れいわ新選組の上村英明と申します。
私は、重要電子計算機に対する不正な行為による被害の防止に関する法律案並びに同整備法案について、れいわ新選組を代表して質問いたします。（拍手）
両法案は、能動的サイバー防御法案と呼ばれますが、能動的サイバー防御を警察だけでなく自衛隊も行う、安保三文書とも関連した、いわば敵基地攻撃能力のサイバー版ともいうべき内容になっており、大幅な見直しが四つの点から不可欠と考えています。
第一に、能動的サイバー防御に該当するアクセス・無害化が主権侵害とみなされる危険性が極めて高いことです。
能動的サイバー防御についての国際法上のルールはまだまだ不明確であり、各国の見解も様々です。政府は、アクセス・無害化が主権侵害に当たらない事由として緊急避難を挙げていますが、緊急避難には濫用の危険性があることから、多くの批判があります。例えば、法案の言う、そのまま放置すれば人の生命、身体又は財産に対する重大な危害が発生するおそれがあるため緊急の必要という状態についてですが、国際基準であるタリン・マニュアル二・〇などによれば、根本的利益に対する危険性の重大性と緊急性の存在を客観的に立証する必要があるとされています。実施される措置も唯一の方法でなければならず、他国や国際機関との協力等、他の選択肢がある場合、緊急避難を理由に能動的サイバー防御を正当化することはできません。つまり、アクセス・無害化は国境を越えたサイバー攻撃とみなされる危険性があると認識すべきではありませんか。
第二に、一九九九年の通信傍受法などで、人権としての通信の秘密が既に危険にさらされています。憲法第二十一条が保障する、この通信の秘密を守る規定が、ここでは更に不十分です。
法案では、収集されるものは機械的情報で、メールアドレスなどの個人が特定される情報については非識別化措置を行う等の規定があり、心配は要らないと何度も言われています。しかし、国内のサーバーで完結する内内通信での通信情報の収集なども明確に禁止されているわけではありません。先ほどの通信傍受法の第一条、第三十五条、電気通信事業法第四条、電波法第五十九条などのような、通信の秘密を侵してはならない旨の規定は、この法案にはありません。これらの法律に規定されている通信の秘密を侵した場合の罰則もありません。
多くの市民の不安に対して、通信の秘密の尊重、プライバシー情報の収集禁止、そして、それらを侵した場合の罰則等の規定を法案に明記すべきではありませんか。
第三に、こうしたサイバー防御活動を監視するサイバー通信情報監理委員会の実効性、独立性に疑問があります。
この委員会は、内閣府設置法の第四十九条第三項に基づき、委員長及び委員四名の計五名で構成され、委員のうち二名は非常勤にできるなど、たてつけは例えばカジノ管理委員会と同じです。
サイバー通信情報監理委員会は、内閣府や、総理大臣を含むですね、警察、自衛隊という三位一体の政府の膨大な活動を監視する組織です。通信の秘密が守られているか、他国への主権侵害がないかなど、二十四時間三百六十五日、つまり、為替のディーラーと同じようなことをやらなくちゃいけない機関が、五名の委員で、公正かつ適正に監督、審査できるのでしょうか。
さらに、事前にサイバー通信情報監理委員会が承認したアクセス・無害化措置が意図しない結果を招いた場合、委員会はどのように責任を取るのでしょうか。
第四に、強調したい点は、能動的サイバー防御の前にやるべき課題が山積みだということです。
例えば、政府は、能動的サイバー防御が必要な理由として、二〇二二年の大阪急性期・総合医療センターの業務停止など、深刻なサイバー攻撃被害が増加していると言っています。が、同センターの報告書は、ルーターなどＶＰＮ機器の脆弱性の長期的放置、全てのユーザーへの管理者権限付与、同じログインＩＤとパスワードの使い回しなど、基本的なセキュリティー対策の欠如が原因と指摘しています。昨年五月にサイバー攻撃を受けた岡山県精神医療センターも同じ脆弱性があり、十分に防げた人災だったとしています。
では、なぜこうしたサイバー攻撃の被害が拡大したのでしょうか。その理由として、この厳しい経済状況の中で、セキュリティー対策自体が利益を生むわけでもないことから、その余裕がなく、多くの企業や組織で対策が後回しになっている現状があります。
独立行政法人情報処理推進機構が先月に公表した調査結果、このレポートがありますけれども、中小企業の約七割がサイバーセキュリティー対策を組織的に行っていません。約六割が、過去三年間、セキュリティー対策に全く投資していません。その余裕がない、費用対効果が認められないという理由が挙げられています。足下でのサイバーセキュリティー対策が全く不十分であることは、こうした調査からも明らかです。
危険性が高い、まさに敵基地攻撃能力のサイバー版とも言える能動的サイバー防御ではなく、日本経済の基盤である中小企業も対象とした強力な財政支援をそれこそ能動的に進め、サイバーセキュリティー対策を抜本的に底上げすることが必要な対策ではありませんか。これまで、中小企業も対象にしたサイバーセキュリティー対策を具体的にどのように取り組まれたのか、明らかにしていただきたいと思います。
大規模な修正や見直しがない限り、両法案はノーと言うべきサイバー防御法案であると言わざるを得ません。（発言する者あり）すぐ終わります。安保法制以来の軍事同盟強化の一環としか思えない、英米のいわゆるファイブアイズに右に倣えの能動的サイバー防御ではなく、抜本的に……
49
河西宏一(公明)
公明党の河西宏一です。
ただいま議題となりましたいわゆるサイバー対処能力強化法案及び同整備法案について、会派を代表し、質問をいたします。（拍手）
民間の調査によれば、世界的なサイバー攻撃による経済的損失は、この二〇二五年には世界の名目ＧＤＰの約一割に相当する十兆五千億ドルに及ぶと推計されています。
我が国の事例を見ても、ここ十年余りで、公的機関や医療機関、航空会社や港湾、基幹産業のサプライチェーンやコンテンツ産業など、日本を標的としたサイバー攻撃は増加と巧妙化を続け、国民生活や経済活動に重大かつ深刻な影響を及ぼしています。とりわけ、外交、防衛、先端…
この発言のページ
50
石破茂(自民)内閣総理大臣
河西宏一議員の御質問にお答えいたします。
サイバー対処能力強化の必要性等についてのお尋ねを頂戴いたしました。
昨年末に発生した日本航空へのサイバー攻撃によって欠航が生じた事案を始め、サイバー攻撃により、我が国の重要インフラに深刻な被害がもたらされている事例が見られます。
今回御審議いただくサイバー対処能力強化法案及びその整備法案を可決していただきました場合には、重要インフラ等の機能の停止、低下をもたらす重大なサイバー攻撃を未然に排除し、又は、このようなサイバー攻撃が発生した場合に、被害の拡大を防止すること等により、国民の皆様方の安心な暮らしと我が国…
この発言のページ
51
玄葉光一郎副議長
上村英明君。
〔上村英明君登壇〕
この発言のページ
- （上の発言）
52
上村英明(れいわ)
れいわ新選組の上村英明と申します。
私は、重要電子計算機に対する不正な行為による被害の防止に関する法律案並びに同整備法案について、れいわ新選組を代表して質問いたします。（拍手）
両法案は、能動的サイバー防御法案と呼ばれますが、能動的サイバー防御を警察だけでなく自衛隊も行う、安保三文書とも関連した、いわば敵基地攻撃能力のサイバー版ともいうべき内容になっており、大幅な見直しが四つの点から不可欠と考えています。
第一に、能動的サイバー防御に該当するアクセス・無害化が主権侵害とみなされる危険性が極めて高いことです。
能動的サイバー防御についての国際法上のルールはまだまだ不明確であり、各国の見解も様々です。政府は、アクセス・無害化が主権侵害に当たらない事由として緊急避難を挙げていますが、緊急避難には濫用の危険性があることから、多くの批判があります。例えば、法案の言う、そのまま放置すれば人の生命、身体又は財産に対する重大な危害が発生するおそれがあるため緊急の必要という状態についてですが、国際基準であるタリン・マニュアル二・〇などによれば、根本的利益に対する危険性の重大性と緊急性の存在を客観的に立証する必要があるとされています。実施される措置も唯一の方法でなければならず、他国や国際機関との協力等、他の選択肢がある場合、緊急避難を理由に能動的サイバー防御を正当化することはできません。つまり、アクセス・無害化は国境を越えたサイバー攻撃とみなされる危険性があると認識すべきではありませんか。
第二に、一九九九年の通信傍受法などで、人権としての通信の秘密が既に危険にさらされています。憲法第二十一条が保障する、この通信の秘密を守る規定が、ここでは更に不十分です。
法案では、収集されるものは機械的情報で、メールアドレスなどの個人が特定される情報については非識別化措置を行う等の規定があり、心配は要らないと何度も言われています。しかし、国内のサーバーで完結する内内通信での通信情報の収集なども明確に禁止されているわけではありません。先ほどの通信傍受法の第一条、第三十五条、電気通信事業法第四条、電波法第五十九条などのような、通信の秘密を侵してはならない旨の規定は、この法案にはありません。これらの法律に規定されている通信の秘密を侵した場合の罰則もありません。
多くの市民の不安に対して、通信の秘密の尊重、プライバシー情報の収集禁止、そして、それらを侵した場合の罰則等の規定を法案に明記すべきではありませんか。
第三に、こうしたサイバー防御活動を監視するサイバー通信情報監理委員会の実効性、独立性に疑問があります。
この委員会は、内閣府設置法の第四十九条第三項に基づき、委員長及び委員四名の計五名で構成され、委員のうち二名は非常勤にできるなど、たてつけは例えばカジノ管理委員会と同じです。
サイバー通信情報監理委員会は、内閣府や、総理大臣を含むですね、警察、自衛隊という三位一体の政府の膨大な活動を監視する組織です。通信の秘密が守られているか、他国への主権侵害がないかなど、二十四時間三百六十五日、つまり、為替のディーラーと同じようなことをやらなくちゃいけない機関が、五名の委員で、公正かつ適正に監督、審査できるのでしょうか。
さらに、事前にサイバー通信情報監理委員会が承認したアクセス・無害化措置が意図しない結果を招いた場合、委員会はどのように責任を取るのでしょうか。
第四に、強調したい点は、能動的サイバー防御の前にやるべき課題が山積みだということです。
例えば、政府は、能動的サイバー防御が必要な理由として、二〇二二年の大阪急性期・総合医療センターの業務停止など、深刻なサイバー攻撃被害が増加していると言っています。が、同センターの報告書は、ルーターなどＶＰＮ機器の脆弱性の長期的放置、全てのユーザーへの管理者権限付与、同じログインＩＤとパスワードの使い回しなど、基本的なセキュリティー対策の欠如が原因と指摘しています。昨年五月にサイバー攻撃を受けた岡山県精神医療センターも同じ脆弱性があり、十分に防げた人災だったとしています。
では、なぜこうしたサイバー攻撃の被害が拡大したのでしょうか。その理由として、この厳しい経済状況の中で、セキュリティー対策自体が利益を生むわけでもないことから、その余裕がなく、多くの企業や組織で対策が後回しになっている現状があります。
独立行政法人情報処理推進機構が先月に公表した調査結果、このレポートがありますけれども、中小企業の約七割がサイバーセキュリティー対策を組織的に行っていません。約六割が、過去三年間、セキュリティー対策に全く投資していません。その余裕がない、費用対効果が認められないという理由が挙げられています。足下でのサイバーセキュリティー対策が全く不十分であることは、こうした調査からも明らかです。
危険性が高い、まさに敵基地攻撃能力のサイバー版とも言える能動的サイバー防御ではなく、日本経済の基盤である中小企業も対象とした強力な財政支援をそれこそ能動的に進め、サイバーセキュリティー対策を抜本的に底上げすることが必要な対策ではありませんか。これまで、中小企業も対象にしたサイバーセキュリティー対策を具体的にどのように取り組まれたのか、明らかにしていただきたいと思います。
大規模な修正や見直しがない限り、両法案はノーと言うべきサイバー防御法案であると言わざるを得ません。（発言する者あり）すぐ終わります。安保法制以来の軍事同盟強化の一環としか思えない、英米のいわゆるファイブアイズに右に倣えの能動的サイバー防御ではなく、抜本的に……
53玄葉光一郎副議長
上村君、時間ですから、おまとめください。
この発言のページ
54上村英明(れいわ)
はい。終わります。
よく合理的にこうした法案を検討いただきたいと思います。よろしくお願いします。（拍手）
〔内閣総理大臣石破茂君登壇〕
この発言のページ
55石破茂(自民)内閣総理大臣
上村英明議員の御質問にお答えいたします。
アクセス・無害化措置の国際法上の評価についてのお尋ねを頂戴をいたしております。
個別のアクセス・無害化措置に関する国際法上の評価につきましては、それぞれの具体的な状況に応じて判断されるため、一概にお答えすることは困難でございますが、外国に所在する攻撃サーバー等にアクセスし、これを無害化する際に、国際法上許容される範囲内でこれを行うのは当然のことであります。
その上で、外国に所在する攻撃サーバー等へのアクセス・無害化措置が、仮にサーバー所在国の領域主権の侵害に当たり得るとしても、一定の要件に合致する場合に国際…
この発言のページ