官民連携による能動的サイバー防御の強化
公明党の三浦信祐です。
本法案において、能動的サイバー防御を実現するために、官民連携、通信情報の利用、アクセス・無害化措置、組織、体制整備等を規定をしております。順に質問させていただきます。
新法九章において、情報共有、対策のために協議会を組織するとして第四十五条第一項に規定されております。被害情報を共有することを通して被害防止に資する対策を打つことが役割の一つであると理解しています。その際、セキュリティークリアランス制度を活用することがメンバーにとっても極めて重要であると考えております。
体制構築と能力構築、この両面で考慮すべきと考えます。是非取り組んでいただきたいと思いますが、平大臣、いかがでしょうか。
御質問ありがとうございます。
昨今の国家をも背景とした高度なサイバー攻撃への懸念の拡大やデジタルトランスフォーメーションの進展を踏まえると、個別企業のみ、若しくは民間のみ、官のみでサイバーセキュリティーの確保は困難であります。
このため、本法案においては、情報共有及び対策に関する協議会を組織の上、サイバー攻撃による被害の防止に必要な情報を共有するとともに、被害の防止のための具体的な対策を官民で検討し対処していくことなどを通じて、官民双方のサイバーセキュリティーを強化をしていくこととしております。
その際に、攻撃者の詳細な活動状況といった一定の機微な情報についても、適切な情報管理の下で事業者の皆さんが取扱いができるようにすることが必要であると考えております。
このため、協議会においては、重要経済安全情報を含む情報を共有する者に対して、まさに委員御指摘のとおり、セキュリティークリアランス制度を活用して情報を提供することを含め、必要な検討を進めているところであります。
これまでの制度からアップデートするわけですから、そこに携わっていただける方の責任も極めて大きくなるという視点での質問でありますので、是非御対応いただきたいと思います。
本会議において、通信情報の機械的情報の抽出、その技術に国産化をと訴えさせていただきました。我が国の安全保障の観点、情報セキュリティーの観点から見れば、機械的情報の抽出について、日本国内、国産メーカーであることが重要であると考えるのは当然であります。クリアランス、秘密保持が確保されている状態でつくられる、ハード、ソフト両面を確保した上で運用されることが重要であると考えます。
平大臣、御答弁いただいたときには、重要だという理解の上で、国産の技術で利用可能なものについては積極的に取り入れてまいりたいと考えておると。積極的に取り組んで、取り込んでいくという、この点だけ見ればいいんですが、これ育てていかなきゃ駄目なんですね。この答弁だけでは、まだもう一手、二手踏み込まないと、育てていかなきゃいけないという視点であります。どうやって国内メーカーによる能力を獲得していくのか。
また、能動的サイバー防御に適したＡＩシステムの構築も今後のためには必要と考えます。今のＡＩシステムでは、言語をどれにのっとってつくっているかということもあります。これから、東南アジアＬＬＭ、日本語を多言語との対応できるような、その組み込みということも今先手を打っていかなければいけない状況であります。
そういう視点からこれまでの技術開発を強力に推進をしていただきたいと思います。平大臣、是非取り組んでいただけませんでしょうか。
サイバー空間の脅威の情勢が深刻化する中で、通信情報の利用に当たっては、巧妙化、複雑化していく攻撃にも有効に対処していけるよう、ＡＩの活用も含め、今後の技術動向に応じた高性能なシステムの導入を通じて分析能力の向上を図ってまいりたいと考えております。
その上で、自動選別による機械的情報の選別や機械的情報の分析に必要な通信情報の利用に係る技術については、利用可能な既存の国産の技術を積極的に取り入れることだけではなく、国内企業とも連携をして必要な技術開発をすることも含めた様々な可能性も検討してまいります。
ＡＩについては、まさに法案が今審議をされていると思いますし、そうすると司令塔機能が強化をされますので、いろいろな形で手を打つことができると思いますし、また、経産省の方でもサイバーセキュリティーに係るソフトウェア事業者の育成などを今提案をされておりますので、政府総力を挙げて育てるというところにも注力をしてまいりたいと思います。
本会議から踏み込んでいただいて、ありがとうございます。
通信情報利用における判断基準の明確化
次に、通信情報の利用について質問いたします。
今回、通信情報として、外外、内外、外内通信について実施できるとしております。技術的なこととして、どの段階で通信の行き先を判定し、どの実施体が判断することとなるのでしょうか。北米、アジア、南太平洋等への通信は我が国を経由するケースが多いと承知をしております。大前提として、そのトランジットシステムは情報システム上で整理をされるという前提は明確なのでしょうか。
お答えをいたします。
本法案においては、取得した通信情報について、内閣府において、人による閲覧等の知得を伴わない自動的な方法により分析の対象となる通信情報を選別し、取り出すことといたしております。この自動選別では、通信情報を取得した内閣府において分析を始める前に、インターネット上の住所に当たるもので、通信のそれぞれのデータに付されておりますＩＰアドレスを参照して、送信元あるいは送信先が国外であるかどうかを判定し、対象となる通信データを選別することを想定をしてございます。すなわち、例えば外外通信の分析の場合であれば、ＩＰアドレスにより送信元と送信先の両方が国外であると判定した通信データだけを自動的に選別することを想定しております。
また、本法案では、外外通信それから内外通信及び外内通信を通信に係るＩＰアドレス等から判断して、それらの類型の電気通信に該当すると認められる電気通信と定義をしておりますことから、ＩＰアドレスで通信の判定を行う想定であることは条文上も明確になっているところでございます。
よく整理していただきました。
第二条第八項に機械的情報の定義と分析対象としての整理がなされております。通信の秘密を確保する観点から、コミュニケーション本体の本質的部分は分析対象外となっております。この本質を見ずしてどうやってサイバー攻撃のリスクの有無を判定するか、これは明確にしておかなければいけないと思います。
サイバー攻撃リスクがある発信元は、何度も踏み台を重ねていくことで逆の意味でのリスク回避をしております。特にＣ２サーバーというのはＩＰアドレス、これを頻繁に変更しています。順次、瞬時にリスクデータと突合するシステムが確立し、オペレーションできる状態なのでしょうか。
重大サイバー攻撃の攻撃者は、攻撃元を隠蔽するため、一般利用者の通信機器をマルウェアに感染させるなどして乗っ取ったボットに対しＣ２サーバーから指令を送る手法を用いることが通例であり、これらボットやＣ２サーバーは、御指摘のとおり、多数、多段的に組み合わされて構成することもあるものでございます。これらの攻撃の中継は、通常、人の手を介さずに電子計算機同士の通信により機械的、自動的に行われることから、攻撃インフラの実態を把握するためには機械的情報を分析することが重要であり、本法案では分析の対象を機械的情報に限っているところでございます。
さらに、機械的情報に係る自動選別のプロセスにおきましては、不正な行為に関係があると認めるに足りる状況のある通信データを選別するため、ＩＰアドレスに加え、コマンド又は接続要求や受諾を示す文字列など、その他関係があるデータ等の探査が容易になる情報、これら三種類のいずれかの情報であって二つ以上の条件を設定して選別を行うことといたしておりまして、こうした条件の設定を通じ、一定の精度を持って攻撃に関連する通信を選別することができるものと考えてございます。こうした分析によりまして、例えば国外のＣ２サーバーやボットなどの攻撃インフラの実態の把握、あるいは特定の国外の攻撃用インフラからの国内への攻撃の実態の把握等を行うということが可能になるというふうに考えてございます。
本法案が成立した後、通信情報の利用に当たりましては、巧妙化、複雑化していく攻撃にも有効に対処していけるよう、高性能なシステムや施設の整備を通じた分析能力の向上を図りつつ、通信情報以外の情報との突き合わせも行って、総合的な分析を行ってまいりたいというふうに考えてございます。
大臣の答弁と今の答弁を重ねると、いかにセキュリティークリアランスが重要で、そして国産メーカーと早い段階から構築をしていかなきゃいけないということが明らかになったと思います。是非ここは取り組んでいただきたいと、重ねてお願いしたいと思います。
サイバー攻撃リスク情報は我が国だけで判断することは極めて難しいのが現状であります。今後、多様な主体から生じるリスク回避に対策を取り続けていかなければいけないのがサイバー空間の厳しさであります。
安保三文書の議論を重ねて完成した後の取組として、経済安保の視点におけるセキュリティークリアランスを整備する、能動的サイバー防御能力を構築することを具体化するための取組としてこれが推進をされてきました。我が国として望ましい安全保障環境を構築する国内の体制の一環としての整備であります。それゆえ、これまでセキュリティークリアランスとの関係で、現状、状況掌握、共有できなかった問題等が解消できる段になると、この法案によって期待ができます。
問題と課題を一つ一つ解消するために、これから能力を構築しているんだという謙虚な視点から考えれば、諸外国との情報共有は必須であり、サイバー分野の視点から諸外国との関係構築を強力に推進していただきたいと思いますけれども、いかがでしょうか。
お答え申し上げます。
サイバー攻撃が匿名性、非対称性、越境性という特性を有する中、国家の関与が疑われるものを始めとする組織化、洗練化されたサイバー攻撃の脅威は増大しておりまして、政府機関等への攻撃やランサムウェア等による被害は拡大傾向にあると認識しております。
かかる情勢を踏まえまして、政府全体の情報収集・分析能力の向上を図ることは不可欠でございますけれども、その際、我が国自身の能力向上はもとより、委員御指摘のとおり、関係国との連携を強化、深化していくことも極めて重要であるというふうに考えております。
我が国といたしましては、これまでもサイバー攻撃への対処の一環といたしまして、同盟国、同志国との間で共同捜査やパブリックアトリビューションを実施するなどして国際連携を図ってきたところでございますけれども、サイバー脅威情報につきましては、特定秘密保護法に定めるセキュリティークリアランス制度に加えまして、新たに重要経済安保情報保護活用法に定めるセキュリティークリアランス制度に基づき、適切な保全措置を講じた上での情報交換、情報共有が可能となることなどから、諸外国との間でもより一層の情報交換、情報共有が可能になるものと期待をしているところでございます。
今般の立法措置によりまして、我が国として、官民連携、通信情報の利用、アクセス・無害化措置の実施が可能となることと相まって、同盟国、同志国とは情報の収集、分析段階から更なる連携の強化を図りまして、諸外国との関係構築を強力に進めてまいりたいと、このように考えております。
我が国は警察と自衛隊と二つの組織で構成をされていますので、どこでアクセスして、カウンターパートは誰なのかという整理は実は重要であります。ですので、内閣官房の役割、そして新しい組織のハンドリングというのは極めて重要ですので、よく整理をしていただきたいと思います。
一問飛ばさせていただきます。
我が国のサイバー人材確保に際しては、決定的に相当な対価が必要であります。能力を有するサイバー人材自体、世界では所得が高いというのが一般的であります。我が国は、公務員の範囲で対価を払おうとすると、おのずと限界があります。どうやって優秀な人材を確保されようとしているのでしょうか。
加えて、警察、自衛隊の担当される方々の能力構築、育成に当たっては、世界の中でもハイレベルな人材にまで昇華させることが必要であります。その際には、高い能力そして経験を有する方からのレクチャーを受ける機会等の創出は必須であります。
平大臣、是非、我が国にとって重要な取組となる中でどのように具体的に進めていくのか、明確にお答えいただきたいと思います。
サイバー攻撃の脅威が深刻する中で、サイバーセキュリティー人材の確保や育成を進めることが重要な課題であることはよく認識をしております。
また、本法律案が成立した暁には、政府において、サイバーセキュリティー対処能力の向上に資する人材の確保、育成の必要性が高まることから、分析能力の向上や官民連携の強化等を担う人材の育成等を一段と充実強化をしてまいります。その際、様々な機会を捉えて、民間の高い能力や経験を有する方から知見を共有していただくことなどにより、高度な人材の育成につなげてまいります。
さらに、警察や防衛省においては、高度な専門性を有する人材の育成を進めるために、サイバー分野の専門的な教育の強化に努めるとともに、民間人材の登用や技術解析の委託等による民間知見の活用を通じて、職員のサイバー対処能力の向上もつなげていきたいと承知をしております。
先ほども何回か質問出ていましたけれども、サイバーセキュリティー人材、高いのでなかなか雇い切れないんじゃないかという話で、警察、防衛共に追加の手当のあるような話をしていましたが、多分それでも足りないんだろうと思います。最終的にはリボルビングドアみたいなものを使って、官にいるときは給料が抑えられているけど、その知見を生かして民間に行ったら給料が上がると、またしばらくしたらまた官に戻ってきてもらうというようなエコシステムを含めて、サイバーの世界でそういった循環ができるように努めていきたいと思っております。
今大臣おっしゃっていただいたように、官だけで何かしようというのは極めて難しい話だと思います。このエコシステムをつくるという部分では、民間企業の皆さんも、今回、官民連携ということで、単なる情報共有じゃありません。むしろ、技能、技術の経験値を上げていくということも重要であります。ですので、我が国のこのサイバーセキュリティー人材への投資というのは、実は抑止力の最大的な投資であるという整理をしっかりとメッセージとしてこれから発信していただきたいと思います。
以上で終わります。ありがとうございました。