御質問ありがとうございます。
まず、最初の方の御質問でございますけれども、国内法、失礼、国際法上許容される範囲というお話でしたけれども、先ほど御報告したとおり、アクセス・無害化措置については、そもそも合法だと、国際法上合法であるというふうに評価される場合もあれば、残念ながら、相手方の評価から見て違法と疑わしい場合というのももちろんあります。いずれにしても、諸外国の間、日本も含めてですけれども、国家間では、いかなる行為が域外管轄、執行管轄権の適用で主権侵害になるか、つまり国際違法行為になるかという点について、その基準自体は、どの国もこれは国際違法行為だということでは一致していると思います。そういう意味では、国際法の許容範囲というのはおおむね、抽象的には、一般論としては各国とも合意があるだろうと思います。
ただ、問題は、具体的に、じゃ、どの行為がその許容範囲に入るか入らないかという当てはめの問題でありまして、いかなる基準において執行管轄権の域外行使だというふうに見ているかとか、そういった点で各国にばらつきがある。その点で、国際法規則がやや不明確な部分がないわけではない。
本件の、本法案においては、むしろ日本政府の立場というのは、比較的多数の立場の、国家の立場に立って行動して、そしてこの法案を作っているわけでありますので、自信を持って国際社会でこれを主張していくということが、先ほど報告で申し上げたとおり、国際法規則を明確にしていく、そういった貢献をするものになるのではないかというふうに個人的には考えています。
それから、後半の御質問ですけれども、アクセス・無害化のような措置が外国によってとられて、そしてそれに対する国際法違反だという主張があったかどうかという御質問ですけれども、これはまず、私が知る限りは、明確にそういった違反ということを主張した例は存じ上げません。攻撃があったという、サイバー攻撃があったということで国際法違反だというふうに主張する場合はあるんですけれども、日本がこの法案で想定しているようなアクセス・無害化措置のような措置について、これは国際法違反だというふうに明言した例というのは、実際に事例があって明言したというのは私が知る限りはございません。
ただ、もしかしたら私が知らないだけであって、いろんなところで情報が共有されているのかもしれませんけれども、それはなぜかというと、やっぱり、もし仮にそれが国際法違反だというふうに主張する場合には、自らの領域においてそういう事例があったというふうなことを認めざるを得ないわけですね。それが、自己の領域の管理責任を問われる可能性があるだとか、ある意味自分の責任が国際法上問われる可能性があるということも一つの要因でしょうし、それから、そういった違法行為があったということを認めることによって自己の察知能力だとか対処能力というものを対外的には知られたくないということももしかしたらあるのかもしれません。
いずれにしても、余りそういった事例というのが顕在化していないということと私は承知しております。
16
山谷えり子(自民)
次に、アクセス・無害化措置の国際的な評価についてお伺いしたいと思います。
政府は、本法案は国家安全保障戦略の掲げるサイバー安全保障分野での対応能力を欧米主要国と同等以上に向上させるという目標を実現する上で不可欠と説明をしています。しかし、この目標分かりにくいという指摘もなされておりまして、特にアクセス・無害化措置については、そもそも諸外国のアクセス・無害化措置は、対外非公表の活動として行われており、詳細が明らかになっていないものが多いと政府が答弁をしております。
政府のやろうとしている措置が欧米主要国と比べてどうなのか、我が国を守る上で十分なものとな…
この発言のページ
17持持永大芝浦工業大学システム理工学部准教授
欧米主要国と遜色のない対応かどうかということなんですけれども、これは、今の見ている法案の中でいうと、欧米がやっていることというのに遜色ないことができそうではあると、制度上は。
それは、今まで政府の対処というのが、国内のかつ政府が管理しているコンピューターに対してのみ処置する、しかも被害が出た後に処置するということだったんですけれども、今回の法案では、政府が管理していない民間のコンピューターに対して被害が顕在化する前に対処できるという点で他国と遜色がないと言えます。
ただ、他国が、先ほど言われていたみたいに対外秘ということはちょっと違って、例えばアメリ…
この発言のページ
18山谷えり子(自民)
もう本当、今おっしゃった二〇二四年一月に米国政府が対処した中華人民共和国を背景とするボルト・タイフーンと呼ばれる組織による攻撃は、少なくとも五年間にわたって続いた、一方防御側は、兆候をつかんで対処するまでに二年半を費やしたと。これ本当に大変な難しさをはらんでいるというふうに、象徴的なケースであるというふうに思いまして、この課題はしっかりと受け止め続けていきたいというふうに思っております。
続きまして、酒井参考人、今と同じような質問なんですけれども、国際法の観点からタリン・マニュアル二・〇についても御説明いただきましたが、政府は、アクセス・無害化措置は、…
この発言のページ
- （上の発言）
19酒酒井啓亘早稲田大学法学学術院教授
御質問ありがとうございます。
まず、最初の方の御質問でございますけれども、国内法、失礼、国際法上許容される範囲というお話でしたけれども、先ほど御報告したとおり、アクセス・無害化措置については、そもそも合法だと、国際法上合法であるというふうに評価される場合もあれば、残念ながら、相手方の評価から見て違法と疑わしい場合というのももちろんあります。いずれにしても、諸外国の間、日本も含めてですけれども、国家間では、いかなる行為が域外管轄、執行管轄権の適用で主権侵害になるか、つまり国際違法行為になるかという点について、その基準自体は、どの国もこれは国際違法行為だということでは一致していると思います。そういう意味では、国際法の許容範囲というのはおおむね、抽象的には、一般論としては各国とも合意があるだろうと思います。
ただ、問題は、具体的に、じゃ、どの行為がその許容範囲に入るか入らないかという当てはめの問題でありまして、いかなる基準において執行管轄権の域外行使だというふうに見ているかとか、そういった点で各国にばらつきがある。その点で、国際法規則がやや不明確な部分がないわけではない。
本件の、本法案においては、むしろ日本政府の立場というのは、比較的多数の立場の、国家の立場に立って行動して、そしてこの法案を作っているわけでありますので、自信を持って国際社会でこれを主張していくということが、先ほど報告で申し上げたとおり、国際法規則を明確にしていく、そういった貢献をするものになるのではないかというふうに個人的には考えています。
それから、後半の御質問ですけれども、アクセス・無害化のような措置が外国によってとられて、そしてそれに対する国際法違反だという主張があったかどうかという御質問ですけれども、これはまず、私が知る限りは、明確にそういった違反ということを主張した例は存じ上げません。攻撃があったという、サイバー攻撃があったということで国際法違反だというふうに主張する場合はあるんですけれども、日本がこの法案で想定しているようなアクセス・無害化措置のような措置について、これは国際法違反だというふうに明言した例というのは、実際に事例があって明言したというのは私が知る限りはございません。
ただ、もしかしたら私が知らないだけであって、いろんなところで情報が共有されているのかもしれませんけれども、それはなぜかというと、やっぱり、もし仮にそれが国際法違反だというふうに主張する場合には、自らの領域においてそういう事例があったというふうなことを認めざるを得ないわけですね。それが、自己の領域の管理責任を問われる可能性があるだとか、ある意味自分の責任が国際法上問われる可能性があるということも一つの要因でしょうし、それから、そういった違法行為があったということを認めることによって自己の察知能力だとか対処能力というものを対外的には知られたくないということももしかしたらあるのかもしれません。
いずれにしても、余りそういった事例というのが顕在化していないということと私は承知しております。
20山谷えり子(自民)
本当に、変化に応じた整理、対応、アップデートをしながら引き続き取り組んでいかなければならない課題かというふうに感じております。
続いて、上沼参考人に、有識者会議の委員でもいらっしゃいまして、サイバー通信情報監理委員会の実効性についてお伺いしたいと思います。
いわゆる三条委員会であるサイバー通信情報監理委員会は、審査や検査を通じて行政機関における法令遵守を確保し、制度の信頼性を確保していくという重要な役割を担うわけでありますが、この法案が成立した後、この委員会が実際に有効に機能していくということは非常に重要なことでありまして、どのようなことを重視すべき…
この発言のページ
21上上沼紫野ＬＭ虎ノ門南法律事務所弁護士
御質問ありがとうございます。
信頼関係に関してはおっしゃるとおりだと思います。独立性がある機関ということは孤高を保つ機関と同義ではありませんので、独立性を保ちつつ、かつ、その重要な部分について円滑なコミュニケーションがなされなければ、この専門的な分野におけるその独立機関の有効性は確保できないというふうに思っております。
あと、もう一つ付け加えるとするならば、実効性のためには実際のその人的リソースが必要でして、それなりの組織が絶対必要ではないかというふうに考えておりますので、その独立性とふだんのコミュニケーションと人的なリソースというのが実効性を確保す…
この発言のページ
22山谷えり子(自民)
続いて、また上沼参考人にお願いいたします。
この委員会でもいろいろなやり取りがあったんですけれども、今回の法案では、基幹インフラ事業者へのサイバー攻撃について、アクシデントになる一歩手前のインシデントについても報告を求めるということになっていますけれども、基準が曖昧だと報告側に過度な負担を掛けてしまうということにもなろうかと思います。具体的な報告基準を作成するに当たりましてどのような点に留意すべきとお考えですか。
この発言のページ