内閣委員会 第7号

○委員長（石井正弘君）　ただいまから内閣委員会を開会いたします。 　委員の異動について御報告いたします。 　昨日までに、石川博崇君、古賀之士君及び大沼みずほさんが委員を辞任され、その補欠として西田実仁君、榛葉賀津也君及び藤末健三君が選任されました。 　　　　─────────────

○委員長（石井正弘君）　政府参考人の出席要求に関する件についてお諮りいたします。 　サイバーセキュリティ基本法の一部を改正する法律案の審査のため、本日の委員会に、理事会協議のとおり、内閣官房内閣審議官山内智生君外十名を政府参考人として出席を求め、その説明を聴取することに御異議ございませんか。 　　　〔「異議なし」と呼ぶ者あり〕

○委員長（石井正弘君）　御異議ないと認め、さよう決定いたします。 　　　　─────────────

○委員長（石井正弘君）　サイバーセキュリティ基本法の一部を改正する法律案を議題といたします。 　本案の趣旨説明は既に聴取しておりますので、これより質疑に入ります。 　質疑のある方は順次御発言願います。

○藤末健三君　自民党・国民の声の藤末健三でございます。 　このサイバーセキュリティ基本法は、平井卓也現ＩＴ担当大臣を中心に二〇一四年に超党派で作ったものでございます。私も、この法律の作成につきましては早期から関与させていただきまして、その後もサイバーセキュリティー政策のいろいろな動向を見させていただきましたので、今回は差し替えということで質問させていただきます。石井内閣委員長及び、あと委員会の委員の皆様には心から感謝を申し上げたいと思います。 　まず、私は、民間におけるサイバーセキュリティーの対応の進化についてお話をさせていただきたいと思います。 　平時におきまして、今回の法律、民間企業におけるサイバーセキュリティーリスクの対応を進化すると、進めるということで法律の改正を行うわけでございますが、平時においてこの民間企業におけるサイバーセキュリティーのリスクの情報開示、企業がどのようなサイバーセキュリティーの対応をしているかということを開示させる、これがこの社会全体でサイバーセキュリティーの対応を進める大きな効果があるんではないかと考えております。 　アメリカにおきましては、既に上場企業についてサイバーセキュリティーリスクの開示義務が課せられておりまして、実際にあらゆる企業がサイバーセキュリティーにどう企業として対応するかというのを開示しているという状況でございますが、まだまだ我が国においては不十分な状況でございます。 　是非とも、証券市場の上場企業に対しまして、民間企業によるサイバーセキュリティーのリスクの情報開示、これを義務化するなどの検討をやっていただきたいと思うんですが、金融庁はいかがでしょうか。お答えください。

○政府参考人（佐藤則夫君）　お答え申し上げます。 　先生御指摘のとおり、民間企業がサイバーセキュリティー対策を進めることは重要なことと認識をいたしております。 　政府といたしましても、既に経済産業省、内閣官房におきまして企業のサイバーセキュリティー対策に関するガイドライン等が策定されておりまして、まず、政府全体としてその定着に向けて取組を進めていくことが必要と考えております。 　その上で、より広く企業のサイバーセキュリティー対策を拡大するために、上場企業の情報開示の点に着目すべきとの御指摘につきまして、まず、投資家の視点を通じて上場企業の積極的な対策を促すためにはどのような開示が適切であるか、また、どのような情報開示であれば企業のサイバーセキュリティー対策の向上に有効となるのかといった観点から検討する必要があると考えております。 　いずれにしましても、このサイバーセキュリティーリスクを含めた上場企業の情報開示の在り方につきまして、取引所等とも協議しつつ、継続して検討してまいりたいと考えております。

○藤末健三君　是非、金融庁は進めていただきたいと思います。 　実際に総務省及び経済産業省の方で企業のサイバーセキュリティー対応の義務の議論は進めているという状況ですし、もう一つお願いしたいのは、省庁横断的なこの政策を進めるとともに、海外とのハーモニゼーション、そのコーディネーションを是非やっていただきたいと思います。実際にアメリカ企業のサイバーセキュリティーに対する情報の開示の項目と日本のメガバンクなんかの開示を見ますと、明らかに質が違う状況でございますので、日本の企業が国際的にサイバーセキュリティーに対応するということをより一層推進するためにも、この証券市場の上場企業のサイバーセキュリティー開示義務というのを進めていただくことをお願いしたいと思います。 　同時に、このサイバーセキュリティ二〇一八というものをサイバーセキュリティ戦略本部を中心にまとめていただけたわけでございますけれども、是非、金融庁だけでなく、ＮＩＳＣがこのサイバーセキュリティーの情報開示を進めていただきたいと思います。 　先ほど金融庁からも話がございましたけれども、経済産業省の方でも企業におけるサイバーセキュリティー対応の情報開示のガイドラインの議論を始めておりますし、総務省においてもサイバーセキュリティー対応の情報開示のガイドラインを作っているということでございまして、いろんな省庁が対応しなきゃいけないこのサイバーセキュリティーへの対応の情報開示、これを是非サイバーセキュリティー担当大臣に省庁をまたがったところを統合していただきたいと思いますが、その点につきまして櫻田大臣の見解をお聞かせください。お願いします。

○国務大臣（櫻田義孝君）　サイバーセキュリティーに関する取組について、投資家を意識して企業が積極的に情報発信や開示を行うことは、経営層の認識の向上や具体的な対策の促進につながるものであり、重要であると認識をしているところでございます。 　このため、政府におきましては、平成三十年七月に閣議決定した新たなサイバーセキュリティ戦略に基づき、ガイドラインの策定や対策事例の共有、見える化の促進といった取組を進めているところであります。 　引き続き、私のリーダーシップの下、関係省庁の連携をより一層推進し、企業におけるサイバーセキュリティーへの認識の向上や組織の強化をしっかりと進めてまいります。

○藤末健三君　是非、櫻田大臣におかれましては大臣のイニシアティブを発揮していただきたいと思います。 　私は、サイバーセキュリティーの議論は、もういろんな細かい専門的な議論がございますので、細かいところは多分私は官僚の皆様がやってくださると思います、正直申し上げて。ただ、問題は何かと申しますと、先ほど申し上げましたように、総務省でやり、経済産業省でやり、金融庁でやり、あとＮＩＳＣでやり、いろんな役所がばらばらに今議論を始めていると。これをやっぱり統合するのが我々政治家であり、そして政治家として大臣として活動される方の役割だと思いますので、是非各省庁を統合していただくこと。 　そして、もう一つお願いしたいのは、やはり今サイバーセキュリティーのこの体制、ＮＩＳＣにおかれましてはまだ二百人もメンバーがいないという状況でございまして、是非体制強化をさせていただきたいと思います。 　二〇一四年にこのサイバーセキュリティ基本法を超党派で作るときに議論しましたのは、基本法を作るだけではなく、ＮＩＳＣというものを設置法でちゃんと組織を規定しましょうという議論をしたんですが、そこまで我々行き届くことはできませんでした。したがいまして、今のＮＩＳＣという組織においてはサイバーセキュリティ基本法に基づく組織になっておりまして、まだまだその組織体制が十分に強化されている状況では私はないと思います。 　是非、大臣におかれましては、ＮＩＳＣの体制強化及び法的位置付けの強化、そしてそれに基づきます関係省庁を統合していただく、先ほど総務省、経済産業省と申しましたけど、ほかにも防衛省でやり、そして警察も大きく関与する分野でございますので、是非、省庁を連携し、そして統合していくということを力強く進めていくことをお願いさせていただきたいと思います。 　続きまして、民間分野におけますサイバーセキュリティーを進めるということにおきましては、ペネトレーションテストと言いまして、サイバーセキュリティーがきちんとできているかどうか。ホワイトハッカー、ブラックハッカーと言いますが、アメリカではレッドチーム、ブルーチームと言っていますけれども、実際にサイバーセキュリティーがきちんと機能しているかどうかを、自ら攻撃して、そして実際に守れるかどうかということをテストする、ペネトレーションというのは突破するという意味でございますが、そういうペネトレーションテストを義務付けるような動きが今出てきているわけでございます。実際にＧ20における議論、Ｇ７における議論におきましても、金融機関における攻撃テストを、ペネトレーションテストを行おうということが議論されているわけでございますが、是非、我が国においてもサイバー攻撃にどれだけ対応できるかというテストを行うようなこのペネトレーションテスト、進めていただきたいと思っています。 　そのとき何が重要かと申しますと、我が国におきましてそのペネトレーションテストを行う者の具体的なガイドラインと申しますか基準、まだ経済産業省が作ってもらっているだけでございまして、そんなに深いレベルじゃないと私は思っています。 　一方、私は八月にイギリスに行ってきたんですが、イギリスの方は金融機関用のペネトレーションテストを行う法人組織の基準を作っている。ＣＲＥＳＴという基準でございますが、作っておりまして、それを満たした企業でなければ金融機関に対するそういうサイバーセキュリティーのテスト、ペネトレーションテストを行えないという基準まで作っているわけでございますが、是非とも、金融庁及び経済産業省、両方だと思いますけれど、そのペネトレーションテストにおける推進、そして資格の設定につきまして、どのようなお考えを持っているか教えていただけないでしょうか。お願いします。

○政府参考人（三角育生君）　お答え申し上げます。 　委員御指摘のとおり、高い品質及び信頼のある侵入テスト、いわゆるペネトレーションテストの活用などは、サイバーセキュリティー対策といたしまして有効でございます。 　このため、経済産業省では、平成三十年六月から、ペネトレーションテストを行う脆弱性診断などの情報セキュリティーサービスに関しまして、技術や品質に関する一定の基準を示し、サービス事業者が当該基準に適合しているか否かを専門機関が審査して、適合している者を台帳に登録する仕組みを運用中でございます。この台帳につきましては、結果をＩＰＡ、情報処理推進機構でございますが、公開し、ユーザーが利用できるようにしているところでございます。 　この仕組みを通じまして情報セキュリティーサービスの品質及び信頼性の向上を図りまして、ユーザーが情報セキュリティーサービスを安心して活用できる環境を積極に醸成してまいりたいと考えております。

○藤末健三君　経済産業省におかれましても一般的なサイバーセキュリティーの外部からの攻撃テストを行うような基準は作られているわけでございますが、私が知っている範囲だと、まだまだ国際的な標準からするとちょっと離れていると思いますので、是非、経済産業省におかれましては、より国際的に認められたもの、日本できちんと資格を取っていれば外国でも活動できるというようなレベルのものを作っていただきたいと思います。 　そうしなければ何かと申しますと、今、先ほどＣＲＥＳＴという話を申し上げましたけれど、イギリスの資格を持った企業が日本に来て日本で実際に活動しているんですね。ほかにも、金融機関に対するペネトレーションテスト、脅威テストについてはイギリスの基準が出てきているわけでございますが、一方で、今、三角審議官がおっしゃったようなＩＰＡなどが作っているような基準におきましても、まだまだ国際的には私は認められるレベルではないと思いますので、早めに新しい基準を作り、そして日本の企業が外国でも活動できるようなコーディネーションをやっていただきたいと思います。 　特に、金融機関につきましては、先日、十月に行われましたＧ20におきまして、このサイバーセキュリティーのリスクに関するワーキンググループが開かれております。そのワーキンググループにおきましては、金融セクターにおけるサードパーティーのサイバーリスクマネジメントに関するＧ７の基礎要素ということと、あと、脅威ベースのペネトレーションテストに関するＧ７基礎的要素というのが公表されています。これは何かと申しますと、Ｇ７におきまして金融機関のサイバーセキュリティーの強化ということが国際的な方向性が定められたわけでございます。 　一方で、先ほど申し上げましたように、イギリスにおきましては金融機関に対するそのようなサイバーセキュリティーの攻撃テスト、ペネトレーションテストを行う資格認証制度、ＣＲＥＳＴというのができておりまして、是非とも金融庁におかれましては、このような金融機関、特に金融機関のサイバーセキュリティーは重要でございますので、イギリスなど外国と調和された国際的なスタンダードの資格制度をつくるべきだと思うんですが、いかがでしょうか。お答えください。

○政府参考人（水口純君）　お答え申し上げます。 　先生御指摘のとおり、高度なセキュリティー対策でございます脅威ベースのペネトレーションテストでございますけれども、大規模な金融機関のサイバーリスクというのを、対応能力をもう一段引き上げるのにふさわしいツールであるというふうに認識してございます。そのような認識の下で、これまで金融庁におきましては、大規模金融機関に対しましてこういう高度なテストの活用というのを慫慂しているところでございます。 　こういうテストを外部に委託する際の事業者の選定につきましては、金融機関に対して提供されるそのサービスの水準、若しくはリスク管理が適切に行えるかを評価するように求めてございまして、当庁としましても、金融機関のモニタリングの中で、金融機関がテストを委託している事業者の状況について把握、確認しているところでございます。 　また、先生御指摘ございました脅威ベースのペネトレーションテストの実施者に関する英国の話でございますけれども、英国におきましては、信頼性の確保のため資格承認制度というのを設けていることは承知してございます。他方、その資格承認制度につきましては、制度の導入、資格審査などに当たりまして技術面、倫理面等の専門的な知見も必要でございまして、また、金融分野のみならず政府全体として検討していくことが必要とございますので、今後、関係省庁と連携して対応していきたいと考えてございます。 　また、国際面におきましても、先生御指摘のありました、先般公表されましたいわゆる脅威ベースのペネトレーションテストに対するＧ７の基礎的要素というものを踏まえまして、金融分野におけるペネトレーションテストの更なる活用というのを慫慂していくとともに、国際的な議論に各国当局と協調してしっかりと対応していきたいというふうに考えてございます。

○藤末健三君　恐らく金融庁の方ではもう把握されていると思うんですけれども、今、そのメガバンクなんかのペネトレーションテストって、外国の資格を持った、先ほど申し上げたイギリスの資格を持ったところがされているんですよね、正直申し上げて。じゃ、小さい銀行などがどうされているかというと、私が知っている一つの事例かもしれませんが、この人危ないんじゃないかという会社がペネトレーションテストを行っているわけですよ。 　ですから、ペネトレーションテストは何かというと、サイバーセキュリティー、簡単に言うと、コンピューターを守るために相手に攻撃してもらって、そしてどれだけ守れるかってテストするわけじゃないですか。家で言うなら、泥棒が入らないように防犯装置を、良い泥棒さんに入ってもらって、どこに問題がないかというのをテストするわけでございますけれども、その資格がなければ何が起きるかというと、実際にペネトレーションを行ったその会社がもし悪いことをしようと思えば、もうどこに鍵が、穴空いているか分かっているわけじゃないですか。ですから、資格がなければそのペネトレーションテストを行う会社が悪いことをしようと思ったら幾らでもできるような状況になるという、それが現実でございますので、是非資格制度をきちんとつくっていただき、早くしなければ、多分外国企業に取られちゃうと思うんですよ、この分野が。 　ですから、是非日本としての基準を作り、かつその基準は外国と同等以上であるということを是非やっていただきたいと思います。そうしなければ、海外の方がもう技術が進んでいますので、正直言ってサイバーセキュリティーの、本当に日本のビジネス、産業、サイバーセキュリティー産業が育たないと思いますので、是非金融庁はそういう国内におけるサイバーセキュリティーをちゃんとマネジメントする、そういう企業が育つような環境まで考えた上で活動していただきたいと思います。 　先ほど申し上げましたように、続いて質問させていただきますが、サイバーセキュリティーの技術、私は実際にアメリカのサイバーセキュリティーの研究機関なども伺って、かつ、実はサイバーセキュリティ基本法を作ってから、イスラエルなどの企業が向こうから私の方に訪ねてくるような状況でございます。いろいろ調べておられるとは思うんですが、実際に彼らのいろんな技術をお聞きしますと、正直、我が国はもう大きく劣後しているという感じがしております。 　実際に、アメリカもイスラエルも、話を聞きますと、軍のサイバーセキュリティー技術をそのまま転用している。イスラエルのそのサイバーセキュリティー関係の企業の経営者というのはほとんど軍出身でございまして、サイバーセキュリティー部隊の出身者が企業をつくり、そしてサービスをしているという状況でございまして、今我が国においてこのサイバーセキュリティーの技術は非常に、私はもうアメリカを一〇〇とすると日本一〇ぐらいじゃないかと思っておるわけでございますが、大きく遅れていると思います。 　私は、政府の皆様にお聞きしたいのは何かと申しますと、国産技術を是非育成するという目標を作っていただきたいということであります。そして、同時に、我が国がつくったサイバーセキュリティーの技術であり、様々な資格制度、これを国際標準にしていく。我々が国際標準の技術を取っていくという意識を持ってやらなければ、なかなかこのサイバーセキュリティーのテクノロジーは他国に追い付けないというふうに考えております。 　実際に、総務省の下にはＮＩＣＴという研究機関があり、経済産業省の下には産総研、産業技術総合研究所、そして文科省の下にはＪＡＸＡ、そして防衛省の下には防衛研究所というサイバーセキュリティーの研究を行っている機関は幾つかございますが、それが全てばらばらに管理されている、正直申し上げて。そういう中で技術が生成し、我が国としての、日本としての技術を進めるというのは難しいと考えますが、是非、内閣官房が、ＮＩＳＣが中心となってこういう国産技術の推進を進めていただきたいと思うんですが、山内審議官のお考えをお聞かせください。お願いします。

○政府参考人（山内智生君）　お答え申し上げます。 　今委員御指摘のとおり、我が国企業の国際競争力の強化、それから政府機関、重要インフラ等の重要なサービスを支えておりますセキュリティー技術が過度に海外に依存をするということが私どもとしてはやはり課題、もうこれを回避をしたいというふうに思ってございます。ですので、国産技術の育成を是非進めていきたいというように思っているところでございます。 　今年の七月にできましたサイバーセキュリティ戦略に基づきまして、これは内閣府の方で進めておりますＳＩＰ、戦略的イノベーション創造プログラム、ここの中では、重要インフラ、それからＩｏＴシステムを守るためのサイバーセキュリティ対策基盤の研究開発、それから日本発のサイバーセキュリティーサービスの創出、活用を推進するための有効性検証を行うための環境整備といったような取組を今委員御指摘のような関係機関により進めているところでございます。 　それから、加えて、標準化に関しましては、暗号、それからセキュリティー製品といった関係の技術、それからその認証について、我が国の意見を反映されるように国際会合における働きかけを今進めているところでございます。 　いずれにせよ、今後とも政府におきまして、特に今御指摘がありましたとおり私どもＮＩＳＣが音頭を取りまして、委員御指摘のロードマップの作成、それから我が国の取組を加速をするための方策、これをそのサイバーセキュリティ戦略本部の下で、国内の産学官の研究開発に関する関係機関の知見、それから成果を結集して推進してまいりたいと存じます。

○藤末健三君　是非、予算の強化等も含めてなんですが、お願いしたいと思います。 　あと、審議官に申し上げたいんですけど、例えば、先ほどＳＩＰの話をおっしゃっていましたけど、ＳＩＰとかは十億、二十億のオーダーじゃないですか。アメリカとかは、もう数百億のオーダーで研究しているわけですよ。ですから、本当に意思を持って追い付くためには、あらゆる研究機関の統合化とかもやっていただきたいと思うんですね。 　実際に研究所の方とお話ししていますと、研究所の個人のレベルでいろんな研究機関が研究所の枠を超えて付き合っておられるのは話お聞きしているんですよ。それをやはりＮＩＳＣなどが、やっぱり内閣官房が中心となって研究所のネットワークまでつくるぐらいのことをしなければなかなか追い付かないと私は思っております。 　そこで、特に重要なのは防衛省の防衛関係のサイバーディフェンスではないかと思っておりまして、外国の話を聞いていますと、やはり防衛のこのサイバーセキュリティー技術がスピンオフして民間に流れて、それがビジネスになっているということでございます。 　是非とも、防衛整備、例えばジェット戦闘機の技術を国産化するなどのいろんな議論がございますけれど、このサイバーディフェンスの技術も国産を進めるべきだと考えますが、いかがでしょうか。その際には、是非日米の協力などを進めていただきたいと考えますが、いかがでしょうか。お答えください。

○政府参考人（深山延暁君）　御指摘のとおり、防衛省におきましてもサイバーの分野というのは非常に重要な分野だと考えており、所要の体制整備を行ってきているところでございます。防衛装備庁においても、その一環として関連する技術研究を実施しております。 　二例だけ申し上げますと、例えば、サイバー攻撃によって情報システムやネットワークの一部が損なわれた場合でも柔軟に対応して運用可能な状態に回復する技術の研究。また、自衛隊の情報システムがサイバー攻撃を受けた場合の一連の対処について隊員が演習を行うための模擬環境の構築に関する技術に関する研究。後段は、言わばその模擬の世界でサイバーに対抗する技術を我々も隊員がつくれるようなシステムをつくるというような研究でございます。こうしたものを実施しているところでございます。 　そして、今後とも、他の研究機関等との連携を進めてまいりたいと考えています。この際には、米国を含む諸外国との協議や民間部門との協力を通じて、最新のリスクや対応策、技術動向等を把握するように努めてまいるのは当然のことかと考えております。

○藤末健三君　是非、サイバーディフェンスの議論を深めていただきたいと思います。 　恐らく、皆様もサイバーディフェンスというと何か余り関係ないような感じで思われるかもしれませんけど、私は今、この紛争と申しますか、安全保障の状況は大きく変わっていると思いまして、航空機が出て空母がその戦闘の中心となったぐらいの大きな変化ではないかと思います。恐らく、これからあります紛争は、サイバー攻撃があった後にそれから実際の物理的な戦闘に入ると。実際に電力を落とし、交通機関を麻痺させた後にリアルな軍が侵攻するということでございますので。 　私が懸念していますのは、例えば那覇空港でありますと、スクランブルを掛けるＦ15は那覇空港を飛び立ちますけれど、本当にその那覇空港、外からの攻撃で麻痺してしまえば実際に航空自衛隊の迎撃機も飛べない状況になりますし、恐らく陸上自衛隊の移動も、信号機が全部麻痺し真っ赤になれば移動すらできないという状況になると思いますので、是非とも広範囲のサイバーセキュリティーを是非防衛省で議論していただきたいと思います。 　そういう中で、国産の技術について一番私は重要だと思いますのは、コンピューターのオペレーションシステム、基本ソフトウエアであります。 　今、ほとんどの計算機がリナックスやウィンドウズ、あと、スマホにおいてはｉＯＳとかいう外国製のＯＳでございますけれど、このオペレーションシステムに脆弱性があれば、そこを狙って攻撃されればもう守るすべがないという状況でございまして、例えばアメリカですと、ＣＯＴＳというＯＳサーバーの機能を向上させようという議論も行っているわけでございますが、是非、国家プロジェクトとして日本独自の基本ソフトウエア、オペレーションシステムを技術的に保有していくということが我が国のサイバーセキュリティーの技術的な確保上非常に大きいと考えますが、経済産業省だと思いますが、お答えいただきたいと思います、お考えを。

○政府参考人（三角育生君）　お答えを申し上げます。 　サイバーセキュリティーを確保する上では、委員御指摘のＯＳも含めましてソフトウエア全体、さらにはハードウエアも含めたシステム全体で脆弱性対策を講じまして信頼性を確保していくことが必要でございます。 　このため、内閣府の戦略的イノベーション創造プログラム、システムの脆弱性を検証する基盤構築事業、高度なＩｏＴ社会の実現に向けた技術開発などを通じまして、サイバーセキュリティー関連の技術の開発及び社会実装に向けた取組を進めていくこととしております。こうした取組を通じまして、ＯＳも含めシステム全体のサイバーセキュリティーの技術開発などを包括的に進めていきたいと考えております。

○藤末健三君　是非、経済産業省プラスＮＩＳＣにおかれましては、やっぱり日本の研究開発、サイバーセキュリティーの研究開発予算は恐らく十分の一ぐらいだと思います、アメリカなどの。ですから、何でもやりましょうという話じゃなくて、ピンポイントでやっていただきたいというのがまず一つあります、戦略性を持って。と同時に、いろんな研究機関が今ばらばらですので、各省庁、その統合というのを是非意識的に行ってください。これ、お願いでございます。技術的なものをどこか一部でもいいから我が国の技術を組み込む、世界標準に、それが我が国のサイバーセキュリティーの安全保障につながると思いますので、是非お願いしたいと思います。 　また、これはちょっと最後の質問になりますけれど、国の行政機関のサイバーセキュリティーの研修の強化を行っていただきたいと思います。 　既にＮＩＳＣを中心に行っていただいているわけでございますが、この間、日経新聞にも載りましたけれど、大学に対するハッキングが行われているという状況でございまして、私が知る範囲ですと、大学は独自にサイバーセキュリティー対策を行っていると。私が見ている範囲ですと、もうほとんど防御になっていないと思います、大学は、正直申し上げて。 　実際に研修をされているとお聞きしましたけれど、一日一万とか二万の研修、恐らくワープロ研修とほぼ同じレベルだという状況でございまして、是非ＮＩＳＣが中心に行政府のサイバーセキュリティー強化の研修をやっていただきたいと考えますが、いかがでしょうか。お願いします。

○政府参考人（山内智生君）　国の行政機関等におけるサイバーセキュリティーの対策の強化を図るためには、職員に対して研修を行いまして、その知見、スキルを向上させるということが非常に重要だというふうに思ってございます。 　政府の中では、総務省が行います国の行政機関の職員向け情報システム統一研修、それから私どもＮＩＳＣが持っております、ＣＹＭＡＴと言いますが、情報セキュリティーの緊急支援チーム、それから各府省におけるインシデントの対応の要員がおります、ＣＳＩＲＴの要員の研修の訓練、それから、これに加えまして、一般職員に対しても情報リテラシーの向上に関する研修というのを行いまして、政府全体の人材育成を取り組んでおります。 　政府といたしましては、これらの研修を着実に実施、強化をいたしまして、サイバーセキュリティー対策の強化を図ってまいりたいと思っております。

○藤末健三君　ＮＩＳＣにおかれましては、職員の研修も必要だと思いますけど、やはりサイバー攻撃が起きたときに、被害があったときにどういう対応をするかというトップの研修も非常に重要だと思いますので、是非そちらの強化もお願いしたいと思います。 　ちょうど私の質問時間も来ましたので、最後でございますけれど、このサイバーセキュリティ基本法の改正、私はまだまだ道の途中だと思います。まだまだやるべきことが大量にある。そういう中で、今回着実に一歩を踏み出したというふうには評価できますけれど、是非、政府の皆様、あと櫻田大臣中心となりまして、やはりあらゆる省庁が関係しておりますので、その省庁を統合するようなものを是非つくっていただきたいと思います。 　また、そのＮＩＳＣの体制もまだまだ私には不十分だと思っておりまして、是非、設置法を作るなど、やはりＮＩＳＣの職員の方々が安定して定員を確保し、そして予算を確保する体制をつくっていただくことをお願いしまして、私の質問を終わらさせていただきます。 　どうも皆様、ありがとうございました。

○竹内真二君　公明党の竹内真二です。本日は質問の機会をいただき、感謝申し上げます。 　本日は、サイバーセキュリティ基本法改正案について質問をさせていただきます。 　最初に、サイバー攻撃に対処する際の情報共有の在り方についてお聞きしたいと思っております。 　コンピューターやスマートフォンを不正かつ有害に動作させるために作られたソフトやコードなどは総称してマルウエアと呼ばれております。悪意のあるという意味のマリシャスとソフトウエアを組み合わせた造語ということですが、そのマルウエアの一種にランサムウエアというコンピューターウイルスがあります。こちらは身の代金という意味のランサムとソフトウエアを組み合わせて作られた造語ですけれども、このウイルスに感染すると、パソコン内に保存しているデータを勝手に暗号化されて使えない状態になったり、スマートフォンであれば操作が不能と、ロックされた状態になってしまうというふうに聞いております。また、感染した端末の中のファイルが暗号化されるのみではなく、その端末とつながっている別のハードディスクまで暗号化される場合もあると、そして、その制限を解除するために身の代金を要求する画面を表示させるというウイルスであります。 　昨年五月には、ワナクライ、これは泣きたくなるという意味だそうですけれども、このワナクライですけれども、ランサムウエアによるサイバー攻撃によって世界百五十か国で三十万件以上ともされる被害が生じました。日本国内でも大変ニュースになりましたけれども、自治体、鉄道、病院などといった重要な機関で感染被害が確認をされたところであります。 　また、本年一月には、仮想通貨の取引所が狙われまして、仮想通貨ＮＥＭが不正に外部に送信をされて約五百八十億円相当が流出するという事件が発生するなど、サイバー空間における脅威というものは近年ますます我が国でも高まってきているわけであります。 　そうした中で、政府が今回提出したサイバーセキュリティ基本法の改正案では、サイバーセキュリティ戦略本部長等がサイバーセキュリティ協議会を創設して、国民の多様な主体が相互に連携し、必要な情報共有を図ることとしております。 　サイバー攻撃への対応というのは各事業者や業界等で様々取り組まれているとは思いますが、サイバーセキュリティー対策として情報共有を行う必要性や有効性について政府としてどのように認識をされているのか、見解を伺いたいと思います。

○政府参考人（山内智生君）　お答え申し上げます。 　今委員の方から御案内がございましたとおり、例えばワナクライの場合ですと百五十か国に対して攻撃が行われたと。これは取りも直さず、インターネットを通じまして非常にたくさんの端末に対して同時にこのマルウエアが配布をされたということを意味しております。したがいまして、近年、複雑化、巧妙化をするサイバー攻撃に対して単独の組織だけで対策を講じるというのは限界がございます。したがって、効果的な対策を講じるためにも、複数の組織が連携をして情報共有を行う必要性が生じております。 　今回、法律案にございますサイバーセキュリティ協議会でございますが、どこか業界の中だけでもなく、それからある個人、それから企業だけでもなく、多様な主体が連携をいたしまして、サイバー攻撃に関する攻撃の手口、それから被害の状況のこういう情報を迅速に共有することによりまして、同様の手口によるサイバー攻撃の被害の拡大を防ぐことができるというふうに考えてございます。したがって、サイバー攻撃への有効な対策として極めて重要であるというふうに考えているところでございます。 　また、我が国は、再来年、二〇二〇年の東京大会を控えております。オリンピック・パラリンピック大会のような大規模なイベントに関しましては、サイバー攻撃の標的になる傾向がございます。こうしたイベントの開催に万全を期すためにも、早急に本法案を成立させることが不可欠であると考えております。

○竹内真二君　ありがとうございます。 　そこで、今回の改正案では、第十七条第二項に、この創設される協議会の構成員として、国の関係行政機関の長を始め、地方公共団体、重要インフラ事業者、サイバー関連事業者やその組織する団体等が規定をされているところです。 　情報共有を行うに当たっては、迅速性を確保しつつ必要な情報が行き渡ることが重要でありますけれども、地方公共団体や重要インフラ事業者というものは相当数に上ると思います。 　今回のこの改正案に基づき創設される協議会について、構成員として参加する事業者、団体等について今どのように想定をされているのか、また、この協議会の規模、体制等についてはどのように考えられているのか、お聞きしたいと思います。

○政府参考人（山内智生君）　お答え申し上げます。 　協議会の構成員に関しましては、今委員の方から御指摘がございました法案の第十七条のところにございますが、国の関係行政機関の長、地方公共団体、重要インフラ事業者、サイバー関連事業者、教育研究機関等を念頭に置いております。 　それから、御質問の規模に関しましてでございますが、地方公共団体、例えば千七百強に及びます。それから、重要インフラ事業者、これも相当数に上るところでございますが、こういう方々は既存の情報共有の枠組みの中に参加をしていらっしゃる方もいらっしゃいます。また、これらの方々を取りまとめている業界団体の方々がいらっしゃいますので、このような業界団体の方に御協力いただくことができれば、構成員の数はそれほど大きくない形で効率的に運営をすることが可能であるというふうに想定をしているところでございます。 　また、体制に関しましては、私ども内閣サイバーセキュリティセンターが事務局を担う予定でございます。法案成立後に正式に検討をする予定でございますが、現時点では、サイバーセキュリティーに関する専門機関であります一般社団法人ＪＰＣＥＲＴコーディネーションセンター、ここに対して事務の委託をいたしまして、共に事務局を担っていただく予定でございます。

○竹内真二君　そうすると、協議会の構成員のうち重要インフラ事業者についてお聞きしたいんですけれども、この重要インフラ事業者については、これまでの情報通信、金融、鉄道など十三の分野が指定されていましたけれども、本年七月から新たに空港が追加をされて、現在十四分野であると聞いております。 　しかし、この指定されている十四分野の中に自動車業界というのが入っていないんですね。現在実験、開発が進められている自動運転車がハッキングをされた場合、遠隔操作によってハンドルが奪われたりブレーキを利かなくされるというふうに自動運転車が不正に操作されて、場合によっては人命に関わるような重大な事故の発生や、若しくはテロ等にも使われる、そういう懸念もあるところです。これはもうハリウッドのアクション映画の中の話ということではなくて、現実にこういう変化が起きているときには起こり得ることではないかと思います。 　また、政府が掲げる成長戦略では二〇二〇年をめどに地域限定型の無人自動運転移動サービスを開始することなどを今目指すとしているところですので、この自動運転というものがやはり普及すれば自動運転に係るシステムのサイバーセキュリティー対策の重要性が非常に高まると思いますけれども、今後この重要インフラ分野に自動車を指定する可能性があるのかどうか、政府の見解を伺いたいと思います。

○政府参考人（山内智生君）　お答え申し上げます。 　重要インフラは、他に代替することが著しく困難なサービスを提供する事業として、サイバーセキュリティ戦略本部で指定しているものでございます。この重要インフラの分野の範囲の見直しに関しましては、今までもそうでございますが、今委員御指摘がありましたとおり、今回空港を追加をしてございますが、社会環境の変化に柔軟に対応しながら継続的に取り組むこととしてございます。 　御指摘の自動運転車、自動運転車に係る事業の取扱い、これが御質問の御趣旨かと思いますが、自動運転に係る国際基準に関しましては現在国際的な議論が進行中だというふうに私ども聞いてございます。このような議論を勘案をいたしまして、関係省庁と連携を取りつつ、この指定に関する対応について検討してまいりたいと考えております。

○竹内真二君　これから検討していただくということですので、是非しっかりと自動車という分野も入れていただきたいというふうに私は思いますけれども、是非よろしくお願いいたします。 　それで、自動運転を例に挙げて質問を今いたしましたけれども、この自動車の分野に限らず、今後の技術革新によって、国民の暮らしに密接に関係する重要インフラ分野というのはこれからも変化をしていくと思うんですけれども、引き続きこの重要インフラ分野の見直しというものをどのように行っていくお考えなのか。 　また、重要インフラ事業者に限らず、その他の協議会の構成員についても適宜見直しを行う必要があるというふうに思いますけれども、この構成員の見直しについても政府の見解をお伺いしたいと思います。

○政府参考人（山内智生君）　お答え申し上げます。 　先ほども申し上げたところでございますが、この重要インフラの分野の見直しに関しましては、委員御指摘のとおり、社会環境が変わってまいりますこの変化に柔軟に対応しながら、継続的に取り組むことにしてございます。当初、今のサイバーセキュリティ戦略本部ができる前、重要インフラは十分野でございました。三分野を追加をし、今年一分野を追加して、現在十四分野でございます。このような形で柔軟に対応していくということでございます。 　それから、協議会の構成員でございますが、情報共有をより実効的なものにするために、随時積極的な情報共有に協力をいただける方、こういう方に御参加いただくことが不可欠であるというふうに考えてございます。協議会は、重要インフラ事業者からサイバー関連事業者等に限らず、協議会にとって必要と認められる方を構成員として適宜追加をできる仕組みにしてございます。実効的な情報共有によってサイバー攻撃による被害を防ぐ観点から、随時、効果的な方々を含めながら構成員の見直しを行ってまいります。

○竹内真二君　ありがとうございます。 　次に、二〇二〇年東京オリンピック・パラリンピック競技大会におけるサイバーセキュリティー対策に関連してお聞きしたいと思います。 　二〇二〇年東京大会の開催まで約二年を切りました。オリンピック、パラリンピックのような世界的に注目を集めるイベントでは、関連する組織やウエブサイト等を中心に大規模なサイバー攻撃が行われるため、大会の開催に向けたサイバーセキュリティー対策というものは急務になっております。 　政府においては、本年の平昌大会や、前回二〇一六年のリオデジャネイロ大会に、内閣サイバーセキュリティセンター、ＮＩＳＣの職員を派遣して、現地の大会関係者との情報共有や情報収集等を行ったと聞いております。 　では、まず、国内において最大級の何かサイバー攻撃を受けたイベント事案みたいなものがあればお聞きしたいのと、そして、過去のオリンピック・パラリンピック大会におけるサイバー攻撃というものは改めてどのようなものだったのかをお聞きしたいと思います。さらにもう一点、二〇二〇年のこの東京大会の準備期間や大会期間中にどのようなサイバー攻撃を現時点で政府は想定をされているのか、説明を願います。

○政府参考人（山内智生君）　お答え申し上げます。 　まず、これまでの国内の大規模なイベントで運営に支障を来すようなサイバー攻撃があったかと。これはなかったというふうに認識をしてございます。 　それから、過去のオリンピックの大会でございますが、まずロンドンの大会、この辺りからサイバー攻撃という話題が出てまいりました。私どもから英国に職員を派遣をいたしまして、大会の状況について政府関係者から適宜状況の把握を努めてございます。その中で、大会の公式ウエブサイトに対して約二億件の悪意のあるアクセスの要求、それから、開会式直前にはオリンピックスタジアムの電源系への攻撃の情報というものを入手をしたと、急遽、発電機に切り替えるための準備をしたと、こういう実際の取組、こういう事案があったというふうに聞いてございますが、ロンドン大会の運営に支障を来すような事案は発生しなかったというふうに認識をしてございます。 　それから、二〇一六年のリオ大会でございます。これに関しましても、大会の組織委員会の技術運用センターに職員を連携要員として派遣をいたしました。日本側で認知をした、インターネットでつながっておりますので、日本の方で認知をした関連の脅威情報を提供するとともに、現地における情報セキュリティー責任者、ＣＩＳＯと緊密な連携を取ることによりまして状況の把握を行いました。期間中、大会の公式サイトに対する執拗なサイバー攻撃、それから大会の関係組織の一部にウエブサイトの改ざんといった被害が出たというふうに聞いてございますが、やはりこれも大会の運営に支障を来すような事案は発生しなかったというふうに認識がございます。 　それから、三つ目、二〇一八年の冬季平昌大会でございます。大会期間中、それから終了後に職員を派遣をいたしました。セキュリティーの対策、それから脅威の情勢についての情報収集をいたしまして、期間中、日本の情報セキュリティー関係組織等で検知をいたしました攻撃予見情報、これを韓国側に提供してございました。大会準備期間中には約六億件、それから期間中には約五百五十万件のサイバー攻撃が発生をしたと、それから、開会式においてサイバー攻撃に起因をして一部のサービスが利用できなくなったと、こういった報道がございましたが、結果として大会の運営にやはり重大な影響を与えるようなサイバー攻撃はなかったというふうに認識がございます。 　それから、来る大会に対して想定している攻撃について詳細を述べますと、私どもが何に準備をしているかと、セキュリティー対策上支障が生じる可能性があるものですから、これはちょっと事柄の性質上お答えを控えさせていただきたいと存じますが、過去のオリンピック、パラリンピックの大会で認められた組織委員会、それから大会に関係する組織、機関のウエブサイトに対する攻撃、それから政府機関、それから大会に関係する重要インフラ事業者において観測されるような攻撃といったものは、日常的に実はございますが、こういうものはやはり大会期間中にも、それから準備期間中にも行われるのではないかというふうに想定をしているところでございます。 　したがいまして、このような攻撃への対策を含めて関係機関におけるサイバーセキュリティーの確保に万全を期すよう、しっかり取り組んでまいりたいと存じます。

○竹内真二君　是非、今までの大会では大会の運営等に支障が生じるようなことは、件数としては物すごいありましたけれども、なかったということですので、この東京大会で万が一にもそういうことがないように万全の対応を取っていただきたいと思いますけれども、そのためにも今政府としても懸命に取り組んでいらっしゃると思うんですけれども、この二〇二〇年の東京大会に向けた体制整備として、昨年七月には警察庁にセキュリティ情報センターが設置をされて、情報収集、分析の強化を図ることとしております。 　また、サイバーセキュリティーに係るこの脅威事案情報の共有等を担う中核的組織として、サイバーセキュリティ対処調整センターを本年度末をめどに設置することとしておりまして、さらに、大会期間中には内閣官房にセキュリティ調整センターを設置して官邸内に二十四時間の連絡体制を確保するなど、セキュリティーに係る総合的な体制を確立することとしております。 　それでは、この二〇二〇年東京大会に向けて整備を進めているこの組織と、今回の改正案で設置される先ほど言いましたサイバーセキュリティ協議会においては、適切かつ綿密に連携を図ることでサイバーセキュリティー対策に必要な情報を協議会の構成員、大会関係者で共有することを強く望むものであります。 　また、二〇二〇年東京大会に向けては、重要インフラ事業者を始め、大会運営を円滑に運営するために必要なサービスを提供する事業者等におけるリスクマネジメントというものの実施も必要であり、重要であると思います。 　それで、お聞きしますけれども、これらの事業者が参加する演習とか訓練というものを実施してサイバー攻撃に対する事前の対策というものを行うことが必要だと思いますけれども、この実施状況というものがどうなっているのか。それからあわせて、二〇二〇年大会後もこのような取組を引き続き講じていただきたいと思いますけれども、大会終了後の取組についても伺いたいと思います。

○政府参考人（山内智生君）　委員御指摘のとおり、この大会に向けてリスクマネジメントを行うことは非常に重要だというふうに認識してございます。したがいまして、大会に関係をする重要サービス事業者等のリスクマネジメントの促進に今取り組んでいるところでございます。 　一方、演習それから訓練、こういうものに関しましては、重要インフラの防護能力の維持向上を目的といたしまして、重要インフラの所管省庁、それから重要インフラ事業者等の参画を得まして、平成十八年度から重要インフラにおける分野横断的演習を毎年一回実施をしてございます。今月の十三日に今年もこの実際の横断的演習を実施する予定でございます。 　また、平成三十年度末、今年度末でございますが、この二〇二〇年の東京大会に関する、先ほど委員から御指摘がございましたサイバーセキュリティ対処調整センター、これは脅威事案の情報の共有等の役割を担ってございますが、これを構築をする予定にしてございます。このセンターを中心にいたしまして、それからこれも先ほど委員の方からお話がございましたセキュリティ情報センター、それからセキュリティ調整センター、ちょっと似たような名前でございますが、このような関係機関との連携を密に図りながら、重要サービス事業者が参加をする演習、訓練、これを繰り返し実施をいたしまして、本番に向けて万全を期す体制というものを整えたいというふうに思っているところでございます。 　なお、大会後に関しましては、このセンターの構築、それからこのセンターの運用において蓄積をされましたノウハウを活用いたしまして、引き続き、重要インフラ事業者に対して訓練の環境の提供、それから何かしら事案が起きたときに対処の調整を行うと、このようなことを通じましてサイバーセキュリティーの確保のための取組を推進してまいります。

○竹内真二君　是非お願いいたします。 　それから、この二〇二〇年東京大会に向けて、こういうサイバーセキュリティー対策で整備したこの仕組みとか運用の経験というものは、やはりこれからもサイバー攻撃というものが深刻化していくことを考えると非常に大事なものだと思うんですね。それで、これを将来に引き継いでいくということは、このオリンピック憲章にもあるように、オリンピック競技大会の有益な遺産というものを開催国と開催都市が引き継ぐように奨励するというふうにもありますので、その精神とも合致すると思うんですね。 　そこで、この東京大会に向けた取組を是非、遺産、レガシーとして引き継いでいただきたいと思うんですけれども、政府のお考えをお聞きしたいと思います。

○政府参考人（山内智生君）　今委員御指摘のとおり、レガシーとしてこれ引き継いでいくというのは非常に重要な観点だというふうに思ってございます。したがいまして、今回、この大会において実際にサイバーセキュリティ対処調整センター、この運用の経験、ノウハウに関しましては、レガシーとして大会以降の我が国のサイバーセキュリティーの持続的な強化のために活用していきたいというふうに思っているところでございます。 　具体的に、この対処調整センターでございますが、サイバー攻撃等に関しましてオールジャパンの窓口として力を合わせて対処するための調整役、それから窓口として活用することを考えてございます。 　それから、大会の運営に影響を与えるような可能性のある重要サービス事業者に関しましては、現在それぞれの方が行っているリスクマネジメント、これを私ども支援をしているところでございます。今回、その支援を行っている最中にガイドラインを作り、それからいろいろな助言を差し上げると、こういう今ノウハウを蓄積をしているところでございますので、大会後には広く全国の事業者、現在、オリンピック、パラリンピックの関係する方々に対して適用してございますが、広く全国の事業者に対して適用できるよう整備、普及を促進してまいります。

○竹内真二君　次に、国際連携に関して伺いたいんですが、これ、我が国におけるサイバーセキュリティー対策については、各事業者等における対策というものが進んではいるんですけれども、危機管理意識の甘さやサイバーセキュリティー人材の不足などというものが指摘をされているのが現状であります。 　二〇一六年のウクライナの電力会社に対するサイバー攻撃、これ、首都キエフの北部で大規模な停電が発生をいたしまして、キエフの夜間の電力需要量の五分の一に相当する二百メガワットが配電できないという事態があったと聞いております。我が国ではここまでの深刻な被害がないということなんですけれども、サイバー空間には国境がないわけですから、やはり今後こうした攻撃というものも想定して対応していかなくちゃいけないと思うんですけれども。 　そこでお聞きしますけれども、海外のこういう関連機関等と連携して、海外で発生したサイバー攻撃に関する情報を収集するということは国内の対策に万全を期す上でも重要だと思いますけれども、現状の情報連携はどのようになっているのか、伺います。

○政府参考人（山内智生君）　お答え申し上げます。 　今委員御指摘のとおりでございますが、インターネット、サイバー空間、グローバルにつながっております。したがいまして、一たびサイバー攻撃が起こった暁には、他国で発生をしても我が国に影響があるかどうかというのは、いち早くそれをまず調べ、対応が必要であれば対応するということが求められるところでございます。したがいまして、諸外国との効果的な情報共有が必要であるというふうに認識をしてございます。 　こうした考えの下で、サイバーセキュリティ戦略、今年の七月に閣議決定されたこの戦略に基づきまして、二国間、例えばアメリカ、イギリスといったその国との間の枠組み、それから多国間ではインターナショナル・ウオッチ・アンド・ワーニング・ネットワーク、これはサイバーセキュリティーに関係する政府機関の間で今申し上げたような情報をほぼリアルタイムの形も含めて共有をするという、こういう仕組みを持ってございます。このような枠組みを通じまして情報共有の強化等に取り組んでいるところでございます。 　今後とも、各国との連携を深めてまいりたいと存じます。

○竹内真二君　民間の企業からは海外におけるサイバー攻撃の事例を紹介してほしいというような声もよく聞くんですけれども、政府が海外の関係機関等との連携で出た情報というのは、今回の改正案で創設される協議会の構成員に共有されるのかどうか。それで、この構成員が協議会に提供した情報を海外の関係機関等との間で共有する可能性があるのであれば、その場合には今度個人情報などセンシティブな情報の取扱いに十分配慮する必要もあると思うんですけれども、見解をお伺いしたいと思います。

○政府参考人（山内智生君）　まず、委員御指摘のとおり、海外の関係機関との連携も重要でございますし、それからセンシティブな情報の扱いにも十分に気を付けなくてはいけないというふうに思っているところでございます。 　したがいまして、関係省庁とまず連携をしながら、それから、しかして、その個人や法人の権利利益を不当に侵害することがないようにと。実際に、例えば情報提供の義務というものが今回の法案の中にもございますが、これ、正当な理由がある場合を除きというふうに書いてございます。したがいまして、このような、ちゃんと権利関係というものも留意をしながら具体的な情報共有の手続を検討してまいりたいと存じます。

○竹内真二君　最後に、今後の取組について大臣に伺いたいと思います。 　二〇一九年には御即位の関連行事、それからＧ20のサミット、ラグビーＷ杯、ワールドカップが開催され、翌二〇二〇年には東京オリンピック・パラリンピック競技大会が控えていると。今後、我が国が世界的に注目を浴びる機会は増えるわけですけれども、その一方で、やはりサイバー攻撃の増加というものが予想されると。 　これらの行事、大会等の運営に支障を来さないことはもちろんですけれども、国民の生命、財産や国民生活に深刻な影響を与えることのないように対策に万全を期す必要があると思いますが、大臣の御決意をお伺いしたいと思います。

○国務大臣（櫻田義孝君）　サイバーセキュリティー施策の推進により国民が安全で安心して暮らせる社会の実現を図ることは、基本法の目的の一つにも位置付けられているところであります。また、私の担当である二〇二〇年東京オリンピック・パラリンピック競技大会に万全を期すためにも、サイバーセキュリティー対策は極めて重要だと考えております。 　担当大臣として、関係大臣ともしっかり連携しつつ、みんなで総力を挙げてサイバーセキュリティー対策に全力で取り組んでまいります。

○竹内真二君　大臣、よろしくお願い申し上げます。 　以上で質問を終わります。

○牧山ひろえ君　立憲民主党・民友会の牧山ひろえです。 　議題となっておりますサイバーセキュリティ基本法改正案を中心に質疑させていただければと思います。 　悪質で深刻なサイバー攻撃が世界で相次いでおります。インフラや仮想通貨交換所など、標的は広範囲に及んでいるのは御承知のとおりでございます。東京オリンピック・パラリンピックの開催を控えて、サイバーセキュリティーに関する万全の体制を構築することが喫緊の課題であることは確かです。 　この極めて重要性の高いサイバーセキュリティー分野に関しまして、責任者となられたのが櫻田大臣でいらっしゃいます。大変失礼ながら、大臣にはサイバーセキュリティー担当大臣としてその資質に疑問符が付されています。サイバーセキュリティー担当大臣として、サイバーセキュリティーに関する必要最小限の知識は必要だと考えますが、大臣の御認識はいかがでしょうか。それとも、全く知識なしでも問題ないとお考えでしょうか。

○国務大臣（櫻田義孝君）　海外の報道を含め、反応は私も承知しているところでございます。 　先日も申し上げましたが、私自身は日常的にはパソコンは使いませんが、事務所では当然パソコンを使って様々な業務をしております。それまでも、それらを利用する者にはセキュリティー対策に万全を期すよう指示をしているところでございます。 　サイバーセキュリティーは一部の専門家に任せておけばよいと受け取られがちですが、本当は国民全てに関係するものであります。このため、国民目線に立ったサイバーセキュリティー対策を推進することが私の大きな役割の一つとも申し上げております。 　私一人の力で行うものではありません。みんなの総力を挙げて対応をし、しっかりと職責を果たしてまいります。

○牧山ひろえ君　大臣、総力を挙げてというふうにおっしゃいますけれども、やっぱりある程度御自身で理解されていないと、幾ら優秀なスタッフや専門家がいたとしても適切な指示ができるとは思えないと思います。 　では、マネジメントだとか判断力その他の能力が全て同等ならば、サイバーセキュリティーに関する基礎知識を持っている政治家と持っていない政治家はどちらがサイバーセキュリティー担当大臣として適切だと思いますか。大臣、お願いします。

○国務大臣（櫻田義孝君）　私は、持っている人はそれなりに立派に自分でできると思います。持っていない人は、それなりにスタッフをより良くマネジメントできるか、使いこなせるかということに懸かっておりますので、その差はないと思っております。

○牧山ひろえ君　やはり閣僚の資質として、政治家としての判断力と担当分野に関する識見の両方を兼ね備えてこそ適材適所と言えるんではないかなと思うんですが。 　では次に、大臣にお伺いしたいんですが、サイバーセキュリティー対策にはいろいろな要素がありますけれども、日本のサイバーセキュリティー対策に関しまして最も足りないものは何なのか、どの面で最も立ち遅れていると御認識でしょうか。所見で結構ですので、是非、大臣の御意見をお聞かせいただければと思います。

○国務大臣（櫻田義孝君）　近年、インターネットを通じた様々なサービスが日常的に使われており、サイバー空間と実空間の一体化が進化、進展しております。こうした一体化の進展により人々に様々な恩恵がもたらされる一方、サイバー攻撃により情報漏えいや金銭被害、サービス障害が生じるなど、脅威が深刻化している状況であります。 　こうした認識を踏まえ、本年七月にサイバーセキュリティ戦略を閣議決定しており、これを確実に実施するよう関係省庁と連絡して取り組んでまいりたいと思っております。

○牧山ひろえ君　では、今大臣がおっしゃっていたものを、側面を強化するために大臣なりの施策やコンセプトを御説明いただければと思います。大臣、よろしくお願いします。

○国務大臣（櫻田義孝君）　今回の法律を通すことによって、情報の共有化等をしっかりと進めていきたいと思っております。

○牧山ひろえ君　是非よろしくお願いしたいと思いますし、また、先ほど申し上げた質問というのは大臣の御意見ですので、是非御意見を後ほどでも結構ですのでお聞かせいただけたら幸いです。 　次に、サイバーセキュリティー対策全体についてお伺いしたいと思います。 　二〇二〇年の東京オリンピック・パラリンピックは、サイバー攻撃を行う者にとって格好の標的になることが考えられます。政府におきましては、平成三十年度末をめどにサイバーセキュリティ対処調整センター、ＣＳＩＲＴですね、これを構築することとされていると承知しています。 　海外の今までのオリンピックに際しまして、どのようなサイバー攻撃があったんでしょうか。そして、今回の東京大会におきましてはどのようなサイバー攻撃が想定されるんでしょうか。

○政府参考人（山内智生君）　お答え申し上げます。 　過去の大会でサイバー攻撃が話題になったものは、二〇一二年のロンドン大会からだというふうに私どもは承知をしてございます。ロンドン大会の場合ですと、大会の公式サイトに対して約二億件のサイバー攻撃、それから開会式直前にスタジアムに対する電源系への攻撃情報というものがあって発電系を切り替えるといったもの。それから、リオの大会の場合でございますが、これは大会の公式サイトに対して執拗にサービス提供を阻害するような攻撃、それから大会の関係組織のウエブの改ざんといった被害。それから、平昌の大会の場合ですと、これは準備期間中に約六億件、期間中には五百五十万件のサイバー攻撃、それから開会式の当日だったかと思いますが、サイバー攻撃に起因をいたしまして一部のサービスが利用できなくなったといった事例があったというふうに認識をしてございます。ただ、いずれも大会運営に重大な影響はなかったというふうに認識をしているところでございます。 　東京大会においてどのようなものであるかということでございますが、ちょっと先ほど申し上げたとおり、私どもが何に備えているかということを言いますと手口を全部明かすことになってしまいますので、これはちょっとお控えをさせていただきたいと存じますが、ただ、一般的に申し上げますと、過去にあった過去の大会における攻撃、それから、現在もそうでございますが、政府機関、それから重要インフラ事業者に対して行われていると私どもが観測をしている攻撃がございます。このような攻撃に関しましては、やはり東京大会においても当然のように実施をされるのではないかというふうに考えているところでございます。 　当然、こういう攻撃に対する対策をちゃんと整えるといったことを念頭に、先ほど委員の方から御指摘がございましたサイバーセキュリティ対処調整センター、ここにおいて、様々な脅威情報、それから攻撃の予見情報といったものをしっかり収集をいたしまして、関係者の間で共有をし、サイバーセキュリティーの確保に万全を期すといった、こういう取組をしっかり進めてまいりたいというふうに存じます。

○牧山ひろえ君　では、今のお話の件ですが、今のお話の想定の下、それに対してどのような措置、すなわち二〇二〇年の東京大会に向けたサイバーセキュリティー対策を今後想定していらっしゃるのでしょうか。既に述べましたＣＳＩＲＴや今回のサイバーセキュリティ協議会以外での取組についても御説明いただければと思います。

○政府参考人（山内智生君）　お答え申し上げます。 　このサイバーセキュリティー対策を進める上では、それぞれの事業者、重要サービス事業者というふうに言ってございますが、この方々が自分のサービスの不確かさ、リスクでございます、これをどのように認識をしていらっしゃるかというのが非常に重要でございます。したがいまして、リスクマネジメントの促進。それから、それでも残存するリスクというのはないことではないというふうに考えてございます。こういうものがあったときに対処体制をどのように整えるかということを進めていくというところが非常に重要でございます。したがいまして、サイバーセキュリティ戦略、それからその年次計画、サイバーセキュリティ二〇一八の中で、この重要サービス事業者におけるリスクマネジメントの促進というものを推進をしてございます。 　具体的には、どうやったらリスクマネジメントができるかといった手順書を、これ私どもの方で用意をしてございますが、これを継続的に見直しながら、事業者の方々に繰り返し実施をしていただいております。これによりまして、各事業者の方々が自分で気付かないリスクも含めて、それを御認識をいただきつつサイバーセキュリティーの対策を進めていただく。結果として、大会において想定されるサイバーセキュリティーのリスクをどんどん減らしていくといったことを進めていただきます。 　私どもは、この実施状況を検証いたしまして、大会の成功にとって重要なサービスが正しく提供されるということを確認をしていくということを進めていきたいというふうに思っているところでございます。なお、この検証の結果不備があった場合には、重要サービス事業者にフィードバックをするということを進めております。 　今後とも、大会に向けて、重要サービス事業者等の安全性の確保に向けた取組を関係府省庁と緊密に連携をしながら着実に進めてまいりたいと存じます。

○牧山ひろえ君　政府では、内閣官房内閣サイバーセキュリティセンター、いわゆるＮＩＳＣをサイバーセキュリティー政策の司令塔と位置付けるとともに、各省庁においても関連施策に取り組んでおられます。しかしながら、それらに重複や分散する施策も見られ、国際的な窓口も含めて役割が明確になっていないと指摘されていることは御承知のとおりだと思います。 　そこでお聞きしたいんですが、政府はサイバーセキュリティー関連施策を担う各省庁の役割分担と連携の在り方についてどのようにお考えなのかということと、もう一つは、また、今申し上げたような指摘があることを受けて、政府全体の視点でのサイバーセキュリティー関連施策の一本化などについて更に連携を強めるべきではないかなと思うんですが、いかがでしょうか。

○国務大臣（櫻田義孝君）　サイバーセキュリティー政策につきましては、サイバーセキュリティ基本法に基づき関係省庁の大臣を本部員とするサイバーセキュリティ戦略本部の下、戦略を定め対策を進めているところであります。 　今後、本年七月に決定した新戦略に基づき、戦略本部において関連施策の取りまとめやその進捗状況の検証を行っていきます。これにより、関係府省庁の連携を更に強め、施策の総合的かつ効果的な推進を図ってまいります。

○牧山ひろえ君　例えば、各省各庁がそれぞれサイバー防衛に関する予算を計上していますが、概算要求前の事前協議などを活発化することも私は有効だと思います。また、サイバーセキュリティーに関する調達の共有化、これらも取り組むべき課題と思います。是非御検討いただければと思います。 　先ほど、何が足りないかということを大臣の所見を伺いましたけれども、日本のサイバーセキュリティー対策についてはお金も人も足りていないのは御承知のとおりです。サイバー攻撃への対策に充てる政府の予算額が四年連続で増える見通しです。二〇一九年度予算概算要求に計上した関連経費は約八百五十二億円となっています。ですが、日本の水準は諸外国と比べて大きいと言えないのが現状です。 　アメリカが二〇一七会計年度の予算教書に盛り込んだサイバー対策費が二兆円規模に上ったとされています。これは、数字だけを見てもとても悲しいほどの格差です。サイバー攻撃を担う部隊を増強している中国も多額の予算を計上している模様でございます。 　今後、政府はサイバーセキュリティー対策の予算確保に向けて、どのような方針で、そしてどのような規模で取り組んでいくおつもりなのか。中長期的な視野も含めて大臣に御所見を伺いたいと思います。

○国務大臣（櫻田義孝君）　中長期的な方針につきましては、サイバーセキュリティ基本法に基づき、基本的な計画であるサイバーセキュリティ戦略を本年七月に閣議決定し、今後三年間の諸施策の実施方向を示したところであります。 　本戦略に基づき、各省庁の施策が着実かつ効果的に実施されるよう、毎年見積り方針を定め、必要な予算の確保を図っております。

○牧山ひろえ君　予算面で世界標準に立ち遅れているという事実をしっかりと認識していただいて、将来も含めてどの時期にどの程度の額が必要なのか、これを検討するということ。それから、予算についても中長期的な視野で是非取り組んでいただければと思います。 　予算だけではなくて、人員規模も後れを取っているのが現状です。 　日本のサイバー防衛隊は百十人と言われています。サイバー防衛隊の上位にある指揮通信システム隊や自衛隊のサイバー関連の任務を担う人員を合わせても四百七十人程度と見られています。一方で、アメリカはどうかというと、サイバー軍は六千人ほどという情報があります。この量的な格差をすぐに解消するのが難しいということであれば、人材の質の向上を図ることも考えなくてはいけないと思います。 　現在、優秀なサイバーセキュリティー人材はあらゆる国や組織から奪い合いになっているんですね。この人材獲得競争に勝つためには、やはり高い報酬と強い権限を与えて、責任ある職位に就けることが必要となってきます。それができないならば、優秀な人材は海外に流れるということになってしまいます。 　外交防衛委員会において、防衛省や自衛隊でも同様の問題提起を行っていますけれども、このような公務員人事の枠にとらわれない人材登用についての現状と今後の方針について、御説明いただければと思います。

○国務大臣（櫻田義孝君）　サイバー攻撃が複雑巧妙化する中、政府機関のサイバーセキュリティーの確保を支えるための人材育成は重要な課題でございます。 　各府省庁では、専任のサイバーセキュリティ・情報化審議官等の指導の下、政府部内における人材育成のほか、即戦力の外部人材を確保する取組も進めております。具体的には、一部の省庁において民間から専門的知識、経験を有する者を任期付職員として積極的に採用をしております。 　政府としては、まず、これら現行の制度を活用した取組により、各府省庁と連携し、サイバーセキュリティーを確保するための人材の育成に取り組んでまいります。

○牧山ひろえ君　いろいろ取組に努力をされているとのことですけれども、やはり世界標準からしますと待遇面もまだまだ不十分だと思います。それ以上に、その方々が十分力量を発揮し得る裁量権ですとかあるいは権限、こういったものがしっかりと整備されているかという懸念が残ります。 　問題意識は共有していただいたと思いますし、また各省庁で様々なお取組も今お話をされていたように行われているとのことですので、その結果、すなわち即戦力の高度人材がしっかり確保できているか、是非フォローアップしていただきたいと思います。 　プロフェッショナル人材の囲い込みだけではなくて、人材の育成も当然重要となります。政府は、平成二十八年に情報処理安全確保支援士制度を創設するなど、サイバーセキュリティー人材の育成に資する施策を進めております。同時に、大学や研究機関と連携協力し、専門技術者の育成確保を計画的に進めなければならないのではないかなと思うんですが、いかがでしょうか。

○国務大臣（櫻田義孝君）　御指摘のとおり、サイバーセキュリティーを確保するための人材育成を大学や研究機関とも連携しながら計画的に進めていくことは重要であります。 　このため、政府におきましては、サイバーセキュリティ戦略に基づき、関連機関と提携し、演習の実施や教育の充実といった取組を進めてまいります。引き続き、人材育成の支援をしっかりと進めてまいります。

○牧山ひろえ君　情報セキュリティー人材は平成二十八年時点で十三・二万人不足しています。それから、二〇二〇年には十九・三万人が不足すると推定されております。 　進路選択の段階でサイバーセキュリティー分野を志望する若者を増やす施策がやはり必要かと思います。日本全体の人材確保だけではなくて、政府において優秀な人材を採用、育成していく視点も必要だと思います。 　ですが、現在、ＮＩＳＣでサイバーセキュリティーを担当している技術者は民間や他省庁からの出向や派遣であることがほとんどと聞いております。ＮＩＳＣを始めとする政府全体において、セキュリティーに関するプロパーの技術者の採用を更に増やしていただいて、また育成も強化していく視点が必要なんではないかなと思うんですが、大臣、いかがでしょうか。

○国務大臣（櫻田義孝君）　サイバー攻撃が複雑巧妙化する中で、政府機関のサイバーセキュリティーの確保を支えるための人材育成は重要な課題であります。 　そのため、採用活動における積極的な広報や採用後の研修の受講といった取組を進めております。これらの取組により、政府一体となってサイバーセキュリティーを確保するための人材の育成に取り組んでまいります。

○牧山ひろえ君　政府には、建築ですとか土木といった伝統的な公共事業の分野に精通しているプロパーの技術者の方はとても多くいるようなんですね。 　それに対しまして、サイバーセキュリティーの分野ですとかＩＣＴに関しましてはとても手薄という評価を聞いております。特に、サイバー対策の司令塔であるＮＩＳＣにはプロパー人材はゼロというふうに聞いております。民間や諸外国とも連携していただいて新しい技術を使いこなすためには、やはり、政府本体に高い技術を持ち、それに基づく判断ができるプロパーのエンジニアの存在が私は不可欠だと考えます。 　サイバー攻撃の前例ということですと、日本年金機構が二〇一五年五月にサイバー攻撃を受けました。約百二十五万件の個人情報が流出した事件、これは皆さんも知っていらっしゃると思いますが、いわゆる漏れた年金情報問題とも言われました。当時、非常に大きな問題になったのは御承知のとおりです。 　程なく捜査継続中との申告があったきりで、実はその後続報が聞かれなくなりました。今年の五月二十日、公訴時効となりまして、翌二十一日、容疑者不詳のまま書類送検、つまり実質的には捜査が終了したとのことです。 　三年以上何の報告も発表も受けないまま、ひっそりと終わったことになっていますが、その後の捜査で判明した事実をお示しいただければと思います。

○政府参考人（村田隆君）　お答えをいたします。 　お尋ねの事件につきましては、警視庁において不正指令電磁的記録供用容疑事件として所要の捜査を尽くしてまいりましたが、被疑者の特定には至らず、当該容疑の公訴時効が到来したため、本年五月二十一日、東京地方検察庁に事件を送致したものと承知をしております。 　本事件に係る具体的な内容につきましては、今後の捜査に支障が生じるおそれがあるためお答えは差し控えたいと思いますが、警察では被害防止、被害拡大防止の観点から、本件捜査上の支障も勘案しつつＮＩＳＣとも所要の情報共有を行ったところであり、その内容がお尋ねの報告書にも反映されているところであります。 　また、その後、当該報告書が取りまとめられて以降の捜査の過程におきまして、本件と同種の標的型メールを送信された事業者等が判明したため、これらの事業者等に対し個別に注意喚起を行って被害の拡大防止を図ったところでございます。

○牧山ひろえ君　あれほど膨大な個人情報が流出した、被害の全容も確認できない事件なのですから、国会や国民にしっかりとした事後報告や経過報告を私は行うべきだと思います。 　では、このケースで、サイバー攻撃の容疑者と言いますけれども、首謀者の特定に至らなかったのはどのような理由からなんでしょうか。何が捜査の障害になったんでしょうか。

○政府参考人（村田隆君）　お答えをいたします。 　個別具体の事案に関するお答えは、送致した事案でございましても犯人側に捜査状況を察知され更なる対抗措置が講じられるおそれがあるなど、今後の捜査に支障があるため差し控えたいと思いますが、一般論といたしまして、サイバー攻撃には攻撃の被害が潜在化する傾向や国境を容易に越えて実行可能であることなどの特徴があり、捜査に困難が伴うことも少なくないものと認識しております。 　このような状況の中、警察ではサイバー攻撃事案につきまして、引き続き、被害者を始めとする事案に係る関係者の協力を得つつ、国内外の関係機関と連携しながら捜査を尽くしてまいる所存でございます。

○牧山ひろえ君　レクの中では、海外を経由しているため捜査が難しくなった面があるというふうに聞いていますが、海外との関わりという意味では他国との連携も重要だと思います。 　サイバー攻撃は、多くの場合、海外のサーバーやＰＣを経由して行われます。実行者が海外に在住していることもしばしばだと思いますが、犯人を特定したり、捜査して逮捕したり、攻撃源となっているサーバーやＰＣを止めたりするためには他国との連携が必要だと思います。 　サイバーセキュリティー対策における海外との連携や協力の現状と課題について、大臣、御説明いただければと思います。

○国務大臣（櫻田義孝君）　サイバーセキュリティー強化のためには国際連携は非常に重要と認識しているところでございます。こうした考え方の下、各国との二国間の協議や多国間の国際会議への積極的な参加を通じて、サイバー空間に関するルール作りや情報共有の強化等に積極的に貢献してまいります。 　今後とも、関係各国との連携を深めるとともに、多国間の議論にも積極的に貢献してまいります。

○牧山ひろえ君　では、漏れた年金情報問題が今再発した場合、容疑者の特定に至る見込みが格段に高まっているという理解でよろしいでしょうか。通告していませんが、関連質問ですので、是非、大臣、お願いします。

○政府参考人（村田隆君）　まだ起こっていないことにつきましてでございますので、なかなか答えが難しいんですけれども、海外との連携につきましても十分こちらとしては考えてやっているところでございます。 　犯人が特定されるかどうかということにつきましては、その方向で頑張るということしか今の段階で申し上げることはできません。

○牧山ひろえ君　やっぱり格段に上がったというふうに言ってほしかったと思いますし、まだ起きていないとはいえ、ちょっと弱い御答弁でがっかりです。 　以前に比べますと連携や協力が進んできておりますけれども、まだまだ国境の壁は大きいのが現実だと思います。また、本来ならば、捜査当局が捜査終結時にしっかりと捜査の障害になった面を分析して、その結果をＮＩＳＣなりに受け渡して今後の参考にすべきではないかなと思うんですが、そのようにしている形跡もないと思うんですね。捜査は失敗に終わったんですから、その原因を真摯に探求してこそ再発の防止につながると思います。引き続きのお取組をお願い申し上げて、私の質問終わらせていただきたいと思います。

○矢田わか子君　国民民主党・新緑風会、矢田わか子です。 　今日はサイバーセキュリティーの基本法の改正ということで、是非、私が所属します電機産業でもランサムウエアの大きな案件が生じたことがこの法案を改正する一つのきっかけになったというふうにお聞きをしておりますので、少し現場の意見も含めながら質疑を行っていきたいなというふうに思います。 　まず、大臣、前回の改正時のときの附帯決議のひもときからやりたいと思うんですが、今日、資料一で前回の改正の附帯決議文をお付けをしております。この中でポイントとなるのは、四項の項目と五項の項目というふうに捉えております。 　まず、第四項の項目に、国の行政機関等の情報システムに対する不正な活動の監視その他の当該情報システムを防御するために必要な措置を講ずるに際しては、内閣サイバーセキュリティセンター、ＮＩＳＣから業務を委託される法人が、必要な範囲を超えて関係機関の所掌事務に関する情報に触れることがないよう留意するということと、最後の行、関係機関と事前協議を重ねるなどして協力関係を密にすることとあります。また、第五項には、本法施行から二年を経た後、内閣サイバーセキュリティセンターが監視業務を委託する法人による業務の在り方を検証しなさいというふうな言葉があります。 　ちょっと分かりにくい文章なんですが、要するに、今回この独立行政法人において不正な活動やシステム防御に関する監視活動の業務委託をされたこのＩＰＡがまず活動しやすいようにするということをもくろんで、ＮＩＳＣにきちんと事前協議をし、かつ協力関係をつくれということを言っているのと同時に、ＩＰＡに関しては、平たく言えば、必要以上に各省庁に入るなというふうなことを第四項で言っているんだというふうに思っています。 　この委託の業務、結局のところ、順調に行われているのかどうかということと、どんなふうな成果を出したのかということ。また、ちょうど二年経過しましたけれども、その監査業務の委託についての検討を要するような案件が出てきているのであれば、その課題についてお聞かせをいただきたいと思います。

○国務大臣（櫻田義孝君）　前回の法改正により、不正な活動の監視等の対象範囲について、国の行政機関に加え、独立行政法人等に拡大することとされました。これを受け、独立行政法人情報処理推進機構において監視等の体制を構築していただき、関係機関の協力を得て、平成二十九年四月より運用を開始しております。また、独立行政法人等に対する監査事務はＩＰＡにおいて平成二十八年十二月より開始され、支障なく行われていると認識しております。 　今後とも、ＩＰＡの監査事務の状況を踏まえながら、ＮＩＳＣにおいて委託業務について検証し、戦略本部で議論を進めてまいります。

○矢田わか子君　元々、ＮＩＳＣの人数も少なくて、サイバーセキュリティーの強化をしようという体制の下でも、全体で九十三人ですか、百人弱しかＮＩＳＣの中に人数がいなくて、先ほどにもあったとおり、必要な人は外部の機関に頼ったり民間企業に頼るというふうな対応の中でこうしたことが出てきているのではないかというふうに思います。 　監査についても、外出しをしたわけなんですけれども、本当に委託の必要性があるのかどうかということも含めて是非今後とも検証を続けていただければと思いますので、御要請申し上げておきたいというふうに思います。 　次に、ちょっと重なる質問は飛ばしまして、協議会の方に移りたいと思います。 　今回の改正の一番肝となるのは、この協議会をつくり、いろんな情報を企業からも求めると同時に、秘密保持の義務を課すということだというふうに思いますが、ところで、一つ目の質問は、まずその秘密保持の義務の対象者と、外国の事業者の取扱いについて確認をしていきたいと思います。 　この新たに設けられる協議会、組織化されて、その協議会の中には事務に従事する者に秘密保持義務が課せられるということになります。一方で、法案の第十七条二項にあるとおり、協議会にはサイバー関連事業者又はその組織する団体を構成員に加えることができるようになっております。 　そこで、確認させていただきたいのですが、この事務に従事する者について、民間事業者を含めどのような範囲、どのようなポジションの対象を考えておられるのかということ。あわせて、この協議会に日本で事業展開している海外の事業者も参加することができるのかどうか、その場合の秘密保持義務については何らかの特別な対応をするのかどうか。大臣から説明を受けたいと思います。

○国務大臣（櫻田義孝君）　協議会において守秘義務が課される協議会の事務に従事する者には、協議会の事務局のほか、構成員として協議会の事務に携わる者等も含まれます。ポジションに関しましては、主としてセキュリティーに関する業務の担当者を想定しているところですが、今後、関係者と協議しながら検討してまいります。 　守秘義務の対象となる協議会構成員の要件等は重要であると認識しております。改正案において、協議会の運営や組織に関し必要な事項は協議会が定めることとしております。いわゆる外資系の事業の加入の可否を含め、構成員に必要な要件等については、今後、関係者と協議しながら検討してまいります。

○矢田わか子君　ありがとうございます。 　その場合、一番大事なことは、せっかく設けた協議会の中に本当に民間の事業者含めて機微な情報が提出されるのか、共有されるのかという点だというふうに思います。 　サイバーセキュリティーの市場、世界的に急拡大し、産業としても大きな成長が見込まれています。その分、我が国においても事業者間の競争は激化する一方であります。こうした中で、ＩＴベンダーだとかセキュリティー事業者が協議会に一体どれほどの情報提供を本当にするのかどうか、現時点では予測ができません。 　今までの法律でもこういう義務は一定程度ですけど課されていた、協力要請していたけれども、やっぱり出てこないわけなので、こうやって協議会つくって、位置付けを明確にして情報を出せということになるわけですが、これビジネスとしてベンダーとしてはやっていっているわけです。機密な技術情報だとか営業情報を本当に出すことによる何らかのメリットがなければ、安心して出すことができないんじゃないかということであります。法律が資料の提出義務とか協力義務を課しても、果たして有益な情報、本当に出てくるだろうかという点であります。この課題、どのように克服されようとしているのか、お答えをいただければと思います。

○国務大臣（櫻田義孝君）　民間事業者としては、自社の分析や情報の正確性を確認するために協議会において情報交換を行うことが有益と考えられております。 　具体的な方策については、民間事業者の方々が有益な情報を得るために協議会に参加していただけるよう、関係者と丁寧に意見を交換しながら調整してまいります。

○矢田わか子君　出てきたことによる何らかのやっぱりインセンティブというんですか、ここに出てきたことによる、やはりつかめないような情報が出てくるとか、世界各国の動きなども含めた新たなサイバーの脅威などが学べるとか、何かがないとなかなかそうした状況にならないのではないかということを思いますので、意見として申し上げておきたいというふうに思いますし、かつ、監視体制についてということで、この秘密保持の義務については違反した場合に罰則が適用されるということでありますが、どのようにこの事務に従事する人たちを監視し、漏えいなどの違反に対してどう発見してその違反行為を検証されるのかということが極めて疑問であります。ペーパー配って、それを回収したら終わりということではなく、もう頭の中にインプットされた情報ですので、それを含めての情報管理ということについてどのようにしていくのか、大変不安でもあります。 　あわせて、協議会に出された情報が事業者の一社員からの内部通報というケースも十分に起こり得ると思います。情報が、こういうサイバー攻撃があって、これは大変だから報告したいと一社員が思ったとしてもなかなか、やはり上司が止めたりというふうなケースも今までにもありますし、使命感でもって通知をした人をどう法的に守ってあげるのかというふうなことも含めてどのように取り扱われるというおつもりなのか、大臣からお答えいただければと思います。

○国務大臣（櫻田義孝君）　協議会を運営する上で、情報の漏えいを未然に防止することが極めて重要であります。改正案においては、協議会の運営や組織に関し必要な事項は協議会が定めることとしております。 　今後、関係者と丁寧に意見交換を行い、守秘義務の遵守を徹底するための方策を検討してまいります。

○矢田わか子君　ありがとうございます。 　大臣、是非、今おっしゃっていただいたことを十分に御対応いただけるようにお願いをしたいと思います。 　冒頭申し上げたとおり、今回のこの法案の改正、当然、オリンピックがある中で急いでやらなくちゃいけないということで協議会設けられるということは十分に理解をしておりますが、本当にそれだけでよかったのかなと。これだけスピード感を持っていろんなサイバーの脅威が広がってくる中で、今回の法律の改正はこれだけなんだなというふうなのも素直な気持ちであります。 　出身の電機産業で、申し上げたとおり大手メーカーでランサムウエアの攻撃を受けて、製造現場で実際に生産がストップし、休業するところも出ました。甚大な被害を受けたと思います。企業に対するそのサイバー攻撃が日常業務にいかに大きな影響を与えるのか再認識されたというわけであります。会社としても、これを契機にお金も人も掛けて多層防衛、早期発見、そして早期対応するためのＩＴシステムの高度化を企業としても努力をして図っております。 　しかし、やっぱり日本ではサイバーセキュリティーに対する対応が後手後手であるし、かつ、言いにくいですけれども、やっぱり問題意識もまだまだ低いんじゃないかと、甘いんじゃないかなというふうに思っております。 　いずれにせよ、この企業の担当者の方も、サイバー攻撃への対応については一企業の中での対応ではもう限界であるということは痛切に感じていらして、企業間の連携、行政との連携は必要だというふうにおっしゃっています。 　今回新たに設置される協議会が有機的にやっぱり機能するように、設けて終わりではなくて、中身が問題なわけなので、機能するように是非とも大臣のリーダーシップを御期待申し上げておきたいと思います。 　何か大臣、決意があればお願いします。

○国務大臣（櫻田義孝君）　民間事業者としては、自社の分析や情報の正確性を確認するために協議会において情報交換を行うことが有益と考えられております。 　具体的な方策については、民間事業者の方々が有益な情報を得るために協議会に参加していただけるよう、関係者と丁寧に意見交換をしながら調整してまいります。

○矢田わか子君　ありがとうございます。 　是非とも、大臣、横断的にやはり大臣がいろんな意味でリーダーシップを取ってくださらないと、幾ら法律変えても、形だけつくっても進まないというふうに思いますので、是非とも強力なお取組をお願い申し上げておきたいと思います。 　最後にもう一点、要望です。 　サイバーセキュリティセンターのツイッターアカウントの課題ということなんですが、ツイッターのアカウントを拝見しますと、土日に余り動いていないというか、平日しか書き込みがされていないというふうなことになっております。 　疑うわけではありませんが、土日は休業状態なのかなというふうにも見受けられまして、当然のことながら、昨年起こったこのランサムウエアの感染は土日に拡大したんです。一気に拡大をしました。したがって、三百六十五日二十四時間、だって海外からの攻撃というのが普通に想定される中にあって、そういう対応を当然していかなければいけないわけです。土日もツイートしてほしいというふうな御意見もあるということでありますので、現在、重大なインシデントがない限り土日はやっていないというふうな見解もいただいておりますけれども、是非ともお考えいただきたいというふうに思います。 　それと加えて、いろんな情報を出すときに、それこそすぐに即手を打たなければいけない情報と、もう少し余裕のあるものと、緊急性を要するものとの差が余り分からないと。同じようなタイミングでしか出てこないというふうな御意見もいただいておりますので、もう少し重軽、長短を付けていただいて、大事なものは何かですよ。例えば自然災害のときでもＪアラートをばあっと鳴らしますよね。ああいった形で、これ緊急ですと、即対応してくださいというようなことの何か仕組みを考えていただけないかと思います。 　大臣もおっしゃられたとおり、今皆さんがスマホなどを普通に持っている時代ですので、いろんなサイバー攻撃が普通に起こり得る中で、全国民に広がる可能性もゼロではありません。あります。したがって、それこそスマホのＪアラートが災害、自然災害のときに一斉に鳴るのと同様に、何かあったときにスマホに一斉に通知が行って、触るなと、必ずスマホを一切触るなというふうな例えば警告音を鳴らすとかいうようなことまで含めて、これ東京オリンピックを前に少し考えていかなければならない段階に入っているのではないかと思います。分からない人がむやみやたらに触ることによってどんどん情報が感染していくというふうな可能性もありますので、是非ともそれぐらいの大きなリスク対応を見据えて、お取組をお願い申し上げておきたいと思います。 　大臣、何かあれば御意見をお願いします。

○国務大臣（櫻田義孝君）　委員御指摘のとおり、情報によっては至急の発信が必要となる場合もあると認識しております。 　最近でも、ツイッターの脆弱性が明らかになった際に、休日であるものの、危険性を把握後、直ちにツイッターアカウントを用いて注意喚起と対策の情報を発信いたしました。 　引き続き、適宜適切な情報に努めてまいりたいと思います。しっかりとやらせていただきます。

○矢田わか子君　ありがとうございます。よろしくお願いします。 　ここで、やはり何よりも大きな今の日本における課題は、人材育成だというふうに認識をしております。牧山委員からもありましたとおり、サイバーセキュリティーの対策、今人材がとにかく不足しているというふうな状況であります。 　資料三をお配りいたしました。例えば経産省では、東京オリンピック・パラリンピックが開催される二〇二〇年までに約十九万三千人が不足するという試算を行っておられます。しかも、この表にあるとおり、その人数というのは今後ますます拡大していくということでもあります。年次を追えば追うほど多くの人材が不足していく、圧倒的に不足していくということでもあります。 　今日、官民それぞれの専門家の育成、もちろん行われているというふうにお聞きしておりますが、専門家の知見では、サイバーセキュリティーの人材は量も大事だけれども質が問われるんだというふうな御意見が多く見られます。諸外国では既にトップレベルの人材育成に注力しているという例も多々出てきております。例えばアメリカでは、優秀な高校生を卒業とともに人材育成プログラムに参加させて、若いうちから高度な能力を持つ人材育成を行っているということでもあります。 　ホワイトハッカーを育てるというとあれですけれども、今、日本の中高生でもそういうことにたけてやっていらっしゃる方もいるので、そういう子たちを、もうオリンピック養成ではないですけれども、本当は資格も与えた上で、もう引っ張り上げてでも育成をしていかなければ間に合わないんじゃないのかと。システム的に育てていくということだというふうに思っております。 　今後、政府としても、関係機関においてそういう優秀な人材の育成と確保をどのようにしていくのか、特に高度人材の育成です、専門家の育成についてどのように実現されていくのか、お答えをいただければと思います。

○国務大臣（櫻田義孝君）　サイバー攻撃が複雑巧妙化する中、政府のサイバーセキュリティーの確保を支えるための人材育成は重要な課題であります。 　各府省庁では、専任のサイバーセキュリティ・情報化審議官等の指導の下、体制の整備に加え、研修の受講や研修の修了者に対するスキル認定といった取組も進めております。また、一部の省庁においては、民間から専門的知識、経験を有する者を任期付職員として積極的に採用をしております。これらの取組により、人材の質の確保にも留意しつつ、政府一体となってサイバーセキュリティーを確保するための人材の育成に取り組んでまいります。 　政府機関におけるサイバーセキュリティーを将来的に担う人材を確保するためにも、若年層の育成に関する取組を進めることは大切であります。このため、政府においては、サイバーセキュリティ戦略に基づき、産学官の連携の下、若年層に対する実践的な教育や演習に取り組んでおります。引き続き、若年層の育成に関する取組をしっかりと進めてまいります。

○矢田わか子君　ありがとうございます。 　本当に、私も高校生の息子がおりますけれども、見ていても、パソコンを触る速度というか、全くレベルが違います。関心のある子たちはどんどん進めていきますので、そういう子供たちにやっぱり投資をして、これが物すごく日本の将来を支えるような技術になるのかもしれない、しっかり勉強しなさいというふうなことを旗振りをしないと、そんなもう学校教育だけでは追い付かないというふうに思いますので、是非ともお取組をお願いします。 　ちょっと米国の予算を見てみますと、サイバーセキュリティーに関連する予算だけでも一兆九千億付いているんですね。日本はというと、去年の予算で六百一億。もう全く桁違いだというふうに思います。もっとやっぱり真剣に取組をしなければ追い付けないというふうに思います。 　サイバー空間というのはもう拡大する一方、サイバー攻撃もますます巧妙化していきます。急激に深刻化が進む。この深刻化は、リスクの甚大化、リスクの拡大、そしてリスクのグローバル化です。こういったことに対策を是非打てるように、予算も含めてお取組をお願いしたいというふうに思いますが、櫻田大臣、御決意をお願いします。

○国務大臣（櫻田義孝君）　委員の御指摘のとおり、しっかりと取り組ませていただきます。

○矢田わか子君　よろしくお願いいたします。議事録残りますので、大臣、よろしくお願いいたします。 　では、続いて、ＩｏＴのセキュリティー対策の強化に移りたいと思います。 　私は一年前のこの委員会で、ＩｏＴ家電を経由したサイバー攻撃について対策の強化を訴えました。現在、この分野のサイバーセキュリティー対策、ＩｏＴ機器の脆弱性対策として、去年ここの場で言ったからではないと思いますけれども、政府関連機関、検討を進めていただいて、本年六月からコネクテッドインダストリーズ税制、資料四にお付けをしましたけれども、こういう新たな税制を実施されております。 　この税制、一定のサイバーセキュリティー対策が講じられたデータ連携、利活用によって生産性を向上させる取組について、それに必要となるシステム、センサー、ロボット等の導入を税制面で支援するというものであります。 　税制を入れていただいたことについては当然一定の評価をさせていただきたいと思いますが、ただ、この減税の適用を受けるには物すごくハードルが高くて、いろんな要件が課されます。労働生産性年平均伸び率二％以上とか、投資利益率年平均一五％以上の見込みなど、いろんな条件が課されて、経産省の資料を見ますと、この十一月段階で適用された企業はたった十社にとどまっております。使い勝手の悪さもこれきっと影響していると思いますので、導入した以上は多くの企業にやっぱり入れて、使ってもらえるように、この条件を緩和せよとは言いませんが、全部そろえば一〇パーだけれども、一つでも二つでもやれば少し段階的に税制を優遇しますよというふうなことも含めて何らかの工夫が要るのではないかと思いますが、いかがでしょうか。

○副大臣（磯崎仁彦君）　お答えをさせていただきたいと思います。 　今委員の方から六月に導入をされましたコネクテッドインダストリーの税制についての御質問ございました。 　御指摘のとおり、ＩｏＴの活用を含めたデータの連携、利活用により生産性を向上される取組、これに必要となるシステム、あるいはセンサー、ロボット等の設備、施設を支援する税制としてこの税制が六月に創設をされたものでございます。 　委員おっしゃるように、今回のこの税制というのは単なるＩＴ投資を支援をするということではなくて、やはり生産性向上に向けたデータ連携、利活用、これを支援するというものでございますので、特に質の高い投資を支援をしていく、そういう目的ということでございます。 　したがいまして、今御指摘ございましたように、要件につきましても、例えば一定の連携、利活用の取組であることであるとか、一定のサイバーセキュリティーの対策が講じられていること、あるいは最低の投資額が五千万円以上である、あるいはその投資の結果一定程度の生産性向上が見込まれる、こういう要件が付いているわけでございます。 　税制、御利用いただく場合には、生産性向上特別措置法に基づいて、革新的データ産業活用計画、この認定を受けていただく必要があるということでございますが、まさに委員御指摘のとおり、現時点で十件の計画の認定しかないということでございます。 　そういった意味では、まず六月に創設をされたということで、まだ時期的にそれほどたっていないということもあろうかと思いますけれども、ただ、やはりどのようなデータの連携、利活用、これが税制の対象になるのか、なかなか分かりにくいという、そういう声も聞いているわけでございます。 　これまでも私どもとしましては、例えば業界を通じた説明会であるとか、その他の一般的な説明会、こういったことも行ってきたわけでございますけれども、今回、十件の計画が認定をされているということでございますので、この認定した取組の概要を公表して、こういったものであれば認定されるという、やはりそういったものを公表していく必要であるとか、さらに、説明会等々を行って、どういうものがこの税制の対象になっていくのか、こういう説明会をきちんと進めるとともに、制度利用を促すチラシの作成、配布、こういったものも行うことによって、この計画の認定が進むようにこれから努力してまいりたいというふうに思っております。 　これから周知、普及、努めてまいりたいというふうに思っております。

○矢田わか子君　ありがとうございます。 　このＩｏＴの機器は今、幾何級数的に増大しておりまして、もう平成三十二年度で全世界で三百億個に達するとも言われております。国内で観測されたサイバー攻撃関連通信も過去五年間で十倍以上を記録しているというふうなことでもありますので、今回のこの税制を導入した趣旨は、結局、お一人お一人がというか、一つ一つの企業がしっかりと、入れるのはいいんだけれども、便利だからね、どんどん入れてくださるのはいいんだけれども、きちっとそういうサイバーセキュリティー対策を講じて入れる責任がありますよということを広げていくということでもありますので、その目的に合致するようなＰＲだとか周知徹底はもとより、お取組をお願いしたいなというふうに思います。御要請申し上げておきます。 　続いて、最後にオリパラについて触れていきたいというふうに思います。質問が少し重複しますので、肝となるところだけお話ししていきます。 　資料二を私はお付けをしまして、過去のロンドン、リオ、平昌のオリンピックにおける主なサイバー攻撃を私どもの事務所でまとめてみました。かなりの数の実はサイバー攻撃がこの近年のオリンピックでも行われているということであります。 　特に、ＤＤｏＳという複数のパソコンからのＤｏＳ攻撃が主なものではありますけれども、年代を追うごとに、直近、リオ・オリンピック二〇一六年では、期間中に要人の個人情報が最終的には漏えいをしたということや、平昌の冬季オリンピックにおいては、オリンピックの会場の入場券の出力やサービス利用が実際にシステム障害でダウンしたことによってできなくなったり、若しくはプレスセンター、インターネットテレビ、メディア向けのＷｉＦｉにトラブルが発生して十二時間使えなかったというふうなことでもあります。 　最後の行に書いているとおり、オリンピック関係団体からの電子メール等の情報もリークされるという被害も受けておりますので、やっぱり年度を追うごとに攻撃を仕掛けてくる側の技術も上がってきていますので、巧妙化していますし大規模化している。それに対して、本当に日本が二年後この大規模なオリンピックを展開するに当たってしっかりとしたサイバーセキュリティー対策が取れるのか、極めて全世界も注目している大事な要素だというふうに思います。 　一つは、やっぱり技術力、日本の技術力すらも問われかねないようなことになりますので、この対処調整センターですね、設置してきちっと進めていきますよというふうに先ほどから答弁ありますけれども、今現在、手のうちを明かせないということではありますが、とりわけサイバー攻撃に関しては、攻撃の検知、解析、封じ込め、報告、復旧といった防衛システムをより高度化するための事前の実践的な演習、ペネトレーションという言葉が先ほど委員からもありましたけど、そういうものを日本においてもきちんとしておかなければ、しっかりとした防御はできないというふうに思っております。 　この演習の経過を含めて、今の対策の準備状況をお聞かせいただければと思います。

○国務大臣（櫻田義孝君）　安倍総理を本部長とし、私が副本部長を務める東京オリンピック競技大会・東京パラリンピック競技大会推進本部の下で取組を検討、推進しております。 　その中で、関係する組織間の的確な情報共有と事案発生時の対処調整を行うサイバーセキュリティ対処調整センターの構築、大会運営に影響を与える可能性のある重要サービス事業者等に対するリスク評価及びリスク対策の促進などの取組を推進しています。

○矢田わか子君　ありがとうございます。 　この東京オリンピック・パラリンピックの成否は、サイバー攻撃いかに万全に防げるかということにも懸かっているということでもありますので、その総責任者である櫻田大臣、是非とものお取組をお願い申し上げ、私の質問とさせていただきます。 　終わります。

○委員長（石井正弘君）　午後一時に再開することとし、休憩いたします。 　　　午前十一時五十八分休憩 　　　　　─────・───── 　　　午後一時開会

○委員長（石井正弘君）　ただいまから内閣委員会を再開いたします。 　委員の異動について御報告いたします。 　本日、西田実仁君が委員を辞任され、その補欠として熊野正士君が選任されました。 　　　　─────────────

○委員長（石井正弘君）　休憩前に引き続き、サイバーセキュリティ基本法の一部を改正する法律案を議題とし、質疑を行います。 　質疑のある方は順次御発言願います。

○田村智子君　日本共産党の田村智子です。 　この法案は、官房長官を本部長とするサイバーセキュリティ戦略本部の下にサイバーセキュリティ協議会をつくるというもので、国の機関、地方公共団体、民間企業、教育研究機関などにサイバーセキュリティーに関する情報の提供が義務付けられます。では、提供される情報はどのように共有されるのか。 　政府は、サイバー戦略二〇一八で、サイバー攻撃の脅威に対して事前に積極的な防御策を講じる積極的サイバー防御の推進を掲げ、これに基づく二〇一八年計画では、脆弱性関連情報をより確実に利用者に提供するとして具体的な施策を挙げています。 　脆弱性というのは、コンピュータープログラムの弱点、付け入る隙のようなもので、不正アクセスの突破口になり得るわけです。これ、決して珍しいことではなくて、やはりどこかにソフトというのは弱点があって、ですから、私たちのアイフォンやスマートフォンにはアップデート情報というのは必ず入ってくるわけですね。常に起こり得ることなんです。 　この脆弱性情報は公表すれば逆に不正アクセスの呼び水にもなりかねないので、公表するかどうかというのには様々な検討が必要となると思います。しかし、対策は直ちに取ることが必要です。 　政府は、知り得た脆弱性情報を、そのソフトを作成、提供した者に直ちに提供するという立場であるのかどうか、確認いたします。

○政府参考人（山内智生君）　お答え申し上げます。 　今回の協議会におきまして、脆弱性を含めてサイバー攻撃による被害の拡大を防止するために共有が必要な情報に関しましては、基本的に速やかに共有する必要があると考えております。 　どのような情報をどのように共有をするかということに関しましては、委員御指摘のようなこともございます。個別の状況、それから事案によっても判断されるものと考えておりますが、いずれにせよ、迅速な共有に努めてまいりたいと存じます。

○田村智子君　じゃ、少し具体にお聞きしたいんです。 　昨年、世界的に猛威を振るったサイバー攻撃にランサムウエア、ワナクライ事件があります。本法案の説明でも参考資料とされている事件です。マイクロソフトのウィンドウズの脆弱性をついた不正アクセスによってコンピューターを動かせなくするソフトが送り付けられ、解除してほしければ身の代金を支払えと要求するサイバー犯罪でした。ウィンドウズのネットワークを通じて百五十か国、数十万台のコンピューターが攻撃を受け、イギリスでは病院が機能停止状態に陥るなど深刻な影響が広がりました。日本でも、日立などの大手企業、また少なくない地方公共団体での被害が確認されています。 　政府の側から法案の参考資料としてこのワナクライ事件が配られましたので、このワナクライ事件の要因などをどのように分析されているのか、お答えください。

○政府参考人（山内智生君）　委員御指摘のワナクライについてでございますが、これは、おっしゃるとおり、まずマイクロソフトのウィンドウズの脆弱性をついたものであったというふうに認識をしてございます。 　実は、この脆弱性に関しましては、同年の三月にウィンドウズに関しましてアップデート、修正のプログラムが出されておりました。この修正プログラムを適切に適用していればこのワナクライには感染をしていなかったと、これ事後に分かったことでございますが、ということが分かってございます。 　もう一つ、コンピューターの中でインターネットにつなぐ際、接続をする際の設定が適切であったかといった問題がございますが、いずれにせよ感染をいたしました端末、コンピューターに関しましてはこの修正のプログラムを適切に適用していなかったと、それからコンピューターにおいてインターネットに接続する設定が適切でなかったということが影響したというふうに認識をしてございます。

○田村智子君　政府が正式に述べたのは、官房長官が記者会見の中で北朝鮮が関わっているということをお述べになって、今のようなことは報道でされていることの範囲で私も読みましたけれども、私も北朝鮮を犯人とするものかどうかということについては否定も肯定もするつもりはありません。 　今のお話、説明の中で言われていないことがあるんです。私もワナクライ事件については、政府が参考資料で持ってきましたので、一連の報道、解説文書などをいろいろ読みました。その中で、国際的にも注目されているのは、米国国家安全保障局、ＮＳＡが、ウィンドウズの欠陥、脆弱性を発見しながらマイクロソフト社に連絡せず、むしろ敵に対してサイバー戦略で優位に立つために、その脆弱性を利用した兵器、ツールを開発した、このツールが何者かによって盗み出され、犯人がこれに手を加えたことによって身の代金型のサイバー攻撃に利用された、これ一連の報道でずっと書かれているわけですね。 　米国ＮＳＡが脆弱性情報を隠し、ひそかにサイバー攻撃用のツールを開発した、それがワナクライ事件の原因だという指摘について、政府はどういう見解をお持ちですか。

○政府参考人（山内智生君）　ＮＳＡがこの脆弱性の情報をあらかじめ発見をしていて、それを発表しなかったということが原因だという指摘があると、そういう報道があるということは承知をしております。 　ただ、私どもとしても、その真偽について、これがどうかということについてお答えする立場にはございません。残念ながら、そこについては分からないということでございます。

○田村智子君　最初に御答弁された中身も報道で分かっていることですからね。今私が言ったようなことも、報道で分かっていることとして御答弁いただいてもいい内容だと思うんですよ。 　アメリカはこうした報道を事実上認めています。ワナクライが北朝鮮によるものだと断定した昨年十二月の会見で、ＮＳＡを担当する大統領補佐官トム・ボサート氏は、記者からの厳しい質問を受けて、我々が安全保障上の目的でツールを開発し、脆弱性を利用するのは、悪意ある行為の証拠をつかむためだと弁明しています。さらに、ソフトの欠陥を見付けたら、大半、九〇％は会社に修正するように連絡するが、一〇％程度は国家安全保障の利益のために見付けた脆弱性を利用すると述べているわけです。脆弱性を利用するというのは、アメリカが敵にサイバー攻撃を仕掛けるということになるわけですね。 　ワナクライ事件は、もちろん身の代金要求のサイバー攻撃を仕掛けた者が犯人であって、その犯罪が許されるものではありません。しかし、ウィンドウズの脆弱性を発見しながら、このことをマイクロソフト社に伝えることなく秘匿し、自らのサイバー戦争に活用していたＮＳＡに責任の一端があるということは明らかだと思いますが、大臣の見解をお聞きします。

○国務大臣（櫻田義孝君）　ワナクライ事案については、アメリカＮＳＡが発見していた脆弱性情報が原因となったとの指摘があることについては承知をしておりますが、その真偽についてはお答えする立場にないと考えております。

○田村智子君　先ほどと同じ答弁なんですね。 　これ、マイクロソフトのブラッド・スミス社長は、ワナクライが攻撃で使った手口はＮＳＡから盗み出されたものと断言しています。そして、政府の諜報機関からの流出は従来にはなかったパターンであり、一たびそれが悪用されると、トマホークミサイルが盗まれた場合と同様に広範な被害につながると厳しく批判しています。また、政府には脆弱性の秘匿や悪用が一般市民に与える影響について考慮してもらわなければならない、こうも指摘しているわけですね。 　二〇一七年十一月十五日、アメリカ政府は、大きな批判を受けて、政府が発見した脆弱性を公開するか否かを判断する考え方と対応、これポリシー・アンド・プロセスというふうに言われていますけれども、これを明らかにしました。これ、以前から持っていたんですけれども、情報公開請求受けてもこれ見せてこなかった、一部しか示してこなかった。これをワナクライの事件を受けて大変な批判を受けたところで明らかにしたわけですね。 　その中で、政府が機密扱いとする脆弱性があるということが述べられています。まだ知られていないセキュリティー欠陥で、欠陥を補うプログラム、セキュリティーパッチが出ていない場合に非開示の判断が下されることがある、政府機関はこうした脆弱性を発見することが多く、自らのハッキングのために用いることもあると説明をしているわけです。政府がこういう方針を持っているということの文書がもう明らかになっているんです。 　日本は、アメリカとサイバー戦略において密接に連携するとしていますけれども、アメリカのこのような方針を承知しておられるのでしょうか。

○政府参考人（山内智生君）　今委員御指摘のありました発見した脆弱性情報の取扱いを定める手続、恐らくバルネラビリティー・エクイティー・プロセスというものかと思います。このような手続を設けているということについては承知をしております。

○田村智子君　これ、大臣にもお聞きしなければならないんですね。だから、アメリカの場合は、脆弱性情報、重大な情報をつかんでも、それを隠して、自ら兵器開発、サイバー戦略上の兵器ですね、ツール、それの開発にも利用する、こういう方針を明らかにしているわけですね。 　日本政府のサイバー戦略は、このアメリカとの協力を柱に据えています。サイバー戦略に基づく計画であるサイバーセキュリティ二〇一八には、知見の共有、政策調整として、内閣官房、外務省及び関係府省庁において、日米サイバー対話等の枠組みを通じ、幅広い分野における日米協力について議論し、両国間の政策面での協議や体制及び能力の強化、インシデント情報の交換等を推進し、同盟国である米国とのサイバー空間に関する幅広い連携を強化するとあるわけです。 　本法案では、サイバーセキュリティー情報を協議会で共有するとしていますけれども、そこで集めた情報というのは、当然サイバー戦略のこの方針に従えば、アメリカ側にも連携として提供することもあり得るというふうに思われるわけですね。そうすると、アメリカは脆弱性情報の秘匿があり得るという方針です。そうすると、そのアメリカとの同盟関係、あるいはアメリカの判断、こういうものに配慮をして民間との情報共有が有効に機能しない、こういうことが起こり得るのではないのか、私は懸念するんですけれども、大臣、いかがでしょうか。

○国務大臣（櫻田義孝君）　協議会は、官民の多様な主体がお互いに情報を提供し合い、また、必要に応じて海外の行政機関とも連携しつつ、民間等を含め国内全体としてサイバー攻撃による被害の拡大を防ぐことを目的としております。 　サイバー攻撃による被害の拡大のおそれが生じているのにもかかわらず、アメリカとの関係に配慮し、共有に支障を生じさせるような情報の取扱いは基本的に想定しておりません。

○田村智子君　アメリカとの連携はもう大前提になっているわけですね。その上で、協議会つくるんですよ。 　それで、大臣、もう一言お聞きしたいんですけど、日本の中ではそういう脆弱性情報などを共有していくんだと、サイバー攻撃に対応していくんだと言うけれども、だったら、アメリカに対して、重大情報であっても秘匿があり得ると、これではワナクライ事件のようなことがまた起こり得るんじゃないのかと、この方針について何らか日本としての意見を伝える、懸念を伝える、そういうこと必要だと思いますが、いかがですか。

○国務大臣（櫻田義孝君）　アメリカの国内政策については発言する立場にありませんが、脆弱性情報の取扱いについては国際的には様々な議論がなされておりますので、こうした議論に積極的に参画してまいる所存でございます。

○田村智子君　これ、実は、アメリカに意見しないだけではなくて、日本もまたアメリカのようにサイバー兵器開発のために脆弱性情報を隠すという方針を取ろうとしているのではないだろうかと、こういう危惧が今私の下に、私の中で広がっているんですよ。 　今月策定される防衛計画の大綱について、先週末、各メディアが一斉に骨格に示されたサイバー戦略について報道いたしました。自衛隊によるサイバー反撃能力の保有に加え、電磁波を使った敵部隊への妨害能力の強化が明記されるというものです。日本も脆弱性を利用したサイバー反撃について準備を進めるということなんでしょうか。

○国務大臣（櫻田義孝君）　防衛計画の大要の見直しについては、検討がなされているということについては承知しておりますが、所掌外に関することなので、お答えは差し控えさせていただきます。

○田村智子君　それでは、今日、防衛省、是非来たいというふうに言っていただきましたのでお聞きしますが、サイバー反撃についての準備をこれから進めていくということになるんですか。

○政府参考人（石川武君）　お答え申し上げます。 　あらゆる事態におきまして国民の命と平和な暮らしを守り抜くためには、陸海空という従来の領域にとどまらず、宇宙、サイバー、電磁波といった新たな領域を横断的に活用した防衛力の構築が不可欠でございます。 　防衛計画の大綱の見直しにつきましては検討中でございまして、御指摘の反撃能力も含めて現時点でその具体的な方向性についてお答えできる段階にはございませんが、我が国として武力の行使の三要件を満たす場合には、憲法上、自衛の措置としての武力の行使が許され、法理上はこのような武力の行使の一環としていわゆるサイバー攻撃という手段を用いることは否定されないと考えております。 　いずれにしましても、見直しに当たりましては、サイバーを含む新たな領域の活用が極めて重要となっていることを踏まえて検討していく必要があると考えております。

○田村智子君　この報道を見てみますと、ＤＤｏＳ、これ不正アクセスによって大量のデータを敵のサーバーに送信することで機能不全に陥らせるという攻撃なんですけれども、これが想定されていると。すさまじい量のデータを送るには膨大な数のコンピューターをウイルス感染させて攻撃させるということが必要になってくるわけですね。 　そうすると、これはアメリカがやっているのと同じように、脆弱性情報をつかみ、その情報を共有せず秘匿し、そこに付け入るソフトを開発する、そういう方針だと言わなければなりません。これ大変重大だと思います。 　こういう事態、ワナクライの事件なども受けて、改めてマイクロソフトは、ワナクライ事件が起きる前からなんですけれども、デジタル・ジュネーブ条約ということを提唱しているわけです。これは、政府機関、国家機関による民間部門へのサイバー攻撃の禁止などを盛り込む条約なんですけれども、脆弱性情報を国家機関は悪用せず、直ちにベンダー、つまりソフトの開発者に提供することなどを盛り込んだものなんです。これ、サイバー攻撃に対処していくということは、これはもう一つの国だけの問題ではありません。先ほどのワナクライの事件が百五十か国に広がったというように、最も国際的につながっているのがこのサイバー空間ですから。 　そうすると、各国がこのサイバー攻撃に対処していく上でどういう基本的なスタンスを取るのかと、国際的な言わば土台というものをつくっていくことは、私、非常に大切だというふうに思うんですね。こうしたデジタル・ジュネーブ条約などの提案について、櫻田大臣の見解をお伺いいたします。

○国務大臣（櫻田義孝君）　サイバー分野の国際法や規範をめぐっては、国際的に様々な議論がなされておりますので、こうした議論に積極的に参画してまいる所存でございます。

○田村智子君　今日は大変答弁が端的でございまして、用意していた質問は大体やり尽くしたんですけれども。答えられない質問ばかりだったということが多かったというふうに思うんですけれども。 　ただ、私やっぱり一連の御答弁を聞いていて、これでは国民がサイバー攻撃から本当に守られるということになるのだろうかという危惧を抱かざるを得ないわけですね。やっぱりサイバー攻撃は基本的に悪であって、その悪質なサイバー攻撃を許さないということであるならば、国家がサイバー攻撃を認めるというようなことを、やっぱりそういう立場に立っていていいんだろうかということが問われているというふうに思うわけです。 　是非、これから協議会をつくったときにはその方針を、その具体的な運用については法案作ってから、法が成立してからいろいろ協議をされるということですけれども、まさに国民が、市民生活がサイバー攻撃から守られるという中身にならなければ駄目であって、サイバー攻撃のためのツールを入手するためのもの、そういうような政府が悪用するようなことはあってはならない、このことを肝に据えていただきまして、櫻田大臣にも御努力をいただきたいと思います。 　質問を終わります。

○清水貴之君　日本維新の会の清水です。よろしくお願いいたします。 　先ほど、このサイバーセキュリティーに関する予算の話もありました。先行して取り組んでいる国とは大分差があるという話なんですけれども、まず初めに大臣にお聞きをします。 　そういうのも含めまして日本のそういうサイバーセキュリティーに関するレベル、位置付けですね、国際的にどういった位置付けにある、レベルにあるというふうにお考えでしょうか。

○国務大臣（櫻田義孝君）　我が国のサイバーセキュリティー対策は、サイバーセキュリティ基本法に基づき、基本的な計画であるサイバーセキュリティ戦略を定めて対策を進めることとしております。国際的には一概に比較することは困難ですが、一般的に、我が国を含む主要国では、基本となる法令や戦略を策定して取り組んでいるものと承知しております。 　いずれにしろ、本年七月に閣議決定した新戦略に基づき、対策に万全を期してまいります。

○清水貴之君　万全を期す中で、やっぱり必要なのが人材だというふうに思います。 　人材の育成などについてお伺いしていきたいんですが、まず初めに、現在のサイバーセキュリティーに関するこの人材で、どれぐらいいて、どれぐらい本当だったら必要でというような、もし話がありましたらお聞かせいただけますでしょうか。

○政府参考人（山内智生君）　よく使われているデータで申し上げますと、二〇二〇年頃に向けて十九・三万人が人材として不足をしているという、そういうデータがございます。これは、独立行政法人ＩＰＡの方で、その不足感、企業における不足感、どれくらい不足していると感じているのかということを実際に聞き取りをすることによってまとめたものというふうに承知をしてございます。

○清水貴之君　ということは、現在いる人からすると相当まだまだ、今の倍ぐらいは多分必要になってくるだろうなという計算なんだと思うんですね。 　そんな中、平成二十八年に創設された情報処理安全確保支援士制度というのがあります。この資格取って、現時点で一万七千人余りの方が登録されているというふうに認識をしていて、この登録者数も増やしていこうという方針だということなんですが、果たしてどんな資格なのかというところもちょっとクエスチョンマークがありまして、実際、この資格を取ったことによって本当にその実践力が養われるのか、若しくは仕事として通用していくのか、資格があるから就職できて一人前として独り立ちできるのか、この辺りというのが、やっぱり資格つくるからには、受ける人もただただ取っただけじゃなくて、もう人材育成これから必要になってくるわけですから、そういったところまで見ていかなければいけないんじゃないかと思いますが、いかがでしょう。

○政府参考人（山内智生君）　今委員御指摘がございました情報処理安全確保支援士、通称セキスペというふうに言ってございますが、こういうものを含めまして、政府においては民間における人材育成の支援として、資格、それから試験及び演習の実施、学びの促進等を実施をしてございます。 　事このセキスペでございます。これに関しましては、データ連携、それから利活用を支援するコネクテッドインダストリー税制、この計画の認定におきまして、この情報処理安全確保支援士、セキスペ等の専門家が必要なセキュリティー対策を講じているということを確認する仕組みを導入すると、そこの中で、こういうセキスペをお持ちの方々が対策をつくっているということが認定の一つの仕組みの中に入ってございます。このような形で専門家が活躍する場を確保する取組を進めてございます。 　このような取組によりまして、民間におけるサイバーセキュリティーの人材育成、それから活躍の場の確保に向けた支援を更にしっかりと進めてまいりたいと存じます。

○清水貴之君　同じように、どうやって育成していくかという話で文科省さんにもお聞きしたいと思うんですけれども、補助事業として、大学とか企業間で連携を取ってＳＥの実践力を養うコースを開いているということです。修了学生も数百人単位で出ているということでして、加えて、高等専門学校、高専の方でもセキュリティースキルを持った学生を継続的に育成していこうというような取組もされているということです。この取組についてお話をしていただきたいのと、あと、ちょっとお話聞いた感じですと、取るまではいいんですが、じゃ、その後本当にそれを生かせているのかというところまで、どうもまだまだ気が配れていないといいますか、把握ができていないというふうな話も聞いていますが、その辺りについてもお聞かせいただけますでしょうか。

○政府参考人（玉上晃君）　お答えいたします。 　大学においても様々な自主的な取組が行われているところでございますけれども、文科省におきましても御指摘のとおりサイバーセキュリティー人材の育成は重要だと考えておりまして、特に高等専門学校、それから大学、大学院ですね、さらには、における高度な専門人材の育成に資する取組を推進しているところでございます。 　特に、文科省といたしましては、例えば高専ですと情報セキュリティーの教育プログラムの開発、展開に対する取組、それから大学、大学院における、複数の大学といわゆる産業界等による全国的なネットワークを形成いたしまして、実際のいろんな課題に基づきます問題解決型学習、いわゆるＰＢＬと言っておりますけれども、この実践的な教育によりまして、セキュリティー分野を含む質の高い情報技術人材を育成する取組への支援を行っているところでございます。 　現在においても情報セキュリティーという名前を冠する大学の学科等も複数ございますので、今後更にこれに係る教育が実施されますことを目的といたしまして、教育の充実に更に図ってまいりたいと考えております。

○清水貴之君　そこに、補助事業ですから予算が付いていて、その後ですよね、フォローをどうするかというのもちょっとお聞かせいただきたいんですけれども。 　なかなか正直なところ、卒業して修了して、じゃ、どこで働くか。これはもう個人の自由ですからそこまで把握するのは難しいのかもしれませんが、ただ、やっぱり国が力を入れて養成した人たちがその道でしっかりと活躍してもらうというのも、これも大事なことだと思うんですが、この辺りについて、いかがでしょうか。

○政府参考人（玉上晃君）　私どもの方でこういう成長分野を支える情報技術人材の育成拠点というもので、ｅｎＰｉＴというものがございます。そこで養成していますのは、先ほど申しましたように、例えば大学学部レベル、それから大学院レベルもございますけれども、いわゆる社会人の学び直しの推進という観点からもやっております。 　ここでは、社会で活躍しておられる情報、ＩＴ従事者の学び直しを推進するということで、幾つかの大学が拠点になりまして、これも産業界と連携いたしまして短期の実践的な学び直しのプログラムを開発、実践すると、そういうような取組も行っているところでございます。

○清水貴之君　いずれにせよ、サイバー人材の育成に時間は当然掛かってきます。そんな中、政府の対策スタッフについてもお聞かせいただきたいと思います。 　民間からプロフェッショナルな人材を登用してという話ももちろん考えてくる必要があるんだと思うんですけれども、ただ、これやはりいろいろ調べますと、相当、専門職ですのでかなり給与面でも待遇が非常にいい人材が多いと。そんな中、じゃ、今の政府の中で公務員として入ってきてもらって一緒に仕事するような話になった場合に、果たして民間との人材獲得競争みたいなことも起きてくるわけです。これが可能なのかどうか。政府としてのこういうセキュリティー人材の活用、登用についてお聞かせください。

○国務大臣（櫻田義孝君）　サイバー攻撃が複雑巧妙化する中、政府のサイバーセキュリティーの確保を支えるための人材育成は重要な課題であります。 　各府省庁では、専任のサイバーセキュリティ・情報化審議官等の指導の下、人材育成に係る計画を策定し、体制の整備、研修の受講等に取り組んでおります。また、一部の省庁においては、民間から専門的知識、経験を有する者を任期付職員として積極的に採用しております。 　引き続き、各府省庁との連携を図り、政府一体となってサイバーセキュリティーを確保するための人材の育成に取り組んでまいります。

○清水貴之君　続いて、まずは、逆にハッカーといいますと、どうも攻撃を仕掛けてとか、もう自己顕示欲のために何か積極的に行動を起こすというイメージがあるんですが、決してそういう悪意のある話ばっかりではなくて、ホワイトハッカーという言葉もあります。 　コンピューターに関する高度の知識、技術を持つ方たちでして、善良な目的にそういった技術を生かそうということなんですけれども、そもそもなんですが、これも難しいんですかね。ハッカーというのを、じゃ、どう政府として何をもってハッカーと呼ぶのか。そして、どれぐらい国内にいて、そういうのが分かったら、そういう人をある意味いい方に採用する、チームとしてこちらの味方に引き込むみたいなこともできるわけで、どう今把握をしているのかということがもしあれば、お聞かせください。

○政府参考人（山内智生君）　今委員が御指摘になったとおりの部分がございまして、実はハッカーというのはなかなか定義が明らかではないと、皆さん何を思っているかというのがちょっと違うという部分。それから、今お話があったとおり、実態を把握するのがなかなか難しゅうございます。したがいまして、全体としてどうなっているかと、この人数を把握をするというのはなかなか難しい状態でございます。 　なお、とはいえ、有名な方というのはいろいろな情報発信をしているという方もいらっしゃいます。そういう方がどんな方かということは、部分的ではございますが、そういう方々は存じ上げているというのが現状でございます。

○清水貴之君　政府としてそういう方にアプローチをする、若しくは協力を求めていく、こういうことというのはやろうとしていることはあるんですか。それとも可能なんですか。

○政府参考人（山内智生君）　お答え申し上げます。 　今まさに御審議をいただいているこの法律の中で、協議会の中でその他必要と認められる方々、これがいわゆる有識者、まさにこの中にホワイトハッカーという方々、どちらかというと知見、それからスキルをお持ちであって有益な情報を御提供いただける方という意味でございますが、こういう方々に是非お入りいただきたいと思っているところでございます。

○清水貴之君　続いて、サイバーテロ対策について、大臣、まずはお聞きをしたいと思うんですけれども、先ほど矢田委員からもＩｏＴ機器が大変広がっているというような話もありました。今どんどんどんどん技術が進化をしている一方、便利になっていく一方で、そうなればなるほどそういったところが狙われてくる可能性というのも出てきます。自動運転、車の自動運転なんかも今実証実験がどんどんどんどん進んでいますけれども、逆に、こういうところも狙われることによってもう大変危険な状況になる可能性もあるわけですね。 　こういった本当にバランスというのが難しいなというふうに思っていまして、便利になればなるほど狙われていく、こういったところをどう対策を打っていくか、守っていくのか。逆に、でも技術は進めなきゃいけないわけで、この辺りについて、大臣、お話をお聞かせください。

○国務大臣（櫻田義孝君）　サイバーセキュリティ戦略に基づき、サイバーセキュリティーに関わる基準の策定、浸透や、官民の情報共有体制の強化、分野合同での演習等の諸施策を推進しております。サイバー攻撃が行われた場合には、速やかに検知し、所要の対策を講じ、被害の拡大を最小限に抑えるよう、関係省庁と連携して対処してまいります。

○清水貴之君　続いて、防衛省さんですかね。サイバー攻撃が、先ほども質問ありましたけれども、じゃ、武力攻撃になるのかどうかというこの判断のところですね。これ、今日、読売新聞にもインフラ被害で発動みたいな話も出ています。先ほどの答弁でしたら、今いろいろ検討中だという話なんですが、現時点で、サイバー攻撃、武力攻撃の一環として行われた場合、自衛権発動すること、これ可能ということでよろしいでしょうか。

○政府参考人（石川武君）　お答え申し上げます。 　政府としては、従来から、サイバー攻撃と自衛権行使の関係につきましては一概に申し上げることは困難であり、何らかの事態が、サイバー攻撃を含めてですが、何らかの事態が武力攻撃に当たるか否かは、個別具体的な状況を踏まえて判断すべきものと考えております。 　いずれにしましても、政府としては、武力の行使の三要件を満たす場合には、憲法上、自衛の措置として武力の行使が許されるとの立場を取ってきております。

○清水貴之君　ちょっと教えていただきたいんですが、今あくまで頭の体操的なことで是非教えていただきたいんですが、サイバー攻撃を受けました、ここにあるみたいに本当に日本が大混乱するような状態になった、インフラなどがもう壊滅的な被害を受けたみたいなときに、これ日本側としてどう対処ができるのか。サイバー攻撃にサイバー攻撃で対処するということが基本的に想定されているのか。それとも、もうそのサイバーが発信されている場所がもし特定できるならば、そこに本当に実行力をもって、実力をもって対処することが可能なのかどうか。こういうことというのは、何か今考えられていることってあるんでしょうか。

○政府参考人（石川武君）　今申し上げましたように、どういったサイバー攻撃が武力攻撃事態に当たるかは、個別具体的な状況を踏まえて判断されるべきものと考えておりますけれども、仮に武力の行使の三要件を満たす場合には、憲法上、自衛の措置として武力の行使が許されると、この場合においては、法理上、いわゆるサイバー攻撃も含めて武力の行使が許されるという立場を取ってきております。

○清水貴之君　国際的な関係もちょっとお聞きしたいんですけれども、こういった話というのは、サイバーセキュリティーと武力攻撃に関するこの話というのは国連でもこれ議論がされていて、なかなか、ただやっぱりいろいろ国ごとに考え方も違って、全体で一致を見るというところにまでは行っていないというふうに聞いています。欧米なんかはサイバー攻撃に関して自衛権の援用は可能というふうに考えている一方、ロシアですとか中国などはそうでもないと、意見が一致していないというふうに聞いております。 　こういったところも、やっぱり国際協調という面も大事だと思いますので、日本としてもこういう情報をしっかり把握しながら、これ先ほども話もありましたけれども、サイバーテロというのはもちろん国内だけで終わるお話ではありません。対外的なことというのも発生してきますので、こういったところも見ながら、日本としてのサイバー攻撃に対する対処、これも決めていく必要があるんじゃないかと思いますけれども、これについて意見聞かせていただけますでしょうか。

○政府参考人（長岡寛介君）　お答え申し上げます。 　サイバー空間におきます既存の国際法の適用については、これまでも、国連、Ｇ７を含めまして、二国間あるいは多国間の協議において様々な議論が行われてきております。日本は一貫してこうした議論に積極的に参加をして、主導的な役割を果たそうとしてきているところでございます。 　その上で、いかなるサイバー攻撃がいわゆる国際法で言うところの武力攻撃として評価されるのかについては、これまでのところ、国際社会においては、サイバー攻撃のみをもって武力攻撃に該当するというふうにした国家実行というのは確認をされておりません。実際に委員も御指摘のように、国際的には様々な議論が行われているところでございます。 　例えば、幾つか例を御紹介しますが、平成二十八年、日本において開催されましたＧ７の伊勢志摩サミット、そこにおいては、サイバー空間を通じた脅威が増加、深刻化しているということを背景として、Ｇ７として、一定の場合にはサイバー活動が国連憲章及び国際慣習法に言う武力の行使又は武力攻撃となり得るという認識を示したところでございます。また、若干関連する議論としまして、平成二十七年の七月に国連のサイバー政府専門家会合の報告書といったものがまとめられましたが、そこでは、国家が国際法に従って、かつ国連憲章で認められた形で取り得る固有の権利に留意したという文言がございまして、ちょっと分かりにくいんですけれども、いわゆる自衛権の行使を念頭に置いたという意味での記述というところが盛り込まれているということで、いずれにしましても、国連においてもほかのところにおいてもこういう議論は引き続き行われているという、そういう状況でございます。

○清水貴之君　日本がまたそれに積極的に関わっているというのを聞いて安心した部分もありますので、今後も引き続きどうぞよろしくお願いいたします。 　以上で質問を終わります。ありがとうございました。

○木戸口英司君　希望の会（自由・社民）の木戸口英司です。 　それでは、早速質問に入ります。 　非常に基本的な質問から入りますけれども、今回のサイバーセキュリティ基本法の改正案、新たにサイバーセキュリティ協議会を設置することとしており、官民の多様な主体の連携により脅威情報の迅速かつ戦略的な共有を図ることとしています。 　このサイバーセキュリティーに関する脅威情報の共有については、現状でも一部の事業者や業界等で行われています。例えば、重要インフラ事業者等の情報共有を担う組織であるセプターが各業界等に設けられており、分野横断的な情報共有を行うセプターカウンシルが設置されています。このほかにも、都道府県警察が設置しているサイバーテロ対策協議会や、独立行政法人情報処理推進機構、ＩＰＡがハブとなり情報共有を行うＪ—ＣＳＩＰなど、様々な取組が行われております。 　こうした取組が既に行われている中で、今回新たにサイバーセキュリティ協議会を法律上の組織として新設する必要性、このことについて政府の見解を改めてお伺いいたします。

○国務大臣（櫻田義孝君）　既に複数の情報共有体制が存在することは認識しておりますが、提供した情報が適切に取り扱われず、提供者名等が漏れてしまう等の懸念から、現状では微妙な情報が迅速に提供されていないという課題があると認識しております。 　今回の法改正は、罰則により担保された守秘義務等を構成員に対して適用することでこの懸念を解消し、協議会においてサイバー攻撃に対する情報を迅速に共有することを趣旨としており、法律による措置が必要であると考えております。

○木戸口英司君　こういう対策の必要性は私たちも大きく認めるところでありますけれども、この組織によって、今の法律的な位置付けということ、守秘義務、情報提供義務ということでありますけれども、果たしてしっかりと厳しい新たなこういう時代において機能するのかどうかと、そのことを少し問うていきたいと思います。 　サイバー攻撃により個人情報などが流出した場合、攻撃を受けた事業者等は社会的評価の低下につながることなどを恐れてサイバー攻撃に関する情報提供に消極的になる可能性が指摘されております。この点に関して海外における情報共有の取組を見てみると、例えばドイツではＩＴセキュリティー法においてインシデント報告義務の違反について罰金が設定されており、情報提供に関する負のインセンティブが設けられています。 　今回、政府が提案している協議会では構成員に守秘義務を設けているわけですけれども、それだけで事業者等から十分な情報提供が行われると考えているのでしょうか。見解をお伺いいたします。

○政府参考人（山内智生君）　お答え申し上げます。 　今回の法改正では、事業者が情報提供に関しまして抱えている課題、これを法的措置により解消して迅速な情報共有を行いたいというものでございますが、今委員御指摘のとおり、十分な情報提供を行っていただくためには、この秘密保持の義務だけではなくて、事業者の方々にとって情報提供を行うメリットがあると、それが必要であるというふうに考えてございます。 　例えばでございますが、私どもがこういう方々とお話をする中では、自社の分析、それから情報の正確性、もう少し具体的に申し上げると、保有している情報、それから対策があると、その技術者の方々が考えた、これが正しいかどうか分からないので答え合わせをしたいと。そのときに、当然、定かではない情報であるものですから外には出せないといった、そういう側面がございます。こういうものを、守秘義務を掛けた形、秘密を守る形で共有をしていただくということについては一定の意味があると。したがって、情報を出すことが可能ではないかということも意見として伺っているところでございます。 　いずれにせよ、民間の事業者の方々が有益な情報を得るために協議会に是非御参画いただけるように、今申し上げたようなことも含めて具体的な方策について、今後、関係者と丁寧な意見交換をしながら調整をしてまいりたいと存じます。

○木戸口英司君　非常に大事なことだと思います。その答え合わせということも相当手間暇、技術が掛かることで、その体制をいかに今後構築していくか、先ほど人材の問題も指摘されておりましたけれども、今後の課題かと思います。 　また、条文上、正当な理由がある場合、情報提供を拒むことができるということも規定されております。この正当な理由ということ、いろいろ想定されるんだと思いますけれども、こういう中で有効な情報がしっかり提供されるのかどうか、ここは注視していかなければいけないと思います。 　そこで、今回の法案、新たにサイバーセキュリティ協議会を設けようとしているわけですけれども、既に情報共有の枠組みが複数整備されていることは先ほど指摘いたしました。これらの枠組みの中で、事業者等はサイバーセキュリティーの脅威に関する情報の提供を行うこととなっています。 　このほかにも、例えば、サイバー攻撃により個人情報が漏えいした場合には個人情報保護委員会に報告することが努力義務として個人情報保護委員会告示により定められていると。さらに、別途、業法等により所管省庁に対する報告が求められる場合もあると。また、それぞれに対して報告すべき内容も様式も異なっているため、今回新たに協議会を設置し情報提供を求めることで企業のサイバーセキュリティー担当者に大きな負担を生じさせる可能性があるのではないかと、そのことを指摘したいと思います。 　協議会を通じて情報共有を図ることとしていますが、サイバーセキュリティー攻撃や脆弱性に関する情報は、既存の情報共有の枠組みや事業者等が個別に契約しているセキュリティー関連企業からも提供されています。各企業のサイバーセキュリティー担当者は、提供された情報を単に受け取るだけでなく、自らの事業者に関係する情報かどうかを分析し、対応の優先順位付けをするなどして対策を講じる必要があり、新たな協議会の設置により提供される情報が増えることで実務担当者の更なる負担増加につながるという懸念もあります。 　既存の情報共有体制との連携などについて十分な整理が行われていない中で協議会の設置が行われても、サイバーセキュリティー対策の実務者の負担が増大するだけで、迅速な情報共有によるサイバーセキュリティー対策の強化にはつながらないのではないかと考えますけれども、政府の見解をお伺いいたします。

○政府参考人（山内智生君）　お答え申し上げます。 　委員御指摘のとおり、複数の情報共有の体制がございます。この体制でございますが、情報共有の活動を行っているということでは共通でございますが、取り扱う情報の内容、共有の内容を異にしております。したがいまして、こういうものを相互に連携をすることによって我が国のサイバーセキュリティーがより一層推進ができるのではないかというふうに思っているところでございます。 　一方、これも御指摘のとおりでございますが、複数の情報共有体制に参画をしていらっしゃる事業者の方々も結構いらっしゃいます。こういう方々は、事務負担、さらに、共有体制の中で情報を出さなくてはいけない、異なる形式の情報を扱わなくてはいけないということで、事務負担を感じるという方が少なくないのではないかということも推測をするところでございます。 　したがいまして、具体的には今後の検討でございますが、現在の情報共有体制、これをそれぞれの事務方とは十分に今連携を取っているところでございます。その特徴、現状を踏まえまして、実務者、特にこの協議会にお入りいただく方々、この方々の負担がこれ以上増えるということがないように十分に連携をすると、連携の在り方について関係者と丁寧な協議を行いながら検討していきたいというふうに思っているところでございます。

○木戸口英司君　今後の検討課題ということでお話をいただきました。 　いずれ、来年四月にも協議会を設置するということ、そして、先ほど指摘した、皆さんからも指摘があったとおり、人材の不足と言われる中でこういった準備体制ということがしっかり間に合うのかということ、もちろん、またバージョンアップしていく、そういう時期も必要かと思いますけれども、この点しっかりと努力をいただきたいと思います。 　その中で、協議会の組織や運営に関する事項、今後協議会において定めるということになっております。協議会に提供することが求められる情報には民間事業者の営業上の秘密に関する情報が含まれる可能性があり、協議会における情報共有により競合他社等に秘密に関する情報が提供される場合があるため、事業者が参加をちゅうちょするおそれがあります。 　衆議院での質疑でも、協議会において利害対立がある場合について、政府は、調整が必要な場合にはどなたにするのかを決めることになるであろうとして、協議会の構成員を選別する可能性があることを答弁しています。また、利益相反となる事態が発生した場合の事業者の選定基準については、実際に情報の提供にどのように寄与されるのかといったことがある程度選定の基準になる旨答弁していますが、具体的な基準は明確には示されておりません。 　中立的に運営されなければならないはずの協議会に参加できる事業者と参加できない事業者が生じるとすれば、入手できる情報に格差が生じることになりかねず、このことは大きな問題だと考えますが、政府の御見解をお伺いいたします。

○国務大臣（櫻田義孝君）　前提として、協議会については、競合する者がいることによって参加できない事業者が生じることのない構造を目指しております。御指摘を踏まえ、協議会の中立性を維持しつつ情報共有を促進できるよう、関係者と協議しながら検討してまいります。 　なお、利益相反となる事態が発生した場合の具体的な取扱いについては、協議会の運用が始まっていない段階では回答が困難ですので、お答えは差し控えさせていただきます。

○木戸口英司君　協議会が立ち上がってから検討する課題が多々あるということでありますけれども、いろいろ想定される事態あるいは想定され得ない事態ということがある中で、そのことは理解しないわけではありませんけれども、やはりこういったこと、協議会の参加が促進されるかどうかということに懸かっている問題だと思います。公的な機関でありますし、法律で定められる機関でありますので、その中に参加者が参加できるかどうか、公平性、中立性ということについても非常にこの信頼性に関わる問題だと思いますので、この点の検討を待ちたいと思います。 　そういう中で、衆議院での質疑にありました、協議会における意思決定に利害関係者が入らないようにするよう協議会の規約の中で定める旨答弁がありました。今後、そのような規約等を定めるに当たって利害関係を持つ事業者が排除される仕組みが確立されるか、まだ分かりませんけれども、どういった内容のものを定めようとしているのか、政府の見解をお伺いいたします。

○政府参考人（山内智生君）　お答え申し上げます。 　今おっしゃったような話、これは結局規約の中で定めていくことになろうかと思いますが、民間の事業者の方々から積極的な情報提供に御協力をいただくようにということを、御指摘を踏まえながら関係者と丁寧に意見交換をしながら調整をしていきたいというふうに存じます。

○木戸口英司君　今後の検討ということであります。 　それでは、この情報共有の迅速性ということについて少し確認をしたいと思います。 　サイバーセキュリティー対策として情報共有を行う場合、協議会側から必要とする事業者に脅威に関する情報を迅速に提供し、適切な対応を取ることが重要であります。今回の協議会に参加する構成員として、地方公共団体、重要インフラ事業者、サイバー関連事業者等が規定されています。実際の情報共有を行うに当たっては、それぞれハブとなる組織の参加を得ながら情報共有を行うことも想定しているようですが、数多くある事業者に必要な情報が迅速に行き渡るような体制、これをどのように担保していくのでしょうか、お伺いいたします。

○政府参考人（山内智生君）　御質問の情報共有の迅速さでございますが、例えば既存の情報共有における枠組みを活用すると。それから、今回、実際に協議会が立ち上がる際には、専門機関に事務の一部を委託をいたしまして一緒に仕事をするということを考えてございます。この機関が構築をする情報システムをうまく活用いたしまして、システムの上で、手の作業ですとどうしても時間が掛かりますので、このようなシステムの利活用により情報の迅速な共有が行えるように、運営について十分な検討を進めてまいりたいと存じます。

○木戸口英司君　そういう中で、ＮＩＳＣの対応能力ということが言われると思いますが、これは先ほど来議論があったところでありますので、この対応能力の向上ということを指摘をさせていただきます。 　また、それに合わせて、人材の確保ということも先ほど来質疑が十分にあったところであります。技術者の養成ももちろんですけれども、やはり経営者側の意識ということが重要だろうと思います。そういう中で、経営層、そして現場層をつなぐ役割、マネジメント側にやはりそういう強い理解が必要だということも指摘をさせていただきます。そういった要請をまた強めていくこと、このことも政府を挙げて取り組むべきだということを指摘させていただきます。 　その中で、ちょっと事前察知の必要性について、ちょっと質問を飛ばさせていただきます、そこに行きます。 　通常の検索サイトではたどり着けない特殊なウエブサイトであるダークウエブ、世界中のハッカーのコミュニティーが存在し、そこでは様々な情報交換が行われているとされており、二〇二〇年東京オリンピック・パラリンピック競技大会をターゲットとしたやり取りも既に行われていると報道もされております。 　ワナクライの話も先ほど来指摘があるところでありますけれども、アメリカの企業ではこのダークウエブに仮想のエージェントを送り込みハッカーらの動きを監視しており、ワナクライによる攻撃を二か月前に察知し、クライアントに警告していたことも報じられております。ダークウエブ内でのハッカーの動向等を探り攻撃を事前に察知していく方法は、サイバーセキュリティー対策の有効な手段の一つだと考えます。 　こうしたサイバー攻撃を事前に察知する能力を高める取組を推進し、サイバー攻撃に対する防衛力を高めるための取組が必要だと考えますが、日本におけるこうした取組の現状はどうなっておりますでしょうか。

○政府参考人（山内智生君）　お答え申し上げます。 　今委員御指摘のダークウエブ、こういうものを含んでサイバー空間においてサイバー攻撃に関する情報、予兆ですとか、それから何かそのリスク、こういったものを含めた様々な情報を収集、分析をするということは対策上非常に重要だというふうに認識をしてございます。 　私ども内閣サイバーセキュリティセンターでは、こうした情報を自ら収集するだけでなく、関係者、関係省庁、それから民間事業者からも入手をいたしましてその分析を行い、必要に応じてその情報、対策情報という形も含めて提供しているところでございます。 　今後とも、情報収集、分析能力の向上を努めまして、サイバー攻撃に対する防衛力を高めていきたいと存じます。

○木戸口英司君　もう時間になりましたので、最後の質問とさせていただきます。 　やはり国際的なルールづくりの必要性、これもいろいろ指摘があったところでありますけれども、改めてお伺いをしたいと思います。 　国連の安全保障問題の会議、政府専門家会合、ＧＧＥ、これが五期にわたり議論をしてきたわけでありますけれども、なかなか、レポートとしては出されておりますけれども、コンセンサスが得られない状況だということもお伺いしております。 　そういう中で、サイバー犯罪条約ということもあるわけですけれども、締結国の拡大やサイバー空間における国際的なルールづくりを更に積極的に推進することで国内のサイバーセキュリティー対策の強化につなげる必要があると考えますが、取組の現状や政府の認識についてお伺いをいたします。

○政府参考人（長岡寛介君）　お答え申し上げます。 　ただいま委員御指摘のありましたサイバー犯罪条約、いわゆるブダペスト条約ですけれども、現在のところ締約国は六十一か国という状況でございます。 　日本は二〇一二年の七月にこの条約を締結しましたが、アジアで最初の締結国でございまして、その後、アジア地域に対してのいわゆるキャパシティービルディング、能力構築の支援などを通じてこの条約の普遍化に取り組んでおります。複数のアジアの国が、その後、実際にこの条約を加盟するようになってきております。 　引き続き、政府としては、アジアを中心にこの条約の締約国の拡大に貢献をしていきたいと思います。 　あわせて、ルールづくりにつきましても、先ほど御答弁申し上げましたが、国連を始めとする多数国間あるいは二国間の枠組みにおいて積極的に議論を参加し、主導的な役割を果たしていきたいというふうに考えておりまして、Ｇ７の枠組みにおいても、日本が主導した伊勢志摩サイバーグループといったものが設置をされ、その後も活動をしてございます。 　ＡＳＥＡＮにおいても、ＡＳＥＡＮ地域フォーラムにおいて会期間会合を立ち上げて、ルールの普遍化、それから信頼醸成措置、そういったものの強化に取り組んできているところでございます。

○木戸口英司君　終わります。

○委員長（石井正弘君）　他に御発言もないようですから、質疑は終局したものと認めます。 　これより討論に入ります。 　御意見のある方は賛否を明らかにしてお述べ願います。

○田村智子君　私は、日本共産党を代表して、サイバーセキュリティ基本法改正案に対して反対の討論を行います。 　本案は、内閣官房の下に民間などが参加する協議会を設置し、その構成員に情報提供義務と守秘義務を課すことで、内閣サイバーセキュリティセンター、ＮＩＳＣが民間のサイバーセキュリティーに関する情報を広く素早く収集する仕組みをつくろうというものです。 　ＮＩＳＣのトップであるセンター長には国家安全保障局次長が就くことから、事実上、ＮＩＳＣが国家安全保障会議の下で情報収集を行うことになります。協議会を通じてＮＩＳＣによって収集される情報は安全保障政策のために活用され、加えて、収集された情報が軍事目的に活用されるおそれも否定できません。 　また、二〇一八年七月に閣議決定された新サイバーセキュリティ戦略では、我が国の安全保障を脅かすようなサイバー空間における脅威について、同盟国、有志国とも連携し、取り得る全ての有効な手段と能力を活用し、断固たる対応を取るとしており、サイバー空間における米国との軍事一体化の姿勢をより一層明確にしています。 　米国は、把握したコンピューターシステムの脆弱性情報について、必要な対策を取るためにその全てをベンダーに知らせるのではなく、政府内で秘匿した上でサイバー兵器開発や情報収集などの国家安全保障目的に利用することを明言しています。昨年五月に起きたワナクライ事件はこの米国の政策が原因の一つであると、マイクロソフト社の社長を始め多くの識者が指摘するところです。 　また、米国は、サイバー事案に対する武力行使、場合によってはサイバー攻撃を先制的に行うことを表明しています。その米国と一体となった安全保障体制の下で官民一体の協議会を設置することは、米国のサイバー戦略に民間分野まで含めて協力する道を開くものであり、容認できません。 　以上を述べまして、反対討論を終わります。

○木戸口英司君　希望の会（自由・社民）、木戸口英司です。 　私は、サイバーセキュリティ基本法の一部を改正する法律案に対して反対の立場から討論を行います。 　本法律案に反対する第一の理由は、サイバーセキュリティ協議会を通じた情報共有がサイバーセキュリティー対策の高度化につながるかが不明確であることです。 　新たに設置されるサイバーセキュリティ協議会では、サイバーセキュリティーに関する脅威情報を迅速かつ戦略的に共有することとしています。しかし、事業者は、サイバー攻撃を受けた情報等を提供することにより社会的評価や信頼が低下することを恐れ、協議会への情報の提供に消極的となり、結果として協議会での十分な情報共有が行われない可能性があります。また、既存の情報共有体制との整理をすることなく新たに情報共有の枠組みをつくるのでは、情報提供に伴う事務が増える一方で、事業者に提供される情報もいたずらに増加することになりかねません。そうなると、サイバーセキュリティー対策担当者が共有された情報を分析、活用するまでに至らず、適切なサイバーセキュリティー対策の実現が図られるのか疑問であります。 　第二の理由は、協議会の実効性の確保や運営の中立性、公正性に疑問が残ることです。 　協議会に提供されることが求められる情報には、民間事業者の営業上重要な情報が含まれる可能性が否定できません。競合他社等に当該情報が提供される場合があることを恐れ、事業者が参加をちゅうちょするおそれもあります。 　また、協議会に参加する事業者の間において利害対立が生じた場合、協議会の構成員として参加する事業者を選別しなければならない事態になることも考えられます。本来、中立的に運営されなければならないはずの協議会に参加できる事業者と参加できない事業者の線引きがなされ、結果として個々の事業者間で入手できるセキュリティー情報に格差が生じることには大きな問題があると言わざるを得ません。 　さらに、協議会の組織及び運営に関し必要な事項は今後協議会において定めることとされていますが、協議会の運営に係る基準を決定するに当たり利害関係者を排除することは明確にされておらず、公正に協議会が運用されることになるのかが不透明です。 　以上のように、サイバーセキュリティー対策としての実効性等に大いに疑問の残る本法律案には賛成することができないことを申し上げて、討論を終わります。

○委員長（石井正弘君）　他に御意見もないようですから、討論は終局したものと認めます。 　これより採決に入ります。 　サイバーセキュリティ基本法の一部を改正する法律案に賛成の方の挙手を願います。 　　　〔賛成者挙手〕

○委員長（石井正弘君）　多数と認めます。よって、本案は多数をもって原案どおり可決すべきものと決定いたしました。 　なお、審査報告書の作成につきましては、これを委員長に御一任願いたいと存じますが、御異議ございませんか。 　　　〔「異議なし」と呼ぶ者あり〕

○委員長（石井正弘君）　御異議ないと認め、さよう決定いたします。 　本日はこれにて散会いたします。 　　　午後二時四分散会