小柳誠二

重大サイバー攻撃の攻撃者は、攻撃元を隠蔽するため、一般利用者の通信機器をマルウェアに感染させるなどして乗っ取ったボットに対しＣ２サーバーから指令を送る手法を用いることが通例であり、これらボットやＣ２サーバーは、御指摘のとおり、多数、多段的に組み合わされて構成することもあるものでございます。これらの攻撃の中継は、通常、人の手を介さずに電子計算機同士の通信により機械的、自動的に行われることから、攻撃インフラの実態を把握するためには機械的情報を分析することが重要であり、本法案では分析の対象を機械的情報に限っているところでございます。 　さらに、機械的情報に係る自動選別のプロセスにおきましては、不正な行為に関係があると認めるに足りる状況の

いろいろな例があるかもしれませんけれども、私どもの法律案では、ＩＰアドレスのその割り当てられたところが国内であるか外国であるかということで仕分をしてございますので、御指摘のような例でも、そのＩＰアドレスの配布が国内、国外といったことでその分類をしていくということになるというふうに思います。

まず、外外通信の取得に関しましては、先ほど申し上げたＩＰアドレスを基に、外国が関係していると思われている通信を取り扱っている通信のその媒介設備から通信情報を取得するということとしております。 　それから、特定外内、特定内外につきましても、ＩＰアドレスをベースにして、国外関係電気通信を取り扱っている電気通信設備から情報を取得するということになっておりまして、このような区分けをしているところでございます。

当事者協定につきましては、内閣総理大臣は、基本的に特別社会基盤事業者、いわゆる基幹インフラ事業者との間で協定を締結するということといたしております。なので、プロバイダー、御指摘のプロバイダーについては、電気通信事業者という意味ではその協定の相手方になるわけでありますけれども、基幹インフラ事業者としてのサービス提供をする立場という、基幹インフラ事業者との間で基本的にその協定を締結するということでございます。 　その上で申し上げますと、基幹インフラ事業者が協定を締結したかどうかということについては、対外的に公表したりする規定というのは特段設けていないというところでございます。

先ほど申し上げたとおり、法令上、特段そういう規定は設けておりません。それから、公表するかしないかについては、政府と協定を結ぶ相手方でよく御相談をさせていただいて個別に検討していくべきものというふうに認識をしております。

お答えいたします。 　御指摘のとおり、協定はあくまで任意で締結するものでございますので、政府側から強制をしたり、あるいは協定を締結しないことをもって不利益な取扱いをしたりといったことはいたしません。

お答えを申し上げます。 　協定を締結しない事業者あるいは一般の国民の方、その他電子計算機の利用者の方、広くいらっしゃいますので、私どもとしては、サイバー攻撃による被害をなるべく防ぎたいという観点がございますから、そうしたことで役立つ情報というのは積極的に発信、提供してまいりたいというふうに考えてございます。

お答えを申し上げます。 　御指摘のとおり、本法律案では、当事者協定を締結した事業者等の同意がある場合であれば、その協定で取得した通信情報から得られた選別後通信情報が特定被害防止目的以外の目的に利用されることを許容することといたしております。 　この目的外利用の規定でありますけれども、協定当事者の同意が得られた範囲内において、内閣府が、関係行政機関のほか、サイバー攻撃の動向について知見を有する民間のセキュリティー会社等に選別後の通信情報を提供し、分析していただくことを想定しているものでございます。

お答えを申し上げます。 　法律上、その禁止する規定はございませんけれども、選別後通信情報でございますので、用途としてはあくまでもそのやはりサイバーセキュリティー関連の活用ということになろうかというふうに存じます。

お答えを申し上げます。 　繰り返しになりますけれども、本法律案第二十三条第四項第一号の規定によりまして、協定当事者の同意を得た場合にはその利用目的は必ずしも特定被害防止目的に限られないということになるわけでございます。 　しかしながら、選別後通信情報でありますので、自動的な選別による、自動的な方法による選別により、一定の重大なサイバー攻撃に関係があると認めるに足りるＩＰアドレスあるいはコマンドなどの機械的情報に限定されたものでございまして、また非識別化措置も講ずるということから、いずれにしても、サイバーセキュリティーに関係する業務で用いられることが想定されるものでございます。 　したがいまして、通信情報保有機関においてサイバー

御指摘のとおり、ＩＰアドレスは含まれるものでありますが、通信につきましては、そのコミュニケーションの本質的内容というものは自動選別によって落とされておりますので、そういったものを確認するということはできないというふうになります。

先ほど来お答えしているところでございますが、例えばその民間のセキュリティー事業者に分析を依頼して活用していくということもございまして、サイバーセキュリティーの確保のためにそういった活動も重要というふうに考えてございます。ですので、一律にそういったことを禁ずるというのは適当ではないというふうに考えるところでございます。

選別後通信情報の目的をそもそも限定しておりますのは、選別後通信情報は通信情報でございますので、非常にその通信の秘密との関係で厳格な取扱いが求められるから制限をしているということでございます。 　したがいまして、その国外通信による特定の不正行為に関するものに限ってその通信情報を利用するという発想の下で特定被害防止目的ということに絞るということにしているところでございます。したがいまして、その絞るということは必要でありますけれども、当事者協定は、当事者の同意を得た範囲内に限ってそういったサイバーセキュリティー目的ということに使わせていただくということにしているところでございます。

お答えを申し上げます。 　協定を締結した基幹インフラ事業者等から提供されることとなる通信情報の内容は、その事業者の個別の事業内容や協定の内容によって変わり得ると考えられるため一概にお示しすることは困難ではございますけれども、例えば事業者のウェブサイトにユーザーから入力された情報等が含まれる可能性もございます。 　しかしながら、本法案におきましては、内閣総理大臣が通信情報を取得したときは、閲覧その他の人による知得を伴わない自動的な方法によって不正な行為に関係があると認めるに足りる機械的情報のみを選別して分析することとし、それ以外のものを消去する措置を講じなければならないこととしております。そのため、提供を受けた情報に例えば通常のユ

お答え申し上げます。 　当事者協定に基づいて提供を受ける通信情報をあらかじめ外内通信に限定するということは、協力いただく事業者にとって負担になる場合があるということで、例えば設備に掛かる負荷が大きいといったことなどから技術的になかなか難しいということもあり得るのではないかというふうに考えるところでございます。 　そのような負担、技術的な困難ということもあり得るものでありますけれども、事業者の側から限定して提供したいというお申出が仮にあるとすれば、政府といたしましては、その御要望も踏まえつつ、同意を得て通信情報を利用するという観点からしっかりと検討をして相談をして、で、どういう御支援ができるかというのは必ずしもそのケース・バイ・ケ

お答えをいたします。 　本法案の通信情報の利用の措置でありますが、国外関係通信を媒介していると認められる、現在インターネットの主流となっている通信ネットワークを主に念頭に置いて立案しているものでございます。 　御指摘のような新たな技術に基づく通信ネットワークの通信情報を取得する具体的な方法につきましては、その技術でありますとかシステムの特性を踏まえつつ、協力いただく電気通信事業者と調整の上でその方法を決める必要がございますので、現時点でその方法を具体的にお示しすることはなかなか難しいところでございますけれども、いずれにいたしましても、技術の進歩でありますとかサイバー攻撃の状況に応じまして、政府として必要な分析を行うための能力を確

お答えいたします。 　本法案では、取得した通信情報につきまして、閲覧等の人による知得を伴わない自動的な方法により不正な行為に関係があると認めるに足りる機械的情報のみを選別して記録することといたしております。 　この自動選別のプロセスにおきましては、不正な行為に関係があると認めるに足りる状況にある通信データを選別するために、御指摘をいただきましたＩＰアドレスに加えまして、コマンドでありますとか、又は接続要求や受諾を示す文字列などその他関係があるデータ等の探査が容易になる情報、この三種類のいずれかの情報であって、二つ以上の条件を設定して選別を行うことといたしております。 　こうした条件の設定を通じまして、対象となるＩＰアドレスが特

お答えを申し上げます。 　サイバー通信情報監理委員会は、政府による通信情報の利用を始めとする被害防止措置の適正な実施を確保するための審査、検査を任務としており、通信の秘密への十分な配慮等を担保する上で重要な役割を果たすものでございます。 　したがいまして、委員会は高い独立性を有する機関である必要があることから、府省等の他の行政機関と同等の立場で自らの名義をもって審査を行い、また、他の行政機関に対し自らの名義をもって勧告等を行うことができるいわゆる三条委員会として設置することといたしております。

お答え申し上げます。 　サイバー通信情報監理委員会の名称につきまして、監督の監の字を用いてございますけれども、これは、委員会が通信情報保有機関における通信情報の取扱いについて審査及び検査を行いまして、場合によっては勧告、通知等を行い、またその権限を行使しようとする委員会の権限及び責務を名称にも明らかにしようとする趣旨でございます。

お答えいたします。 　サイバー通信情報監理委員会の事務所の設置場所あるいは具体的な設備、施設等について現時点で定まっているものではございませんけれども、委員会が法案に規定をします審査及び検査を適切に行えることが重要でございまして、そのために必要な執務環境を確保するとともに、安全管理でありますとか情報処理のための設備等、こうしたものを整備してまいりたいというふうに考えてございます。