お答え申し上げます。
一般に、アトリビューションとは、サイバー攻撃の攻撃者や手口を特定することとされております。その特定に関しましては、政府が蓄積いたしました情報でございますとか民間の知見等々を集約いたしまして、評価、分析して行うものでございます。本法案に基づいて政府が取得することとなりますインシデント情報や通信情報も活用して、総合的に分析し、判断することとなるというふうに考えてございます。
その上で、委員御指摘のいわゆるパブリックアトリビューションでございますけれども、パブリックがつきますけれども、サイバー攻撃の攻撃者やその手口を特定、すなわちアトリビューションをした上で、政府機関が攻撃者を公表し非難する措置のことを指すというふうに認識しております。
一般に、パブリックアトリビューションを実施することによりまして、サイバー脅威に対する国内外の官民の認識を高め、セキュリティー対策の向上を促すとともに、当該攻撃者の活動を認知し許容しないというメッセージを発することなどによりまして、サイバー攻撃者の将来の活動コストを高めるなどの抑止効果が期待されているところでございます。
したがいまして、アトリビューションの結果を踏まえ、サイバー攻撃の実行者と背後にいる国家機関の特定の度合いでございますとか、ほかの様々な要素を総合的に考慮した上で、先ほど申し上げたパブリックアトリビューションの効果、これが見込まれるというふうに判断された場合に実施することとなるものでございまして、パブリックアトリビューションをするかどうかにつきましても、具体的にはケース・バイ・ケースで判断せざるを得ないところでございます。
以上でございます。
100三三木圭恵(維新)
ちょっとよく分からなかったんですけれども。つまり、ふだんから緊密に連携しているので、時間的余裕、いとまがないことというのが、私はあり得るのかあり得ないのかちょっとよく分からなかったんですけれども、どういうケースがそれに当たるんですか。
ふだんから緊密に連携しているのに、攻撃するときに余裕がないというのは、一本の連絡も入れられないということですか。無害化措置をしますよというのに、一本の連絡も入れられないような緊急措置というのがあれば、それは国内の手続も間に合わないじゃないですか。
それはどういうことなのか、ちょっと説明していただけますか。
この発言のページ
101飯飯島秀俊内閣官房内閣審議官
まさにサイバー攻撃が起きているような状況で、それを本当にその場で防がないと甚大な被害が生じるという状況が考えられ得ると思います。
そういうときには、そもそも緊密にふだんから連携を保っていて、我々がどういうことをしているかということをお話をしている、緊密に連携をしているんですが、まさにそういう非常にサイバー攻撃の危険性があるという状況に、こういういとまがない状況があり得るんじゃないかということで御答弁させていただきました。
この発言のページ
102三三木圭恵(維新)
いとまがないとはいえ、国際法上違法ではないところで多分恐らく国内手続をやって無害化措置をするんでしょうから。
気になっているのは、やはり、一義的には警察の組織が出ていって国外で無害化措置をするということですので、どれだけいとまがないといっても、この法律の中には何も決め手がございませんので、相手国に対して、無害化措置をする、サーバーがある国に、電話の一本ぐらい、連絡の一本ぐらいちゃんとした方がいいと思います。そこら辺は検討していただきたいなと思います。これは今後の検討ということで課題に入れていただいたらいいと思うんですけれども。
それと、友好国でない国…
この発言のページ
- （上の発言）
103佐佐野朋毅内閣官房内閣審議官
お答え申し上げます。
一般に、アトリビューションとは、サイバー攻撃の攻撃者や手口を特定することとされております。その特定に関しましては、政府が蓄積いたしました情報でございますとか民間の知見等々を集約いたしまして、評価、分析して行うものでございます。本法案に基づいて政府が取得することとなりますインシデント情報や通信情報も活用して、総合的に分析し、判断することとなるというふうに考えてございます。
その上で、委員御指摘のいわゆるパブリックアトリビューションでございますけれども、パブリックがつきますけれども、サイバー攻撃の攻撃者やその手口を特定、すなわちアトリビューションをした上で、政府機関が攻撃者を公表し非難する措置のことを指すというふうに認識しております。
一般に、パブリックアトリビューションを実施することによりまして、サイバー脅威に対する国内外の官民の認識を高め、セキュリティー対策の向上を促すとともに、当該攻撃者の活動を認知し許容しないというメッセージを発することなどによりまして、サイバー攻撃者の将来の活動コストを高めるなどの抑止効果が期待されているところでございます。
したがいまして、アトリビューションの結果を踏まえ、サイバー攻撃の実行者と背後にいる国家機関の特定の度合いでございますとか、ほかの様々な要素を総合的に考慮した上で、先ほど申し上げたパブリックアトリビューションの効果、これが見込まれるというふうに判断された場合に実施することとなるものでございまして、パブリックアトリビューションをするかどうかにつきましても、具体的にはケース・バイ・ケースで判断せざるを得ないところでございます。
以上でございます。
104三三木圭恵(維新)
では、パブリックアトリビューションをするかしないかの判断は誰が行うんですか。
この発言のページ
105佐佐野朋毅内閣官房内閣審議官
パブリックアトリビューションの態様につきましては、様々な在り方がございます。外国の機関から、こういう案件があるけれどもというような形で、我が国におきましても適切な調査を行った上でパブリックアトリビューションに共同で対処する場合もございますし、あるいは、警察が捜査をした上で、これ以上捜査の進展が見込まれない場合に、しかし、パブリックアトリビューションの効果が見込まれるといった場合に、こういったパブリックアトリビューションをする場合がございます。
したがいまして、大きく、政府機関がしっかりとした形で判断をしておるということでございます。
この発言のページ
106三三木圭恵(維新)
政府機関が判断をするということで、誰がというのはお答えいただけなかったと思うんですけれども。本当に、新しい法律ということで、確認していかなければいけないことというのはたくさんありますので、できれば明確な御答弁をこの委員会の中でおっしゃっていただいて、この新法に対する、国民に対する安心感であるとか、国会の中でのやはり今後の議論に役立てていきたいと思いますので、そういったことでよろしくお願いをいたします。
パブリックアトリビューションを行いますといった場合に、これは岩屋外務大臣にお伺いしたいんですけれども、外交上、これは無害化措置のこともそうなんですけれど…
この発言のページ