不正アクセス禁止法の国会答弁と質疑

また、介護、障害福祉分野についても、令和八年度の期中改定において処遇改善等を実施したところですが、令和九年度の定例改定においても、介護、障害福祉分野の賃上げ、経営の安定、離職防止、人材確保を図る必要があるという認識の下、介護、障害福祉事業者の経営状況等をきめ細かく把握した上で、令和八年度診療報酬改定を参考に、物価や賃金の上昇等に適切に対応するとともに、他職種と遜色のない処遇改善に向けた対応を実施してまいります。 高水準の賃上げを持続的なものとし、その流れを地方や中小企業、非正規雇用労働者にも波及させていくことが重要です。

このため、政府としては、重要な役務を提供する事業について、平時から、安定的な提供を阻害する要因となり得るリスクなど、その事業に関連する脆弱性を幅広く点検、把握し、その対応策等の検討を行っております。 次に、経済安全保障上重要な海外事業の促進に関する制度における中小企業への支援についてお尋ねがありました。

ＩｏＴ機器等の調達に当たっては、安全基準等策定指針において幾つか内容を決めています。 さらに、重要インフラの脆弱性への対応のために、情報提供、注意喚起を行うと同時に、今般、重要インフラ統一基準の作成、これを今やっているところです。

迅速な認定手続を求めるとともに、認定を受けた特定の事業者にデータが集中して市場の公平性が損なわれないか、中小企業の参入機会が確保されるのかという視点が極めて重要です。 大企業だけでなく、優れた技術を持つ中小企業やスタートアップが公平にデータにアクセスし、ＡＩ開発等に参加できる環境をどう構築するのか、お伺いいたします。

経済安全保障は、大企業においては理解が進みつつあるものの、中堅・中小企業の理解はまだまだであると、しかし、サプライチェーン上の脆弱性や情報漏えいリスクはむしろ中堅・中小企業にこそあるので、中堅・中小企業における理解を深める実効的な施策の推進をお願いしたいと、このように述べられました。 こうした中堅・中小企業、特にですね、の体制づくりに対する政府の認識について伺いたいと思います。

自由経済の主な担い手である中小企業やスタートアップを含む民間企業が果たす役割は一段と重く、引き続き官民一体での施策の推進が求められます。 五点目に、認定特定海外事業者認定へ向けた中小企業に対する支援策について伺います。

今回の法改正につきましては、ＮＩＣＴのサイバーセキュリティー関連業務につきまして、今年度末に期限を迎えるＩＤ、パスワードに脆弱性のあるＩｏＴ機器の調査を来年度からも継続的に実施するようにという内容と、調査対象を拡充する、この二つの内容が盛り込まれております。

事前の説明の際に、特定アクセス行為により特定できない脆弱性がある機器があるとお伺いしました。 脆弱性があると判定されたものの、機種を特定できなかったＩｏＴ機器について何らかの対策が必要ではないかと考えておりますが、今後どのように対策を行っていくのか、教えていただきたいと思います。

特定アクセス行為とは、ＮＩＣＴが行っている、脆弱性を有するＩｏＴ機器を発見するためにＩｏＴ機器にアクセスし、ＩＤ、パスワードを入力してＩｏＴ機器を作動させる行為のことですが、この特定のアクセス行為での調査範囲がインターネットに直接接続されている機器に限られていると伺っております。 多くのＩｏＴ機器がインターネットにつながっている中、果たしてこれで十分なのか心配となります。

サイバーセキュリティー対策として、ＮＯＴＩＣＥと呼ばれる、ＮＩＣＴが中心となってサイバー攻撃に悪用されるおそれのある機器の調査及び機器利用者への注意喚起を行っています。 ＮＯＴＩＣＥの取組において、注意喚起を受けた利用者がパスワードの変更を行う際に必要なサポートを行うため、ＮＯＴＩＣＥサポートセンターを設置しています。

パスワードが脆弱なＩｏＴ機器がサイバー攻撃の踏み台になってしまうことと、それゆえＮＯＴＩＣＥという事業を展開していて国民の皆様に協力いただきたい、こうしたことをもっとキャンペーンでも張って周知徹底していくべきと思うんですけれども、国民向け啓発事業について具体的な取組状況を、政府参考人、お答え願えますでしょうか。

次に、ＮＯＴＩＣＥにおける国民理解と啓発ということでお伺いをしてまいります。 こうしたことを考えると、ＮＩＣＴの取組は有意義なものだとしても、脆弱性を指摘する連絡は無視される、警戒される確率が高いのではないかなと思います。

新たにソフトウェア等に脆弱性があるＩｏＴ機器、既にマルウェアに感染しているＩｏＴ機器に調査対象を拡大して調査を継続することで巧妙化するサイバー攻撃に対処していけるということで理解いたしました。 本来、様々なＩｏＴ機器にログインを試みる行為は、不正アクセス禁止法における不正アクセス行為に該当します。

ＮＯＴＩＣＥの事業で脆弱性が見つかって通信事業者に通知をした件数が十万件、数千台のＩｏＴ機器の脆弱性解消につなげることができた、こんな成果があると。 ところが、ＮＯＴＩＣＥの実施状況を拝見しますと、先ほどもほかの委員から御指摘がありましたが、令和五年八月には五千五十五件の注意喚起がなされているものの、三千四百六件は同年の七月に検知されたものということで、注意喚起を受けた三分の二はそのまま稼働し続けているということになります。

今回の法案は、ＮＩＣＴが実施する特定アクセス行為を伴うＩＤ、パスワードに脆弱性のあるＩｏＴ機器調査を令和六年以降も実施できるようにすること及びその調査対象の拡充、そして二つ目にＮＩＣＴの債務保証業務等を規定した特定通信・放送開発事業実施円滑化法の廃止の二つを柱としておりますけれども、私からは一つ目の特定アクセス行為の方を中心に質問させていただきます。 先ほど来、様々な委員から御指摘があったと思いますが、ＮＯＴＩＣＥの事業というのは、サイバー上ではありますけれども、例えるならば日本全国でドアノックをしまくる、そういう行為であります。

八月時点で五千五十五件、ＮＯＴＩＣＥの注意喚起、要は脆弱ですよということを一か月で把握しました。 今後新たにサイバー攻撃に悪用されるおそれがあるＩｏＴ機器を調査対象にしていくという今回の法改正です。

次に、関連して、ＮＯＴＩＣＥサポートセンターの運営予算について伺います。 そして、総務省のＮＯＴＩＣＥサポートセンターの業務というのは、総務省が公表している令和五年度の行政事業レビューシートによると、電波法第百三条の二第四項第十二号を根拠としたＩｏＴの安心、安全かつ適正な利用環境の構築という事業の一環として行われているとしています。

次の質問は、ＮＯＴＩＣＥのサポートセンターの運営について伺います。 さて、ＮＯＴＩＣＥについては、ネットワークに接続する機器へのアクセスによってサイバー攻撃に悪用されるおそれのある機器の利用者に対して、ウェブサイトや電話による問合せ対応を目的としたサポートセンターというものが設けられています。

ＮＯＴＩＣＥのウェブサイトで公表されている今年八月度の実施状況によりますと、この取組による注意喚起が五千五十五件実施されました。 すなわち、約三分の二は前の月の通知からの繰越しであって十分な対処がされておらず、脆弱性のある機器がネットワークに接続されたままの状態、すなわち脆弱性のある状態が放置されてしまっているとも受け取れると思います。

ＮＯＴＩＣＥの対象機器についてなんですけれども、これまで、ＩＤ、パスワードに脆弱性を有するネットワーク機器のみでしたが、先ほど御説明があったと思います、現在総務省などにおいて、ネットワークに接続されている機器のファームウェアという、機器に内蔵されたソフトウェアに問題が存在するもの、また、既にサイバー攻撃へ悪用できる状態となった機器など、つまり、ほかのネットワーク機器に対してサイバー攻撃に加担させることができる状態となったものが想定される… そして、これまで、ＮＯＴＩＣＥの取組によって通知、注意喚起を行った先は、一般家庭から法人まで様々あったかと思います。

改めまして、先ほどから皆さんが議論されているＮＯＴＩＣＥの取組、重要かつ評価すべき取組であるとまず冒頭に申し上げさせていただきます。 ただ、このＮＯＴＩＣＥと呼ばれる取組、先ほどもありましたが、お世辞にも国民に広く浸透されているとは言えない状況であります。

倫理面に関連してですけれども、今ＮＯＴＩＣＥでＩｏＴ機器をチェックしているわけですけれども、これは以前から、通信の秘密との整理、すみ分けのことで、今回は六年度以降も延長でありますけれども、最初の改正のときからずっと議論になっていることであります。 ＩｏＴ機器チェックということは不正アクセスにはならないという認識であって、どうやって歯止めをかけるかというと、実施計画を総務大臣に出して、総務大臣が認可をして、そして罰則の規定がある、その後、ＩｏＴ機器を調査した後はログを保存する、こういう歯止めをかけているから大丈夫だということを答弁されておりますけれども、改めて、ＩｏＴ機器チェック、調査に入ってＩＤとパスワードを取った後に、その中身について知り得たり、漏えいする懸念ですね、通信の秘密…

続きまして、ＮＩＣＴの調査、これにより見つかった脆弱性のあるＩｏＴ機器に関しましては、機器の利用者にセキュリティー対策をお願いすることとなります。

このような状況の下、今回のＮＩＣＴ法改正案では、令和五年度末に時限を迎えるＩＤ、パスワードに脆弱性があるＩｏＴ機器の調査を令和六年度以降も継続的に実施する、また、脆弱性があるファームウェア等を搭載しているＩｏＴ機器及びマルウェアに既に感染してしまっているＩｏＴ機器を新たに調査の対象とすることとしております。 まず、今回の法改正では調査対象が拡充され、また、ＩｏＴ機器は今後も更なる増加をすると考えます。

実際にＮＯＴＩＣＥの方でそうした通知をされたとしても、実は、連絡を受けた会社というのは必ずしもＩＴに詳しい人材がいるわけではございません。 そういった状況ですので、ＮＯＴＩＣＥのサポート体制というのは本当にしっかりと努めていかなければいけないというふうに思っております。

確かに、ＩｏＴ端末がどんどん増えれば増えるほどそうした危険性があると思いますので、私自身もこの法案を延長すべきだということは強く感じております。 一方で、じゃ、ずっとそのままほっておいて、ＮＯＴＩＣＥの方で検知をしていくかというと、やはりそこは根本的な解決にはならないというふうに思っております。