事業者側、この義務を課される事業者側の実務上の観点から質問させていただきたいと思います。
この法案の目的とか大筋のところとはちょっと関係がないんですけれども、事業者に義務が課されて、事業者及び、システムですから多くのベンダーが関与すると思うんですけれども、その者たちがこの義務を履行するために、はたと悩んでしまうのではないかというふうに思いまして、ちょっと確認をさせていただきたいと思っております。
特別社会基盤事業者は、特定重要電子計算機を導入したときは、主務省令で定めるところにより、特定重要電子計算機の製品名及び製造者名その他主務省令で定める事項を届け出なければならないということでございますけれども、この導入というのは何を意味するのかということでございます。
法律が施行された後に決める細かい点であるというふうには思っておりますけれども、重要なことであります。例えば、導入したときという場合、自らが所有しているものを利用するのか、あるいは他社が所有しているものを利用するのかによって、導入したときと捉えるタイミングが違う可能性があるかもしれません。例えば、自ら所有する特定重要計算機システムを利用する場合、利用できるようになるまでには、開発やテストとか本番運用開始など、幾つかの段階があるというふうに思います。あるいは、クラウドで他社が所有するものを利用する場合でも、システムの目的、内容によっては自社所有のものと同様の段階を踏むケースもあり得るというふうに思います。
例えば、他社の所有する重要電子計算機を利用するという場合に、単に契約開始段階なのか、あるいはソフトウェアの開発やテスト、データ移行など、自社が実際に利用できるようになるまでの準備が完了して、本番用の特定重要計算機システムが利用開始となった時点なのか。届出を義務付けられる事業者も、また届出を受け付ける役所側も無駄に悩まないように、客観的に誰もが分かるように明確にするべきであるというふうに思っております。御答弁をお願いいたします。
50
木戸口英司(立憲)
時間となりましたので、情報公開と、そして責任の所在ということを指摘いたしました。その点しっかりと重く受け止めていただいて、今後の運用に生かしていただきたいと、そう思います。
以上です。
この発言のページ
51
竹谷とし子(公明)
公明党の竹谷とし子でございます。
サイバー対処能力強化法案におきまして、対象となる基幹インフラ事業者に課される義務の内容についてまず確認をさせていただきたいと思います。
この発言のページ
52門門松貴内閣官房内閣審議官
お答えいたします。
基幹インフラ事業者については、官民連携を通じてサイバーセキュリティーの確保に取り組む必要性が特に高いことから、特定重要電子計算機を導入した場合に届出を行う義務、サイバーセキュリティーインシデントが発生した場合に報告を行う義務、当事者協定に係る協議に応じる義務等を課しておるということでございます。
この発言のページ
- （上の発言）
53竹谷とし子(公明)
事業者側、この義務を課される事業者側の実務上の観点から質問させていただきたいと思います。
この法案の目的とか大筋のところとはちょっと関係がないんですけれども、事業者に義務が課されて、事業者及び、システムですから多くのベンダーが関与すると思うんですけれども、その者たちがこの義務を履行するために、はたと悩んでしまうのではないかというふうに思いまして、ちょっと確認をさせていただきたいと思っております。
特別社会基盤事業者は、特定重要電子計算機を導入したときは、主務省令で定めるところにより、特定重要電子計算機の製品名及び製造者名その他主務省令で定める事項を届け出なければならないということでございますけれども、この導入というのは何を意味するのかということでございます。
法律が施行された後に決める細かい点であるというふうには思っておりますけれども、重要なことであります。例えば、導入したときという場合、自らが所有しているものを利用するのか、あるいは他社が所有しているものを利用するのかによって、導入したときと捉えるタイミングが違う可能性があるかもしれません。例えば、自ら所有する特定重要計算機システムを利用する場合、利用できるようになるまでには、開発やテストとか本番運用開始など、幾つかの段階があるというふうに思います。あるいは、クラウドで他社が所有するものを利用する場合でも、システムの目的、内容によっては自社所有のものと同様の段階を踏むケースもあり得るというふうに思います。
例えば、他社の所有する重要電子計算機を利用するという場合に、単に契約開始段階なのか、あるいはソフトウェアの開発やテスト、データ移行など、自社が実際に利用できるようになるまでの準備が完了して、本番用の特定重要計算機システムが利用開始となった時点なのか。届出を義務付けられる事業者も、また届出を受け付ける役所側も無駄に悩まないように、客観的に誰もが分かるように明確にするべきであるというふうに思っております。御答弁をお願いいたします。
54門門松貴内閣官房内閣審議官
お答えいたします。
先生おっしゃるとおりでして、そのタイミングがあやふやで、どういうタイミングで出せばいいか分からないというのは非常に困ると思いますので、これから政省令、下位法令作るときにしっかり事業者の皆様と御相談しながら設定してまいりたいと思います。
それで、導入に関しては、この基幹インフラ事業者が一定の電子計算機を設置するなど、自ら利用することができるような状態、ここがポイントだと思っていまして、途中おっしゃったとおり、クラウドの所有権とかいろいろ考えると難しいことになってきますので、とにかく自らが利用できることができるような状態になっている、…
この発言のページ
55竹谷とし子(公明)
今、事業者と相談しながら決めていくというふうにおっしゃられて、非常に安心をしたところでございますけれども、例えば、製品名というものもありますけれども、製品名といったときにもやっぱり悩んでしまうなというふうに思っております。
ハードウェアもソフトウェアもありますし、そのソフトウェアに自社で改良を加え、機能を追加するという場合もあるというふうに思いますし、いろんな製品を組み合わせて一つの機能をつくっていく場合もあるというふうに思っておりますけれども、この製品名といったときにも悩まないようにしていただきたいなというふうに思うんですけれども、今、御想定があれば…
この発言のページ
56門門松貴内閣官房内閣審議官
お答えいたします。
まさに今後御相談ではありますが、基本的に想定しているのは、ＶＰＮ装置やファイアウォールといった特別社会基盤事業者の内部システムと外部のインターネットとの接点になる電子計算機、これが基本でございまして、これなどの製品名を想定しているということでございます。
この発言のページ