ありがとうございます。
セキュリティークリアランス制度の活用やＯＴシステムのセキュリティー対策については、民間サイドが効果的にその人材を育成できる育成機関などの新設なども是非お願いをしたいと思います。こちらは要望とさせていただきます。
次に、サプライチェーンリスク対策についてお伺いをいたします。
サプライチェーンリスクとしてよくあるのは、セキュリティーが強固である大企業ではなく、セキュリティーが脆弱である下請企業、中小企業や国内外のグループ企業に対する対策であります。特に中小企業のセキュリティー対策が重要でありますが、日本損害協会が発表した中小企業経営者のサイバーリスク意識調査二〇一九では、中小企業の経営者の約半数がサイバー攻撃をイメージできない、自社がサイバー攻撃の対象となり得ることを認識している中小企業は一割未満という結果でありました。
私の地元愛媛県においても、中小企業の経営者の団体にお聞きしましたが、ＤＸ化をしていくだけで精いっぱいで、サイバー攻撃への対策はほとんどできていないということをお聞きいたしました。先日の本会議で石破総理が答弁された中小企業のサイバーセキュリティお助け隊サービスも知らなかったというふうに言われておりまして、経済産業省では分かりやすいガイドブックを作成されていると思いますが、国内での浸透が課題ではないかと思います。
特に企業のセキュリティー対策では、定期的なＯＳのアップデートや、外部から侵入してくる不正アクセスなどから守るためファイアウォールの脆弱性のチェック、そして、サイバー攻撃が行われる可能性のある攻撃対象領域、アタックサーフェスを把握しセキュリティーの強化に取り組むこと、また、バックアップを取り、サイバー攻撃を受けてもすぐに回復できるようにしていくことが必要であると思います。また、ＩＴベンダーの強化なども進めていかなければなりません。
先ほどの電力総連の方からお聞きした内容によりますと、電力会社においては、海外電力分野において、サプライチェーンリスクに関して罰則規定を設けサプライチェーンリスク管理を行っているということであり、関係諸国との連携も求められております。
そして、何より重要なのは、中小企業の経営者の方に危機感を持っていただくことではないでしょうか。自分の会社が知らないうちにサイバー攻撃を受けていたことが、結果的にほかの会社まで被害が及ぶことになることを認識していただくことが必要です。サイバー攻撃の脅威を認識してもらうための意識改革が必要だと考えます。
サプライチェーンのセキュリティー対策を強化していくためにも、中小企業へ広く啓発していく方法についてどのように考えておられるのか、教えていただけますでしょうか。
187
平将明(自民)デジタル大臣・内閣府特命担当大臣（規制改革）
石井委員にお答えいたします。
委員御指摘のとおり、制度設計に当たっては、実務に携わる現場の方の御意見を踏まえることが重要であると考えております。
このため、本法案を策定するに当たっては、有識者会議や個別の意見交換の場を通じて、専門家や事業者などからの様々な御意見を頂戴をしてきました。また、昨年の七月には、内閣サイバーセキュリティセンターに新たに対処・外部連携ユニットを設け、外部の方々との連携体制を強化をしたところであります。
こうした取組により、中小企業を含む経済団体からは、本法案について経済界の意見も踏まえた内容となっていると評価をいただいている…
この発言のページ
188石石井智恵(国民)
ありがとうございます。心強いお言葉、本当に感謝しています。特に働いている方々、現場の声に耳を傾けていただいて、課題があれば常にアップデートしていただきたいと思いますので、よろしくお願いをいたします。
次に、サイバーセキュリティー人材について、特にセキュリティークリアランスに関することについてお伺いをいたします。
工場やプラントなどの制御システム、いわゆるＯＴ領域を狙ったサイバー攻撃が世界で増加していることが問題となっています。二〇一〇年、イランの核燃料施設に対するサイバー攻撃によって、施設内約八千四百台の遠心分離機のうち約一千台が稼働不能となり、イラ…
この発言のページ
189門門松貴内閣官房内閣審議官
お答えいたします。
まず、先生御指摘のように、政府が情報を集めて分析し、その結果を率先して必要な関係者に提供していくというのは極めて重要だと思っておるんですが、情報提供に関しては、政府として、具体的には、サイバーの専門家が求める技術情報であったりとか、経営者の判断に必要な攻撃目的等に関する情報、これを積極的に提供していくことになるのです、この法案では。それで、このうち、攻撃者の詳細な活動状況といった秘匿性の高い情報、こういうものも、一定の情報管理が義務づけられる協議会構成員などに限って提供していくということになります。
ここで先生御指摘のクリアランス…
この発言のページ
- （上の発言）
190石石井智恵(国民)
ありがとうございます。
セキュリティークリアランス制度の活用やＯＴシステムのセキュリティー対策については、民間サイドが効果的にその人材を育成できる育成機関などの新設なども是非お願いをしたいと思います。こちらは要望とさせていただきます。
次に、サプライチェーンリスク対策についてお伺いをいたします。
サプライチェーンリスクとしてよくあるのは、セキュリティーが強固である大企業ではなく、セキュリティーが脆弱である下請企業、中小企業や国内外のグループ企業に対する対策であります。特に中小企業のセキュリティー対策が重要でありますが、日本損害協会が発表した中小企業経営者のサイバーリスク意識調査二〇一九では、中小企業の経営者の約半数がサイバー攻撃をイメージできない、自社がサイバー攻撃の対象となり得ることを認識している中小企業は一割未満という結果でありました。
私の地元愛媛県においても、中小企業の経営者の団体にお聞きしましたが、ＤＸ化をしていくだけで精いっぱいで、サイバー攻撃への対策はほとんどできていないということをお聞きいたしました。先日の本会議で石破総理が答弁された中小企業のサイバーセキュリティお助け隊サービスも知らなかったというふうに言われておりまして、経済産業省では分かりやすいガイドブックを作成されていると思いますが、国内での浸透が課題ではないかと思います。
特に企業のセキュリティー対策では、定期的なＯＳのアップデートや、外部から侵入してくる不正アクセスなどから守るためファイアウォールの脆弱性のチェック、そして、サイバー攻撃が行われる可能性のある攻撃対象領域、アタックサーフェスを把握しセキュリティーの強化に取り組むこと、また、バックアップを取り、サイバー攻撃を受けてもすぐに回復できるようにしていくことが必要であると思います。また、ＩＴベンダーの強化なども進めていかなければなりません。
先ほどの電力総連の方からお聞きした内容によりますと、電力会社においては、海外電力分野において、サプライチェーンリスクに関して罰則規定を設けサプライチェーンリスク管理を行っているということであり、関係諸国との連携も求められております。
そして、何より重要なのは、中小企業の経営者の方に危機感を持っていただくことではないでしょうか。自分の会社が知らないうちにサイバー攻撃を受けていたことが、結果的にほかの会社まで被害が及ぶことになることを認識していただくことが必要です。サイバー攻撃の脅威を認識してもらうための意識改革が必要だと考えます。
サプライチェーンのセキュリティー対策を強化していくためにも、中小企業へ広く啓発していく方法についてどのように考えておられるのか、教えていただけますでしょうか。
191西西村秀隆経済産業省大臣官房サイバーセキュリティ・情報化審議官
ありがとうございます。お答えいたします。
まず、委員御指摘のとおり、サプライチェーンを考える中で、中小企業についても対策を取っていくことは非常に重要だと思っております。その中で、一方、中小企業はセキュリティー対策に十分なコストをかけられないといった課題もございます。
このため、中小企業が必要なセキュリティー対策を自ら実施する、こういったことができるように、二〇二一年から、言及いただきましたサイバーセキュリティお助け隊サービスというのも開始してございます。また、二〇二二年以降、ＩＴ導入補助金において、中小企業が本サービスを導入する際の費用も支援させてい…
この発言のページ
192石石井智恵(国民)
ありがとうございます。セキュリティー対策、特に中小企業の対策は非常に、この要だと思いますので、是非よろしくお願いをいたします。
次に、能動的サイバー防御のアクセス・無害化措置が国際法上違法な行為にならないのかという懸念点についてお伺いをいたします。
二〇二四年に行われた有識者会議の資料によれば、早稲田大学の酒井教授が、能動的サイバー防御は、その措置により生ずる被害の程度等に応じて、国際法上適法とされる場合もあれば、国際法上違法行為とされる場合もあると書かれています。
この能動的サイバー防御が国際法上違法行為とされる場合はどのような行為であると認識さ…
この発言のページ
193斉斉田幸雄外務省大臣官房サイバーセキュリティ・情報化参事官
お答え申し上げます。
武力攻撃に至らないものの、国や重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、又はそのような重大なサイバー攻撃が発生した場合に、これを未然に防止するため、又は被害の拡大を防止するために、我が国がその攻撃元となっている国外に所在するサーバーに対して必要なサイバー行動を取る、こういうことは、国際法上、一定の状況において許容されるというものと認識しております。
サイバー行動の国際法上の評価につきましては、個別具体的な状況に応じて判断されるため一概にお答えすることは困難でございますけれども、そもそ…
この発言のページ