弱性のあるＩＤ、パスワードの変更等を行うよう、個別の利用者への注意喚起を行ってまいりました。 　また、個別の利用者への注意喚起に加えて、設定に不備が多く見つかった機器のメーカーにも働きかけを行い、初期パスワードを変更しないとその後の操作ができないなどのセキュリティー機能

○山内政府参考人　お答え申し上げます。 　まず、ＮＩＣＴが行う調査に関しましては、脆弱性のあるＩＤ、パスワードを利用していないか否かを確認するための調査でございますので、個人情報、第三者の通信の内容を取得する内容ではございません。したがいまして、プライバシーや通信の秘密との関係で問題があるというものではございません。 　また、ＮＩＣＴが行う特定アクセス行為による調査で得られた情報の取扱いにつきましては、総務大臣の認可を受けた実施計画に基づいて極めて厳格な安全管理措置を講じております。二〇一九年の調査開始以来、ＮＩＣＴにおいて遺漏なく適切に情報管理が行われており、法令違反事例はないと認識をしてございます。 　御指摘のＮＯＴＩＣＥの情報発信につきましては継続して取り組んでまいりますが、ＮＯＴＩＣＥプロジェクトの実効性をより上げるためには利用者の十分な理解を得るということが極めて重要でござ

○山内政府参考人　お答え申し上げます。 　ＮＩＣＴが行う特定アクセス行為による調査で得られた情報の取扱いにつきましては、先ほど申し上げましたが、認可を受けた実施計画に基づいて極めて厳格な安全管理措置を行っております。それから、ＮＩＣＴ法の中でも、特定アクセス行為等に従事する者については、秘密保持義務、同義務に違反した場合の罰則に関する規定も設けている。 　こういう枠組みの中で、今までＮＩＣＴの中で情報管理を遺漏なく適切に行ってまいりました。 　御指摘のセキュリティークリアランスにつきましては、具体的な内容が現在検討が行われており、まだ結論が得られていない状況だと認識をしてございます。したがいまして、まだ御指摘のような対応が必要であるとまでは考えておりませんが、引き続きＮＩＣＴで適切に業務が行われるよう、総務省としても実施状況をしっかりフォローしてまいりたいというふうに考えております。

○山内政府参考人　お答え申し上げます。 　ＮＩＣＴが行っておりますＩｏＴ機器の調査につきましては、サイバー攻撃に悪用されるおそれのあるＩｏＴ機器のセキュリティー対策を促進するということを目的にしております。アクティブサイバーディフェンスを始めとするサイバー安全保障の取組と直接関係をするものではございませんが、一般論としてあえて申し上げますと、サイバー安全保障の取組が目指しているサイバー空間の安全にも資する面があるというふうに考えてございます。 　また、本調査の実施に当たりましては、政府全体の取組と整合的になるように、サイバーセキュリティ戦略本部の意見を聴取しなければならないとされております。このような枠組みの下で、ＮＩＳＣ、内閣サイバーセキュリティセンターや関係省庁等と連携を図りながら、ＩｏＴ機器のセキュリティー対策の強化に引き続き取り組んでまいりたいと考えております。

○山内政府参考人　お答え申し上げます。 　委員御指摘のとおり、私どもはＩｏＴ機器のセキュリティー対策ということで進めておりますが、全体としてサイバー空間のセキュリティーのレベルを上げるということに関しましては、政府全体、サイバーセキュリティ戦略本部が目指す方向と合致をして進める必要があるというふうに考えてございます。 　したがいまして、この観点から、関係省庁と連携をして、おっしゃるとおり、縦割りのない形でしっかりと進めてまいりたいというふうに考えております。

○山内政府参考人　お答え申し上げます。 　今委員御指摘をいただきましたとおり、通信事業者への通知それから機器の利用者への注意喚起について、一台ずつ対処するだけではなくて、ＩＤ、パスワードの脆弱性が多く見つかった機器のメーカー、こういう方々にも働きかけを行って、セキュリティー対策が適切に講じられた製品の提供につなげることで、より大きな成果が得られるということが明らかになってございます。 　同じく、御指摘をいただきましたが、ＩｏＴ機器の適切な管理をするという観点で利用者への周知啓発を進めるに当たっては、私どもが直接周知啓発するだけではなくて、メーカーを始めとする関係者と連携して働きかけをするということが大変重要だというふうに考えてございます。 　こうしたことを踏まえまして、今回の法案においては、通信事業者への通知だけではなくて、メーカーなどの関係者への情報提供それから助言についてもＮＩＣ

○山内政府参考人　お答え申し上げます。 　御指摘いただきましたとおり、ＩｏＴ機器のセキュリティー対策につきましては、利用者の意識が十分な状況ではない中、ＮＯＴＩＣＥに関する情報発信を強化して、ＩｏＴ機器の適切な管理の重要性について国民の皆様により御理解いただけるように周知啓発を進めていくということが非常に重要な課題だというふうに認識をしてございます。 　このため、来年度のＮＯＴＩＣＥの情報発信強化に向けて新たな広報戦略を検討しているところでございます。この観点では、先ほど来御指摘がございました点もありますが、私どもが知られていないというところも含めて、もっと知られる努力を恐らくするということも含め、国民の皆様に、御自身が利用するＩｏＴ機器がサイバー攻撃に加担をしてしまう、そういうおそれがあるということをまず広く知っていただいて、セキュリティー対策を自分のこととしてしっかり行っていただけ

○山内政府参考人　お答え申し上げます。 　今ＮＩＣＴが行っておりますＩＤ、パスワードに脆弱性のあるＩｏＴ機器調査、これは御指摘のあった特定アクセス行為になりますが、実際にＩＤ、パスワードを入力してログインを試みる必要がございます。これは、通常、不正アクセス禁止法で禁止をされている不正アクセス行為に該当するというものでございます。 　したがいまして、ＮＩＣＴが実施計画において認められた範囲によって実施を可能とするもので、不正アクセス禁止法の適用除外として、ＮＩＣＴ法において行為者がＮＩＣＴとして実施をするという形になってございますので、仮にＮＩＣＴ以外の者が行った場合には、先ほど申し上げた不正アクセス禁止法の禁止行為に該当することになりまして、同法の罰則の適用を受けることになります。

○山内政府参考人　お答え申し上げます。 　今御指摘のありましたとおり、私どもの関係する会合の中でＮＩＣＴの方から、人員、体制について強化する必要があるということを申し上げたのはまず事実でございます。 　その上で、実際に、先ほど来の答弁の中にもちょっと出てまいりましたが、体制を強化するということが必要であり、これはＮＩＣＴだけではなくて、実際の対策を立てるためには、通信事業者、先ほどの協会、ＩＣＴ―ＩＳＡＣといった幅広い方々の取組が必要になります。こういうものを含めて体制の強化を行うことによって、これからの取組を強化するということを考えてございます。