2021-04-27 第204回国会 参議院 内閣委員会、総務委員会連合審査会 第1号
昨年のデジタル社会の実現に向けた改革の基本方針において、具体的には、NISCが政府統一基準群を策定し、デジタル庁は、当該基準群を活用して、情報システムに関する整備方針においてサイバーセキュリティーについての基本的な方針を示して、その実装を推進すると。デジタル庁にセキュリティーの専門チームを置いて、デジタル庁が整備、運用するシステムを中心に検証、監査を実施すると。
昨年のデジタル社会の実現に向けた改革の基本方針において、具体的には、NISCが政府統一基準群を策定し、デジタル庁は、当該基準群を活用して、情報システムに関する整備方針においてサイバーセキュリティーについての基本的な方針を示して、その実装を推進すると。デジタル庁にセキュリティーの専門チームを置いて、デジタル庁が整備、運用するシステムを中心に検証、監査を実施すると。
個別具体的な検討をしなくてはいけない部分がございますので、一概になかなかお答えしづらいとは思いますが、例えば、御指摘の事例で申し上げると、サーバー室への入退室、その管理、パソコンから出力をされた紙、書面の取扱い、こういうものにつきましては、先ほどおっしゃっていただきました政府統一基準群、ここの中で規定をしております。
具体的には、サイバーセキュリティ戦略本部が定めます、政府機関等の情報セキュリティ対策のための統一基準群に基づきまして、各府省庁において、手続のオンライン化に当たり必要な情報セキュリティーを確保するための対策を講ずることとしております。
まず、セキュリティーの対策という観点から申し上げますと、政府機関等において遵守すべきセキュリティー対策を定めております統一基準群、政府機関等の情報セキュリティ対策のための統一基準群というのがございます。
先ほど申し上げました統一基準群の中で、この扱いを決めてございます。スマートフォンなどの私物の端末、この私物の端末の場合は、その端末の管理を所有者、その方が行わなくてはいけないということになります。
現在どうなっているかということを申し上げますと、先ほど政府委員からもお答えをいたしたところでありますが、政府機関等の情報セキュリティ対策のための統一基準群というものがございまして、その中で、各政府機関の業務の遂行上、情報セキュリティー対策の観点から、各機関は省庁でありますが、各機関から支給された端末を用いて業務を遂行すべきものとされております。これが基本であります。
政府機関等におきましては、政府機関等の情報セキュリティ対策のための統一基準群というのを定めております。ここの中で、情報セキュリティー対策が必要なものを行うということにしてございますが、この統一基準群において、スマートフォンなどをモバイル端末というふうに定義をしております。このモバイル端末については、所要の情報セキュリティー対策を講じることによって利用可能であるということにしてございます。
個々の一つ一つのソフトウエアがどうかというところのチェックという形ではございませんが、政府機関におきましては、政府機関等の情報セキュリティ対策のための統一基準群というものがございます。これに基づきまして、ソフトウエアに関する脆弱性対策を実施するという形になってございます。
委員御指摘の特定のコンサルティング会社に限りませんが、内閣官房のサイバーセキュリティー対策にかかわる事業者につきましては、政府機関等の情報セキュリティ対策のための統一基準群、こういうものなどによりまして、情報の取扱いには細心の注意を払って進めているところでございます。
その一環として、昨年七月に閣議決定されたサイバーセキュリティ戦略においても対応の重要性を言明しているほか、政府統一基準群においても対策の考え方を記載しております。 申合せも対策強化の一つとして決定したものであり、他国政府の要請によるものではありません。
また、政府機関に関しましても、統一基準群という形で、このサプライチェーンリスクに関して十分に注意をするということを今促しているところでございます。
また、今御指摘のバックドアを含みます、情報システムの構成品等のサプライチェーンでいわゆる不正プログラムを埋め込まれること等へのリスク、いわゆるサプライチェーンリスクにつきましては、先ほど来内閣官房から御説明がありましたように、政府全体のまず当該統一基準群に基づきまして対策を推進しているところでございます。
また、統一基準群の改定によりまして、政府のルール、こちらについても強化をしていまして、そしてシステムの防御策、そして事案対処体制、この強化を図っているところでございます。政府機関に加えて、法改正をいたしまして、独立行政法人、それから指定法人等の監視、監査も開始したところでございます。
そういった政府統一基準群に基づいたセキュリティーポリシーを定めるとともに、各種法令等に基づく規定に基づきましてセキュリティー対策についてもしっかりと取り組んでまいりたいと考えております。
現在もJ―LISにおきましては、NISCの政府統一基準群あるいは総務大臣の定める告示等に基づきまして、今申し上げましたような措置も含めて、適切に講じられているものでございますが、今回、機構処理事務特定個人情報等の安全確保措置について法律上明確に位置づけることによりまして、適切な情報の管理に資するもの、このように認識しているところでございます。
こうした教訓を広く政府機関で生かしていくためにも、現在見直し作業を進めている政府統一基準群の中に、基本認識をしっかり踏まえた上で、今委員御指摘のように、日常時及び緊急時に連携の取れた対応を取ることの重要性について規定したいと考えております。
J—LISでは、NISCの政府統一基準群等に倣いまして、情報セキュリティ管理規程などによる情報セキュリティポリシーを定めますとともに、このポリシーと併せまして、個人情報を扱う重要な業務につきましては、住民基本台帳法、公的個人認証法などの法令により定めております規定に沿って情報セキュリティー対策を行っているところでございます。
○政府参考人(宮地毅君) お答え申し上げましたように、政府統一基準群等に倣いながらセキュリティポリシーを定めております。また、法律に基づく規定に沿いながら、具体的な運用につきましても、組織、体制等につきまして、常勤理事の一人がCISOとして担当しておりまして、また内部のリスク管理課がその事務局としてインシデント時の対応を行うCSIRTの機能も含めて対応しているというふうに承知をしております。
また、指定法人に対して政府統一基準群が適用されるため、これを踏まえた監査等を行うことにより、十分なサイバーセキュリティー対策がとられているかを評価し、必要な措置を講ずるよう求めることも可能となってまいります。
具体的には、内閣サイバーセキュリティセンターを初めとした各機関と連携し、政府機関の情報セキュリティ対策のための統一基準群を踏まえ、各種セキュリティー対策製品の導入及び運用を行っているところであります。 以上でございます。
私が少し御提案いたしますので、最後に官房長官からまた御答弁いただきたいんですが、実は、NISCでは、政府機関の情報セキュリティ対策のための統一基準群というガイドラインをつくっています。これはプラン・ドゥー・CA、PDCAサイクルをうまく回すための基準なんですが、ここに問題点が幾つかある。 一つは、これは政府機関のための統一基準群なんですね。
そこで、次のページをごらんいただきたいんですが、今のが重要インフラですが、次の統一基準群の改定、これは政府全般に当てはまるものだそうでございます。 その一番頭の、主な改定内容の標的型攻撃への対策、ここを読むと、今回の年金機構にも関係するような中身が書いてありまして、これはまだ法律に基づいてやっているわけじゃなくて、今、実務上、運用、対策を強化している、そういう御説明を事務方から伺いました。
○国務大臣(山谷えり子君) 情報セキュリティーシステムについては、警察の特殊性を踏まえつつ、内閣官房情報セキュリティセンターが策定した政府機関の情報セキュリティ対策のための統一基準群に準拠した警察情報セキュリティポリシーを策定いたしまして、この警察情報セキュリティポリシーに基づいて情報の流出等を防止する観点から、内部のネットワークとインターネット等の外部のネットワークを物理的に分離するなど、技術的環境
現在、これに基づきまして、政府、各府省のセキュリティーポリシーの基礎となります統一基準群の見直し、それから通信、電力等の重要インフラにかかわりますセキュリティーのあり方、行動計画というふうに呼んでおりますけれども、この見直し、それから人材育成プログラムの改定など、年度末に向けて検討を進めているところでございます。
これまでも、各府省庁の情報セキュリティー対策のもととなります政府機関統一基準群におきましては、ISO、国際標準化機構が定めます国際標準への適合など、安全性の高い調達を行うよう配慮してきたところでございます。