お答えいたします。
まず、本法案においては、特定重要電子計算機に係る特定侵害事象、これと、当該特定侵害事象の原因となり得る事象として主務省令で定めるものの発生を認知した場合にはインシデント報告という、行わなければならないという旨を定めておるわけでございます。
そのうち、特定侵害事象としては、特定重要電子計算機においてマルウェアが実行されることが判明した場合であったり、ネットワーク機器の脆弱性を悪用することなどにより特定重要電子計算機に対して不正アクセス行為が行われたことが判明した場合、また、ランサムウェアによる暗号化や大量のパケットを送り付けるＤＤｏＳ攻撃のような特定重要電子計算機の機能を低下又は停止させられたことが判明した場合において報告を求めることを想定しております。
また、特定侵害事象の原因となり得る事象としては、特定重要電子計算機に保管されているシステム管理者等のＩＤ、パスワードが窃取され、システム全体への広域な、広範な攻撃が可能となったことが判明した場合であったり、特定重要電子計算機において、マルウェア自体は見付かっていないがその実行された痕跡が残っている場合といったことについて報告を求めることを想定しています。
先生御指摘の情報セキュリティー十大脅威でございますが、この義務自身が、法律の義務自身が基幹インフラ事業者に限定されています。この情報セキュリティー十大脅威を見ますと、組織向け、個人向けでいろいろ書いてあるので、全てがこの対象となるわけではありませんが、当然ながら、その中で特定侵害事象と関係がある事象については報告対象になることになろうかとは思います。
いずれにいたしましても、今後、主務省令における報告対象の具体化、これは専門家や技術者、ごめんなさい、専門家や事業者の意見も伺いながら、丁寧に制度設計してまいりたいというふうに考えております。
95
片山大介(維新)
それで、だから、システムのこの開発が大前提で、それで通信の秘密を侵害しない。逆に、それができなければ通信の秘密が保護されない、守られないということになってもらうので、これしっかり開発していただきたいですし、それからあと、システムの開発以外にも、例えば外外通信の要件が規定されているのが第十七条ですね。
この第十七条の条文を見ると、ほかの方法ではその実態の把握が著しく困難であることなどがこれ要件とされているんですけど、これ結構難しいというか、これどうやって証明するのかなというふうに思いましたけど、どのようにお考えなのか。そして、こうした要件を迅速、的確に、…
この発言のページ
96
平将明(自民)デジタル大臣・内閣府特命担当大臣（規制改革）
ほかの方法とは何かというお尋ねであります。
例えば、外外通信目的送信措置の実施については、攻撃の実態が不明であり、重要電子計算機の被害を防止することが著しく困難であること、その措置以外の方法によってはその実態の把握が著しく困難であることなどの要件を満たす場合に、委員会の承認を得て実施をするものとしております。
ここでいう他の方法というのは、例えば本法律案に基づくインシデント報告の規定により事業者から提供された情報や、本法律案に基づく当事者協定により取得した通信情報、外国政府から提供された情報などを基に攻撃インフラの実態を把握をし、重要電子計算機の被害…
この発言のページ
97片山大介(維新)
ここは是非きちんとやっていただきたいというか、実はここが何か見逃されやすいですけれども、だから、ほかの方法でもきちんと対応できるまでやるというか、ほかの手段もきちんとやった上で駄目な場合はという話なので、ここはちょっとしっかりやっていただかないと困るということをくぎを刺しておきたいと思います。
それで、あと、ちょっと時間なくなってきたので、ちょっとインシデントの関係、インシデント報告の関係でちょっと聞きたいんですけれども。
今回の法案では、基幹インフラ事業者に対して、サイバー攻撃を受けたときのそのインシデント報告、それから同意を得た上で協議会に参加し…
この発言のページ
- （上の発言）
98門門松貴内閣官房内閣審議官
お答えいたします。
まず、本法案においては、特定重要電子計算機に係る特定侵害事象、これと、当該特定侵害事象の原因となり得る事象として主務省令で定めるものの発生を認知した場合にはインシデント報告という、行わなければならないという旨を定めておるわけでございます。
そのうち、特定侵害事象としては、特定重要電子計算機においてマルウェアが実行されることが判明した場合であったり、ネットワーク機器の脆弱性を悪用することなどにより特定重要電子計算機に対して不正アクセス行為が行われたことが判明した場合、また、ランサムウェアによる暗号化や大量のパケットを送り付けるＤＤｏＳ攻撃のような特定重要電子計算機の機能を低下又は停止させられたことが判明した場合において報告を求めることを想定しております。
また、特定侵害事象の原因となり得る事象としては、特定重要電子計算機に保管されているシステム管理者等のＩＤ、パスワードが窃取され、システム全体への広域な、広範な攻撃が可能となったことが判明した場合であったり、特定重要電子計算機において、マルウェア自体は見付かっていないがその実行された痕跡が残っている場合といったことについて報告を求めることを想定しています。
先生御指摘の情報セキュリティー十大脅威でございますが、この義務自身が、法律の義務自身が基幹インフラ事業者に限定されています。この情報セキュリティー十大脅威を見ますと、組織向け、個人向けでいろいろ書いてあるので、全てがこの対象となるわけではありませんが、当然ながら、その中で特定侵害事象と関係がある事象については報告対象になることになろうかとは思います。
いずれにいたしましても、今後、主務省令における報告対象の具体化、これは専門家や技術者、ごめんなさい、専門家や事業者の意見も伺いながら、丁寧に制度設計してまいりたいというふうに考えております。
99片山大介(維新)
余り詳細に求め過ぎるとやっぱり時間が掛かるんだろうなと素人的には思います。
それで、こういうものは早めに迅速に報告をしてもらって、それでほかの事業者への共有をしてもらうと、こっちが大切だと思います。
このバランスが実はすごく難しいんだろうなというふうには思うんですけれども、ここはちょっと、まだこれから詰めていく話なんだとは思いますけれども、今の段階でどのように考えているのか、ちょっと考え方を教えていただけますか。
この発言のページ
100平将明(自民)デジタル大臣・内閣府特命担当大臣（規制改革）
このバランス、本当に難しくて、我々としては迅速に情報をもらいたいと、で、その業界の間に共有をしたいというふうに思っておりますし、また、それが事業者に過度に負担になると事業者の方がギブアップをしてしまうということで、いずれにしても、この官民は、官民のこの連携はウィン・ウィンでないともう続かない関係にあります。
ですから、トレードオフの関係なんですが、よく協議をして、専門家の意見も聞きながら、海外の事例も踏まえながら、適当なそのタイミングといったものを計っていきたいというふうに思っています。
この発言のページ
101片山大介(維新)
分かりました。
あと、ちょっと時間がないので、私もちょっと第二十三条のこの目的外利用、やっぱりちょっと今日やっておきたいなと思うんでちょっと言いますけど、これ、その取得した通信情報は、基本的に、原則的には特定被害防止の目的以外の利用はできないことになっているが、ただ、その事業者との協議で同意があればこれ目的外利用ができる。これ、政府の方は他目的利用と言っていますけど、単純に目的外利用ですよね、これね。
それで、これについて政府は、関係行政機関のほか、サイバー攻撃の動向について知見を有する民間のセキュリティー会社などに選別後の通信情報を提供し、分析して…
この発言のページ