ここは是非きちんとやっていただきたいというか、実はここが何か見逃されやすいですけれども、だから、ほかの方法でもきちんと対応できるまでやるというか、ほかの手段もきちんとやった上で駄目な場合はという話なので、ここはちょっとしっかりやっていただかないと困るということをくぎを刺しておきたいと思います。
それで、あと、ちょっと時間なくなってきたので、ちょっとインシデントの関係、インシデント報告の関係でちょっと聞きたいんですけれども。
今回の法案では、基幹インフラ事業者に対して、サイバー攻撃を受けたときのそのインシデント報告、それから同意を得た上で協議会に参加してもらって情報を共有する、さらに通信情報の利用に当たっての当事者協定を結ぶ、そういうことをやっているんですが、じゃ、このうち、インシデント報告については、報告の対象となる事象が何か、あとはどの程度実際に攻撃を受けたときに迅速に報告を求めるのか、それから手続というのはこれどうしていくのか、結構これから決めていかなきゃいけないことがかなり多いと思うんですよ。
この中で、まずその報告の対象となる事案、これ、例えばＩＰＡの情報セキュリティー十大脅威だと実に多岐にわたるような攻撃の種類書いてあるんですけれども、じゃ、どこまで求めるのか。これ、事業者の方は恐らく余り分からないと思うんですけれども、そこら辺はどういうふうに、何というのか、示していくのか、そこを教えていただけますか。
94飯飯島秀俊内閣官房内閣審議官
繰り返しになりますが、まさにそういう諸外国の例も参考にしつつ、しっかりとシステムを構築していきたいというふうに考えております。
この発言のページ
95
片山大介(維新)
それで、だから、システムのこの開発が大前提で、それで通信の秘密を侵害しない。逆に、それができなければ通信の秘密が保護されない、守られないということになってもらうので、これしっかり開発していただきたいですし、それからあと、システムの開発以外にも、例えば外外通信の要件が規定されているのが第十七条ですね。
この第十七条の条文を見ると、ほかの方法ではその実態の把握が著しく困難であることなどがこれ要件とされているんですけど、これ結構難しいというか、これどうやって証明するのかなというふうに思いましたけど、どのようにお考えなのか。そして、こうした要件を迅速、的確に、…
この発言のページ
96
平将明(自民)デジタル大臣・内閣府特命担当大臣（規制改革）
ほかの方法とは何かというお尋ねであります。
例えば、外外通信目的送信措置の実施については、攻撃の実態が不明であり、重要電子計算機の被害を防止することが著しく困難であること、その措置以外の方法によってはその実態の把握が著しく困難であることなどの要件を満たす場合に、委員会の承認を得て実施をするものとしております。
ここでいう他の方法というのは、例えば本法律案に基づくインシデント報告の規定により事業者から提供された情報や、本法律案に基づく当事者協定により取得した通信情報、外国政府から提供された情報などを基に攻撃インフラの実態を把握をし、重要電子計算機の被害…
この発言のページ
- （上の発言）
97片山大介(維新)
ここは是非きちんとやっていただきたいというか、実はここが何か見逃されやすいですけれども、だから、ほかの方法でもきちんと対応できるまでやるというか、ほかの手段もきちんとやった上で駄目な場合はという話なので、ここはちょっとしっかりやっていただかないと困るということをくぎを刺しておきたいと思います。
それで、あと、ちょっと時間なくなってきたので、ちょっとインシデントの関係、インシデント報告の関係でちょっと聞きたいんですけれども。
今回の法案では、基幹インフラ事業者に対して、サイバー攻撃を受けたときのそのインシデント報告、それから同意を得た上で協議会に参加してもらって情報を共有する、さらに通信情報の利用に当たっての当事者協定を結ぶ、そういうことをやっているんですが、じゃ、このうち、インシデント報告については、報告の対象となる事象が何か、あとはどの程度実際に攻撃を受けたときに迅速に報告を求めるのか、それから手続というのはこれどうしていくのか、結構これから決めていかなきゃいけないことがかなり多いと思うんですよ。
この中で、まずその報告の対象となる事案、これ、例えばＩＰＡの情報セキュリティー十大脅威だと実に多岐にわたるような攻撃の種類書いてあるんですけれども、じゃ、どこまで求めるのか。これ、事業者の方は恐らく余り分からないと思うんですけれども、そこら辺はどういうふうに、何というのか、示していくのか、そこを教えていただけますか。
98門門松貴内閣官房内閣審議官
お答えいたします。
まず、本法案においては、特定重要電子計算機に係る特定侵害事象、これと、当該特定侵害事象の原因となり得る事象として主務省令で定めるものの発生を認知した場合にはインシデント報告という、行わなければならないという旨を定めておるわけでございます。
そのうち、特定侵害事象としては、特定重要電子計算機においてマルウェアが実行されることが判明した場合であったり、ネットワーク機器の脆弱性を悪用することなどにより特定重要電子計算機に対して不正アクセス行為が行われたことが判明した場合、また、ランサムウェアによる暗号化や大量のパケットを送り付けるＤＤｏ…
この発言のページ
99片山大介(維新)
余り詳細に求め過ぎるとやっぱり時間が掛かるんだろうなと素人的には思います。
それで、こういうものは早めに迅速に報告をしてもらって、それでほかの事業者への共有をしてもらうと、こっちが大切だと思います。
このバランスが実はすごく難しいんだろうなというふうには思うんですけれども、ここはちょっと、まだこれから詰めていく話なんだとは思いますけれども、今の段階でどのように考えているのか、ちょっと考え方を教えていただけますか。
この発言のページ
100平将明(自民)デジタル大臣・内閣府特命担当大臣（規制改革）
このバランス、本当に難しくて、我々としては迅速に情報をもらいたいと、で、その業界の間に共有をしたいというふうに思っておりますし、また、それが事業者に過度に負担になると事業者の方がギブアップをしてしまうということで、いずれにしても、この官民は、官民のこの連携はウィン・ウィンでないともう続かない関係にあります。
ですから、トレードオフの関係なんですが、よく協議をして、専門家の意見も聞きながら、海外の事例も踏まえながら、適当なそのタイミングといったものを計っていきたいというふうに思っています。
この発言のページ