内閣委員会 第10号

○委員長（和田政宗君）　ただいまから内閣委員会を開会いたします。 　委員の異動について御報告いたします。 　昨日までに、片山大介君が委員を辞任され、その補欠として高木かおりさんが選任されました。 　　　　─────────────

○委員長（和田政宗君）　政府参考人の出席要求に関する件についてお諮りいたします。 　重要電子計算機に対する不正な行為による被害の防止に関する法律案外一案の審査のため、本日の委員会に、理事会協議のとおり、内閣官房内閣審議官小柳誠二君外六名を政府参考人として出席を求め、その説明を聴取することに御異議ございませんか。 　　　〔「異議なし」と呼ぶ者あり〕

○委員長（和田政宗君）　御異議ないと認め、さよう決定いたします。 　　　　─────────────

○委員長（和田政宗君）　重要電子計算機に対する不正な行為による被害の防止に関する法律案及び重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案の両案を一括して議題といたします。 　政府から順次趣旨説明を聴取いたします。平国務大臣。

○国務大臣（平将明君）　重要電子計算機に対する不正な行為による被害の防止に関する法律案及び重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案につきまして、その提案理由及び内容の概要を御説明申し上げます。 　まず、重要電子計算機に対する不正な行為による被害の防止に関する法律案につきまして御説明申し上げます。 　この法律案は、インターネットその他の高度情報通信ネットワークの整備、情報通信技術の活用の進展、国際情勢の複雑化等に伴い、そのサイバーセキュリティーが害された場合に国家及び国民の安全を害し、また国民生活若しくは経済活動に多大な影響を及ぼすおそれのある国等の重要な電子計算機のサイバーセキュリティーを確保する重要性が増大していることに鑑み、重要電子計算機に対する特定不正行為による被害の防止のための報告の制度や通信情報の取得等の措置等について定めることにより、重要電子計算機に対する不正な行為による被害の防止を図ることを目的とするものであります。 　次に、この法律案の内容につきまして、その概要を御説明申し上げます。 　第一に、特別社会基盤事業者が特定重要電子計算機を導入したときの特定重要電子計算機の製品名及び製造者名等の届出の義務を規定するとともに、特別社会基盤事業者が特定重要電子計算機に係る特定侵害事象等の発生を認知したときの報告の義務を規定することとしております。 　第二に、内閣総理大臣は、特別社会基盤事業者その他の事業電気通信役務の利用者との間で当該利用者を通信の当事者とする通信情報のうち外内通信情報に該当するものを用いて必要な分析を行うこと等を内容とする協定を締結し、それにより通信情報の提供を受けることができることとしております。 　第三に、内閣総理大臣は、国外通信特定不正行為に関係する外外通信、外内通信又は内外通信が電気通信事業者により媒介される国外関係通信に含まれると疑うに足りる場合において一定の要件を満たしたときは、サイバー通信情報監理委員会の承認を受けて、当該国外関係通信の通信情報の一部が複製され、内閣総理大臣の設置する設備に送信されるようにするための措置を講じることができることとしております。 　第四に、内閣総理大臣において取得した通信情報の中から一定の要件を満たす機械的情報のみを選別する措置を講ずる等、取得した通信情報の取扱いについての所要の規制を設けることとしております。 　第五に、特別社会基盤事業者による報告等により得た情報、選別された通信情報、協議会を通じて得た情報その他の情報が重要電子計算機に対する特定不正行為による被害の防止に有効に活用されるよう、内閣総理大臣が当該情報の整理及び分析を行うこととした上で、整理又は分析した情報について、国の行政機関、特別社会基盤事業者、電子計算機等供給者等に提供する等の所要の規定を設けることとしております。 　第六に、内閣総理大臣は、内閣総理大臣及び関係行政機関の長により構成される重要電子計算機に対する特定不正行為による被害の防止のための情報共有及び対策に関する協議会を組織するほか、当該協議会に、重要電子計算機を使用する者等の必要と認める者をその同意を得て構成員として加えることができることとし、被害防止情報を共有するとともに、所定の事項について協議を行うこと等としております。 　第七に、いわゆる三条委員会としてサイバー通信情報監理委員会を設置することとし、その任務として、国等の重要な電子計算機等に対する不正な行為による被害の防止のための措置の適正な実施を確保するための審査及び検査を行うこととしております。 　そのほか、所要の規定の整備を行うこととしております。 　なお、この法律案の施行期日は、一部の規定を除き、公布の日から起算して一年六月を超えない範囲において政令で定める日としております。 　以上が、この法律案の提案理由及びその内容の概要であります。政府といたしましては、以上を内容とする法律案を提出した次第ですが、衆議院において修正が行われております。 　続きまして、重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案につきまして御説明申し上げます。 　この法律案は、重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴い、重大な危害を防止するための一定の警察官又は自衛官による電子計算機の動作に係る措置に関する規定を整備するとともに、サイバーセキュリティ基本法その他の関係法律について所要の規定の整備等を行うものであります。 　次に、この法律案の内容につきまして、その概要を御説明申し上げます。 　第一に、警察官職務執行法を改正して、警察庁長官が指名する一定の知識及び能力を有すると認められる警察官は、サイバーセキュリティーを害することその他情報技術を用いた不正な行為に用いられる電気通信等又はその疑いがある電気通信等を認めた場合であって、そのまま放置すれば人の生命、身体又は財産に対する重大な危害が発生するおそれがあるため緊急の必要があるときは、そのいとまがないと認める特段の事由がある場合を除いてサイバー通信情報監理委員会の承認を得た上で、当該電気通信等の送信元等である電気計算機の管理者その他関係者に対し、危害防止のための通常必要と認められる措置であって電気通信回線を介して行う電子計算機の動作に係るものをとることを命じ、又は自らその措置をとることができることとしております。 　第二に、自衛隊法を改正して、内閣総理大臣は、重要電子計算機に対する不正な行為による被害の防止に関する法律に規定する重要電子計算機のうち一定のものに対する同法に規定する特定不正行為であって、本邦外にある者による特に高度に組織的かつ計画的な行為と認められるものが行われた場合において、これにより重大な支障が生ずるおそれが大きいと認められ、かつ、その発生を防止するために自衛隊が有する特別の技術又は情報が必要不可欠であること等により自衛隊が対処を行う特別の必要があると認めるときは、自衛隊の部隊等に当該特定不正行為による当該重要電子計算機への被害を防止するために必要な電子計算機の動作に係る措置であって電気通信回線を介して行うものをとるべき旨を命ずることができることとしております。また、当該措置をとるべき旨を命ぜられた部隊等の職務の執行及び自衛隊又は日本国にあるアメリカ合衆国の軍隊が使用する一定の電子計算機をサイバーセキュリティーを害することその他情報技術を用いた不正な行為から職務上警護する自衛官の職務の執行については、警察官職務執行法の必要な規定を準用することとしております。 　第三に、サイバーセキュリティ基本法を改正し、サイバーセキュリティ戦略本部について、本部長は内閣総理大臣、本部員は本部長及び副本部長以外の全ての国務大臣をもって充てる組織とするとともに、その所掌事務について、重要社会基盤事業者等におけるサイバーセキュリティーの確保に関して国の行政機関が実施する施策の基準の作成及び当該基準に基づく施策の実施の推進並びに国の行政機関等におけるサイバーセキュリティーの確保の状況の評価を追加することとしております。 　第四に、内閣法を改正して、内閣官房に、内閣官房の事務のうちサイバーセキュリティーの確保に関するもの等を掌理する内閣サイバー官一人を置くこととしております。 　そのほか、重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴い、情報処理の促進に関する法律、国立研究開発法人情報通信研究機構法、内閣府設置法等について、関連する事務の追加等関係規定の整備を行うこととしております。 　なお、この法律案の施行期日は、一部の規定を除き、重要電子計算機に対する不正な行為による被害の防止に関する法律の施行の日とすることとしております。 　以上が、重要電子計算機に対する不正な行為による被害の防止に関する法律案及び重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案の提案理由及びその内容の概要であります。 　何とぞ、慎重御審議の上、速やかに御賛同あらんことをお願い申し上げます。

○委員長（和田政宗君）　この際、重要電子計算機に対する不正な行為による被害の防止に関する法律案の衆議院における修正部分について、修正案提出者衆議院議員市村浩一郎君から説明を聴取いたします。市村浩一郎君。

○衆議院議員（市村浩一郎君）　ただいま議題となりました重要電子計算機に対する不正な行為による被害の防止に関する法律案の衆議院における修正部分につきまして、その趣旨及び内容を御説明申し上げます。 　第一に、本法律の適用に当たっては、必要最小限度において、法律の規定に従って厳格に権限を行使するものとし、いやしくも通信の秘密その他日本国憲法の保障する国民の権利と自由を不当に制限するようなことがあってはならない旨を明記することとしております。 　第二に、サイバー通信情報監理委員会の国会報告に関し、必要的報告事項を列挙することとしております。 　第三に、政府は、附則第一条第四号に掲げる規定の施行後三年を目途として、特別社会基盤事業者による特定侵害事象等の報告等の状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずることとしております。 　以上であります。 　何とぞ委員各位の御賛同をお願い申し上げます。

○委員長（和田政宗君）　以上で両案の趣旨説明及び衆議院における修正部分の説明の聴取は終わりました。 　　　　─────────────

○委員長（和田政宗君）　この際、委員の異動について御報告いたします。 　本日、竹谷とし子さんが委員を辞任され、その補欠として窪田哲也君が選任されました。 　　　　─────────────

○委員長（和田政宗君）　これより質疑に入ります。 　質疑のある方は順次御発言願います。

○酒井庸行君　おはようございます。自民党の酒井庸行でございます。 　まず大臣に、この審議に入る前にお伺いをしたいというふうに思います。 　トランプ政権の下で、関税について世界が右往左往しております。このサイバー問題もいろんなところで、米の問題もあったりいろいろありますけれども、こういうところに関係しないとは言えないということも含めて、後で一番最後にまたまとめて大臣からのお考えをお聞きしたいとは思いますけれども、ここでは今の状況というものをどんなふうに内閣の大臣の一人として考えていらっしゃるか、お聞きしたいと存じます。

○国務大臣（平将明君）　米国との関税の交渉につきましては、現在、赤澤大臣が担当をしております。赤澤大臣が四月十六日から十八日にかけて、米国の関税措置に関する協議のため、米国ワシントンＤＣに出張されました。今日、閣議で報告があったところであります。 　トランプ大統領を赤澤大臣、表敬をし、石破総理のメッセージとして、日米双方の経済が強くなるような包括的な合意を可能な限り早期に実現したいとの考えを伝えました。その後、米国の関係閣僚と協議を行い、米国の関税措置は極めて遺憾であると、その旨を述べ、我が国の産業や日米両国における投資、雇用の拡大に与える影響等について我が国の考えを説明をしたという報告がありました。米国による一連の関税措置の見直しを強く申し入れたとのことであります。 　今般の協議の結果、日米間で次の三つについて一致をいたしました。まず一つが、双方が率直かつ建設的な姿勢で協議に臨み、可能な限り早期に合意をし、首脳間で発表できるように目指すこと、次回の協議を今月中に実施すべく日程を調整すること、閣僚レベルに加え、事務レベルでの協議も継続をするということであります。 　閣僚といたしましては、引き続き、石破総理の下、政府一丸になって対応してまいりたいと思いますし、また、今回御審議いただくサイバー対処能力強化法案は極めて重要な法律であります。世界が不安定になっていく中で、我が国の国民生活や経済、また国家を守るために必要不可欠な法律でありますので、何とぞ早急にお認めをいただき、政府としては体制を整えてまいりたいと、そのように考えております。

○酒井庸行君　ありがとうございます。 　それでは、審議に、本題に入っていきたいというふうに思います。 　いよいよ能動的サイバー制御法の法案に入るわけでありますけれども、令和四年のときに閣議決定をされました国家安全保障戦略において、武力攻撃に至らないものの、国や重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除し、また、このようなサイバー攻撃が発生した場合の被害の拡大を防止するために能動的サイバー防御を導入するということが掲げられました。 　今回、この長い法案名ですけれども、重要電子計算機に対する不正な行為による被害の防止に関する法律ということでありますけれども、この法案、この法案名を聞いたときに、どんな法案なのという方が、国民の皆さんには感じられているというふうに思います。 　そこで、この法案がどんなことを目指しているかということも明らかにするために、そもそものことになりますけれども、重要電子計算機とは何を指しているのか、国民の皆さんに分かりやすく説明をしていただけませんでしょうか。

○政府参考人（小柳誠二君）　お答えを申し上げます。 　本法案におきましては、重要電子計算機を大きく三類型から定義をしてございます。 　第一に、国の行政機関などが使用する電子計算機でございます。このうち、そのサイバーセキュリティーが害された場合において、その機関などにおける重要情報の管理又は重要な情報システムの運用に関する事務の実施に重大な支障が生ずるおそれがあるものを重要電子計算機と定義をしております。 　第二に、基幹インフラ事業者が使用する電子計算機であります。このうち、そのサイバーセキュリティーが害された場合において、特定重要設備の機能が停止し、又は低下するおそれがあるものを重要電子計算機と定義をいたしております。 　第三に、重要情報を保有する事業者が使用する電子計算機であります。このうち、そのサイバーセキュリティーが害された場合において、当該事業者における重要情報の管理に関する業務の実施に重大な支障が生ずるおそれがあるものを重要電子計算機と定義をいたしております。 　今申し上げたこれら三類型の重要電子計算機は、サイバー攻撃を受けた場合に、国家及び国民の安全を害し、又は国民生活若しくは経済活動に多大な影響を及ぼすおそれがあることから、重要電子計算機に対する不正な行為による被害の防止に関する法律案との法案名の下、本法案を通じ、サイバー攻撃による被害の防止を図っていく必要があるものとして位置付けているところでございます。

○酒井庸行君　きっと国民は今の説明を聞いただけでも分かんないと私は思います、結論的に言えば、国民の経済を含めた安全、安心を守ろうとするということなんでしょうけれども。 　そこで、二つ目の質問でありますけれども、これも基本的なことで申し上げたいんですけれども、お聞きをしたいんですけれども、能動的サイバーという言葉であります。能動的サイバー防御という言葉でありますけれども、これについてのその事例を含めた、これは一体どういうことなのかということもちょっと御説明していただけないでしょうか。

○政府参考人（小柳誠二君）　お答えを申し上げます。 　本法案は、官民連携の強化、通信情報の利用、攻撃者のサーバー等へのアクセス・無害化の三つの取組を柱とする能動的サイバー防御を導入するものでございます。 　国家安全保障戦略におきまして、能動的サイバー防御は、武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除し、また、このようなサイバー攻撃が発生した場合の被害の拡大を防止するために導入するものとされているところでございます。 　具体的な事例としては、例えば、有事における機能不全を生じさせることを念頭に、そうした事態に至る前の段階から基幹インフラのシステム内部へのアクセスを確保するタイプのサイバー攻撃などが考えられるところでございます。こうした攻撃に関しては、事業者からのインシデント報告や通信情報の利用によってその手法等を把握できれば、他の事業者に対しても情報提供することやアクセス・無害化措置を講ずることなどにより被害の拡大などを防止することが可能となります。 　このほか、いわゆるＤＤｏＳ攻撃やランサムウェアなどに対しても対応能力を向上させることが可能となります。 　まず、ＤＤｏＳ攻撃でございます。多数の乗っ取られた機器から特定のサーバーに対して一度に大量の通信を送出し、通信ネットワークやサーバーの処理能力をあふれさせることなどによって被害者側のサービス提供を妨げる攻撃が生じている場合を例といたしますと、この場合には、インシデント報告を踏まえて通信情報を分析することなどにより、必要に応じ、乗っ取られた機器に対し指令を出しているサーバーを割り出し、当該指令サーバーにアクセスして不正プログラムを無害化することで被害の拡大を防止するといったことが考えられます。 　また、データを不正に暗号化し、また盗み出し、身の代金を要求するランサムウェアのうち高度な手法を用いるものに対しましては、例えばインシデント報告を受けた場合に、その内容を踏まえながら、必要に応じ通信情報等も併せて分析するなどした上で、その結果に応じ必要な注意喚起を行うことなどによって被害の最小化を図るといったことも想定されるところでございます。 　このように、能動的サイバー防御を導入することは、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃を未然に排除し、また、その被害の拡大を防止することを始め、ＤＤｏＳ攻撃やランサムウェアに対する対応能力の向上にも役立つものと考えているところでございます。

○酒井庸行君　今、ＤＤｏＳとかランサムウェアとかインシデントという言葉が出てまいりました。今その説明をしていただいたので、きっと国民の皆さんもお分かりになるだろうと思います。私も、質問の中にやっぱりその言葉が入ってきちゃうので、その言葉を説明しようかと思っていましたけれども、お答えいただいたので、そのままずっと質問に入っていきたいというふうに思います。 　この法案を議論する前提として、現在のサイバー空間における要は脅威に対するもう恐怖感と言ってもいいんだというふうに私は認識を、皆さんもしていらっしゃるというふうに思います。現在、社会のデジタル化が進んでインフラやサービスがデジタル化に大きく依存する中でサイバーセキュリティーを確保するということは、国民にとって不可欠なインフラやサービスの安定的な提供、そして国民の重要な情報の保護、さらには安全保障といった点で極めて重要だというふうに思います。 　そのような中で、サイバー攻撃は我が国においても日々発生をしております。昨年の年末、そして今年の初めには、航空会社や金融機関が先ほどお話しになったＤＤｏＳ攻撃を受けてサービスの、一時止まりました。そして、ランサムウェアという攻撃によって名古屋港のターミナルが一時その営業を停止したというか、操業が停止になったということもありますし、ＪＡＸＡにまた不正アクセスが、受けたということ、そして官民を問わず様々な組織が被害を受けているということがありますよね。このことで、国家が関与する形のサイバー攻撃事案というのも見受けられているというのが今だというふうに思います。 　昨年、御承知のとおり、北朝鮮を背景とする攻撃グループによって約四百八十二億円という、相当のビットコインが窃取されるという事案が発生をしました。今回の法案の出発点であります国家安全保障戦略においても、サイバー攻撃による重要インフラの機能停止だとか破壊、他国への選挙への干渉だとか身の代金の要求だとか、非常に、機微情報のいわゆる盗みというか窃取等は国家を背景とした形でも平素から行われているということが指摘をされています。このような国家を背景とするサイバー攻撃が我が国を標的にしているということをしっかりと認識することが大変重要だというふうに考えます。 　そこで、次々に起こってまいりますサイバー攻撃から我が国を守り抜くためには、現状を正しく認識することがその第一歩でありますけれども、申し上げたようなサイバー空間の脅威を認識した上で今回の法案を提案しているということだというふうに思いますが、改めて、政府として現在のサイバー空間における脅威をどう認識しているのか、お答えをしていただけますでしょうか。

○政府参考人（中溝和孝君）　お答えいたします。 　近年、サイバー攻撃に対する懸念が急速に高まっており、例えば、重要インフラの機能停止や機微情報の窃取を目的とする高度なサイバー攻撃が見られるとともに、国立研究開発法人情報通信研究機構、ＮＩＣＴの観測網によりますと、攻撃関連通信が十三秒に一回観測されるということなど、質、量の両面で脅威が増大しております。また、サイバー攻撃の手法につきましても、委員御指摘ございましたとおり、高度な潜伏力等を駆使して重要インフラへ侵入するといった国家の関与が疑われる組織化、洗練化されたサイバー攻撃の脅威が高まっており、安全保障上の大きな懸念にもなってございます。 　このように、我が国におけるサイバー攻撃の脅威は増大しているというふうに認識しておりまして、我が国のサイバー対処能力の向上を図るため、本法案を提出したものでございます。

○酒井庸行君　それでは、続きまして、今お話もございましたけれども、そうした脅威に対してどのように対策を講じていくかということになるというふうに思います。 　一足飛びにこの法案に対する話題を移す前に、今ちょっと話もありましたけれども、これまでの政府の取組というのをもう一度確認をしたいというふうに思います。 　サイバー攻撃という戦い、まあ戦いですよね、ある意味ではですね、これは昨日今日始まったわけではありませんでして、内閣官房内閣サイバーセキュリティセンターの前身に当たる組織は二〇〇五年にもう設置をされています。そして、サイバーセキュリティ基本法が議員立法によって成立をして、それに基づいてサイバーセキュリティ戦略本部が設置されたのが二〇一五年であります。その当時から現在に至るまで、内閣官房や各関係省庁において、我が国のサイバーセキュリティーの確保に向けた様々な措置が講じられてきております。それらを踏まえて、最近のサイバー攻撃の脅威に対処できるよう、我が国のサイバー対処能力を更に引き上げるために今回の法案が提案されたということでありますね。 　そこで、この法案に関する議論のベースとして、まず、これまでの取組を確認する観点から、政府において我が国におけるサイバーセキュリティーの確保のため現在どのような施策を講じているのかということもお伺いをしたいと存じます。

○政府参考人（中溝和孝君）　お答えいたします。 　政府におきましては、サイバーセキュリティ基本法に基づきまして、戦略本部の下、サイバーセキュリティ戦略を閣議決定し、サイバー攻撃に関する対策を進めてきております。 　具体的には、まず政府機関に対しましては、セキュリティー水準を一定以上に保つための対策の基準、いわゆる政府統一基準の策定、監査を通じた取組の実施状況の把握及び必要な助言、不審な通信の横断的な監視などを実施してございます。また、情報通信、電力、金融等十五分野の重要インフラにつきましては、行動計画を策定いたしまして、安全基準等の整備、官民での情報共有の促進、演習による対処能力の向上などの取組を実施してございます。 　政府としては、こうした既存の取組も更に強化してまいりたいと考えております。

○酒井庸行君　今確認をさせていただきました。 　では、次の質問ですけれども、政府機関がサイバー攻撃を受けて機能の停止に陥れば、我が国の社会経済への影響は本当に計り知れないものとなりますよね。日々の国民の皆さんの生活や経済活動に影響が出ないようにその機能を維持していただくことが必要だというふうに思います。 　そのためには、政府には関係省庁が連携して一体となってしっかりとした取組を行っていただきたいというふうに思いますけれども、今御答弁もありましたけれども、日々サイバー攻撃が複雑化をして巧妙化している中で、どれだけ高度なセキュリティーコードの基準を設けても、それをふだんから適切に実行をしていくといったとしても、サイバーセキュリティーの世界においては完全に一〇〇％守ることができるということは、そんなことは考えられもできないでしょうし、また難しいことであるというふうに思います。 　そのために、新たな脅威が生じたときに臨機応変に対応するということが必要であるんですけれども、それぞれの個々の政府機関に対しての脅威が生じていないかを常日頃からチェックをすると、監視をするという、監視をして新たな脅威を把握したときに臨機応変に対応していくということが必要だというふうに思います。 　先ほどの答弁にも少し関連をしますけれども、いわゆるその内閣サイバーセキュリティセンターにおいてはＧＳＯＣという枠組み、これはＧＳＯＣというのもまた皆さん分からないかも分かりませんけれども、いわゆるそのＧＳＯＣって各省庁等へのサイバー攻撃を監視するというシステムですよね、この枠組みの中で各政府機関の主なシステムについて監視を行って、必要に応じて警告や注意喚起をしてきているというふうに承知はしています。 　そこで、昨年の十一月に公表されたサイバー安全保障分野での対応能力の向上に向けた有識者会議の提言では、府省横断的なリスク評価や注意喚起についての対応が個々の政府機関に委ねられている点を改めて、対応の実効性を確保する仕組みを制度として設けることが重要だということが指摘をされています。 　これまでも各政府機関においてはしっかりとした対応をしてきているものとは存じますけれども、先ほど申し上げたとおり、サイバー攻撃というのは複雑、巧妙化をしているという現状がある中において、内閣サイバーセキュリティセンターを発展的に改組をして設置をして、政府におけるサイバーセキュリティーの知見を結集することとなる新たな組織において各政府機関における対応を含めて政府横断的にセキュリティー対策の状況を評価をして、そして対策が不十分な場合には確実に対応してもらえるように実効性を確保していくということが非常に必要ではないかというふうに考えます。 　そこで、今般のサイバーセキュリティ基本法の改正の中で、サイバーセキュリティ戦略本部の機能強化の一つとして、国の行政機関等におけるサイバーセキュリティー確保の状況の、先ほどちょっと言いました評価が含まれているということでございますけれども、具体的にサイバーセキュリティ戦略本部として何を行っていくのか、また、これまでの内閣サイバーセキュリティセンターが行ってきた取組と何が変わっているのかということをお伺いをしたいと存じます。

○政府参考人（中溝和孝君）　お答えいたします。 　今般の法改正により、サイバーセキュリティーの確保の状況の評価が戦略本部の新たな事務として追加されることとなります。これまで政府機関等の情報システムに対して生じました脅威等に対しましては、内閣サイバーセキュリティセンター、ＮＩＳＣが各省庁に対して自主的な対応を求めてまいりましたが、法改正によりまして、こうした取組が、戦略本部長である内閣総理大臣による報告の求めや勧告をできる戦略本部の事務に位置付けられることとなります。 　具体的には、政府機関へのサイバー攻撃等について、二十四時間体制による横断的な監視及び分析を行いまして不審な通信等を検知し、対応が必要と判断した際には当該政府機関に通知、通報いたしまして、必要な場合には実効性のある対策を直ちに実施するよう求めることが可能となります。

○酒井庸行君　今のお話から、もう少し、今度は経産省にお伺いをしたいというふうに思います。 　サイバーセキュリティーを強化していかなきゃいけないというふうで内閣府でやっているわけですけれども、日本全体のサイバーセキュリティーを強化していくということについては、これは中小企業ですよね、に対しての、対民間企業への取組が非常に重要になってまいります。なかなか中小企業が対応するということは難しいんですけれども。 　そこで、重要インフラ事業者という言葉がありますけれども、中心に様々な措置を講じるということにされていますけれども、昨年にはＫＡＤＯＫＡＷＡですね、へのサイバー攻撃もあったり、先ほど言ったように航空事業者や金融機関や通信事業者に対するＤＤｏＳ攻撃もあったということがあります。それこそ重要インフラ事業者に限らないということで、一般の民間企業やリソースの限りのある地域の中小企業についてもサイバーセキュリティー対策の強化を促していくということが重要だということに思います。 　そこで、今回の法案の枠組みの話として、重要インフラ事業者に限らない一般の民間企業や地域の中小企業など産業界全体のサイバーセキュリティー対策の強化に向けて政府としてどのような取組を行っていくつもりか、方向性を教えていただきたいと存じます。

○政府参考人（西村秀隆君）　お答え申し上げます。 　委員御指摘のとおり、デジタル化の進展や地政学リスクの高まり等に伴いサイバーリスクが高まってきている中、中小企業者を含めた産業界全体のサイバーセキュリティー対策の強化は不可欠と考えてございます。 　こうした観点から、経済産業省としては、サプライチェーン全体の対策水準の向上に向けたガイドラインの整備や人材育成の促進、中小企業向けの支援策の普及啓発や見直し、安全なＩｏＴ製品やソフトウェアの流通促進に向けた国内制度の整備や国際的な制度調和、サイバー攻撃の被害組織への対応支援等を行う情報処理推進機構の機能強化、我が国におけるサイバーセキュリティー供給能力の拡大に向けた政策パッケージの実行、これらの対策を多層的に推進し、政府全体のサイバー安全保障の実現に向けた取組に貢献してまいりたいと考えてございます。

○酒井庸行君　経産省におかれましては、経済安全保障という観点も含めて非常に重要なところの省庁だというふうに思いますので、これはしっかりと他省庁とも組みながら進めていっていただきたいということをお願いをしておきたいと思います。もう日本の経済が壊れてしまうということも経産省のところに、頭によく置いておいていただきたいというふうに思います。 　そして、次ですけれども、大臣にお尋ねをしたいというふうに思います。 　これは非常に重要なというかセンシティブというか、そういう質問になるかというふうに思いますけれども、先ほどから言うように、国民の生活、経済活動に直接関わる重要なインフラに取り組むということでお伺いをしたいというふうに思います。 　今回の法案では、経済安全保障推進法において提供するサービスに支障が生じた場合に国家や国民の安全を損なう事態が生じるおそれがある事業者として定められる基幹インフラ事業者に対して、電子計算機の事前の届出やインシデント報告を求めるということにしています。さっきよりインシデントという言葉も出てまいりましたから、アクシデントになる一歩手前という意味ですよね、それを報告するということが求められています。 　いる一方、これまで内閣サイバーセキュリティセンターにおいては、サイバーセキュリティ基本法に基づいて、より広い概念である重要インフラ事業者、これ二つ、私、基幹インフラ事業者と重要インフラ事業者というのを今言いましたけれども、これちょっと後でも質問しますけれども、違いを質問いたしますけれども、インフラ事業として機能が停止した場合に国民生活や経済活動に多大な影響を及ぼす事業者を対象に、これらの事業者のセキュリティー対策の底上げを進めてきたというふうに認識をしています。 　具体的には、サイバーセキュリティ戦略本部において、重要インフラ事業者等として、電力や通信のほか、医療や自治体を含めて国民生活や経済活動と密接に関係をする十五分野を対象として定めて、同本部の事務局である内閣サイバーセキュリティセンターが各所管の省庁と連携をしてこれらの事業者による自主的な取組を推進しているというふうに聞いております。 　このような重要インフラ事業者等を対象とした強制力を伴わない自主的なセキュリティー対策を進める現行の取組には一定の意義があるとは存じます。今後も続けていくべきであると思いますが、しかしながら、日々サイバー攻撃が複雑巧妙化しているという先ほどの話もある中で、重要インフラ事業者等に対するサービスが安定的に提供されるためには、重要インフラ事業者等による自主的なセキュリティー対策に委ねるだけではなくて、政府としても少なくともこの対策は取ってもらう必要があるものだということをはっきり明示をして、ふだんからのセキュリティー対策の実効性の確保に取り組んでもらうように、必要があるのではないかというふうに考えます。事業者自らが主体的にセキュリティー対策に取り組むことは何よりも重要ではあるんですけれども、その一方で、ふだんからどこまでセキュリティー対策を強化していけばいいのか、その判断は難しい部分もあるんじゃないかなというふうに私は考えます。 　この点に関して、先ほども取り上げましたけれども、サイバー安全保障分野での対応能力の向上に向けた提言において、重要インフラ事業者等の対策強化に関して、ふだんから求められるサイバーセキュリティー対策の質の確保のいわゆる観点、質の確保の、保証といいますか、その観点から、基準あるいはガイドラインという手法によって行政がなすべきと考える水準を分かりやすく示して、制度的に誘導していくということも必要とされているというふうに思います。 　このように、重要インフラは国民生活や経済活動に密接に関わるものでありますので、民間の自主的な取組に完全に委ねるのではなくて、政府としても、サイバーセキュリティーの司令塔としてイニシアチブを発揮していただく必要があるのではないんかなというふうに思います。 　そして、具体的に申し上げると、基幹インフラ事業者のみならず、幅広い重要インフラ事業者等に、これまで以上に確実にセキュリティー対策の強化に取り組んでいくに当たっては、これまでのその役割を担ってきたサイバーセキュリティ戦略本部がその道筋を示すべきだというふうに思いますし、重要インフラ事業者を所管する各省庁と一体となってその取組をやっぱり強化していかなきゃならないということを考えます。 　そこで、今般の法改正について、サイバーセキュリティ戦略本部についてを規定をしておりますサイバーセキュリティ基本法の改正も含まれていると承知をしていますが、国民生活や経済活動を守るために、サイバーセキュリティ戦略本部やその事務局である内閣サイバーセキュリティセンターにおいて重要インフラ事業者のふだんからのセキュリティー対策の強化に向けてこれまでどのような取組を進めてきたのか、そして、今般の法改正によってその取組をどのようにしていくのか、平大臣にお伺いをしたいと存じます。

○国務大臣（平将明君）　サイバーセキュリティ戦略本部においては、内閣サイバーセキュリティセンター、ＮＩＳＣが事務局を務め、重要インフラ事業者等における自主的な取組を促進するため、重要インフラのサイバーセキュリティに係る行動計画を策定するとともに、各重要インフラ分野に共通して求められるセキュリティー対策を安全基準等策定指針として策定をしております。これが今までの取組であります。 　今般のサイバーセキュリティーの基本法の改正では、これらの取組の実効性を高めるため、サイバーセキュリティ戦略本部において重要インフラを所管する各省庁が統一的に実施すべき施策の基準を定め、各省庁では当該基準に基づき重要インフラ事業者等に一定の対策を求めるなどの施策を実施することとしております。 　当該基準に基づき各省庁が実施する施策については戦略本部において評価を行うこととしており、これにより、各省庁の施策が一層強化されることを通じ重要インフラ全体でふだんからのセキュリティー対策を強化をしていきたいと考えております。

○酒井庸行君　ありがとうございます。 　続けて大臣にお尋ねをしたいというふうに思います。 　あっ、その前に、先ほどちょっと、基幹インフラと重要インフラというのの違いというのを参考人の方にお聞きをしたいと思うんですけれども、基幹インフラも、今、さっきの名古屋の港湾の事件があってから十五の中に入りました。これが、電気、ガス、石油、水道、鉄道、貨物自動車運送、外航の貨物、航空、空港、電気通信、放送、郵便、金融、クレジット、港湾と、これは基幹インフラの十五でありますね。次に、重要インフラというのが、先ほどの中のガス、水道、鉄道、航空、空港、金融、クレジット、港湾、それの別に、情報通信、電力、政府・行政サービス、医療、物流、化学というふうにありますね。 　ということなんですけど、これはどういうところでこういう形になっていったというのを、前のところだったと思いますけど、ちょっと教えてください。

○政府参考人（門松貴君）　お答えいたします。 　御指摘の重要インフラ事業者と基幹インフラ事業者でございますが、共に国民生活及び経済活動の基盤となるインフラ事業を行う者を指すわけでございますが、このうち、まず重要インフラ事業者。 　これは、サイバーセキュリティ基本法に基づきまして、その機能が停止し、又は低下した場合に国民生活又は経済活動に多大な影響を及ぼすおそれが生じるものに関する事業を行う者が幅広く、幅広く位置付けられているということでございまして、先ほど先生からもお話がありました、自主的かつ積極的にサイバーセキュリティーの確保に努めることが求められているというものでございます。 　一方で、基幹インフラ事業者でございますが、こちらは、経済安保推進法に基づきまして、その安定的な提供に支障が生じた場合に国家及び国民の安全を損なう、安全を損なう事態を生じるおそれがあるものの提供を行う者として二百十五者に限り指定されているものでございまして、同法に基づき一定の重要設備を導入する際の事前届出が義務付けられているというものでございます。 　今回の法案におきましては、有識者会議においても、重要インフラ事業者等の中でも、サイバー攻撃が発生した場合において国家及び国民の安全を損なう事態が生じるおそれがある基幹インフラ事業者に対して、基幹インフラ事業者に対して、インシデント報告を義務化し情報共有を促進すべきであるとの御提言をいただいています。サイバー攻撃を受けた場合の影響を踏まえまして、基幹インフラ事業者に対し資産届出やインシデント報告を義務付けるということとしたということでございます。

○酒井庸行君　今のいわゆる基幹インフラと重要インフラの違いといいますか、お話を聞いて、重要インフラというのは本当に幅広くということだというふうに私も認識をしました。 　そこで大臣にお聞きをしたいということなんですけれども、いわゆる民間事業者との関係、その構築ですね、より良い補完的な関係をつくるということでのことについて質問をしたいというふうに思います。 　アメリカを始めとして主要国は、ボルト・タイフーンと呼ばれる中国を背景にするものとされるサイバー攻撃グループについての注意喚起を出しておりまして、それによれば、通信やエネルギー、水道といった基幹的なインフラ攻撃の脅威が高まっているとされております。先ほども、最初に参考人の方から、こうした有事という言葉を使われました。これもやっぱり有事なんでしょう。こうした有事において真っ先にサイバー攻撃を受ける可能性がある基幹的なインフラ事業者との連携を強化していっていくということは、我が国のサイバー安全保障を考える上で大変重要で、まあ一丁目一番地と言えるというふうに思います。 　また、経済界からも、我が国全体のいわゆる、何というか、そのサイバー攻撃に対する復元力、あるいはいろんな経済的な復元力というか回復力というのを強化しなきゃならぬということの喫緊の課題というのがあって、法案についてはこの方針を支持するという、との意見が提出をされています。その上で、経済界からは、新たな組織においてギブ・アンド・テークという概念を念頭に置きながら、経営層の意思決定に有用な情報提供を実施すべきである、セキュリティークリアランス制度を十分に活用すべきといった内容の提言もされています。 　この法案では、基幹インフラ事業者に対してインシデント報告、特定の重要電子計算機の届出義務を課しておりますし、さらに、それらの情報を整理、分析した上で、必要がある場合にはこの分析情報を提供することができるとしておりますけれども、実際に、諸外国においても、民間事業者への情報提供は政府の役割として位置付けられております。 　いわゆる脅威情報等の提供が行われておるわけですけれども、このような中で、政府においては、例えば外国政府から共有された情報など、政府ならではの情報も活用して積極的に分析をし、情報発信を行っていくことが不可欠だというふうに存じます。 　民間事業者から情報を吸い上げるだけの一方的な関係ではなくて、ウィン・ウィンでやっぱり関係を築いていくべきではないかというふうに思いますけれども、政府の考え方を大臣にお聞きをしたいと存じます。

○国務大臣（平将明君）　我が国のサイバーセキュリティーの向上に向けては、官民連携の一層の強化が重要であり、委員と問題意識は全く共有をしております。まさにウィン・ウィンの関係を構築していくことが必要であり、この関係構築できないと多分この法律は機能しないという意識を持って取り組んでまいりたいと思っております。 　この点で、これまでの内閣サイバーセキュリティセンターに対しては、民間事業者に対して情報提供を求める一方、十分なフィードバックが行われてこなかったという民間側の御意見もあったというふうに承知をしております。有識者会議においても、産業界をサイバー安全保障の顧客として位置付けることが重要と提言をいただいています。 　政府から積極的にフィードバックを行い、情報提供を行うことにメリットを感じていただく好循環を生んでいけるように、今後の制度運用に努めていきたいと思います。

○酒井庸行君　時間のちょっと配分からいくと、一つ飛ばします。 　次は、これも大臣にお聞きをするということにした方がいいかなというふうに思いますけれども、独立機関でありますサイバー通信情報監理委員会についてでありますけれども、これもちょっとお尋ねを大臣よりも参考人にしたいというふうに思いましたけれども、大臣にお聞きする質問として先に行きます。 　この委員会は、審査や検査を通じて行政機関における法令遵守を確保して、制度の信頼性を確保していくという役割を担うわけですよね。この委員会自体の信頼性はどう確保されるのかという視点からお尋ねをしたいというふうに思います。大変重要な委員会だというふうに思います。 　委員会はそれ自体も行政機関であって、またその委員長と委員は国会同意も経て慎重に選ばれるということですから、そのような委員会が信頼のある組織になるということは本来は当然のことだというふうに思います。しかしながら、実際に信頼される組織になるということは簡単ではないんですよね、なかなか。 　例えば、この法案は基幹インフラなどの重要電子計算機のサイバーセキュリティーを守るためのものですから、委員会は検査の対象になる行政機関から通信情報を集めて取得することができるということが法案に明記をされております。その委員会に集められた通信情報が委員会から漏えいするようなことが起こってしまえば、委員会の信頼性が著しく低下をして存在意義が問われるということになりかねないということになります。 　そして、サイバーセキュリティーの確保の問題については、法律を一応守っているから万全だということは言い切れない場合もあるというふうに思います。委員会の実際の取組が行われることになるのではないかというふうに、問われることになるということではないかというふうに考えます。 　そして、この委員会が実際に信頼に足る組織になっていくかどうかという点は、委員会の審査や検査が円滑に行われるかどうか、そしてこの法律の運用がきちんと回っていくかという点も重要なのではないかというふうに思います。 　例えば、新しく設置された委員会は、政府に法令遵守をさせるという意味で、違反を見付けたかどうかが外から見た場合の評価の基準であるかのように考えるかもしれない。でも、もし委員会がそのような姿勢でいると、検査を受ける行政機関の側も、適正な運用を委員会とともにつくり上げるのじゃないか、じゃないかではなくて、つくり上げるのではなく、違反との指摘を受けないようにごまかしたり、なるべく最小限の対応で済ませようということになったりしかねない、しかねないということも考えられるというふうに思います。 　こうなってしまうと、いかに強力な権限を委員会が持っていたとしても、検査を受ける行政機関の方から積極的に見直しして改善していこうという取組にはならないということになってしまうんじゃないかなというふうに思います。つまり、委員会は、検査対象となる行政機関と一定の緊張関係を保ちつつも、同時に信頼される存在となることが是非とも必要ではないのかということではないんでしょうか。 　もちろん、繰り返しになりますけれども、委員会の独立性が大変に重要であることは言うまでもないことですけれども、委員会の業務の具体的な方法、業務の具体的な方法については委員会の独自の判断に任せるべきだとは思います。ですが、そうは言っても、この法律の趣旨を踏まえると、委員会が信頼に足る組織になることが特に重要だという基本的な考え方はこの国会の場で明らかにしておく必要があるというふうに思います。 　こうした点を踏まえて、委員会の信頼性を確保していくための考え方の方法について、大臣から御説明をいただければと思います。

○国務大臣（平将明君）　大変重要な御質問をいただきました。 　サイバー通信情報監理委員会の業務を効果的に推進するためには、委員御指摘のとおり、委員会と関係行政機関が一定の緊張関係を保ちつつ、相互に信頼し、信頼される存在となることが重要であると認識をしております。 　そのためには、平素から相互の任務の重要性をよく理解するように努めるとともに、相互に必要な情報共有や意思疎通を緊密に行うことで信頼関係を構築していくことが必要と考えられます。また、こうした実務の集積により、委員会においても承認や検査が迅速かつ的確に行われ、ひいては関係行政機関の業務の推進にも資することとなります。 　私といたしましても、このような相互の関係が構築されるよう、委員会に対する働きかけや関係行政機関に対する調整等を行ってまいります。

○酒井庸行君　大臣が大変重要なということをおっしゃってくださいましたので、本当にこの委員会というのは一つ間違えると大変なことになってしまうということも懸念されるから、しっかりとこれは、国会の場でもしっかり討論をしながらやっていただきたいと存じます。 　それでは次は、警察、自衛隊に関しての、これもサイバーセキュリティーに関する人材確保についてお話をお伺いしたいというふうに思います。 　これは、本会議場で山本理事からも人材確保のことで総理にお話をさせていただきましたけれども、これは警察及び自衛隊というところのことを考えたときに、大変重要なところだというふうに思います。高度化したサイバー攻撃に対する対処能力を強化するためには、制度面だけではなくて、それを担う人材が重要であるということは言うまでもありません。法案によって、この法案によって、アクセス・無害化措置の導入に向けて制度面としては一つの区切りになるというふうになりますけれども、実際に、適切にまた効果的に運用を行うためには現在の体制で足りるのかといったときに、どう考えても足りないというふうに思ってしまいます。措置に係る警察及び防衛省・自衛隊の要員の確保や能力の向上は極めて重要であるというふうに考えます。 　サイバー安全保障の分野での対応能力の向上に向けた有識者の会議の中においても、今後の検討課題として、アクセス・無害化を実施していくに当たっては多岐にわたる高度な専門性を有する人材の育成、確保に取り組んでいく必要があるというふうに思います。 　でも、そこでも、やっぱり今の日本は少子化で労働力人口も少なくなっている中でありますので、この取組に対して人材確保するためにはどうするかということが大変難しい状況ではあるんでしょうけれども、やっぱり、民間との関係の中で、民間企業等も含めて自由にその行き来ができるような人事交流をして、もう思い切った大胆な発想でやることが重要じゃないかなと思います。 　防衛省はサイバーコンテストも実施されるというふうに伺っておりますので、そこで、警察庁及び防衛省にお聞きをしたいと存じますけれども、実施主体である警察と防衛省・自衛隊において、こうしたアクセス・無害化に、担い手となる人材の確保についてどう考えているかということであります。そして、そのためのいろんな施策を含めた確保に向けたそれぞれの覚悟と意気込みをお尋ねをいたします。

○政府参考人（逢阪貴士君）　お答えいたします。 　サイバー空間の脅威に的確に対処するためには人的基盤の強化が重要と認識しており、警察庁では、全国の都道府県警察等に対してサイバー人材の確保、育成に関する方針を示し、組織を挙げて全警察職員の対処能力の向上を図っているところでございます。 　人材確保の観点では、即戦力を確保するため、全国の都道府県警察において民間企業での経験を有する外部人材の中途採用、特別採用を推進しており、現在、全国で約四百六十人が在籍しているほか、警察庁においても民間企業社員を官民人事交流制度により採用しており、こうした取組を通じ、全国で約三千四百人のサイバー人材がサイバー部門に専従し、高度な知見と経験を積み重ねているところでございます。 　また、技術特化型のトップレベル人材等を育成すべく、民間企業が実施する研修、訓練への参加、あるいは最先端の研究を行っている国内外の学術機関等への職員派遣などの取組も推進しているところでございます。 　アクセス・無害化措置の担い手となるサイバー危害防止措置執行官については、こうした人材の中から情報技術やサイバーセキュリティーに関する高度な専門的知識、能力を有しているかなどの観点を総合的に勘案して適切な警察官を指名し、法律の施行までにアクセス・無害化措置を実施する体制を整備してまいりたいと考えております。 　引き続き、サイバー空間の脅威に的確に対処するため、警察全体の対処能力の底上げや高度な人材の育成のほか、民間人材の積極的な登用を始めとした多様な人材の確保を推進するなど、人材基盤の強化に努めてまいりたいと考えております。

○酒井庸行君　もう時間が来ましたので、最後、大臣にちょっとお願いをしたいというふうに思います。 　最初に申し上げたように、この法案は本当に大変な重要な法案と言っても過言ではありません。今の世界の状況、日本の状況を含めて、いろんなことがサイバー的に起こって、米にしてもエネルギーにしても何にしても、攻撃をされたらもうとんでもないことになるので、最後に大臣のこの法案に対する抱負、あるいは世界全体を含めて、いろんな思いを述べていただけますでしょうか。

○国務大臣（平将明君）　私、この分野、関心を持ってもう五年ぐらい取り組んでおります。憲法的な議論もありましたので時間掛かりましたが、ようやく包括的な網羅的な法律ができました。自信を持って今委員会にお諮りをしているところであります。 　サイバーセキュリティーを取り巻く環境はますます厳しくなっていますので、一刻も早く皆さんの御理解をいただいて成立をさせたいと、その上で国家としてのサイバーセキュリティーの能力を高めてまいりたいと、そのように思っております。

○酒井庸行君　終わります。

○河野義博君　公明党の河野義博です。 　本法律案については、昨今の国家を背景とするサイバー攻撃に対処するため、大変重要な法案だと認識をしています。ここに至るまで慎重かつ丁寧な検討を進められてきた御担当者の皆様の御努力にも敬意を表します。 　また、サイバー攻撃に対処するに当たっては、中小企業も含む民間事業者とも協力しなければその目的を達成することはできず、国民の理解を得るための努力も必要だと考えています。こうした観点から、官民連携の強化やインシデント報告などについて議論をさせていただきたいというふうに思います。 　まず、官民連携の全体像についてお伺いをしたいと思います。 　ロシアによるウクライナへの軍事侵攻においては、開戦前から政府機関や電力事業者などを狙ったサイバー攻撃が多発していたほか、侵攻を開始したまさにその日にも通信事業者を狙ったサイバー攻撃により大規模な通信障害が発生したと報道されています。 　このような事例を見ても明らかなように、我が国のサイバー安全保障の確保に当たっては、国家や国民生活を支える基幹インフラを始めとする民間事業者との連携が非常に重要だと考えます。本法案におきましても、官民連携の強化が我が国のサイバー安全保障の確保に向けた柱の一つとして位置付けられていますが、どのような方針で、具体的にどのような取組を行っていかれるでしょうか。平大臣に伺います。

○国務大臣（平将明君）　御質問ありがとうございます。 　国家を背景とした重要インフラに対する高度なサイバー攻撃への懸念の拡大や社会全体におけるデジタルトランスフォーメーションの進展を踏まえると、官のみあるいは民のみでサイバーセキュリティーを確保することはもう極めて困難でございます。もう御承知のとおりだと思います。 　このため、今回のサイバー対処能力強化法案においては、政府が基幹インフラ事業者を始めとする民間事業者から提供いただくような情報を整理、分析するとともに、サイバー攻撃による被害の防止に必要な情報を政府が民間事業者に提供するなど、官民双方向での情報共有を推進し、我が国全体のサイバーセキュリティーの強化を図ることとしております。 　基幹インフラ事業者を始めとした事業者の協力を確保するためには、事業者の皆様にこうした情報共有の意義、メリットを感じていただくことが重要であり、事業者の視点に立って、有益な情報の作成方法、協議会の効果的な運営方策等については必要な検討を進めてまいります。

○河野義博君　双方向でかつ有益なものにするという御発言でありました。 　官民の情報共有の枠組みとしては、既にサイバーセキュリティ協議会が運営をされております。幾つかの階層を設けて守秘義務や情報提供義務の適用に差を設けるとともに、それに応じて共有できる情報を分けて対応してきたというふうに承知をしております。現行のサイバーセキュリティ協議会の枠組みにおいて様々な主体が参加する中で、どのように情報共有を行ってこられたでしょうか、そうした運営の課題は何だったのでしょうか、御説明をいただきたいと思います。 　そして、これまでの課題も踏まえながら、新たに設置される協議会においてもその運用を工夫して、機微な情報を共有できるものと、一定程度共有できる情報には限りがあってもサイバーセキュリティー対策を行ってほしいものなど、その特性を踏まえた情報提供の在り方を模索していく必要もあると思います。多様な主体に対する的確な情報提供を実現するため、どのように取り組んでいかれるでしょうか。

○国務大臣（平将明君）　現行のサイバーセキュリティ協議会は、サイバーセキュリティ基本法に基づくものでございます。官民が相互に連携をし、サイバーセキュリティーの確保に資する情報を迅速に共有することにより、サイバー攻撃による被害の予防と拡大防止に一定の成果を上げてきたものと認識をしております。具体的には、例えば構成員となっているセキュリティーベンダーがサイバー攻撃に関する専門的な分析内容を持ち寄り、対応策等を整理した上で他のメンバーに共有等を行うなどしております。 　他方で、国家を背景とした高度なサイバー攻撃への懸念の拡大や社会全体におけるデジタルトランスフォーメーションの進展を踏まえると、政府が率先をして情報提供し、官民双方向での情報共有を更に強化、強力に推進する必要があると考えております。 　このような問題意識の下、サイバー対処能力強化法案における情報共有及び対策に関する協議会については、政府が新たな権限の下で収集した情報を内閣総理大臣が整理、分析をし、その結果をサイバー攻撃による被害防止のために協議会の構成員に共有する旨を規定をしております。 　また、政府が保有する秘匿性の高い情報についても共有できるよう、協議会の構成員による安全管理措置を法定をしているほか、守秘義務違反に対する罰則の引上げも行っております。 　加えて、一定の機微な情報についても適切な情報管理の下で協議会の構成員など必要な者が取り扱えるようにするため、セキュリティークリアランス制度の活用について必要な検討を進めてまいりたいと考えております。 　また、委員御指摘のとおり、それぞれの事業者には個別の事情があることから、政府が提供する情報の内容やその取扱いなど運用面を検討するに当たっては、専門家や事業者などの意見を丁寧に伺ってまいりたいと考えております。 　いずれにいたしましても、丁寧な制度設計を行い、官民双方向の情報共有が我が国全体のサイバーセキュリティーの対策強化につながるという好循環を実現できる仕組みとしていきたいと考えております。

○河野義博君　好循環となるように我々もしっかり応援していきたいと思います。 　本法案の中では、基幹インフラ事業者に対して、インシデント報告や保有する電子計算機の登録など様々な義務を課しております。意味のある情報提供を行っていくためにもまず情報収集が必要になるのは理解しますが、一方で、事業者の負担が過度に重くならないようにも配慮する必要があるのではないでしょうか。 　基幹インフラ事業者に課される義務の内容とその目的についてお伺いをしたいと思います。

○政府参考人（門松貴君）　お答えいたします。 　基幹インフラ事業者でございますが、サイバー攻撃によりそのシステムに障害が発生した場合、国家及び国民の安全を損なう事態が生じるおそれがあるということでございまして、官民連携してサイバーセキュリティーの確保に取り組む必要性が特に高いということで、一定の電子計算機を導入した場合の届出であったりとか、サイバーセキュリティーインシデントが発生した場合等の報告を義務付けるということとさせていただいております。 　政府としては、これから、これらの情報を整理、分析をするとともに、サイバー攻撃による被害の防止に必要な情報を政府が事業者に提供するなど官民双方向での情報共有を促進することとしておるわけでございますが、まさに先生御指摘のとおりで、これらの取組の実効性あるものとするためには、業界ごとのシステム特性に配慮するなど、例えば設備産業であったら、例えば電力とかですね、設備産業であればＯＴがあって、ＯＴとの連携どうするかというのが一番のポイントなんですけれども、一方で、金融であったり情報通信はそのＯＴに係るものがほとんどないといったように、相当事業者によっても異なります、業界によっても異なります。 　これは、関係省庁さん、事業者さんともよく相談をし、また専門家の御意見を伺いながら、事業者の皆様に過度な負担を掛けないように設計をしてまいりたいというふうに考えております。

○河野義博君　また、これらの義務はいずれも基幹インフラ事業者を対象とするものですが、我が国全体のサイバーセキュリティー向上に向けては、そのサプライチェーンを構成する基幹インフラ事業者以外の事業者の対策も必要となると思います。特に中小企業については、サイバーセキュリティー対策に積極的な投資を行う体力がそもそもないといった方も多い。そういった中で、国としての支援をお考えだと思います。 　中小企業向けのサイバーセキュリティー対策について、どのようにお考えでしょうか。

○国務大臣（平将明君）　我が国の経済の基盤となる中小企業のサイバーセキュリティー対策の強化は喫緊の課題であり、サプライチェーン全体の防護の観点からも重要であると認識をしています。 　サイバー対処能力強化法案においては、サイバー攻撃による被害の防止のために必要があると認めるときは、基幹インフラ事業者以外の事業者に対しても国が適切な情報提供を行うこととしているほか、情報共有、対策のための官民による協議会を設置することとしており、中小企業等を含めたサイバーセキュリティーの対策の強化を図ってまいります。 　また、中小企業の支援策といたしましては、私の所管ではありませんが、経済産業省においてサイバーセキュリティー対策の実施に役立つガイドラインの作成をしております。また、システムの異常の監視、緊急対応の支援などのサービスをまとめて提供するサイバーセキュリティお助け隊サービスの導入促進などの取組を行っています。 　このサイバーセキュリティお助け隊サービスは、ＩＴ導入の補助金も使えますし、本当にいい政策なんですが、私もこの間、東京商工会議所に呼ばれて話しに行きましたけど、ほとんど皆さん知らないですね。なので、これ是非先生のお地元でも使っていただければと思います。 　さらに、中小企業の経営者の意識を変える観点からは、セキュリティー対策の必要性を感じていない中小企業に向けて、今後、商工会議所等と連携をした周知、広報の一層の強化、経営者にサイバーセキュリティーの必要性を自分事として捉えていただけるセキュリティー事例の紹介を進めてまいります。 　政府といたしましても、様々な施策を通じて、中小企業のサイバーセキュリティー対策についてより着実な推進を図っていきたいと考えております。

○河野義博君　お助け隊、広めていきます。広め隊になろうと思います。よろしくお願いします。皆さんも是非、お助け隊、地元に帰ったら、お助け隊、お助け隊と、よろしくお願いします。 　民間事業者からは、サイバー攻撃を受けた際、広報や政府への報告について、やはりこれはレピュテーションリスクが気になるという声もあります。政府にインシデント報告を行う際の内容には公表前の経営に関わる情報が含まれていることもあろうかと思いますし、例えば届出を求める基幹インフラ事業者のネットワーク構成というのも非常に機密性が高い情報ではないかと思います。 　民間事業者に安心して情報提供を行っていただくためにも、政府としても情報管理が厳格に行われていくべきだと思いますが、お考えをお聞かせください。

○政府参考人（門松貴君）　お答えいたします。 　もう先生御指摘のとおりでございまして、まず、この法案では、基幹インフラ事業者に対しまして、一定の電子計算機を導入した場合の届出、サイバーセキュリティーインシデントが発生した場合の報告を義務付けておるわけでございますが、加えまして、協議会の構成員に対しまして資料の提出など必要な協力を求めることができることとしているところでございまして、これらの中には、事業者にとって機微な情報、これが含まれることもあり得るということは十分承知をしております。 　その上で、この本法案においては、政府が取得した情報に係る安全管理措置を講じなければならないということを明確化し、また、情報提供に際しては関係者の権利利益の保護に配慮しなければならないとして、さらに、関係業務に従事する職員等の守秘義務についても規定をしているということでございまして、守秘義務に違反した場合の罰則については、国家公務員法の守秘義務規定の違反よりも重い罰則を定めているということとしております。 　本法案の施行に当たっては、これらの条項に基づきまして必要な措置を講じることで情報管理に万全を期してまいりたいと考えております。

○河野義博君　民間への様々な配慮や官の心得なども御答弁をいただいたところであります。官民連携の強化がなくしてはなし得ないことだと思いますので、しっかりやっていただきたいというふうに思います。 　次に、各論に入らせていただきたいと思います。 　第四条で規定しております特定重要電子計算機の届出について、具体的にどのような機器の届出を求めることになるのか、お聞かせください。

○政府参考人（門松貴君）　お答えいたします。 　第四条で規定されている特定重要電子計算機の届出、これ法律では特別社会基盤事業者に対する届出なんですが、これまあ要は基幹インフラ事業者のことですが、基幹インフラ事業者に対して届出を求める特定重要電子計算機の具体的な範囲でございます。 　例えば、よく言われるファイアウォールであったりとかＶＰＮ装置と言われる、要するに事業者の内部システムと外部のインターネットの接点となるような機器、これを届出いただくと。また、認証サーバーとよく言われますが、システム管理において重大な役割を果たしている機器、こういうものを想定しているということでございます。 　ただ、その上で、それぞれの具体的な範囲ですが、これ今後政令で規定していくことになると思いますが、業界ごとのシステムの特性、これをよく配慮した上で、事業者の皆様、また専門家の御意見賜りながら丁寧に制度設計をし、御相談しながら進めてまいりたいというふうに考えております。

○河野義博君　届出を求める対象の設備は、事業者が保有する特に重要な設備になると理解をしております。ネットワークの規模が大きい基幹インフラ事業者には相当の負担を求めることになると思います。 　経済安全保障推進法においては、国外から行われる行為によって我が国の基幹インフラの安定的なサービス提供が妨害されることを防ぐため、一定の重要設備の導入に当たって事前審査を求めてまいりました。本法案においては、届出を受けた特定重要電子計算機に関する情報について、政府としてどのように活用していくおつもりでしょうか。

○政府参考人（門松貴君）　お答えいたします。 　基幹インフラ事業者から届出をいただきました特定重要電子計算機の情報についてですが、これ、政府において整理、分析を行った上でですが、当該機器を供給したベンダーさん、また基幹インフラ事業者に対して、政府が把握した公表前、公表前の脆弱性情報を迅速に提供を行って守りを固めていただくといったようなことを考えていたり、また、ベンダーに対しまして、脆弱性が悪用されたかどうかの確認方法など必要な情報提供を要請する、こういったことに活用してまいりたいと考えております。 　これらの取組によりまして、政府として、基幹インフラ事業者のサイバーセキュリティー確保に万全を期してまいりたいというふうに考えておるということでございます。

○河野義博君　基幹インフラ事業者の中にも、自社が保有する資産を網羅的に把握するのはとても大変だという企業は少なくないというふうに聞いています。このようなときに、中小規模の事業者による特定重要電子計算機の届出については政府としてどのように対応するおつもりでしょうか。

○国務大臣（平将明君）　本法案では、基幹インフラ事業者に対し特定重要電子計算機の届出を義務付けるところ、委員御指摘のとおり、中小規模の事業者を始め、事業者にとって過度な負担とならないように制度運用が重要だと考えております。このため、その具体的な運用方法を規定する政令や主務省令を定めるに当たっては、事業者や専門家の皆さんの御意見を丁寧に伺いながら、業界ごと、企業規模ごとのシステム特性などを考慮しつつ、検討を進めてまいります。 　また、実際の資産届出に当たっては、事業者からの届出が円滑に行われるよう政府から助言を行うなど、特に中小規模の事業者に配慮した形で行ってまいりたいと考えております。

○河野義博君　協議会での情報には、機微なものや我が国の情報収集能力を知ることのできるものが含まれている可能性もあります。この点、現行のサイバーセキュリティ協議会においても、機微度の高い情報をやり取りするカテゴリーには原則外資系法人は参加できないとされてきました。 　今般、国家を背景とする主体からの攻撃を想定して対策を講じていこうとする以上、こうした主体がサイバー空間のみで我が国を攻撃してくるのではなく、現実空間でのインテリジェンス活動も並行して行ってくることも想定しなければなりません。こうした観点からは、機微情報の窃取を目的に協議会に入ろうとする者を排除する仕組みを構築することも重要ではないかと思いますが、どのように取り組まれるでしょうか。

○国務大臣（平将明君）　本法案では、内閣総理大臣が整理、分析したサイバー攻撃による被害を防止するための情報を共有すること等により、構成員における被害を防止をすることを目的として、情報共有及び対策に関する協議会を設置することとしております。 　本協議会では、構成員における被害の防止を図るため、政府からサイバーの専門家が求める技術情報や経営者の判断に必要な攻撃目的等に関する情報を積極的に提供していくことを想定しており、こうした情報の中には、攻撃者の詳細な活動状況やインフラ設備の具体的な脆弱性など、秘匿性の高い情報も含まれることが想定をされています。 　このため、今委員御指摘のケースも含めて、協議会の設置目的に照らして構成員を検討することとしており、本法律案においては、内閣総理大臣が必要と認めるときに限り、事業者をその同意を得て協議会に加入させることができることとした上で、協議会構成員に対しては一定の情報管理や守秘義務を義務付けることとしております。さらに、一定の機微な情報については適切な情報管理の下で事業者が取り扱えるようにするため、セキュリティークリアランス制度の活用についても必要な検討を進めていく考えであります。 　内閣総理大臣がコントロールをしますので、そういった懸念のある人は入れないという、そういう運用になろうかと思います。

○河野義博君　今後考えられていくんでしょうけど、守秘義務も、これだけ人材が流動化していく世の中でありますので、しっかりと配慮が必要なのではないかなと思います。退職後どこに行かれるか分からないということもあろうかと思いますので、様々配慮していただきながら決めていただきたいなと思います。 　次に、インシデント報告について伺います。 　第五条において、基幹インフラ事業者が特定侵害事象や特定侵害事象の原因となり得る事象を認知した場合に政府へ報告を行うことを義務付けています。特にサイバー攻撃は、例えば停電が発生した場合、通信障害が発生した場合というような、インシデントの発生が明白でないような例も多く存在するわけであります。政府として具体的にどのような事象が発生した場合に報告を求めるのか、お考えをお聞かせください。 　また、報告の対象をある程度明確にしておかないと、事業者が判断に迷ってしまうということもあろうかと思います。全て事前に想定することも一方で難しい、これ難しいかじ取りだと思いますが、政府としての現時点でのお考えをお聞かせください。

○政府参考人（門松貴君）　お答えいたします。 　本法案においては、特定重要電子計算機に係る特定侵害事象又は今御指摘がありました当該特定侵害事象の原因となり得る事象として主務省令で定めているものの発生を認知した場合にインシデント報告ということとなっております。 　このうち、特に特定侵害事象の原因となり得る事象でございますが、特定重要電子計算機に保管されているシステム管理者等のＩＤ、パスワードが窃取され、システム全体への広範な攻撃が可能になった、可能になったような段階、そういったことが判明した場合であったりとか、特定重要電子計算機において、マルウェア自身、自体は見付かっていない状態でもその実行された痕跡が残っていると、そういった場合、そういったことが判明した場合について報告を求めることを想定をしております。 　この報告対象が不明確な場合、事業者が判断に迷うというのは御指摘のとおりでございまして、先ほど大臣から、内閣サイバーセキュリティセンターが一方的に、情報を十分にフィードバックしてこなかったようなことの御批判の話もありましたが、こういったことを明確にしないことも確かに政府に対する御批判だったということを十分に認識しておりますので、その点、しっかり御意見踏まえながら制度設計してまいりたいというふうに考えております。

○河野義博君　第六条において、インシデント報告等を怠ったと認める場合には、報告を行うことを罰則付きで命令することができるとしています。 　特定侵害事象の原因となり得る事象のような、いわゆるおそれに該当する内容について対象とするのは、事業者にとってはいろんな意見もあるんではないかと思いますが、そのかじ取りを、バランスが大事だと思いますが、どのように取り組んでいかれるでしょうか。

○国務大臣（平将明君）　本法案においては、特定重要電子計算機に係る特定侵害事象又は当該特定侵害事象の原因となり得る事象として主務省令で定めるものの発生を認知した場合にはインシデント報告を行わなければならない旨を定めています。 　その上で、基幹インフラ事業者を標的とする高度な侵入、潜伏能力を伴うサイバー攻撃を防ぐためには、過去に国内外で発生した事案を踏まえると、特定侵害事象の原因となり得る事象として、先ほど答弁したように、事務方から答弁ありましたが、したような事象についても報告を求め、政府において整理、分析を行った上で必要な情報提供を行うことが必要であると考えております。 　いずれにいたしましても、報告対象が不明確な場合、事業者が判断に迷うことになることから、主務省令において報告対象の具体化に当たっては、専門家や事業者の意見を踏まえながら丁寧に制度設計を行ってまいります。 　この法律は、官民連携がしっかり機能しないとその目的を達成できません。また、このおそれというのは、例えば個人情報の報告などでも、何でもかんでも報告しなきゃいけないのかといったような声も民間事業者から聞いておりますので、委員の問題意識しっかり受け止めて、実際にしっかり回るような制度設計行っていきたいと思います。

○河野義博君　ありがとうございました。民間の声も聞きながら、実効性のある中身にしていただきたいというふうに思っています。 　ありがとうございました。

○委員長（和田政宗君）　本日の質疑はこの程度にとどめ、これにて散会いたします。 　　　午前十一時二十八分散会