第212回国会の発言まとめ

○湯原委員　なかなか中身について教えていただけないんですけれども、論点はやはり明らかにしてもらわないと、国民の理解が得られないと思います。有識者会議も立ち上げない、中で今議論をしている最中です、しかし、こう決まりましたといって有識者会議もその方向で決まっていくということになると、なかなか論点について国民の皆さん方の理解が、逆に結果的に後々になって理解を得られないんじゃないか、こういうことを懸念するわけであります。 　この辺のところは、再三になりますけれども、有識者会議をできるだけ早く立ち上げていただいて、こういう論点がありますよねということを知らしめて、そして国民の議論を呼んで、その上で決定していく、こういうプロセスを踏んでいくべきじゃないかな、こういうふうに、改めて、同じようなお願いになりますけれども、申し上げておきたいと思います。 　一つ戻って、能動的サイバー防御と憲法の関連で、専

○飯島政府参考人　お答えを申し上げます。 　まさに今御指摘がございましたとおり、国家安全保障戦略におきましては、国、重要インフラなどに対する安全保障上の懸念を生じさせる重大なサイバー攻撃につきまして、可能な限り未然に攻撃者のサーバーなどへの侵入、無害化ができるよう、政府に対し必要な権限が付与されるようにすることとしております。 　まさにこの侵入、無害化というのは、武力攻撃に至らない場合の措置として実施するということを考えております。そういうこともございますので、武力の行使に該当することは想定をしていないというところでございます。そういうことを踏まえますと、まさに専守防衛に反するものではないというふうに考えております。

○湯原委員　飯島さんは専守防衛の範囲内だとおっしゃいますが、実際、ロシアがウクライナへ侵攻する場合でも、ミサイルをドンパチ撃つ前には情報戦と称してサイバー攻撃をするわけです。つまりは、戦争の中の一つの部分、一番、前段としてあるわけです、戦争のカテゴリーの中のですね。そういうことを考えると、やはり専守防衛との位置づけ、これも前広に議論をしていくべきというふうに思います。 　あと一言だけ要望として申し上げておきたいと思います。 　これから有識者会議等々で議論をするわけでありますけれども、能動的サイバー防御を行う、その事後ですね、ＩｏＴ機器はログを保存するとかいろいろありましたけれども、このチェック体制、特に国会で、何を能動的サイバー防御でやってきたのかということを国会に報告する義務を持たせる、このことは絶対必要だということで申し上げておきますので、要望とさせていただきます。 　以上で質問

○古屋委員長　次に、おおつき紅葉さん。

○おおつき委員　立憲民主党・無所属のおおつき紅葉と申します。 　早速、質問に入らせていただきます。 　改めまして、先ほどから皆さんが議論されているＮＯＴＩＣＥの取組、重要かつ評価すべき取組であるとまず冒頭に申し上げさせていただきます。 　ただ、このＮＯＴＩＣＥと呼ばれる取組、先ほどもありましたが、お世辞にも国民に広く浸透されているとは言えない状況であります。 　例えば、この取組、広げようとどういうことをしているのかなと、私はインターネットで検索してみましたけれども、総務省が認定している第三者機関のＩＣＴ―ＩＳＡＣ、このＩＣＴ―ＩＳＡＣが作っているＹｏｕＴｕｂｅチャンネルがあるんですけれども、この再生回数、皆さん御存じでしょうか。四十二回とか六十五回とか、もうちょっと多いのもあるんですけれども、正直、関係者しかもしかしたら見ていないんじゃないかなというような数字でございます。もちろん

○鈴木（淳）国務大臣　御質問ありがとうございます。 　サイバー攻撃に悪用され得る脆弱性のあるＩｏＴ機器に対する対処の必要性については、世界の多くの国においては認識されておりますけれども、継続的に脆弱性のあるＩｏＴ機器を調査した上で、通信事業者の協力の下で利用者への注意喚起まで実現している例というのは我が国のほかにはないものと承知しております。 　ＮＩＣＴでは、このＮＯＴＩＣＥプロジェクトの活動に基づく論文を多数発表しておりまして、これらの論文は、サイバーセキュリティーに関する世界的に権威のある国際学会においても、個人や事業者のセキュリティー対策の動機に着目したという点で高い評価を受けているものと承知をいたしております。

○おおつき委員　ありがとうございます。まさに高い評価を受けている取組、是非、先進的な例として進めていただきたいと思っております。 　ＮＯＴＩＣＥの対象機器についてなんですけれども、これまで、ＩＤ、パスワードに脆弱性を有するネットワーク機器のみでしたが、先ほど御説明があったと思います、現在総務省などにおいて、ネットワークに接続されている機器のファームウェアという、機器に内蔵されたソフトウェアに問題が存在するもの、また、既にサイバー攻撃へ悪用できる状態となった機器など、つまり、ほかのネットワーク機器に対してサイバー攻撃に加担させることができる状態となったものが想定されると伺っております。 　そして、これまで、ＮＯＴＩＣＥの取組によって通知、注意喚起を行った先は、一般家庭から法人まで様々あったかと思います。しかし、これまで開催された総務省の情報通信ネットワークにおけるサイバーセキュリティ対策

○山内政府参考人　お答え申し上げます。 　ＮＯＴＩＣＥによる注意喚起の対象となった脆弱性のあるＩｏＴ機器については、その発売年について分析をしております。その結果、十年以上前に発売された機器が全体の約半分、それから、このプロジェクトが始まった二〇一九年以前に発売された機器が全体の九割以上を占めているということが明らかになっております。 　注意喚起を受けた利用者の中では、先ほど委員御指摘のとおり、法人ユーザーが多い。法人の比率が個人の比率の三倍以上になっているということが分かっております。また、注意喚起を行った企業においてＩｏＴ機器の管理者が明確でないということが、これも課題として分かっておりまして、こういうものが、なかなか、実効性を上げるある意味での課題になっているというふうに承知をしております。

○おおつき委員　まさに、それらを総括すると、今までの総務省やＮＩＣＴ等が呼びかけの対象としてきた基礎知識のない管理者ではなく、本当にアプローチすべき相手というのは、情報システムを管理する事業者、いわゆるシステムインテグレーターとかＳＩｅｒとか言われる方々などの、ある程度サイバーセキュリティーに対する知見を持った者でありまして、総務省等が行ってきたアプローチはやはり見直していく必要があると私は考えます。 　更に伺います。 　システムインテグレーター等の知見のある者によって意図的に生じる脆弱性のある機器を今後どのように削減していく予定でしょうか。又は、サイバーセキュリティー対策を軽視する事業者に対する実効性のある支援だとか対応策だとか、是非伺いたいと思います。

○山内政府参考人　お答え申し上げます。 　今委員御指摘のとおりですが、法人利用者につきましては、法人利用者そのものというよりも、機器の設置や管理にシステムインテグレーターが関与しているということが多いと承知をしております。したがいまして、利用者に対する注意喚起も必要でございますが、システムインテグレーターによる取組を進めるということが重要だと思っております。 　ＮＯＴＩＣＥのプロジェクトで観測結果が分かりまして、脆弱性のあるＩｏＴ機器についての情報が把握できますと、対応すべき脆弱性、それを解消する方策を技術的に、具体的に分かる形でシステムインテグレーターに対して助言それから情報提供を行うという形を考えてございます。これによりまして、分からないといった、そういう状態をまず解消して、システムインテグレーターが積極的に対応いただける、こういう効果的な対策を是非推進していきたいというふうに思っ