第211回国会の発言まとめ

○浜田国務大臣　我が国の防衛産業は、自衛隊の任務遂行には不可欠な装備品のライフサイクルの各段階を担っており、いわば我が国の防衛力のそのものだというふうに考えます。防衛産業に携わる一人一人の努力が、我が国の平和と安全を支えているというふうに考えております。 　そのため、防衛省としては、我が国の防衛産業が、そこで働く従業員の方にとっても魅力的で、活力のある職場であることが必要であると考えております。私も、本年一月に主要プライム十五社の社長との意見交換を行うなど、様々な場でその旨を表明しているところであります。 　これらの認識の下に、力強く魅力的で持続可能な防衛産業を構築するため、本法案を含めた各種取組を政府横断的に進めてまいりたいと考えているところであります。

○河西委員　大臣、大変にありがとうございました。私も、お話を伺った関連企業の皆様にも今の大臣のお言葉をしっかりお伝えをしていきたいというふうに思っております。 　次に、サイバーセキュリティー対策について伺ってまいります。 　本法案、関連企業の皆さんは一様に大きな期待を持たれておりますけれども、一方で、サイバーセキュリティー強化に関しましては、プライム企業ならまだしも、ベンダー企業、どこまで対応していけるのかということで、一部御懸念の声も伺っているところでありますので、この点、各論になりますけれども、ここからは土本長官の方にお伺いをしたいと思っております。 　既に防衛省は、米国が適用するＮＩＳＴ・ＳＰ８００―１７１、御案内のとおりでございますけれども、これを基に、従来の基準を高度化した防衛産業サイバーセキュリティ基準、この基準を今年度の契約から適用する、こういう方針をお示しになっており

○土本政府参考人　お答え申し上げます。 　防衛省の保護すべき情報を取り扱う企業のうち、令和五年度におきまして本措置が対象となる企業は、約百社程度を想定しているところでございます。 　委員御指摘の、来年度以降といいますか、今後の保護すべき情報を取り扱う企業数につきましては、装備品等に関する調達契約の内容等によるため、一概に予測することは困難でございますが、サイバー攻撃等のリスクが高まり、装備品等の内容も高度化していく昨今におきましては、その数は今後も増加するものと考えているところでございます。

○河西委員　ありがとうございます。 　旧基準に今適用されているのが大体二百社と伺っておりますけれども、まずその半分を対応していかれるというふうに理解をいたしました。 　次に、新基準の中身についてお伺いいたします。 　一般に、国内企業が取得してきた情報セキュリティー基準の代表的な国際規格は、ＩＳＯ２７００１があります。このＩＳＯですら、昨年九月時点の取得の企業数、七千二十七社ということでございます。全体からすれば〇・数％、恐らく、大企業は一万二千社ありますので、多くが大企業なんだろうというふうにも思っております。 　その上で、防衛関連企業と防衛省の契約におきましては、令和四年度までは、今申し上げましたＩＳＯの、それを基に定めた改正前の基準を適用しているわけでありますけれども、令和五年度からは、今ほどありました令和五年度の契約から、より高度な防衛産業サイバーセキュリティ基準が求められる

○土本政府参考人　保護すべき情報を取り扱います防衛産業の企業に対し、令和五年三月まで適用していた基準では、ネットワークに外部からのサイバー攻撃の侵入を防止するといういわゆる水際措置、これを重視しておりました。 　他方、令和五年四月から適用しています防衛産業サイバーセキュリティ基準につきましては、従来の対策に加えまして、サイバー攻撃等による保護システム内部への侵入が起こり得ることを踏まえた平素からの備えや、サイバー攻撃を受けた後の対処について、より具体化しているというものでございます。 　このため、企業各社は、防衛産業サイバーセキュリティ基準に従いまして、契約を履行する際に使用する情報システムにつきまして、通信記録の分析や定期的に対処テストを行う等、強化されたセキュリティー対策を講じることになると考えておるところでございます。

○河西委員　御答弁ありがとうございます。 　旧基準では、水際対策、しっかり抑止をしていくということでありますが、新基準では、事案が起きた後の対処、安全保障でいえば対処力、そういったことにもきちっと対応を取っていくということでありまして、かなり対策の中身としてはジャンプアップをしていくというふうにも思っております。 　実は、私自身も民間時代、ある法人の情報セキュリティー基準の策定ですとか、また、このセキュリティー対策は、重要なのは決まりだけではなくて、専門組織が不可欠になってまいります。その立ち上げに携わった経験があります。 　当時のことも振り返りまして、新基準の手本となりました米国の１７１、拝見をいたしました。 　例えば、インシデント対応には、これは和訳でありますけれども、準備、検知、分析、抑制、回復及びユーザー対応を含めて組織のシステムに運用状態のインシデント対応能力を確立をする

○土本政府参考人　お答え申し上げます。 　現在、防衛省、防衛装備庁におきまして、企業が自ら行っていただく対策に関しまして、様々な措置を用意させていただいているところでございます。 　まず、第一点目でございますが、第一には、その対策経費を、防衛省と当該企業との、装備品等に関する直接の調達契約の中で支払うものとして、五百二十六億円の予算措置を五年度、つくらせていただいております。 　第二番目といたしまして、例えば、防衛省と直接契約関係のない下請企業に対しましても、この法律案に基づく財政上の措置として必要な経費を支払うものとして、委員、冒頭御指摘がありました四十三億円、計上させていただいておりまして、サプライチェーン全体のサイバーセキュリティー対策を確実に措置することとしております。 　これに加えまして、第三番目の措置といたしまして、官民共用クラウドを防衛装備庁におきまして整備することで

○河西委員　今御答弁があった本法案の財政措置、契約で対応する五百二十六億円の部分ですね。三番目にあったクラウドの提供、これは非常に大事だというふうに思います。非常に重要な施策で評価をいたします。 　その上で、それでも手の届かない人材の確保、育成なんですね、ここを最後にお伺いをしたいと思います。 　ちなみに、従前のＩＳＯの認定を行うＩＳＭＳ認定センターの調査が、これは二〇一八年、少し前ですが、国内企業千百八十社に対して行っております。認証の取得や維持に関する主な課題は何かということで、最多が六三・六％のマンネリ化、形骸化、私もこれは経験をいたしました。二番目が五七・一％の人材確保、育成なんです、これがやはり大変である。これは多くが中堅から大企業の回答と思われますので、中小企業であれば、これは一層厳しいものになるんだろうというふうに思っております。 　また、セキュリティー対策は、御案内の

○土本政府参考人　中小企業を含めました防衛産業の企業において防衛産業サイバーセキュリティ基準に対応するための支援の一つとしまして、まず、防衛装備庁におきまして、令和四年四月に相談窓口というものを設置いたしまして、企業からの御相談を受けるということをしている。これに加えまして、令和四年度、サイバーセキュリティー対策強化事業というものを予算化しまして、中小企業への脆弱性診断、教育支援、各種助言等を行ってきたというところでございます。 　本法律案のサイバーセキュリティー強化の特定取組は、人材育成を含めた事業者の取組を対象としており、中小企業におけるサイバーセキュリティー強化も確実に推進してまいる所存でございます。 　あと、装備庁といたしましては、引き続き、防衛産業の企業において、その態様に応じたサイバーセキュリティー対策を円滑に行うことができるよう、企業からの御相談などに適切に対応するために

○河西委員　御答弁ありがとうございました。 　いずれにしましても、現場とよくコミュニケーションを取って、この法案の措置、推進をしていただきたい、そのことをお願い申し上げまして、質問を終わります。 　ありがとうございました。