不正アクセス禁止法の国会答弁と質疑

また、介護、障害福祉分野についても、令和八年度の期中改定において処遇改善等を実施したところですが、令和九年度の定例改定においても、介護、障害福祉分野の賃上げ、経営の安定、離職防止、人材確保を図る必要があるという認識の下、介護、障害福祉事業者の経営状況等をきめ細かく把握した上で、令和八年度診療報酬改定を参考に、物価や賃金の上昇等に適切に対応するとともに、他職種と遜色のない処遇改善に向けた対応を実施してまいります。 高水準の賃上げを持続的なものとし、その流れを地方や中小企業、非正規雇用労働者にも波及させていくことが重要です。

このため、政府としては、重要な役務を提供する事業について、平時から、安定的な提供を阻害する要因となり得るリスクなど、その事業に関連する脆弱性を幅広く点検、把握し、その対応策等の検討を行っております。 次に、経済安全保障上重要な海外事業の促進に関する制度における中小企業への支援についてお尋ねがありました。

ＩｏＴ機器等の調達に当たっては、安全基準等策定指針において幾つか内容を決めています。 さらに、重要インフラの脆弱性への対応のために、情報提供、注意喚起を行うと同時に、今般、重要インフラ統一基準の作成、これを今やっているところです。

迅速な認定手続を求めるとともに、認定を受けた特定の事業者にデータが集中して市場の公平性が損なわれないか、中小企業の参入機会が確保されるのかという視点が極めて重要です。 大企業だけでなく、優れた技術を持つ中小企業やスタートアップが公平にデータにアクセスし、ＡＩ開発等に参加できる環境をどう構築するのか、お伺いいたします。

経済安全保障は、大企業においては理解が進みつつあるものの、中堅・中小企業の理解はまだまだであると、しかし、サプライチェーン上の脆弱性や情報漏えいリスクはむしろ中堅・中小企業にこそあるので、中堅・中小企業における理解を深める実効的な施策の推進をお願いしたいと、このように述べられました。 こうした中堅・中小企業、特にですね、の体制づくりに対する政府の認識について伺いたいと思います。

自由経済の主な担い手である中小企業やスタートアップを含む民間企業が果たす役割は一段と重く、引き続き官民一体での施策の推進が求められます。 五点目に、認定特定海外事業者認定へ向けた中小企業に対する支援策について伺います。

まず、現状で申し上げますと、このＩＤ、パスワードの脆弱性があるＩｏＴ機器の調査に関しましては、委員の今御説明ありましたとおり、平成三十一年の調査の開始に伴ってＮＩＣＴに設置をした専門組織で実施をしております。

今回の法案におきましては、ＩＤ、パスワード以外のソフトウエアなどの脆弱性を有するＩｏＴ機器にも調査対象を拡充することといたしておりますが、検討に当たりましては、昨年から英国で開始されましたＩｏＴ機器の脆弱性調査の事例なども参考にいたしております。

この事件、その事例では、ＩＤ、パスワードの設定に不備があった約十万台のＩｏＴ機器が踏み台となりまして、アマゾンやネットフリックスなど世界各国の多数の大手サイトにおいて長時間にわたりアクセス障害が生じ、大きな影響を及ぼしました。 依然としてＩＤ、パスワードの設定に不備のあるＩｏＴ機器を標的としたサイバー攻撃が発生しており、最近ではＩＤ、パスワード以外のソフトウエアなどの脆弱性を狙ったサイバー攻撃も増えているなど、ＩｏＴ機器を悪用したサイバー攻撃のリスクは引き続き高い状況にあると認識をいたしております。

ＮＩＣＴが行うＩＤ、パスワードの脆弱性のあるＩｏＴ機器調査につきましては、委員御指摘のとおり、今年度末までの五年間の時限措置としておりました。 この背景といたしまして、この平成三十年の制度導入の当時、五年程度あれば新たな機器への置き換えができてＩｏＴ機器のセキュリティー対策が十分進展をするという、こういう想定に基づいたものでございました。

この増加の傾向でございますけれども、要因はいろいろあるのかもしれませんが、私どもが推測をするに、ネットワークカメラなどのＩｏＴ機器が非常に多くなってきていると。 デジタル化を背景といたしまして世界規模でこういう利用が増加をしているということがございまして、これに伴って脆弱性のあるＩｏＴ機器が増え、そしてサイバー攻撃がそれに伴って増えているという、そういう分析をしてございます。

委員御指摘のように、社会全体のデジタル化に伴ってＩｏＴ機器は急速に普及する一方、こうした機器を悪用したサイバー攻撃のリスクは引き続き高い状況にあると認識をしております。 これを踏まえて、ＮＩＣＴにおいてはこれまで、ＩＤ、パスワードに脆弱性のあるＩｏＴ機器の調査を実施し、一定の成果が上がっておりますが、最近ではＩＤ、パスワード以外のソフトウエアの脆弱性を狙ったサイバー攻撃も増加をする傾向にございます。

この同義務に違反をした場合の罰則も併せて設けられることに加えまして、このＮＩＣＴの実施計画で認められた以上の行為を行った場合には、委員御指摘のとおり、不正アクセス禁止法上の禁止行為に該当することになりますので、同法の罰則の適用を受けることになるというふうに考えております。 こうしたＮＩＣＴの取組から、法的な枠組みの下で、引き続き、情報管理をしっかりと徹底をしつつ、ＮＯＴＩＣＥプロジェクトを着実に実施してまいりたいと考えております。

先ほど政府参考人の方からも答弁ございましたし、また委員の方からも御指摘もございましたけれども、ＩｏＴ機器の脆弱性の解消には、電気通信事業者への通知、そして機器の利用者への注意喚起に加えまして、脆弱性が多く見付かった機器のメーカーにも働きかけることが有効であるというふうに考えているところでございます。 そのため、今回の法案におきましては、ＮＯＴＩＣＥの調査対象の拡充とともに、メーカーなどへの情報提供につきましてもＮＩＣＴの業務として新たに法的に位置付けているところでございます。

まず、実績についてでございますが、ＩＤ、パスワードの設定の不備にあるＩｏＴ機器の調査に関しましては、国内のインターネットに直接接続をされている約一億台のＩｏＴ機器を対象に実施をしております。 これらの取組によりまして、少なくとも数万台規模のＩｏＴ機器について、ＩＤ、パスワードの脆弱性の解消に資する成果が上がっているものと認識をしております。

まず、ＮＩＣＴでは、これ前回の経緯でございますが、平成三十年に成立した改正ＮＩＣＴ法に基づき、平成三十一年度から今年度末までの時限業務として、ＩＤ、パスワードの設定に脆弱性があるＩｏＴ機器の調査を実施してまいりました。 こうした取組を通じて一定の成果は上がってまいりましたが、このＮＯＴＩＣＥによる調査を継続をしている中で、ＩｏＴ機器のライフサイクルが私どもが想定をした以上に長いということが明らかになってまいりました。

ＩＤ、パスワードに脆弱性があるＩｏＴ機器を減らしていくためには、御指摘のように、メーカーによる利用者のサポートの強化も重要になると考えております。 具体的には、メーカーにおいては、これも御指摘をいただきました、ＩｏＴ機器のサポート期間の終了や対策プログラムの提供等、利用者が安全な製品を選択する際に必要な情報の確実な提供、利用者にとって分かりやすい設定、操作が可能な製品やマニュアルの提供などが求められると考えております。

今御指摘をいただきましたとおり、ＩｏＴ機器のセキュリティー対策を強化するためには、通信事業者を介した注意喚起だけでなく、メーカー等のその取組も必要不可欠であると考えております。 これまでのＮＯＴＩＣＥの取組においては、この利用者への注意喚起だけでなく、ＩＤ、パスワードの脆弱性が多く見付かった機器のメーカーに働きかけを行うことによってセキュリティー対策が適切に講じられた製品の提供を実現するなどの大きな成果が得られております。

利用者に対する注意喚起の方法はこの通信事業者に適切に判断していただくものでございますが、総務省としては、利用者による対応が進まないケースにおいては、委員御指摘のとおり、利用者のセキュリティー意識が十分ではないこと、それから企業においてＩｏＴ機器の管理者が明確ではないことというのも一因ではないかと考えております。 このＮＯＴＩＣＥに関する情報発信を強化をしてＩｏＴ機器の適切な管理の重要性について国民の皆様に御理解いただけるよう周知啓発を進めていくことは大変重要な課題であるというふうに認識をしております。

このようなＮＩＣＴが持つ知見を活用して、平成三十年の改正ＮＩＣＴ法に基づき、ＩＤ、パスワードの設定に不備があるＩｏＴ機器の調査を実施してまいりました。 こうした取組を通じて一定の成果が上がっておりますが、依然としてＩＤ、パスワードの設定に不備があるＩｏＴ機器を標的としたサイバー攻撃が発生しているほか、最近ではＩＤ、パスワード以外のソフトウエアなどの脆弱性を狙ったサイバー攻撃も増えているなど、ＩｏＴ機器を悪用したサイバー攻撃のリスクは引き続き高い状況にあると考えております。

今般、ＮＯＴＩＣＥの調査対象の拡大が行われまして、体制の強化も必要になるということがございます。

今ＮＩＣＴが行っておりますＩＤ、パスワードに脆弱性のあるＩｏＴ機器調査、これは御指摘のあった特定アクセス行為になりますが、実際にＩＤ、パスワードを入力してログインを試みる必要がございます。 これは、通常、不正アクセス禁止法で禁止をされている不正アクセス行為に該当するというものでございます。

御指摘いただきましたとおり、ＩｏＴ機器のセキュリティー対策につきましては、利用者の意識が十分な状況ではない中、ＮＯＴＩＣＥに関する情報発信を強化して、ＩｏＴ機器の適切な管理の重要性について国民の皆様により御理解いただけるように周知啓発を進めていくということが非常に重要な課題だというふうに認識をしてございます。 このため、来年度のＮＯＴＩＣＥの情報発信強化に向けて新たな広報戦略を検討しているところでございます。

今委員御指摘をいただきましたとおり、通信事業者への通知それから機器の利用者への注意喚起について、一台ずつ対処するだけではなくて、ＩＤ、パスワードの脆弱性が多く見つかった機器のメーカー、こういう方々にも働きかけを行って、セキュリティー対策が適切に講じられた製品の提供につなげることで、より大きな成果が得られるということが明らかになってございます。 同じく、御指摘をいただきましたが、ＩｏＴ機器の適切な管理をするという観点で利用者への周知啓発を進めるに当たっては、私どもが直接周知啓発するだけではなくて、メーカーを始めとする関係者と連携して働きかけをするということが大変重要だというふうに考えてございます。

まず、ＮＩＣＴが行う調査に関しましては、脆弱性のあるＩＤ、パスワードを利用していないか否かを確認するための調査でございますので、個人情報、第三者の通信の内容を取得する内容ではございません。 御指摘のＮＯＴＩＣＥの情報発信につきましては継続して取り組んでまいりますが、ＮＯＴＩＣＥプロジェクトの実効性をより上げるためには利用者の十分な理解を得るということが極めて重要でございますので、そのための取組を強化してまいりたいと考えております。

ＮＩＣＴが行う調査によりＩＤ、パスワードに脆弱性がある機器が見つかった場合には、電気通信事業者への通知、それから事業者を通じて機器の利用者への注意喚起を行って、ＩＤ、パスワードの変更等の対応をお願いしております。 通知を受けた電気通信事業者においては、脆弱性のあるＩＤ、パスワードの変更等を行うよう、個別の利用者への注意喚起を行ってまいりました。