2015-08-25 第189回国会 参議院 厚生労働委員会 第28号 公式Web版
-
理事補欠選任の件 ○政府参考人の出席要求に関する件 ○参考人の出席要求に関する件 ○社会保障及び労働問題等に関する調査 （会議録情報）
平成二十七年八月二十五日（火曜日） 午前十時二分開会 ───────────── 委員の異動 八月二十一日 辞任 補欠選任 森本 真治君 羽田雄一郎君 辰巳孝太郎君 小池 晃君 八月二十四日 辞任 補欠選任 大沼みずほ君 酒井 庸行君 八月二十五日 辞任 補欠選任 酒井 庸行君 二之湯武史君 ───────────── 出席者は左のとおり。 委員長 丸川 珠代君 理 事 羽生田 俊君 福岡 資麿君 三原じゅん子君 津田弥太郎君 長沢 広明君 委 員 赤石 清美君 石井みどり君 木村 義雄君 酒井 庸行君 島村 大君 高階恵美子君 滝沢 求君 武見 敬三君 二之湯武史君 石橋 通宏君 西村まさみ君 羽田雄一郎君 白 眞勲君 牧山ひろえ君 山本 香苗君 川田 龍平君 小池 晃君 行田 邦子君 薬師寺みちよ君 福島みずほ君 国務大臣 厚生労働大臣 塩崎 恭久君 副大臣 厚生労働副大臣 山本 香苗君 大臣政務官 厚生労働大臣政 務官 橋本 岳君 事務局側 常任委員会専門 員 小林 仁君 政府参考人 内閣官房内閣審 議官 谷脇 康彦君 警察庁長官官房 審議官 斉藤 実君 特定個人情報保 護委員会事務局 長 其田 真理君 総務大臣官房審 議官 猿渡 知之君 厚生労働大臣官 房長 蒲原 基道君 厚生労働大臣官 房情報政策・政 策評価審議官 安藤 英作君 厚生労働大臣官 房年金管理審議 官 樽見 英樹君 厚生労働大臣官 房統計情報部長 姉崎 猛君 厚生労働省保険 局長 唐澤 剛君 厚生労働省年金 局長 香取 照幸君 参考人 日本年金機構に おける不正アク セスによる情報 流出事案検証委 員会委員長 甲斐中辰夫君 日本年金機構理 事長 水島藤一郎君 日本年金機構理 事（システム部 門担当） 徳武 康雄君 ───────────── 本日の会議に付した案件 ○理事補欠選任の件 ○政府参考人の出席要求に関する件 ○参考人の出席要求に関する件 ○社会保障及び労働問題等に関する調査 （年金情報の流出問題に関する件） ───────────── -
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 不正アクセスによります情報流出事案に関しまして、国民の皆様方に多大なる御心配、御不安をお掛けいたしましたことにつきまして、誠に申し訳なく、改めて心よりおわびを申し上げます。 日本年金機構におきましては、本年六月四日に調査委員会を設置をいたしまして、当事者として本事案の原因究明及び再発防止のための調査を実施してまいりました。この度、その調査結果を報告書として取りまとめましたので、御報告をいたします。 なお、内閣サイバーセキュリティセンターには原因究明調査を取りまとめていただくとともに、厚生労働省の日本年金機構における不正アクセスによる情報流出事案検証委員会には第三者の立場から厳しく事案の検証をいただいております。これらの報告における御指摘をしっかり踏まえて今後の対応に当たってまいりたいと考えております。 さて、当機構の調査委員会の調査結果について御説明をいたします。 本調査においては、本事案の関係者からのヒアリング及び関係資料の検証を主として実施いたしました。あわせて、感染端末及びサーバーのデータやログ等から不正アクセスの記録を収集、解析して証拠性を明らかにする、いわゆるフォレンジック調査等も実施をいたしました。 フォレンジック調査を含みますこれまでの調査の結果、お客様の個人情報に関しましては、約百二十五万件以外の新たな情報流出は確認されませんでした。また、お客様の個人情報は五月二十一日から二十三日までの間に流出したことが判明をいたしております。 一方、お客様の個人情報以外に関しましては、当機構職員の個人情報の一部などの情報が流出している可能性があることが新たに確認されております。 本事案につきまして経緯を省みますと、まず、当機構に第一回目のメール攻撃があった五月八日において、送信元メールアドレスの受信拒否の設定が行われておりませず、標的型メール攻撃ではないかとの担当者の疑いが組織として共有されないなど、初動対応に問題がございました。また、情報流出の直接的要因となった五月十八日からの対応につきましては、標的型メールの受信者全員に個別に添付ファイルの開封の有無を確認しなかったことから本事案への対応が遅れ、結果として感染の拡大やその後の情報流出につながりました。 もし実施すべきと現時点で考えられる対策がルール化、体系化され、それが確実に実行されていたならば、情報流出の防止につながったと考えられます。先ほど御説明申し上げましたとおり、特に数次にわたる標的型メールを受信した際の対応、対策には多くの問題点があったことは率直に認めなくてはなりません。 また、共有ファイルサーバーにつきましては、個人情報等の重要情報は共有ファイルサーバーに保存しないことを原則とし、例外的に保存する場合のルールを設けておりました。しかしながら、そのルールが本当に実行されているかなどの点検、確認が行われておらず、ルールが有名無実化いたしておりました。 こうした中、インターネット接続環境下にある共有ファイルサーバーに本来例外的であるべき個人情報が管理不徹底のまま保存されてきたことが今回の情報流出につながった極めて大きな要因の一つであり、検証委員会からも、「官民を問わず他の組織では考えられない」、「国民の重要な個人情報を大量に扱う組織としてはあるまじきことである。」と、このような御指摘をいただいたことは、役員から職員に至るまで、情報セキュリティーに関し、外部からの攻撃があり得るというリスク感覚が欠如していたと言わざるを得ず、率直におわびをしなければならないと考えております。 そのほか、本事案の公表後、個人情報の流出に関するお客様からの問合せに対する説明誤りが発生をいたしましたことにつきましても、その公表が遅れるなどの問題がありました。重ねておわびを申し上げます。 今後は、最も重要な個人情報を扱う基幹システムはもとより、個人情報をインターネット接続環境から完全に遮断することは必須であると考えております。 また、情報セキュリティー対策の司令塔といたしまして、規定整備、リスクアセスメント、研修、緊急時対応等を一元的に管理する情報管理対策本部を新設いたしまして、情報セキュリティー対策の強化に取り組むとともに、緊急時対応の組織として、専門家等の協力を求め、実効性を確保したＣＳＩＲＴを立ち上げる方針であります。 さらに、職員研修及び内部監査の充実を図ってまいります。 今回の情報流出を防止できなかった問題の要因には、基本的な対応が担当者任せとなっていたこと、専門人材が配置されていないこと、共有ファイルサーバーの管理についてリスク認識の甘さ、厚生労働省との情報共有体制の不備等の構造的要素が大きいと考えております。 その根底には、ガバナンスの脆弱さ、組織としての一体感の不足、リーダーシップの不足、ルールの不徹底など、従来から指摘されてまいりました諸問題があり、また、厚生労働省が責任を担う公的年金制度の、最も大切な実際の執行部分を責任を持って実施するという緊張感、責任感、使命感が共有されるに至っていなかったという組織全体の基本姿勢に関わる問題があると考えております。 検証委員会からも、サイバー攻撃に対する人的、組織的な準備の不足についての指摘や技術的指摘のほか、こうした当機構のガバナンスの在り方が組織として一体的な対応が不足した背景にあるとの指摘を受けております。 加えまして、検証委員会に資料を御提出する際に、当機構の姿勢について、かかる事態を引き起こし検証を受ける立場として論外との厳しい御指摘をいただきました。誠に申し訳なく、おわびを申し上げる次第でございます。 本事案を通じまして、これら積年の問題の解消、解決が急務であることが改めて明らかになりました。今後、ゼロベースから組織全体を総点検し、ガバナンスや組織風土の抜本的な改革に向け、職員全員の力を結集していかなければなりません。 そのため、当機構に日本年金機構再生本部を新たに設け、これらの問題を払拭するため、組織を挙げて全力で取り組んでまいります。具体的には、現場の実態を踏まえたルールの設定及び現場における当該ルールの遵守、人事評価制度の抜本的見直し、本部と現場間の人事異動の促進等の取組を進めてまいります。 また、自らの責務を改めて自覚し、厚生労働省との的確かつ緊密な情報共有体制を構築いたします。 私を始めといたしました役員及び関係者の責任につきましては、この調査結果や検証委員会の検証結果等を踏まえまして、当機構に設置されております制裁審査委員会の審議を経て厳正に対処することといたします。 当機構といたしましては、年金を確実に受給者の方にお届けすることを第一に、個人情報の流出に伴う二次被害が万が一にもお客様に発生することのないよう、現在、組織全体を挙げて取り組んでおります。今後とも、個人情報が流出した方々の基礎年金番号の変更を始めといたしまして、二次被害の発生防止対策に全力を尽くしてまいります。 今後は、検証委員会の検証結果、あるいは政府全体の取組を踏まえまして、国民からの信頼回復、再発防止に向け、不動の決意を持って取り組んでまいります。 最後に、この度の個人情報流出及びその後の当機構の一連の対応に関しまして、国民の皆様に多大な御心配、御不安をお掛けいたしましたことを重ねておわび申し上げ、調査報告の説明とさせていただきます。 以上でございます。 -
委員長（丸川珠代君）（丸川珠代）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
○参考人（甲斐中辰夫君） 当検証委員会は、この度の日本年金機構における不正アクセスによる情報流出事案について、本年六月八日、厚生労働大臣から、本事案に関し、日本年金機構及び厚生労働省の組織及び初動及び事後の対応について検証し、原因の究明を行うとともに効果的な再発防止策について検討し、報告を行うことを委嘱されました。 本件は、国民の関心が高く、早期の的確な報告の取りまとめが期待されており、当委員会としても休日を返上して検証作業を急いだところでありますが、専門的、技術的な解明に時間を要し、報告書の発表は八月二十一日となりました。 本委員会は、厚労省、機構のそれぞれから独立した第三者から成る六名の委員と十二名の参与により調査と報告書の取りまとめを行い、事務局長は事務的な補佐をいたしました。 調査の方法は、厚労省及び機構の内部関係規程、議事録、メールを始めとする連絡文書、内部報告書、フォレンジック調査報告書及びそのデータ、関係会社との契約書など多数の資料を提出させて分析し、合計延べ七十八名に及ぶ関係者のヒアリングを行いました。その結果、以下に述べるような事項が明らかとなりました。 今回の事案の概要は当委員会で明らかにされてきたところでありますから、詳細は省略します。 最初に、四月二十二日、年金局に前兆的な標的型攻撃がなされ、五月八日、五月十八から十九日、五月二十日と波状的に標的型攻撃がされ、最後の攻撃で大量の情報流出に至ったもので、私どもは、少なくとも十九日の段階でインターネットの全面遮断を行うべきであったという立場であります。 そこで、これからは機構と厚労省の対応の問題点を説明します。 まず、機構の人的、技術的な問題点を説明します。 機構のネットワークシステムは、基幹系システムと情報系システムに分かれ、情報系システムに機構職員の日常業務を行うイントラネットである機構ＬＡＮシステムがあることは既に当委員会の審議で明らかでありますので、省略します。そして、機構ＬＡＮシステムはインターネットに接続する一方で、その共有フォルダ内に膨大な個人情報が積み上げられていたことは既に御存じのとおりであります。 第一に、本来このような個人情報は基幹系システムに分離して保管されるべきでありますが、長期間にわたり膨大な量の個人情報が、きちんと管理されないままインターネットに接続された状況下に漫然と積み上げられていたことが本件発生の大きな要因であります。 第二に、機構の人的体制の不備であります。 人的体制としては、一応、最高セキュリティ責任者以下、情報セキュリティーポリシーに定めた所定の体制はできていたものの、それはポスト指定的に定めたもので、専門的な知識を持つ者がおらず、実効性に乏しいものでありました。 緊急時に対応すべきＣＳＩＲＴが設けられていなかったことも、およそ考えられないことです。そのほかにも、情報連絡が、機構内部、機構と厚労省、機構と運用委託会社などでそれぞれうまくいっていないことなど、様々なことが挙げられます。 第三に、技術的な防護体制の立ち遅れです。 サイバー攻撃には、事前に必要な防護体制を設けてリスクを減らすよう努めるべきであります。ところが、機構では、ディレクトリーサーバーなど重要部分の脆弱性を補うセキュリティーパッチの運用が遅れていたり、端末の管理者ＩＤとパスワードが同じであったり、システム監視が不十分であったりなど、様々なことが指摘されます。 第四に、組織としての一体的な対応ができていないことです。 五月八日から機構に対し次々とサイバー攻撃がされる中で、現場の担当者は運用委託会社と対応に当たっていますが、組織として一体的に対応した形跡がありません。当然、対応は場当たり的になり、先を読んで早めに手を打つことはできていません。幹部がきちんと判断し、指揮した形跡がありません。 これらを通じて、なぜそうなのかを考えてみますと、一つは、サイバー攻撃に対する危機意識が欠けていたことが指摘されます。そして、機構のかねてから指摘されているガバナンスのなさが根底にあると言わざるを得ません。 次に、監督官庁である厚労省の問題について御説明します。 第一に、機構ＬＡＮについて監督すべき室又は課が不明確なことであります。要するに、どの室も課も自分の責任範囲であるとの意識が希薄であるということです。候補として情報政策担当参事官室、年金局事業企画課、事業管理課があるのですが、どこも他人事の意識であります。これでは危機に際しての監督はできません。 第二に、厚労省そのものの情報セキュリティー体制の脆弱性であります。 厚労省の情報セキュリティー対策の要となるのは情参室情報セキュリティ対策係ですが、その人員体制は室長補佐以下僅か四名で、実際には一名の若手職員が省全体のサイバーセキュリティー対策を担当していました。これではとても省全体のサイバーセキュリティーを担うことはできません。ＣＳＩＲＴ体制も、技術力ある実働人員が充てられておらず、不十分でした。このような状況を長年放置してきた厚労省幹部には、サイバー攻撃に対する危機意識が低かったと言えます。 第三に、省内の連携不足です。 今回、五月八日に機構に対する標的型攻撃があったことについて、五月二十五日まで幹部に共有されていないことが問題とされました。しかし、それは今回だけ突然そうなったのではなく、ふだんからの情報連絡が不十分だったのです。全体としてサイバー攻撃に対する危機意識の不足が見受けられ、厚労省のサイバー攻撃に対する監督体制は不十分でした。 再発防止策は、これらの問題点がいかに是正されるかということになります。厚労省、機構とも、まずサイバー攻撃に対する危機意識を持つことが前提になります。 具体的には、以下のような方策を実施すべきです。 機構については、一、セキュリティー対策本部を設立し、平素からセキュリティーのための具体的対策を策定、実施すること。ＣＳＩＲＴを設立すること。三、共有フォルダなどの個人情報の一元管理と整理を実施すること。四、遅れている技術的対応を実施すること。五、教育訓練を徹底すること。六、セキュリティーに関する外部監査を導入すること。七、標的型攻撃に対応するセキュリティーポリシーなどを策定することが挙げられます。 厚労省には、一、情報セキュリティー体制を抜本的に整備すること。二、機構ＬＡＮの監督部署を明確化すること。三、情報連絡を迅速化することが挙げられます。 そして最後に、機構について、個々の対策以上に徹底的な意識改革が必要であると考えます。 発言は以上です。 -
委員長（丸川珠代君）（丸川珠代）
-
島村大君（島村大）
○島村大君 自民党の島村大でございます。 本日は、甲斐中委員長に関しましては、報告書の取りまとめ、また本日御説明いただき、ありがとうございます。また、水島理事長に対しましても、御報告の御説明、御苦労さまでございます。 さて、今回のこの年金問題、我が国の国民皆年金それから国民皆保険は、今考えますと昭和三十六年にはもう実施されておりました。今からもう五十四年前になると思います。国民全員が加入しているこういう公的年金また公的保険は、世界でも日本だけで、いいと思われている制度だと思っております。また、昭和の時代に我が国があの高度経済成長ができた理由は、一つはやはり先人たちの並々ならぬ努力と、もう一つは、この国民皆年金、国民皆保険と言われている制度が我が国にあったからだと言われております。私もそのように思っております。公的年金が国民生活に今なくてはならない制度であると皆様方も御理解していただいていると思っています。 ところが、今回の年金情報流出に関しましては、膨大な個人情報を扱う組織としては到底思えないずさんな情報管理体制であったと。これはやはり改めるべきだと思いますし、今御報告がありましたように、急務であると思われます。 そこで、水島理事長に御質問をさせていただきたいと思います。 今回の両報告書を踏まえまして、今後の対応に向けての取組を含めて、水島理事長より所感を伺いたいと思います。よろしくお願いします。 -
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） お答えをいたします。 今回の情報流出事案は、ウイルスメールに起因をいたします不正アクセスが端緒となってはおりますが、情報流出を防げなかった原因は、まず第一は、個人情報を外部の攻撃から防ぐための対策をあらかじめルール化、体系化しておらず、初動が遅れ、対応も担当者任せとなっていたと。また、厚労省との情報共有もできていなかったということがまず第一の原因であるというふうに考えております。また、第二は、お客様の個人情報をインターネット接続環境下に置いてしまったこと、それを放置をしたこと。第三は、そのような状況下で共有ファイルサーバーのセキュリティー措置のようにルールが本当に実行されているかなど、点検、確認が行われておらず、ルールが有名無実化していたこと。これら多くの問題があったということに関しては、率直に認め、おわびを申し上げなければならないというふうに考えております。 検証委員会の検証報告書におきまして、今回の事態の根本的な原因として、標的型攻撃の危険性に対する認識の不足、事前の人的体制、技術的な対応の不十分さ、あるいは組織内での情報や危機感の共有がなく、組織が一体として危機に当たる体制になっておらず、場当たり的な対応に終始し、迅速かつ的確な対処ができなかったと、広範にわたり厳しい御指摘をいただいたところでございます。 今後は、このような御指摘を真摯に受け止めまして、まず、システム面につきましては、標的型メール攻撃を含め、多種多様なインシデントに耐え得る強力な防御体制を整備することを基本といたしまして、基幹システム及び個人情報等重要情報を扱うシステムにつきましては、インターネット接続環境の完全な遮断によって守ること。また、情報セキュリティー体制につきましては、その司令塔といたしまして情報管理対策本部を設置をいたしまして、情報セキュリティーを一元的に管理する体制を整備をすること。三点目といたしまして、ガバナンス、組織風土に係る構造問題を抜本的に改革をするために日本年金機構再生本部を設置をいたしまして、より現場の実態を踏まえて、ルールの設定と遵守、組織の一体化、人事評価、人事制度の見直し等、現場各層の意見を吸い上げ、職員の総力を挙げ、改革を行ってまいらなければならないというふうに考えております。 当機構は、公的年金制度の最も大切な執行部分を担っているという緊張感、責任感、使命感を持って、厚生労働省との的確かつ緊密な情報共有体制を構築していくことなど、国民からの信頼回復及び再発防止に向けて不動の決意を持って取り組んでまいる所存でございます。 どうぞ今後とも御指導をよろしくお願い申し上げます。 -
島村大君（島村大）
○島村大君 ありがとうございます。 私が聞くところによりますと、水島理事長も、今までに理事長に就任していただいてから何回も全国の現場を回っていただき、職員と直接意見交換もなされていたと、このような、理事長自ら、やはり今までの旧社保庁から改革をするんだという御意識は非常にあったというふうに聞いております。ただ、残念ながらやはりこういう結果にもなりましたので、是非ともこの改革の気持ちは続けていただき、理事長先頭になって、国民の方々に信頼回復を是非とも理事長が進めていただきたいと思っております。 続きまして、検証委員会の委員長でございます甲斐中委員長に、同じように両報告書を踏まえまして所感を伺いたいと思います。よろしくお願いします。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
○参考人（甲斐中辰夫君） 技術的なこと、個別的なことは先ほど発言で申し上げました。また、報告書にも具体的に書いてあります。 そこで、なぜ今回こういう問題が起きたのか、これからどうすべきかということの根本的なことについてのみ申し上げたいと思います。 一つは、先ほども申し上げましたけれども、機構も厚労省もサイバー攻撃に対する危機感が不足していたと思います。だから体制も不備であり、技術的な対応も遅れたということになろうかと思います。 普通、民間会社なんかでは、大勢の人間が、セキュリティー部門に優秀な人を配置して徹底的な対策を講じています。ところが、標的型攻撃によくやられる企業とか組織というのは、何となく現場の担当者任せ、それから、運用委託会社に任せておけば何とかなるだろう、セキュリティー対策ソフトを入れておけば何とかなるだろうと、こういう考えでやってきて、今でもそういうところはあるんじゃないかと思います。しかし、事態はもう既にそういう時代ではなくなってきているということをよく御認識いただいて、私が申し上げましたような対策を是非とも講じていただきたいと思います。 それからもう一つは、特に機構についてですが、共有フォルダをいつまでも積み上げていたとか、今度の事案に対するまとまりのない対応とかを拝見いたしますと、私が直接委嘱を受けた事項ではありませんけれども、どうしても機構の組織体質、ガバナンスの問題というのが目に付いてくるわけであります。これは簡単なことではありませんけれども、ここをしかし何とかしないと、いろんな問題がまた出てくるのではないかということを恐れるものであります。 私も年金受給者ですから、機構にはしっかりしていただきたいんですが、やはり根本的なところできちんとした対応をしていただいて、国民に安心感を与えていただきたいと思う次第であります。 以上です。 -
島村大君（島村大）
-
政府参考人（安藤英作君）（安藤英作）
○政府参考人（安藤英作君） お答え申し上げます。 五月八日の時点でございますが、ＮＩＳＣの方から不審な通信の検知がございました、連絡がございました時点で、ＮＩＳＣの方からは四月二十二日の事案と検知内容が類似しているという旨の連絡をいただきました。しかしながら、五月八日の時点で機構から統合ネットワークを経由した通信をブロックしたことで通信が止まりまして、その後も検知されていないということから、事案への一定の対応は図られたというふうに担当の者は考えたということでございます。 そういったことで、先ほど委員長の方からもございました前兆とかあるいは一連の攻撃だとか、そういうふうには全く認識をしていなかったということでございまして、この標的型攻撃の危険性に対する意識が全く不足していたということだろうと存じます。 検証委員会の報告を真摯に受け止めまして、抜本的な意識改革や専門的な知識、経験による的確な判断、評価のできる人材の育成に向けて取り組んでまいりたいと考えてございます。 -
島村大君（島村大）
-
政府参考人（樽見英樹君）（樽見英樹）
○政府参考人（樽見英樹君） 日本年金機構におきます不正アクセスによる情報流出事案に対応いたしまして、成り済ましによる不審電話との混同を防ぐという観点から、六月一日の事案発表以降は、国民年金保険料の未納者に対する電話あるいは個別訪問、文書といったようなものによる納付督励事業というのを見合わせているところでございます。 そういうことの影響ということも心配をされたわけでございますけれども、本年六月末時点の国民年金保険料納付率が先頃出ましたが、これは五五・八％。これは、毎年、年度の始まりは低くて、年度末に向けてだんだん上がっていくというようなことになってございます。五五・八％という数字につきましては、昨年、対前年同期比で比べますとプラス〇・七％ということになってございます。おかげさまでといいますか、幸いなことにといいますか、今のところ、今回の事案による納付率への影響は出ていないという状況でございます。 今後、御指摘いただきました検証の結果等を踏まえまして、再発防止あるいは二次被害防止というところに年金機構とともに私ども全力を尽くしまして、更に年金に対する信頼感というものを確保していくように努めていきたいというふうに思っておりますし、その上で、早期に納付督励の再開というようなこともできるように全力を尽くしてまいりたいと考えております。 -
島村大君（島村大）
-
政府参考人（姉崎猛君）（姉崎猛）
○政府参考人（姉崎猛君） お答えをいたします。 御質問でございますけれども、厚生労働省のＬＡＮシステムの詳細について言いますとＬＡＮシステムの対応能力を明らかにするというふうになってしまいますので、詳細を明らかにするということはなかなか難しいというふうに思っておるんですけれども、不審メールが相当数あるということは、それは事実であります。ただ、不審メールを開封をしてしまって不正な通信が発生する、こういうふうに至った事例というのはそんなに頻繁に起きているわけではないということであります。 いずれにしましても、標的型攻撃の危険性に対する意識が不足をしていたということを真摯に反省をいたしまして、これまで以上の緊張感と責任感を持って厚生労働省の情報セキュリティーの確保に努めていきたいというふうに考えております。 -
島村大君（島村大）
-
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） 今回、検証委員会から報告書が出てきたわけでございますが、その前に、ＮＩＳＣからも今回のサイバーセキュリティー事案についての報告書がございました。加えて、機構からも当然自らの検証が出てきたわけでありまして、これらを踏まえていかなければいけないというふうに思っております。 やはり検証委員会、これは私どもがお願いをして甲斐中委員長にリーダーシップを取っていただいて報告書を作っていただいたわけでございまして、先ほど来中身については数々お話がございました。情報流出という事態につながった要因としてやはり備えが、そして危機意識が足りなかった、これは機構にも厚労省にも言える、そして組織としての一体感の欠如というのも、これも両方に言えることだろうというふうに思いますし、また、再発防止策として、機構の人的体制を整備する、厚労省の監督指導体制も強化する、そして厚労省の再発防止のためにセキュリティー対策を強化をする。なお、機構の永年の課題であります意識改革、ガバナンスの強化、これについてもしっかりとやっていかなきゃいけないと思っております。 厚労省としても深く反省をして改善をしなければならない点が多々あるわけでございまして、ここは、公的年金を企画する厚労省と、その制度を執行するという最も大事な部分を担ってもらう日本年金機構、これが車の両輪として一層連携をして、国民の皆様方から信頼回復と、再発防止に向けて取り組んでいくことが大事だろうというふうに思っております。 機構の組織としての一体感の不足といった問題点を指摘をされておりまして、かねてから指摘されております機構のガバナンスの問題も、やはり我々真剣に取り組んでいかなきゃいけない改革課題、これは、まずは機構において、理事長をトップとする日本年金機構再生本部が、自らの問題として、自らの新しい組織をつくり上げる、そういう意識を持ってやってもらうことが大事であり、一方で、監督する側の厚労省としても、厚労省と機構との間の関係についての再定義というものも必要なんじゃないかと私は思っているわけでございます。 いずれにしても、両組織挙げて取り組まなければいけないと思っておりますし、厚生労働省としては、専門人材の確保を含めたセキュリティー対策をするとともに、機構への監督指導体制を一層強化し、国民の年金への信頼回復を図って、再発防止に向けた取組を強力に進めてまいりたいというふうに思います。 -
島村大君（島村大）
-
白眞勲君（白眞勲）
○白眞勲君 民主党の白眞勲でございます。 本日は、日本年金機構不正アクセスによる情報流出事案検証委員会にて取りまとめられた検証報告書について、まず御質問したいと思います。 お手元にも、皆さんのところにもお配りされている検証報告書というふうに書いたものですけど、その本文三十六ページには、日本年金機構の意識改革というタイトルの項目において、こう書いてあります。これだけの情報を流出して国民に多大の迷惑を掛けていながら、検証委員会の調査を受ける際に、その後改まったとはいえ、一部の者が重要な資料を出し渋り、黒塗りをするなどの態度は論外であるというふうに書いてあるんですね。 これはとんでもない。私もこれを読んで驚いたんですけれども、ここで年金機構、水島理事長にお聞きいたします。 当然、この検証委員会からの調査を受ける際にはいろいろな資料を提出されたんだと思うんですけれども、その資料を提出された際には、当然、これは厚生労働省を一回経由して、あるいは厚生労働省にこういうものを検証委員会の方に提出するんだということで、私は、相談してからやったんだということも民主党の部会でも聞いておるんですけれども。 そうすると、この黒塗りをしたのは一体誰なんだということなんですよ。厚生労働省が黒塗りをしたのか、それとも年金機構が黒塗りをしたものを厚生労働省に出していったのか、その辺はどうなんでしょうか。 -
参考人（水島藤一郎君）（水島藤一郎）
-
白眞勲君（白眞勲）
-
政府参考人（樽見英樹君）（樽見英樹）
○政府参考人（樽見英樹君） 実は、私どもの方としても、当初、提出する資料ということにつきまして、機構の方と同じような懸念が私どもの中でもあったというふうに承知をしております。まさにセキュリティー上あるいは捜査上という観点から、なかなかお答えができないんではないかというところ。 ただ、私どもの方としても、そういうことでは資料を一部黒塗りにし、一方で、ここについてはどういう扱いにしたらよかろうかということで、黒塗りにしないものと併せて、どういうふうに扱いましょうということで、私どもの方としては検証委員会の方にお出しをしたというふうに聞いております。 そういう意味でいいますと、率直に申しまして、私どもの方もその点についての配慮が足りなかったというふうに反省をいたしております。申し訳ないと思っております。 -
白眞勲君（白眞勲）
○白眞勲君 やっぱり何かそこに隠していこうということがあったら、何のための検証委員会か分からないわけですよね。非常にこれ問題だというふうに思いますね。 先にちょっと進みたいと思います。 四月の二十二日の時点で既に年金局でウイルス攻撃を受けていたという、これも驚くべき事実が、この報告書が出た八月二十一日時点で新たに分かったわけですが、私、更にびっくりしたのは、八月二十一日の我が党の部会で、年金機構を管轄する事業企画課の担当の課長さんも知らなかったと。つまり、この検証報告書が出る八月二十一日、四か月間何も分からなかったということですね。御存じのように、五月八日に年金機構のサイバー攻撃においても、やっぱり十七日間、年金機構は警察にもその間に相談していたにもかかわらず、十七日間、上司に報告を怠っていたわけですよね。そういうことで、本当に連絡体制、一体どうなっているんだろうなということを非常に私は気になってしようがないんですね。 ちょっと年金局長にお聞きいたしたいと思います。 昨日の民主党の部会に提出された資料によりますと、年金局企業年金国民年金基金課から年金局長に翌日の四月二十三日にこの件について報告がされたとのことですが、局長は、四月二十三日、御存じだったということですね。 -
政府参考人（香取照幸君）（香取照幸）
○政府参考人（香取照幸君） 本件事案は、私には四月二十三日に報告がありましたが、これは企業年金国民年金基金課に不審メールの送信があり、職員がそれを開封したことに伴い、私どものヘルプデスク、セキュリティー部局の指示でＬＡＮケーブルを抜線しパソコンを隔離をしたという御報告を二十三日に受けております。 これは、何といいますか、通常のというと語弊がありますが、この種の不審メールが、頻繁に私どもも受けているわけで、今回は開封をしたということがありましたので、こういった措置を講じたというものとして私は御報告を受けております。これはセキュリティー関係部局の御指示に従って措置をしたということで、この時点でその報告を受けております。 -
白眞勲君（白眞勲）
-
政府参考人（香取照幸君）（香取照幸）
-
白眞勲君（白眞勲）
-
国務大臣（塩崎恭久君）（塩崎恭久）
-
白眞勲君（白眞勲）
○白眞勲君 つまり、今まで全然知らなかったということが分かったわけですよね。 私、思うんですけれども、要は、このスタートというのは、例の流出事案の大きなポイントは何かというと、今までは五月の八日だったと我々も思っていたわけなんですけれども、実際には五月の八日ではなくて、四月の二十二日から実は時系列としてはスタートをしていたと。それも同じ年金局で起きている事案だったということになったら、根本的に、今までのこの委員会での議論は一体何だったんだということになりはしないのかなというふうに思うんですよね。 大臣は、厚生労働省の責任について、一体これどうなっているんだろうなということについてはどういうふうにお思いでしょうか。 -
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） 今回、検証委員会の委員長の甲斐中委員長も記者会見でお述べになっていますけれども、この四月二十二日の事案というのは、言ってみれば今回の予兆的な動きであったということでございました。 それはそれとして、今御説明申し上げたように、厚生労働省の中で責任者である官房長まで報告が上がって、私には上がってまいりませんでしたけれども、そこで一旦収束したということでありますが、結果として見れば、幾つかの通信先の、五月八日の中で、四月二十二日の通信先のドメインが共通するものがあったということでございますので、いずれにしても、サイバーセキュリティーの危機意識がなかったという今回の検証委員会の指摘に、私たちは、そのとおりだということで、アラートレベルを上げるという意味においては、年金機構に、こういうこともある、あるいは、ほかの組織にもきちっと伝えておくということが大事であったというふうに思いますし、その日の夜に全職員にメールを送って、こういうようなものが来ているのでということをたしか四月の二十二日に全職員に送って、警告を発しているというところはきちっとやっているわけでございます。ごめんなさい、二十三日でございましたが、そのように対処をしているわけでございますので、五月八日以降の問題については、もう皆さん御存じのようなことになっているということでございます。 -
白眞勲君（白眞勲）
○白眞勲君 いや、二十三日に全員に送ったとしても、結果的に、年金局の事業企画課の担当の課長まで知らなかったと言っているんですよ、八月、この検証委員会の結果が出るまで。初めて聞きましたと言っていましたよ。だから、全然、メールしたって何の意味もなかったじゃないですかということなんですけれども。 甲斐中委員長にお聞きしたいと思います。 今までのやり取りをずっと聞いていただいて、私、相当やっぱり年金機構、この報告書どおり深刻だと思います、問題が。それと同時に、厚生労働省の対応についても、今議論になった四月二十二日の案件も含めまして、対処に深刻な問題があるような気がしているんですよ、私は。 甲斐中委員長とされましては、厚生労働省の責任の重大性について、例えば今日だって、黒塗りの件についてだって、結局、知っていたけどもそのまま出しているわけですよね。今日の答弁を聞いていたのも含めまして、御感想をお述べいただきたいと思います。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
○参考人（甲斐中辰夫君） 今やり取りした問題はいろいろ多岐にわたっておりますので、一遍にちょっと答えるのは難しいんですけれども。 まず、四月二十二日の攻撃の問題なんですけれども、これは、私どもがこの報告書に書いたのは、あくまでも、こういう事実があるのだから、省内だけではなくて機構にもきちんと情報提供しておくべきであったと、こういう視点で取り上げて書きました。そういう意味では、情報連絡体制が不十分だったということは間違いありません。 それから、黒塗りの問題なんですけれども、要するに、機構は機構、厚労省は厚労省で、それぞれ私ども資料の請求をいたします。黒塗り以前に、機構の方からはそもそも資料の提出が遅れていたという問題があって、黒塗りはその附属物だったということです。ただ、機構の場合は、すぐ出してくる部局もあるんです。出してこない部局もあると。いろいろだったということで、そういう意味で私はガバナンスの問題として取り上げて、最後に書かせていただきました。 それで、結局、さっき、厚労省の方の黒塗りの問題もあるんじゃないかというお話でした。 正確に申し上げますと、厚労省の方も黒塗りの資料を出してきた場面はありました。それは、ただ同時に、これでは検証作業に支障を来すだろうから、本物というか、黒塗りしていないものについてはインカメラで見ていただくというような方法もあるがいかがでしょうかと、こういう話が、それは最初からありました。ただ、私どもはインカメラでは時間的な制約もありますので困るということで折衝いたしまして、五、六日後に全部黒塗りの資料は撤回して正本が出てきたと、こういう経過でございます。 -
白眞勲君（白眞勲）
○白眞勲君 いや、もう何というか、開いた口が塞がらない、本当にそういう感じがしていましてね、ちょっとこれ、私は持ち時間あと十五分しかないんだけれども、もうとてもじゃないけどやり切れないぐらい大きな問題があるのではないのかなと思っておりますが、この辺りはあとまた同僚議員に移します。 次のちょっと話をしたいと思うんですけれども、日本年金機構の調査結果報告についてお聞きしたいと思うんですね。お手元の資料の調査結果報告の方です、日本年金機構による。 私、じっくり読んだんですよ。これを見ると、やっぱり一生懸命作成しているなという印象は持ちました。本当に一生懸命やっているんだな、頑張っているんだなという印象は持ったんですね。 先日の八月二十日に、民主党の部門会議において、年金業務の外部委託先に百十人突然解雇された問題について当事者の方からヒアリングをさせていただいたことをちょっとお話ししたいと思うんですけれども、そのときに、実際解雇された外部委託先の方が、データ処理業務においては紙のデータで書かれていたファイルが床にまで置いてあった、山積みされていたと。別にセキュリティーチェックもない環境の中、雑居ビルの中で仕事をしていたとか、かなりずさんで深刻な状況を聞かせていただきました。 ここで私が注目したのはデータ入力の件なんですね。この方からの話ですと、午後八時にはデータが取れなくなる、恐らく基幹システムが八時にシャットダウンされるのかなという感じがしたんですけれども、その前に、例えば老齢年金の請求書などの関係でデータを取り出して打ち込む、そして、幾らとか、どこに勤めていたか、さらには振り込み先の銀行や標準報酬月額の内容なども打ち込んでいるとされました。つまり、共有フォルダにそういったものも入っているんだということなんですね。 ここで年金機構にまず確認なんですけれども、そのようなことは外部委託先に任せていたんでしょうか。 -
参考人（水島藤一郎君）（水島藤一郎）
-
白眞勲君（白眞勲）
○白眞勲君 つまり、委託先でいろいろなことをやっていただいているということははっきりとしたわけなんですけれども。 私、ここで今日のこの報告書を見ていると、四ページ目の二つ目の丸や五ページ目、こっちのホチキス留めの方ですけれども、縦の大きい、全部入っている方の。例えば四ページ目の二つ目の丸ですね。あるいは五ページ目の（３）調査で判明した事実、五ページ目の（３）①お客様の個人情報を見ると、確かにこう書いてあります。現在判明している百二十五万件以外の新たな情報流出は確認されておりませんと書いてあります。もちろん、三十四ページのまとめにも同じことを書いてあるんですけれども。 私はずっとこれ読んだんですけれども、四情報以外の情報が漏れていませんとは書かれていないんですよ、この文書の中に。どこにも書いていない。また今日の水島理事長さんの報告の中にも、四情報については一言も触れられていないんですね。 つまり、これ、四情報以外の情報の流出というのはどうなっているんだろうなと。これ、四情報以外の情報が漏れていないと書かれている部分があるんでしょうか、この報告書の中に。書かれている部分があるならお示しいただきたいんですけれども、私の読み違いかもしれませんから。 -
参考人（水島藤一郎君）（水島藤一郎）
-
白眞勲君（白眞勲）
○白眞勲君 いや、ちょっと変ですね。この二十一ページの四つ目の丸、見ていただきたいんですけれども、こう書いてあるんですね。二十一ページの四つ目の丸ですね。共有ファイルサーバに保存されているファイルにどのような個人情報が含まれていたかについては、現在、調査を行っていますと書いてありますよ。 そうすると、これを読むと、やっぱり今の、水島さん、百二十五万件の中に四情報も含まれているんだと何だかよく分からないお答えをされているんだけれども、調査を行っているんじゃないですか。つまり、共有ファイルサーバーに、私が申し上げたいのは、私が認識したのは、私が話を聞いてああそうなのかなと思ったのは、共有ファイルサーバーには四情報以外のやつもみんな打ち込んでいたんですと。打ち込んでいたし、だからこそこういう言葉が出てくるんじゃないんでしょうか。 つまり、四情報以外の情報が実は共有ファイルサーバーの中にはあって、それが漏れている可能性もあるのではないかと私は思うんですが、その辺はどうなんですか。 -
参考人（水島藤一郎君）（水島藤一郎）
-
白眞勲君（白眞勲）
○白眞勲君 今、水島理事長がまさにおっしゃいましたけれども、共有ファイルサーバーには四情報以外の情報が入っているということを今お認めになりましたよね、個人の。つまり、そういうことを言った場合には、漏れているかどうかは確認されていないけれども、共有ファイルサーバーのデータが取られたとなったら、四情報以外の情報もその共有ファイルサーバーの中にあるならば、それは漏れた可能性はあるということをお認めにならなきゃいけないんじゃないですか。 -
参考人（水島藤一郎君）（水島藤一郎）
-
白眞勲君（白眞勲）
○白眞勲君 いや、調査結果には、四情報以外、今おっしゃいましたことを、言葉でおっしゃっていますけれども、文書に書いていないから私は聞いているんですよ。何で文書に書かなかったんですかということなんです。今も四情報については一切触れませんでしたよ、今のお話の中にも、最初の冒頭の発言の中にも。それでいて共有ファイルサーバーの中には、お認めになったじゃないですか、四情報以外の情報も実は入っているんですと。 だったら、私は、やっぱりここは水島理事長、もちろんそれは確認はされていないけれども、漏れた可能性は否定できないわけですよ、これは。そうですよね。確認はされていなくたって、漏れた可能性が否定できなければ、当然、お客様の視点に立てば、漏れた可能性がありますよということは言うべきなんじゃないんでしょうか。お答えください。 -
参考人（水島藤一郎君）（水島藤一郎）
-
白眞勲君（白眞勲）
-
参考人（水島藤一郎君）（水島藤一郎）
-
白眞勲君（白眞勲）
-
参考人（水島藤一郎君）（水島藤一郎）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
参考人（水島藤一郎君）（水島藤一郎）
-
白眞勲君（白眞勲）
-
参考人（水島藤一郎君）（水島藤一郎）
-
白眞勲君（白眞勲）
○白眞勲君 つまり、可能性は否定できない。そして、今の御答弁ですと、今の段階では漏れているという痕跡はないようだということですけれども、つまり、逆に言えば、私が思うのは、やっぱりお客様に対して、何か月もたっているわけです、三か月かな、もう。三か月たっていて、やっぱりこういうあなたの情報、それぞれもう、今調査中だったら現在進行形でもいいから、個人の皆様に対して、こういう情報が入っていた、あなたのこういう情報が入った共有サーバーが、実はその中からウイルス攻撃を受けておるんですよということもやっぱり警告の意味で発するべきであるんじゃないんでしょうか。それが本来の意味のお客様第一の考え方じゃないんでしょうか。その辺、水島理事長、どうですか。 -
参考人（水島藤一郎君）（水島藤一郎）
-
白眞勲君（白眞勲）
○白眞勲君 本当に、私、水島理事長さんっていい人なんだなと思うんですよ。やっぱり良心的だから、そこで、何というんですかね、でも、私はお客様のことを考えていただくということが重要だと思います。 また別の機会にこれやりたいと思います。全然やっぱり私は納得しませんよ、これ。 次の、私が今日お示しした資料を見ていただきたいと思います。時間がないので、ちょっと私の方からどんどん説明したいと思います。 これを見ると、まず一枚目、一番上の青いひし形のあれで、通信先が二十三件ですね。そのうちの一つがＸだということがこの一ページ目に書いてあるわけです。つまり、二十二件のまだ別に通信先、乗っ取られているサーバーがあるということで、この次のページを見ていただきたいと思うんですけれども、ちょっと細かくて恐縮ですが、これＮＩＳＣからの情報ですね、結果ですよね。それを見ると、赤の傍線の部分が今回接続先、つまりＸに対する通信、これは漏れていたやつですよね、情報が。 私が特に注目しなければいけないなと思っているのは薄い青い傍線です。一番左方にある端末の七番、九番、十一番、十二番、十三番です。白い傍線の部分が個人情報の流出が確認されなかった接続先ということですから、この青い傍線は少なくとも個人情報の流出が確認された可能性がありというパソコンであるということになりますね。 つまり、そうすると、さらには、今まで百一万四千六百五十三人以外の情報流出ではない、この青い部分は百一万四千六百五十三人以外の方々の個人情報が流出したということでいいのかどうか、これをちょっと、ＮＩＳＣさん、お答えいただきたいと思います。 -
政府参考人（谷脇康彦君）（谷脇康彦）
○政府参考人（谷脇康彦君） お答え申し上げます。 今委員御指摘の青色の部分でございますけれども、これは接続先Ｘ以外の接続先と通信が行われ、その通信が成功をしているというものでございます。この中には、いわゆるＣアンドＣサーバーと通信を行いまして何らかの命令を受け取ったり、あるいは端末の情報をＣアンドＣサーバーに送ったり、いわゆる個人情報ではないというものもあり得ます。また、個人情報が実際に送られている可能性というものもございます。それから、もう一つ申し上げておかないといけませんのが、この通信の長さというものが通信量と必ずしも比例するものではないということでございます。 いずれにいたしましても、百二十五万件の個人情報以外の情報が現時点において流出したということは確認はないわけでございますけれども、その可能性を否定するということはできないと考えております。 〔理事福岡資麿君退席、委員長着席〕 -
白眞勲君（白眞勲）
-
参考人（水島藤一郎君）（水島藤一郎）
-
白眞勲君（白眞勲）
○白眞勲君 どうも私はしっくり来ない部分です。 時間ですので、終わります。 ───────────── -
委員長（丸川珠代君）（丸川珠代）
-
石橋通宏君（石橋通宏）
○石橋通宏君 民主党・新緑風会の石橋です。 白委員に続きまして質疑をさせていただきたいと思いますが、今の白委員とのやり取りだけ聞かせていただいても甚だ不十分というふうに断言せざるを得ないので、白委員の質問に続いて、更問いも含めてさせていただきたいと思います。 最初に、白委員も御質問されましたけれども、三つの年金事務センターで発生した百十名の給料未払問題に関連して幾つかお聞かせいただきたいと思います。 民主党から年金機構に対しまして、じゃ、一体、現在、年金個人情報を扱う大変重要な個人情報を扱っている業務がどれだけ外注、外部委託をされているのか、その実態について、全容についてどのように機構の方で把握をされているのか資料を出してくれと言われると、請け負っている事業者のリストは出していただいたんですが、じゃ、それでどれだけの人たちが、労働者の皆さんが働いておられるのか、とりわけ私がお聞きしたのは、機構の事務センター内で請け負って、今回の事例のように、仕事をされている方が何人おられるのか把握をされているのかというふうにお伺いしたわけです。 水島理事長、教えていただけるでしょうか。外注先、委託業務先でどれだけの方々が実際に機構事務センター内で個人情報を扱う業務に携わっているのか、教えてください。 -
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
-
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
-
参考人（水島藤一郎君）（水島藤一郎）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
○石橋通宏君 理事長、なぜ今これをお聞きしているかお分かりいただいていますよね。まさにこれが今回の漏えい問題にも関わると我々は認識をしているからお伺いしているんです。 今回の報告書の結論、先ほど来、理事長繰り返し言われていますね。組織としての一体感が不足していた、ゼロベースから組織全体を総点検する、これ言われているじゃないですか。にもかかわらず、現場でどのような個人情報が扱い方をされているのか、そのことを機構本部で認識をしていないと。このことについて理事長として問題視されなかったら、今回の報告書、全く意味ないですよ。だからお聞きしているんですよ。 今、首かしげていらっしゃるということは、それ認識ないということなんでしょうかね。 -
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
-
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
-
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
○石橋通宏君 理事長、認識がおかしいですね。 事務センターによって対応が違うことが間違っているということは分かるんですよね。つまり、事務センターによっては全くやられていないということを今認められた、これが現実なんですよ、年金機構、残念ながら、現場の。事務センターによって全く対応がされていない。 先ほど白委員の質問もありました。山積みになった段ボールが、大切なお客様の、国民の年金情報がそこらじゅうに置かれている、内部で全然区分管理もされていない、これが実態だということを理事長お認めになっているわけです。 大臣、人ごとのようにお聞きになっているのかもしれませんが、こういうことの、現場の個人情報を扱う、これがやっぱり年金機構の今の体制であって、今回の年金情報、今後の対策にも十分関わってくるんだということは大臣お分かりなんだと思いますので、是非しっかり聞いておいてください。 甲斐中委員長も後ほどちょっと若干お聞かせいただきますけれども、こういう実態も含めた今後の対応をやっていかなければいけないということなんだと思う、だからお伺いしているわけです。 本当はこの問題、もうちょっとお伺いしたいんですけれども、もう何点かだけ、理事長。 今回、何でこの偽装の再委託なり偽装請負なり偽装派遣なり、最初に請け負った共栄データセンターからＫＤＣキャリアコンサルティングへの偽装が見抜けなかったのか。機構は、これまで三月に発覚するまで知らなかったというふうに言っています。私は、知らなかったら余計に問題だと思っているんです。つまり、全く管理ができていなかった、だから見抜けなかったというふうに思っています。 理事長、そのことは反省あるんでしょうか。私が問題視しているのは、見抜けなかったこと自体について機構の管理監督責任が不十分だったのではないかと思いますが、そのことは反省して、お認めになるのでしょうか。 -
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
○石橋通宏君 なぜ見抜けなかったのかということは、これ、理事長、真摯にチェックしなきゃ駄目ですよ。例えば、幾ら外注先とはいえ機構の中で仕事をされていたわけです。 先ほど白さん指摘をされました。機構のシステムでいけば、例えば夜八時から基幹システムのアクセスができなくなる、でも皆さん残業される、だからデータを自分のところに落として引き続き残業されていた、こういう実態を我々も報告を受けています。 例えば委託業務先が機構事務センター内で仕事をされている。残業管理はどうなっているのか、労働安全衛生管理はどうなっているのか、そういう大切な個人情報を扱ってお仕事をしていただいている方々の残業管理、労働時間管理、労働安全衛生管理、これも含めて機構の責任はあるはずなんです。それをちゃんとやろうと思えば、例えば三六協定の締結状況がどうなっているのか、誰が管理責任を果たしているのか、それをしっかりと機構の方で管理監督責任を果たせば、これはもっと実態が早く分かっていたんじゃないかと思うんです。 理事長、どう思われますか。 -
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
○石橋通宏君 今、検討とおっしゃいました。今回の報告の中にある今後の対応、先ほど言いましたように、ゼロベースから組織全体を総点検する、組織としての一体感をしっかりつくっていく、こういうふうにお書きになっています。 ということは、当然このような業務委託の在り方、そして今日、人員体制でお示しをしています、今、正規より非正規の方々の方が多くなってしまっている。これ、そもそも平成二十年七月の閣議決定、業務運営に関する基本計画、この基本計画に示されている機構の人員体制と明確に違いますね。そこでは非正規は三千七百人になっています。基本計画と大幅に逸脱をして今非正規の方が増えている、このことも含めて全体の見直しをしていくんだ、そういうことでよろしいですね。理事長、そのことを確認だけお願いします。 -
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
○石橋通宏君 今日は時間がないのでやりませんが、私たちは、例えば今回百十名の方々、まだ二か月の給料未払が続いている。給料だけじゃありません。交通費、解雇予告通知、社会保険料がどうなっているのか、多くの問題を抱えていると思います。この対応もありまして、九十人の方々が直接雇用になっておられる。でも、九月三十日までの契約です。その後どうされるのか。 これ、引き続き同じようなことをやられる。でも、これずっと恒常的に、大切なお客様の個人情報も扱っていただきながら、かなり高度なスキルも含めてやっていただく、これ恒常的な業務ですよ。それを、業者が変われど労働者の方々は変わらない、ずっと委託業務先でやっておられる。こんな働かせ方を、年金機構、今後もしていくのかということも含めて、大変大きな問題、課題であるというふうに思います。 このことも含めて、今、理事長、見直しをしっかりするんだということだったと思いますので、これはまた別途引き続きの追及をさせていただきたいと思っています。 続いて、もう一つだけ、別の問題も発覚をしています。 日本年金機構が厚生年金に加入する会社員などに個人情報をディスクに入れて勤務先事業所に送る際、パスワードを同封して普通郵便で送っていたと。これまた信じ難い、しかしこれをもうずっと長年やられていた。 理事長、一体いつからこれずっとやられていたんでしょうか。一体いつからやられていたのか、教えてください。 -
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
-
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
○石橋通宏君 これ、対応としては本当に遅いのではないかと思います。発覚してから随分時間は経過をしています。しかし相当多くの事業所が絡んでいるので、時間が掛かるのは分かります。しかし、それにしても掛かり過ぎだというふうに思います。これ、即刻もう、可及的速やかと言っていただきました、前倒しして早急に対応いただきたいと思います。 一点、甲斐中委員長にお伺いをしたいんです。 今、二つの問題、私、取り上げさせていただきました。大切な個人情報を扱っている業務で請負、外部委託、しかしその実態を機構は把握をされていない、現場の事務センターで情報管理がほとんど徹底されていない、こういう実態があります。今申し上げたように、パスワードを普通郵便でディスク一緒に送っていたと、こういう実態も発覚しています。 こういう状況は検証委員会の中で共有をされて、これも踏まえた検討をされたんでしょうか。事実関係だけお聞かせいただきたい。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
石橋通宏君（石橋通宏）
○石橋通宏君 第三者検証委員会の方では、今のような状況、現実、機構の情報保護の在り方を含めて対象になっていないと。つまり情報提供も受けていないし、検証、総括的な中にも入っていないという委員長の御報告でありました。そうだったんだろうと思います。 だから、私、個人的な見解を申し上げれば、甲斐中委員長、御苦労をいただいて本当に失礼だと思いますが、検証委員会の本当の意味での、機構の個人情報の在り方を含めた対応について検証いただいたという意味では、甚だ不十分な検証しかいただけなかったのではないかなというふうに、残念ながら私は今の御答弁を聞いても思うわけです。 なので、具体的に今回の三報告についての話に進めていきたいと思いますが、繰り返しますが、塩崎厚生労働大臣も、こういう年金機構の個人情報、大切な個人情報をどうこれまで扱ってきたのか、まさにその認識、現場の対応、これ総合的に考えなければ、単にサイバーだけの話じゃないと。サイバーだけの文化を変えるなんてできない話ですから、機構全体の文化、これを変えるということで考えれば、ここも含めた検証、対応しないと変わらないということは大臣も御認識共有いただけるんだと思います。後ほど御意見を伺いますので、準備をしておいてください。 それでは、検証三報告について、甲斐中委員長にまず幾つか伺ってまいりたいと思います。 今回、私たちは、そもそも中間報告が出されると認識をしていたんです。それがなぜか最終報告になってしまいました。なぜ今回最終報告になってしまったんでしょうか。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
○参考人（甲斐中辰夫君） 当初、私ども、できるだけ早い機会に報告書を提出したいと、それが国民の皆様の期待にも応える方法であると思っておりました。ところが、先ほどちょっと申し上げましたが、専門的、技術的な問題について検討しているうちに時間が経過しまして、もうこの辺が本委員会の性格としても報告書を上げるタイムリミットじゃないかと思って、八月二十一日に報告書を提出いたしました。 報告書は、最終報告とは書いていないんですけれども、事実上の最終報告という位置付けです。したがって、委員会をいつまで継続するかということはまだ決めておりません。当面は継続するつもりであります。新しい問題とか、今まで調査したことから考えて予想外の事態があれば、また調査活動は再開すると、こういう形になっております。 そこで、今の調査の過程で、今後、再発防止策なり原因究明なり、その部分で大きく変わってくることはないだろうという予測で、中間という文字を取って報告書という形で取りまとめたと、こういう経過でございます。 -
石橋通宏君（石橋通宏）
-
国務大臣（塩崎恭久君）（塩崎恭久）
-
石橋通宏君（石橋通宏）
○石橋通宏君 それでは、今後も委員会は続いていく、つまり、これは最終報告とはどこにも書いていないので最終報告ではないと、私どもが聞いていたのとは違うという理解なんだということで、一つ確認をさせていただきました。 その上で、甲斐中委員長、今し方、先ほど白委員の質問、やり取り、黒塗りの資料云々、関係者の任意の協力を前提としている、一定の制約があった云々書かれております。つまり、先ほど、技術的、専門的な事項が多くて時間も掛かった。だから、我々は、まだこれは中間的な扱いにしておくべきで、今後更なる情報、先ほど機構はまだ調査中だとおっしゃいました、つまりまだ全容が解明されていないわけです。だからまだ十分な検証の最終取りまとめに必要な情報は得られていないという判断だというふうに思うんですが、甲斐中委員長、改めて確認します。 そういう理解でよろしいですね。まだ全部の資料、情報、データ、解析結果が出てきていないからこそ、まだこれから新事実が出てくる可能性があるので、今後も必要に応じて委員会をやっていくんだと、そういうことでよろしいですね。確認だけです。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
石橋通宏君（石橋通宏）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
石橋通宏君（石橋通宏）
○石橋通宏君 今回のことも含めて、大変高度な攻撃型です。そして、初めて大量な流出が判明したということも報告書にも書かれています。つまり、大変高度な攻撃に対していかなる状況だったのか、そのことを分析していただく上で、当然、ホワイトハッカー等々含めて大変技術の高い方々に関わっていただかなければ全容解明はなかなかできないというふうに思います。今、委員長、何名か関わられたということですが、私がいろいろと委員の皆さんや関係者の皆さんの企業等々をお調べをさせていただいた形では、どれだけ十分な体制を取っていただいたのか、いま一つ分からなかったものですから、ちょっとお伺いをした次第です。 その上で、例えば、委員長、今回の厚生労働省統合ネットワークのシステムの全容、例えばＮＩＳＣは、今回の事案が発生した際、五月八日の段階でも厚生労働省の統合ネットワークに機構のシステムがぶら下がっていたことについて知らなかった、つまり厚生労働省統合ネットワーク自体のシステムの脆弱性若しくはリスクアナリシス等々についても全くやられていなかったんだと思いますが、そういうことについても検証委員会の方では事実としてつかんでおられたんですね。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
○参考人（甲斐中辰夫君） 私どもが検証委員会を発足したのは六月八日です。その後、発足といっても委員だけが就任したわけでございまして、実際、調査の手足になる参与は委員が自分の裁量で優秀と思われる人を任命するということを、人集めをやっておりました。したがって、実際動き出したのは更にそれから十日ないし二週間ぐらい先のことになります。つまり、六月の下旬近い頃から動き出していると、こういう形になります。 ＮＩＳＣの方はその前から活動していらっしゃいますので、当初、ＮＩＳＣがどういうことを考えていたかということは、発足の時期が違いますので、ＮＩＳＣの当初の考え方というのは私たちは調べようがございませんので、特に聞いておりません。 -
石橋通宏君（石橋通宏）
○石橋通宏君 今、一番最後のところだけが重要だったんです。特に聞いておられないわけですね。 つまり、五月八日に発生した時点、ＮＩＳＣが厚生労働省統合ネットワークから不正通信、外部への、関知した時点で、ＮＩＳＣは、それが年金機構のシステムが今回統合ネットワークに入っていたことについて一切知らなかった。それが我々は一つ大きな問題点だと思っているわけです。 政府の内閣サイバーセキュリティセンターとして、厚生労働省統合ネットワークシステムのシステム構成自体知らなかった。機構が、社保庁時代からの外部の通信、メールのための専用回線をＮＩＳＣのＧＳＯＣをかませずに独自で直接外部と通信していた、そんなことは全然知らなかったわけです。それも検証委員会は今御存じなかったというふうに言われましたので、今回の検証自体についてちょっと若干不安を覚えます。 もう一つお伺いさせてください。 概要版の報告の四ページに、機構のシステムについて、基幹系システムと情報系システムは物理的に接続されているものの、論理的に分離されているというふうに記述をされています。 委員長、これは事実でしょうか。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
石橋通宏君（石橋通宏）
-
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
石橋通宏君（石橋通宏）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
石橋通宏君（石橋通宏）
○石橋通宏君 されていないんじゃないかということです。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
石橋通宏君（石橋通宏）
○石橋通宏君 その辺の理解がちょっと、委員長、分かりません。もう少しこれ精査をいただかないといけないのかと。もしそういう理解で今回のシステムの全体像も分析をされたのであると、私は、ちょっと前提条件が違ってしまうのではないかなというふうに思いますので、この点、あえて聞かせていただいているということを御理解いただきたいと思います。 その上で、続いて、白委員から今回の情報漏えいについての機構の認識について、先ほど、まだ調査していると、現時点では可能性としては限りなく少ないかもしれないけれどもという機構理事長のお話がありました。 甲斐中委員長にお伺いしたいんです。 検証委員会としては、この漏えいした情報の問題についてどういう判断を最終的に下されているんでしょうか。 検証委員会の報告書二十六ページ、情報流出、これ、我々は、この検証委員会は第三者の検証委員会ですね。機構の内部の委員会の検証、済みません、理事長がおられる前であれですが、これ内部の調査ですから、なかなか本当は出ていても出ているとは言えない。第三者の検証委員会だからこそ、まさに大切な国民の皆さんの情報が一体今回どうなったのかということについて、これ我々はずっと待っていたわけです、検証委員会の報告を。ところが、ここの記述を見ていると、全部機構が言っていることをそのまま写しているんです。検証委員会としての主体的な判断、結果、結論というのは書かれていないというふうに私は判断をしています。 なぜなんでしょう、甲斐中委員長。検証委員会としては、機構が何を言っているかは関係なく、これまで全て得られたデータに基づいてどのような判断をされたのか、なぜここに書かれていないんでしょうか。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
石橋通宏君（石橋通宏）
○石橋通宏君 もしそれが検証委員会の立場、立ち位置、姿勢だとすると、私どもの認識とは随分違うなというふうに言わざるを得ません、委員長。 我々は、ここを検証委員会に大きく期待をしていたわけです。今回の、これ年金機構による不正アクセス情報流出事案の検証をしていただいたわけです。つまり、ここの全容を解明していただくこと、それを期待していたわけであります。しかし、今委員長が言われたとおり、いや、それをやっていたら大変だからそれは余りというふうに言われちゃいますと、これ、検証委員会、我々が待っていたものとは全然違うなということを言わざるを得ません。 ということは、委員長、じゃ、今回のフォレンジックの結果、例えば先ほど白さんが質問された、どこのディレクトリーから今現在判明をしている百二十五万件百一人分の情報が抜かれたのか、そのディレクトリーに一体どのようなファイルが置かれていたのか、そのことも検証委員会としては基本的に検証対象にはしていなかったということでよろしいですね。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
○参考人（甲斐中辰夫君） 元に戻って申し訳ないんですけれども、私どもが受けた委嘱事項というのは、本事案に関し、機構及び厚労省の組織及び初動、事後の対応について検証し、原因の究明を行うとともに、効果的な再発防止策について検討し、報告を行うことを委嘱したと、こういうことになっております。 今委員がおっしゃる事柄というのは、ずばりその問題ではないんですよね。ここに書いてあることには含まれていないんですよ。ただ、事案の実態を見る上で、そういうことも可能であれば調査することは構わないんだろうと私も思っていますが、ただ、あくまでも私たちは委嘱を受けた事項について検証し、報告書をまとめたと、こういう立場です。 -
石橋通宏君（石橋通宏）
-
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） 検証はあくまでも第三者として、先ほど委員長からも御答弁いただいた、私どもからお願いしたことについて検証していただくということで、それで全てということは私は一度も言ったことはございません。 当然、私たちは、全ての問題について、これは、日本年金機構は、まさに先ほどからずっと話が出ているように、年金制度そのものを執行するということでありますから、まさにこれは我々が監督をする、その中で年金制度そのものを言ってみれば車の両輪でやっていくということでありますので、全てのことが私どもにとっては対象でありますけれども、何を対象として私たちがお願いしたことを検証するかということは、これは甲斐中委員長を始め委員の先生方にお任せをしているわけでありますので、私どもがお願いしたことの範囲内でやっていただいているというふうに理解をしております。 -
石橋通宏君（石橋通宏）
-
国務大臣（塩崎恭久君）（塩崎恭久）
-
石橋通宏君（石橋通宏）
○石橋通宏君 つまり、お願いしたことはやっていただいているんだけれども、お願いしていないことはやっていただいていないわけで、つまり、今回の情報漏えいの全貌についての委嘱はしていないし、それはやっていただいていないということなんでしょう、大臣。それはお認めになった。 つまり、これまでの国会、我々に説明していただいた情報漏えいの全貌について、検証委員会が、これうそだったということになってしまいますよ。一体、じゃ、誰が今それをやっているんですか。検証委員会は委嘱されていないからやっていない、だから報告書にも年金機構が言うことをそのままコピーされて書いている。 つまり、誰も、年金機構が当事者としてやっている以外は、第三者としてきちんと、こういう結果を含めて、やっている者が誰もいないということであると、これどうなるんですか、大臣。誰も責任を取らず、その全容を解明できない、そういうことなんですね。それを、じゃ、今後もほっておくわけですね。大臣、そういう責任論でよろしいですか。 -
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） この委嘱事項は、私どもはちゃんと書面でお渡しをしたというふうに思います。 繰り返して恐縮でございますけれども、これを読んでいただければ、長いので読みませんが、先ほど甲斐中委員長がおっしゃったとおりであって、その原因究明を行うとともに、効果的な再発防止策というときに、それは幅広く私たちはお願いをして、あとどういうふうにそれを検証するかは、それは委員会のお決めになることであるわけであって、スコープとしては、ここに書いてあるとおり、今回の問題のトータルについてお願いをしているので、それをどこまでが範囲内なのかということについては、先ほど来ガバナンスの問題とかいろいろ言われていますけれども、それは甲斐中委員長が御答弁されたとおりだと思います。 -
石橋通宏君（石橋通宏）
○石橋通宏君 これ、大臣、結果としてやられていないわけです、結果としてね。これは報告書を見ていただければ、今御指摘したとおりです。 なので、大臣、今回、第三者検証委員会の位置付け、役割、何だったのかと。今、一連の答弁聞かせていただいて、甲斐中委員長からの御発言もお伺いして、疑問に思わざるを得ません。残念ながら、検証委員会をせっかく立てていただいて、甲斐中委員長等々皆さんにも御努力いただいたのに、我々が求めていた、これまで大臣がこの国会で答弁されていたことが結果としては示されていなかったというふうに言わざるを得ません。 それで、水島理事長、お伺いしますが、まだ調査中である、何をまだ調査しているのか、明確に教えていただけますか。 -
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
-
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） はい、それを御説明申し上げます。 共有ファイルサーバーは四百余りございます。それに関しまして、全てコピーを取りまして、それを本部に移送しております。 この内容について調査を行っておりますが、実はかなりパスワードが掛かっておりまして、その内容についてパスワードを解読をして、解読といいますか、それぞれ全部報告させて、それを全部やっていかなきゃいけないということでございます。 大変申し訳ございませんが、率直に申し上げて、大変困難を極めている部分がございます。これについて、私どもといたしましても、御理解をいただきたいのは、この中にある個人情報を正確に把握をした上でこれを移さなきゃいけませんから、そのために、何が入っているかということはきっちり把握しなきゃいけません。そういう意味で、きちんとした調査を今行っているということを是非御理解をいただきたいというふうに思います。 -
石橋通宏君（石橋通宏）
-
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
-
参考人（水島藤一郎君）（水島藤一郎）
-
石橋通宏君（石橋通宏）
-
委員長（丸川珠代君）（丸川珠代）
-
石橋通宏君（石橋通宏）
○石橋通宏君 これ、即刻出してください。 だから、白委員が言われたとおり、結局、全容解明できていないじゃないですか。一体どれだけの貴重な情報が漏えいしたのかどうか。 先ほど理事長、いや、可能性は少ないと。分からないんじゃないですか、まだまだ全然。それで、ここでちゃんとこうやって質疑をさせていただいて、全然駄目ですよ、理事長、それじゃ。これ、是非、即刻報告をお願いしたいと思います。 その上で、時間がもうなくなりましたので、残念ながら、もう一点確認をさせていただきます。これも白委員が質問されました四月の二十二日の案件であります。お手元の資料にお配りをした二枚目です。 四月二十二日と五月八日の対応について、これ、何でこんなに大きな対応の違いがあるのか、非常に疑問に思うわけです。これどなたに、大臣に説明いただければいいのか、情参室、説明いただければ。 なぜ二十二日の対応と八日の対応と、こんなにも、迅速な対応、上司への報告含めて対応が違うんでしょうか。説明してください。 -
政府参考人（姉崎猛君）（姉崎猛）
-
石橋通宏君（石橋通宏）
○石橋通宏君 簡潔に。 -
政府参考人（姉崎猛君）（姉崎猛）
○政府参考人（姉崎猛君） 済みません。 先生のお作りいただいた真ん中辺のところで、ＵＲＬブロック、サブドメイン単位というところで、ここで不正な通信が止まりました。これは、検証委員会の報告書でも、厚生労働省においてＵＲＬブロックを行うことにより遮断、それが二時間ということであります。 それから、五月の八日の方ですけれども、先生のお作りいただいた資料の機構側のＬＡＮケーブルを抜線というのと、その下にＵＲＬブロックと書いてありますけれども、順番がこれ逆でして、ＵＲＬのブロックが先で、後にＬＡＮケーブルの抜線というふうになっております、事実関係としてはそうなっております。 それで、五月の八日のときは、ＵＲＬの遮断、書いていませんけど、これ、サブドメイン単位ですけれども、これをしたのは二時間弱ということですので同じぐらいだったんですけれども、ところが、不正な通信を全部、結果として止まっていなくて、実は、端末を特定して年金機構の端末の線を抜線して初めて不正な通信が止まった。ですので、不正な通信が始まってから、これは遮断ではなくて、検証委員会の報告書の十七ページに書いてありますけれども、機構で端末を特定し、ＬＡＮケーブルを抜線してＬＡＮから遮断するまでが四時間ということでありまして、遮断自体はそんなに変わらなかったんですけれども、そこで止まらずに端末のところ、元を閉じて初めて不正な通信が全部止まったということで、二時間、四時間という違いが生じたということでございます。 -
石橋通宏君（石橋通宏）
○石橋通宏君 時間が来ましたので終わりにしますが、今の答弁ちょっと不十分なので、これ、また改めて確認をさせていただきたいと思いますが、最後に委員長に、今回、このＵＲＬブロックの事案がこれは新たに出てきたわけです、四月二十二日の事案は。これだけ質疑をしておきながら、これまで全く厚労省も大臣もＮＩＳＣも我々にこの二十二日の事態は一切報告していない。これ、我々は情報隠蔽だというふうに思っています。 二十二日以降の全てのＵＲＬ、外部のＣアンドＣサーバー判明したやつ、それから、いつどの時点でどこがブロックをしたのか、これ全部リストにして提出をいただきたい、その上で審議をさせていただきたいと思いますので、委員長、お取り計らいをよろしくお願いします。 -
委員長（丸川珠代君）（丸川珠代）
-
石橋通宏君（石橋通宏）
○石橋通宏君 終わります。 -
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
長沢広明君（長沢広明）
-
参考人（水島藤一郎君）（水島藤一郎）
-
長沢広明君（長沢広明）
○長沢広明君 それでは、私の質問に入りたいというふうに思います。 まず、日本年金機構における不正アクセスによる情報流出事案、これについての検証委員会として第三者検証委員会から報告書が提出をされまして、甲斐中委員長を始め、委員、参与、事務局長の皆様方の御尽力に改めて感謝を申し上げたいと思います。 今日は、機構の方の調査委員会に対する報告書を中心に私は質問をさせていただきたいというふうに思います。 この機構の報告書によれば、標的型メール攻撃に対して十分な対応ができなかったという要因として、これ自らの調査報告ですが、基本的対応は担当者任せであり、システム部門担当理事であるＣＩＯと情報セキュリティー担当部署の部長から具体的指示を行った事跡は確認できていないとのことでありました。特に、情報セキュリティー担当部署の担当者が、最初に攻撃を受けた五月八日の段階で標的型メール攻撃ではないかとの疑いを持ったにもかかわらず、その疑いが組織として共有されなかった、そのことが被害を拡大させた大きな要因になったと思われると、これ、自らの調査報告の結果でございます。ちょっとこの辺、さらっと言っていますけど、よく分からないんですね。 じゃ、これが標的型メール攻撃ではないかと疑いを持った担当者、それが疑いを持ったにもかかわらず、その疑いが組織として共有されなかったということは、じゃ、その担当者は疑いを持ちながらその後どういう行動を取ったのか、行動を取らなかったのか。とすれば、その理由は何なのか。直接の担当責任者である機構のシステム部門担当理事の徳武理事にお伺いしたいと思います。 -
参考人（徳武康雄君）（徳武康雄）
○参考人（徳武康雄君） お答えいたします。 五月八日におきましては、同日受信した不審メールにつきまして、担当者は標的型メール攻撃ではないかという疑いを持ちまして、同日に発出しました全職員への注意喚起メールに標的型メール攻撃の特徴を参考として記載しております。この注意喚起メールの発出に際しましては、担当者は部長の決裁を受けておりますけれども、その際、部長は、標的型メール攻撃であった場合の対応について何ら検討を指示しなかったということでございます。私も、当該注意喚起メールの発出をＣＣで受け取っておりましたけれども、具体的な指示はしていなかったということでございます。 振り返ってみますと、この時点で標的型メールの攻撃であるという疑いを組織として共有しまして、ルール化、体系化について指示すべきであったというふうに考えておりますけれども、その対応を行わなかったことにつきまして、ＣＩＯとして深く反省しているところでございます。 -
長沢広明君（長沢広明）
-
参考人（徳武康雄君）（徳武康雄）
-
長沢広明君（長沢広明）
○長沢広明君 ちょっと本当に分からないですね。疑いを持ったときにその疑いに対応しなかったら、仕事になりませんね、これはどんなことだって。そこのところがまさしく機構の根っこの問題にちょっと関わってくるんじゃないかという心配があります。 理事長の認識も確認させてもらいます。 こういうふうに、標的型メール攻撃の疑いを持った、その疑いを基に注意喚起のメールまで送られていた、それも担当の責任者までそれを見ていた、にもかかわらず適切な初期対応を取れなかったということは、根本的に情報管理、国民の重要な情報を管理しているという認識そのものが余りに薄かったのではないかというふうに思いますが、理事長、自ら出した報告書に書かれているこの部分、この問題、これについて、理事長の認識を改めて伺います。 -
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 御指摘のとおり、情報セキュリティー担当部署の担当者は、標的型メール攻撃ではないかという疑いを持って、メールにもその参考として付けたわけでありますが、その疑いが組織として共有されなかったということは、まさに幹部としての問題認識が甘かったということだというふうに思っております。まさに、組織の一体感といいますかあるいは危機感といいますか、こういうような部分について、機構全体として極めて大きな問題があったというふうに認識をしているところでございます。 初動対応の遅れを招いた背景と申しますか、原因でございますが、個人情報を守るという認識、組織として一貫した方針の下でこうした対応への議論が本来は平素から行われて、組織全体として対応方針の明確なルール化あるいは訓練等によるその徹底を図らなければならないというふうに考えておりますが、それが行われてこなかったと。これは、やはり国民の皆様の年金をお預かりしているという緊張感、あるいは責任感、使命感、これに欠けていたと言わざるを得ないというふうに思います。外部の知見を活用しなかったのも含めて、まさに痛恨の極みだというふうに思っております。 -
長沢広明君（長沢広明）
○長沢広明君 第三者検討委員会による報告書の中に、再発防止策の提言として、人的体制の整備が必要であると。セキュリティー対策本部の設立というところで、早急に、十分な判断力のある最高情報セキュリティ責任者の下にセキュリティー対策本部を設立し、役職員の役割、責任、権限を明確にし、各自が自らのなすべきことを熟知し、その責務を果たせるようにすべきであるという、こういうことを言われること自体、本当に恥ずかしいというような内容の提言をされています。 機構の報告書の方にも再発防止に向けた今後の取組が提言されていますね、自ら述べられておりますが、情報セキュリティー対策の司令塔としての組織である情報管理対策本部を新設して、セキュリティーに関する機構全体の体制を強化すると、このように書かれております。 第三者検討委員会もこの再発防止策の中に、早急に、十分な判断力のある最高情報セキュリティ責任者の下に役職員の役割、責任、権限を明確にして、自らなすべきことを熟知して責任が果たせるようにしなさいというふうな提言にもありますが、機構として、この情報管理対策本部、これは理事長を中心にした本部を新設するということですが、今までの体制の中に今までの方でつくっても、この対策本部は本当に意味をなすのかという心配があります。この点についてどういう対策を考えられているのか、お考えをお願いします。 -
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 御指摘のとおり、検証委員会の報告書におきましても、標的型メールの攻撃等に対する情報セキュリティーポリシーや手順書の不備、情報セキュリティーの専門家の不在、あるいは緊急時のＣＳＩＲＴ体制が未設置である等々の御指摘をいただいております。当機構の調査委員会におきましても、組織全体として対応方針の明確なルール化、あるいは訓練等による徹底が図られてこなかったことは極めて問題だというふうに指摘したところでございます。 こうしたことを踏まえまして、情報セキュリティー対策を一元的に管理する司令塔といたしまして情報管理対策本部を新設をいたしますが、御指摘のとおり、いわゆる充て職ではなくて、専門家をここに糾合していくということが大事であるというふうに思っております。 同本部におきましては、情報セキュリティー全般につきまして、分散をしております機能をまず集約をいたします。それから、標的型メール攻撃等を始めとする情報セキュリティーに係る規定、手順書等の整備や研修、訓練を通じたルールの徹底等を行うだけでなく、緊急時には組織の対応方針を決定する等のＣＳＩＲＴ機能も有することといたしております。 こうした体制をしっかり機能させるためには、セキュリティーの専門家を招聘する、あるいは専門機関との契約によってセキュリティー体制を強化する必要があるというふうに考えておりまして、加えて、機構内部におきましても、情報セキュリティースペシャリストが約九名おりますので、このような人材を中心に組織の組成及び内容の充実を図ってまいりたいというふうに考えております。 -
長沢広明君（長沢広明）
○長沢広明君 午前中の白眞勲委員の御質問の中に触れられているので私はもう質問しませんが、私、今年七月二日のこの委員会の集中審議で、検証委員会の検証作業でしっかり事案が原因究明されるために、機構及び厚生労働省の積極的な協力が必要である、原因究明を受けて厚労省と機構の緊密な連携の下に再発防止に努めていく必要がある、こういうふうにしっかり協力しなさいと。しっかり協力しますと答弁をされたにもかかわらず、報告書の中には、一部の者が重要な資料を出し渋り、黒塗りをするなどの態度は論外であると、こう厳しく指摘をされた。大変残念です。こういう姿勢について、私は大変残念だということを一言申し上げさせていただきます。 最後に一点、厚生労働省、大臣にお伺いします。 第三者検討委員会の報告書の中には厚生労働省の監督体制の整備ということも言われています。特に情参室が弱体だと、これ厳しく指摘されていますね。充て職で形式的な現在の情報セキュリティー体制を、専門家をアドバイザーとして加えた機能し得る体制に改めよと。情参室を質、量共に充実すること、ＣＩＯ補佐官と連携を図ること、ＣＳＩＲＴも技術力を持った実用的なものに改める、こういうことを着実に実行すべきであると、こう提言をされています。 これに対してどういうふうに臨まれるか、大臣の見解をいただいて、終わりたいと思います。 -
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） 先ほど来、今朝から御質問をいただいておりますけれども、厚生労働省の中の情報関係は、確かに情参室がＮＩＳＣとの関係では窓口になっておりますけれども、実際の統合ネットワークというのを見ているのは統計情報部になっているわけであります。 そういうことにも現れているように、組織的にもばらばらになっているところが私はあるのではないかというふうに思っていて、そういうところの整理も含めて、これからの組織の中でどういう一元的な管理ができるサイバーセキュリティーの言ってみれば有効なる実効性のある体系をつくれるのかということを考え直さなければならないんじゃないかというふうに思っているところでありまして、今でもこの最高情報セキュリティ責任者、これ官房長になっていますけれども、これを一体誰にするのか、そしてその下で非常時のＣＳＩＲＴの体制、そしてそのメンバーをどういう意味あるものにして実効あるものとしていくのか、あるいは職員の意識改革、リテラシー、そしてまた事前のルール設定をどこまできちっとできるのか。 さらには、システム自体も、今回いろいろ分かってきたことは、やっぱり入口対策、そして内部の対策、さらには出口対策、こういったことももう一回考え直さなければいけないんじゃないかということで、ちょうど今、概算要求の時期でもございますが、そういうことを踏まえて新しい組織をしっかりとつくっていかなければなりませんし、今回特に検証委員会からも厳しくこの点については厚労省も指摘を受けておりますので、それを受けてしっかりとつくり直していきたいというふうに思うところでございます。 -
長沢広明君（長沢広明）
○長沢広明君 終わります。 -
川田龍平君（川田龍平）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
川田龍平君（川田龍平）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
川田龍平君（川田龍平）
-
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） 先ほど申し上げたとおり、今回、甲斐中委員長の下で行われた検証委員会での報告書を拝見をして、初めて私は四月二十二日のことを知りました。 私の方に上がってこなかったということは、意思疎通が十分じゃないことは御指摘のとおりであって、今はＮＩＳＣからの注意喚起があったときには全て私に上げ、そしてその処理をどうやったかということについても必ず報告をしろということを明言をして、指示をしているわけでありまして、そもそもＮＩＳＣから来るというときはそれなりのときに来るわけでありますので、それを今回、官房長までは上がっておりましたけれども、私どもの方に上がっていなかったということは、大変遺憾なことであったと思います。 -
川田龍平君（川田龍平）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
川田龍平君（川田龍平）
-
政府参考人（斉藤実君）（斉藤実）
-
川田龍平君（川田龍平）
-
政府参考人（斉藤実君）（斉藤実）
○政府参考人（斉藤実君） それも含めまして現在捜査中でございます。 -
川田龍平君（川田龍平）
-
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 御指摘のとおり、これまでセキュリティー上あるいは捜査上ということで公表を控えてまいりました点について、幾つかの点で今回この報告書で明らかにさせていただいております。 従来、これらの項目につきまして公表を控えさせていただきました理由は、機構の対応能力を公表することで不正アクセスを助長するおそれがあり、セキュリティー上問題がある、あるいは、本来犯人と機構しか知り得ない情報を公表することで犯人特定上の捜査上の支障を来すおそれがあるとして、これまで公表を控えてきたものでございますが、今回、調査を通じまして、不正アクセスの実態や個人情報流出を防止できなかった原因の全体像が明らかになってまいりました。それを踏まえまして、機構といたしましては、再発防止策をまとめましたところから、関係方面の確認を取った上で公表可能と判断できるものについては公表することとしたものでございます。 -
川田龍平君（川田龍平）
○川田龍平君 警察庁、警察も今日までこのような情報は出すべきではなかったという同じ見解でしょうか。 -
政府参考人（斉藤実君）（斉藤実）
-
川田龍平君（川田龍平）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
川田龍平君（川田龍平）
-
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 調査委員会におきましては、厚生労働大臣から、できる限り速やかに、今回の事案への対応のどの過程に問題があったのか、その原因はどのようなものなのか等について十分検証するよう御指示をいただき、取り組んできたところでございます。 具体的には、六月八日の第一回委員会以降、関係者からのヒアリングは二百一名、延べ二百二十一回に及びました。そして、加えまして御指摘のフォレンジック調査が七月末に出てまいりましたが、関係資料の分析等を行いまして、この度、不正アクセスの実態や原因等の全体像を明らかにするとともに、それを踏まえた再発防止策を取りまとめましたことから、八月二十日に公表したものでございます。 -
川田龍平君（川田龍平）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
川田龍平君（川田龍平）
-
参考人（水島藤一郎君）（水島藤一郎）
-
川田龍平君（川田龍平）
○川田龍平君 このフォレンジック調査の開始が六月中旬までなぜ遅れたのでしょうか。 -
参考人（水島藤一郎君）（水島藤一郎）
-
川田龍平君（川田龍平）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 心にぐさりと刺さる厳しい御指摘でございまして、このような体質があるということをきちんと認識をして、その体質の改革のために全力を尽くさなければならないというふうに考えております。 ただ、社会保険庁時代は、御指摘の、よく言われますのは、三層構造の下での組織ガバナンスの欠如ということが大きな問題として指摘されたわけでございます。 二十二年の日本年金機構発足以降でございますが、全国一体的な人事によって組織の一体感を醸成する、あるいは各拠点の声を業務運営に反映させる等々、三層構造の改革に取り組んできたところでございまして、一定の成果は出てきているというふうに思っておりますが、今回の事案を踏まえますと、今、甲斐中委員長からも御指摘がございましたが、やはりガバナンスの脆弱さ、あるいは組織としての一体感のなさ、リーダーシップの不足、ルールの不徹底、まさに真摯なものを感じないという御指摘でございましたが、このような体質を何としても変えることが急務であるというふうに思っております。 ゼロベースからの総点検を実施をいたしまして、日本年金機構再生本部を立ち上げることにいたしますが、各層を糾合いたしまして、ただいまいただきました御批判についてきちんとお応えをする努力をしてまいりたいというふうに思っております。 -
川田龍平君（川田龍平）
○川田龍平君 改革道半ばだと言い訳をする向きもあるようですが、配付資料を御覧ください。 この配付資料は職員意識調査の結果ですけれども、年々悪化しています。所属部署の雰囲気は良いですか、あなたのグループ、課室内のチームワークは取れていますか、部署において率直に意見を言える雰囲気があると思いますか、あなたは直属の上司への信頼感はありますか、所属部署において必要な情報の共有は図られていると思いますか、自分の行っている業務はお客様のためになっていると思いますかと、こうした資料を見ると、全て年々悪化しているんですね。 こういう状態にあるというこの結果を見ると、組織体質はむしろ年々悪化していると思いますが、理事長、いかがでしょうか。 -
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 職員意識調査は毎年行っております。その中で、御指摘のとおり、機構職員であることの誇りでありますとか、コミュニケーションでありますとか、上司への信頼感、これらの項目について特に低下傾向にあるというふうに思っておりまして、私自身も強く懸念をしているところでございます。 組織の一体感の不足に関しまして御指摘をいただいておりますが、私どもも本事案の調査を通じましてまさに再認識をいたしたところでございまして、現場における若手職員を始め、幅広く意見を吸収して組織運営に反映させていかなければならないと、そして彼らに対して仕事に対する誇り、生きがいを与えていかなきゃならないというふうに強く思っているところでございます。 日本年金機構再生本部を早期に立ち上げまして、採用区分や雇用形態の違いを乗り越えて幅広い層に構成員として参加を求めまして、まさに職員の総力を挙げて機構の改革に当たってまいりたいというふうに考えております。 -
川田龍平君（川田龍平）
-
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） おっしゃるように、年々余り好ましい方向ではない方向に向かっている数字だというふうに私も拝見をいたしました。 そこにもってきて今回の問題が起きたわけでありますから、まさにこれは、理事長自らゼロベースからと言っているように、本当にここで、これまでの長い社保庁体質という、いわゆる社保庁体質と言われているようなものから、ガバナンスの問題として検証委員会からも今回指摘をされていますけれども、やはりここで、日本年金機構再生本部で自らがリーダーシップを取りながら、そして恐らく、これを見ていて分かることは、職員に自らの、何というか、オーナーシップというか、自らの帰属意識をちゃんと持てるような、そういう組織に変わっていかないといけないのではないかというふうに思うところでございまして、ゼロベースからの抜本改革ということを本当にここでやらないと、ここから更に良くなるということを期待するならば、もう今しかないというふうに思うところでございます。 -
川田龍平君（川田龍平）
-
参考人（水島藤一郎君）（水島藤一郎）
-
川田龍平君（川田龍平）
-
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） 組織として一体感が不足をしているということは、実は、機構自らも認めるとともに、検証委員会からも同時に指摘を受けたわけでありまして、機構が抱える構造的な問題について、機構の方でも、現場における業務の実態が幹部を含む本部に伝わらない、幹部を含む本部に業務の実態を把握する努力が不足しているといった、組織としての一体感の不足ということが指摘をされているわけでありまして、組織の一体感の欠如が今回の不正アクセス事案において情報流出を防げなかった大きな要因の一つだというふうにも考えているわけであります。 今申し上げたように、検証委員会でも、情報流出という事態につながった要因に、組織としての一体感の欠落という言葉を使っていただいておりますけれども、こういうこともあって、機構には是非、ガバナンス、そして組織風土の抜本改革のために、先ほど来お話が出ているような日本年金機構再生本部を、それも恐らく職員の皆さん方が自分たちの組織をもう一回自分たちでつくり直すという、そういう発想でこの本部でもってみんなの心をリードしてもらってやっていただくしか私は道はないんじゃないかというふうに思いますし、厚生労働省としても監督指導する立場として何ができるのか。そして結果として、車の両輪として、制度をつくる厚労省と、それを執行してもらう、大事な執行をしてもらうということにどう有効に立ち向かってもらえるかということを実現をする中で、信頼回復と再発防止を図ってまいりたいというふうに思っております。 -
川田龍平君（川田龍平）
-
参考人（水島藤一郎君）（水島藤一郎）
-
川田龍平君（川田龍平）
○川田龍平君 ちょっと今回の質疑時間足りなかったので、また引き続きこの問題について集中してやっていただきたいと思いますので、よろしくお願いします。 終わります。ありがとうございました。 -
小池晃君（小池晃）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
小池晃君（小池晃）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
小池晃君（小池晃）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
小池晃君（小池晃）
-
政府参考人（安藤英作君）（安藤英作）
-
小池晃君（小池晃）
-
政府参考人（安藤英作君）（安藤英作）
-
小池晃君（小池晃）
-
政府参考人（姉崎猛君）（姉崎猛）
○政府参考人（姉崎猛君） はい、そのとおりでございます。 -
小池晃君（小池晃）
○小池晃君 遮断したのは誰の権限でやったんですか。 -
政府参考人（姉崎猛君）（姉崎猛）
-
小池晃君（小池晃）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
政府参考人（姉崎猛君）（姉崎猛）
-
小池晃君（小池晃）
○小池晃君 いや、だから、こういうことが担当者のレベルで判断して遮断するということが行われているということ自体が、もし事実だとすれば大問題だし、これ私、知らなかったはずがないのではないかというふうに思うんですね。 官房長に聞きます。 ここに並んでいる中では、あなただけが四月二十二日にこの攻撃があったことを知っていたわけですね。統計情報部から報告を受けたのは官房長だけじゃないですか。その後、国会で大議論になった。これがどれだけ大変な問題なのか、一番切実に骨身に感じていたのは、官房長、あなたですよね。だとすれば、これだけ議論しているときに、あっ、そういえば四月二十二日に本省にそういう攻撃があったなと、全くそういうことを発想しなかったんですか。どうなんですか。 -
政府参考人（蒲原基道君）（蒲原基道）
○政府参考人（蒲原基道君） ただいまお話しございました四月二十二日の件につきましては、私のところに四月の二十三日に報告がございまして、こういう不審メールに対する添付ファイルを開けて不正な通信が起こったと、かつ、即時にそれに対しては遮断をして攻撃が停止していると、こういったことの報告があったわけでございます。 今先生がお話しのとおり、今回の問題が明らかになっていろんな議論がされているわけでございますけれども、大変恐縮でございますけれども、私自身がまずこの年金の流出問題について知りましたのは五月の二十八日だということで、これは前にも申し上げたことでございますけれども、更に申しますと、今話が出ました四月二十二日と五月八日の言ってみれば類似の攻撃、言わばドメインが一緒だったということ、これについても知ったのがまさにこの検証委員会の報告で初めて知ったということでございまして、その意味では、この四月二十二日と今回の事案に言わば関連性があるということに思いが至らなかったと、こういうことでございます。大変申し訳ないと思っております。 -
小池晃君（小池晃）
○小池晃君 そんなことあり得るんですか。ちょっとやっぱりこれはおかしいですよ、どう考えたって、この一連の経過は。 私は、だから、四月二十二日の時点でそれを見過ごしてしまったということは百歩譲ったとしても、その後でこういう事態になったのであれば、あっ、あれはそういえばあのときにあったではないかというふうに、誰一人としてそういうことを議論しようとしない、これが厚生労働省ですか。 大臣、私は、これが本当に気が付かないで議論をしていたというのであれば、厚生労働省はもう実務能力ゼロだと。私はそんなことはないと思う。これは組織ぐるみで隠蔽したとしか思えないですよ。そういう事態がなければこんなことが起こるわけないじゃないですか。隠蔽ですよ、これどう考えたって、経過を見れば。 どうですか、それに対して大臣はどうお答えになるんですか。 -
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） 残念ながら能力が相当足りないということは認めざるを得ないわけであって、しかし一方で、隠蔽だのいうようなことをやっていることは決してございませんので、そこは御理解を賜れればというふうに思います。 -
小池晃君（小池晃）
-
委員長（丸川珠代君）（丸川珠代）
-
小池晃君（小池晃）
-
参考人（水島藤一郎君）（水島藤一郎）
-
小池晃君（小池晃）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
参考人（水島藤一郎君）（水島藤一郎）
-
小池晃君（小池晃）
○小池晃君 さっき可能性だと言っていたんですよね。これだけで変わるわけですよ。これで議論が成り立ちますかと。私、本当にこれ重大だと思います。 四情報以外の情報が共有ファイルサーバーにあったということを初めて認めました。今までは可能性だというふうにおっしゃっていたが、あったと。だとすれば、これは流出している可能性が私はあると思うんですよ。フォレンジック調査で確認されていなくたって、それは否定できないだろうというふうに思います。この問題はやっぱり極めて重大だというふうに思います。 それから、この間問題になってきたことで、例えば今日資料で配っていますが、流出した資料のリストがマスメディアでは報道されているわけですよ。例えば、和歌山事務センターが使った届出書などの受付管理簿ツールとか、沖縄事務センターが使った国民年金の届出書などの受付管理簿、この事実、今まで認めませんでしたが、こういうファイルが流出したことはお認めになりますね。 -
参考人（水島藤一郎君）（水島藤一郎）
-
小池晃君（小池晃）
-
参考人（水島藤一郎君）（水島藤一郎）
-
小池晃君（小池晃）
-
委員長（丸川珠代君）（丸川珠代）
-
小池晃君（小池晃）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
小池晃君（小池晃）
-
参考人（水島藤一郎君）（水島藤一郎）
-
小池晃君（小池晃）
-
参考人（水島藤一郎君）（水島藤一郎）
-
小池晃君（小池晃）
○小池晃君 契約書には書かれていません。じゃ、手順書を後で示してください。それを見て改めて検討します。 これ全体を見て、私は、検証委員会の報告にあるんですが、機構本部から全国の拠点に対する指示は、年間数千件に及ぶ上、過去のものと重畳的なものも見られたなど、現場に相当な負荷が掛かっている。また、機構本部が現場におけるルールの遵守状況について把握できる枠組みとなっていない。要するに、もう垂れ流しだという実態を検証委員会の報告書に書いてある。次から次へと指示を出すけれども、あとは放置したままだと。これは現場の労働者から寄せられている意見とも一致するものなんですね。 甲斐中委員長にお聞きしますが、これは情報セキュリティーに関わる部分だけじゃなくて、機構の業務全体についてこういうやっぱり問題点、指摘できるんじゃないかと思うんですが、いかがでしょうか。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
小池晃君（小池晃）
○小池晃君 こういう全体像を含めて解明されなければいけないのではないかと思います。 それから、ちょっと報告書から離れた問題でお聞きしたいんですが、マイナンバーとの連結の問題です。 基礎年金番号とマイナンバーとの連結は凍結をするということが報道されていて、これは今回の情報漏えい事件を見ればもう当然のことだと思うんですが、配付した資料の二枚目を見ていただきたいんですけれども、ところが、日本年金機構は、マイナンバー制度に向けた準備作業を中止するどころか今もやっております。機構が出した文書によると、マイナンバーによるサービス実施のためとして、今年五月ですね、この問題が大問題になっているさなかにも住民票住所申出書の送付のお知らせという通知を出しております。 機構に聞きますが、これは一体どれだけの人に郵送、送付をしているんでしょうか。 -
政府参考人（樽見英樹君）（樽見英樹）
○政府参考人（樽見英樹君） 私どもの承知しているところでお答えさせていただきます。 社会保障・税番号制度導入の準備作業として、住民票コードの収録を年金機構の方で進めているということでございます。住民票コードについては、機構が管理する氏名、性別、生年月日及び住民票住所の四情報を基に、住民基本台帳ネットワークに照会して収録を行っているわけでございますが、機構にお届けいただいている住所情報が住民票住所と相違しているなどの理由によって住民票コードが未収録となっている方がいらっしゃるために、この四月から五月にかけて住民票住所申出書というものをお送りをして確認をお願いをしたというところでございまして、発送件数は二百二十一万件と承知をしております。 -
小池晃君（小池晃）
○小池晃君 二百二十一万件、これ出しているわけですよね。マイナンバーは法律が成立も全くしていない段階で、「マイナンバーによるサービスの実施のため、ご協力ください。」と書いてありますよ、これ。そういったことをやっているわけですよ。通知では六月十日までの返事を求めておりまして、文書の中には何と書いてあるかというと、こんなことが書いてある。期日までに本届のない場合、会社員の方はお勤め先に住民票の住所をお尋ねすることがありますというふうにあるんですね。 マイナンバー法もないのに、一体これはどういう法的な根拠でこの義務が生じるんですか。法的な根拠を明確に示してほしい。マイナンバー法ないですよね。一体どういう法律に基づいてやっているんですか。 -
政府参考人（樽見英樹君）（樽見英樹）
-
小池晃君（小池晃）
-
政府参考人（樽見英樹君）（樽見英樹）
○政府参考人（樽見英樹君） まさに、マイナンバーを導入するということによって利用者の方々の利便性が向上する、あるいは住所、あるいはいろんな手続についての確認を確実にするというようなことでございます。 厚生年金保険法について、根拠で、先ほど法律名だけ申し上げましたけれども、百条の二というところでございまして、厚生労働大臣は、被保険者あるいは被保険者であった者について、氏名及び住所、その他の事項について、事業主その他の関係者に報告を求めることができるというふうになっておりまして、まさに厚生年金保険法で、加入者、受給者の方々のいろんな確認すべき事項を確実に把握する、あるいはそういうことを円滑に行うというために、こういう資料、情報提供の規定があるというところでございますので、それを根拠にさせていただいているというところでございます。 -
小池晃君（小池晃）
○小池晃君 いや、だって、普通これを受け取った人は、やっぱりマイナンバー制度に基づく法律でやるというふうに思いますよ。これは非常にやっぱり私は、やり方がえぐい、まあえぐいというのはちょっとあれかもしれませんが、これは非常に問題のあるやり方だというふうに言わざるを得ないと思うんです。 大臣、やっぱり情報漏えいがこれだけ問題になっている、そういう中で、二百万人にこういう文書を送り付けてやっている。日本年金機構ってこんなことをやっている場合だったんですか。もっとちゃんと自らの業務に集中すべきときだったんじゃないんですか。自分の頭の上のハエを追わないで、こんなことをやっているときだったんですかと私は思うんですが。 大臣、こんなことでいいんでしょうか。これは非常に誤解を与えるやり方だと私は言わざるを得ないと思うんですが、いかがですか。 -
国務大臣（塩崎恭久君）（塩崎恭久）
-
小池晃君（小池晃）
○小池晃君 やっぱりこれを受け取った人は、何かもうマイナンバーで年金も一体化するんだというふうに受け取りますよ。やっぱり行政のやり方として、私はこれは非常に問題があるというふうに思います。 このマイナンバーについて言うと、私は、年金情報の連結、半年、一年遅れるというのはあるけれども、それで済まないと。マイナンバー制度そのものに大きな問題があると思っていますし、やはりきちっとこれは内閣委員会との連合審査も含めて議論すべき課題だと。マイナンバー制度そのものも全面的に見直すべきだというふうに思いますし、今日いろんな問題を取り上げましたけれども、ちょっとほかにもいっぱいやりたいことあったんですが、もう時間が参りましたので終わりますけど、とにかく疑惑が深まっただけです。もう様々な問題が出てきています。 この問題の徹底解明なくして閣法の処理を前に進めるなどということはこれあり得ないことだということを申し上げて、引き続き年金情報流出問題の徹底的な解明を求めて、質問を終わります。 -
行田邦子君（行田邦子）
○行田邦子君 行田邦子です。 検証委員会が出されたこの報告書を読みまして、私は背筋が寒くなる思いでおります。年金事務を行っている組織がこのようにひどいずさんな状況にあったということ、そしてまた、それだけではなくて、年金行政を行っている組織、厚労省ですけれども、が非常に、これほどまでに責任が曖昧なまま事が進んでいたということ、本当にぞっとしました。 今日は午前中からずっと日本年金機構の意識改革などについての質問が続きましたので、一番目の質問は省略させていただきますけれども、今日は甲斐中委員長にお越しいただいていますので、二番目の質問からさせていただきたいと思います。 今日は、私は主に厚生労働省の責任について中心に伺いたいというふうに思っております。 この検証委員会の報告書では、厚生労働省における情報セキュリティー体制の脆弱性に触れています、十六ページのところで触れているわけですけれども。そして、本事案だけではなくて、過去の事案においても、事案収束後に情参室に報告が行くなど、情報の遅延があったということを指摘をしています。 組織の風通しの悪さとか、そしてまた当事者意識の欠如といったことは、これ、日本年金機構だけではなくて厚生労働省にも大きな問題があるというふうに私は印象を受けています。 そこで、甲斐中委員長に伺いたいと思いますけれども、今回の検証作業を通じて、厚生労働省のこの意識、当事者意識の欠如、また組織の風通しの悪さについてどのようにお感じになったのか、そしてまた、情報連絡の遅延がなぜ起こるのか、どのようにしたら改まるのか、お聞かせいただけたらと思います。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
○参考人（甲斐中辰夫君） 情報連絡が遅れているということ、これは今回の事案の経緯を見るとよく分かるところです。なぜそういうことが起きるのかと。原因はいろいろあると思います。 一つは、情報というものに対する認識の問題なんですが、例えば何か大きな出来事があったとします。第一報は不完全なものなんですが、例えば、事例は悪いんですが、ケネディ大統領が亡くなったと、これは第一報なんですね。だけど、誰が殺したのか、どういうふうな経過で、どこで死んだのかと、そういうことは少し調べてみなければ分からない。だけど、情報としては第一報が非常に重要なんです。サイバーセキュリティーに対しては、まさにその第一報が大事なんです。それを、紙文化の世界で、とにかく報告書に作ってこいと、うまくまとまって報告しろというようなことをやっていると、情報連絡はどんどん遅れていくと。したがって、今の報告体制というのが、とにかく紙で報告するという形式にこだわっているというようなところが一つあると思います。 それから、そもそもその体制が充実しておりませんので、本来、情報を情参室にまとめるのであれば、それを全部総括的に見てまとめて、そして次の手をどう打つかということを見られる人間が、何人かスタッフがいなきゃいけないんですけれども、現実に担当者が、若い担当者が一人だけというところでは総合的な分析ができないと。したがって、その人がいなくなれば次のポストへの情報連絡が遅れるというようなことがあります。 認識と体制の問題があろうかと思います。 -
行田邦子君（行田邦子）
-
政府参考人（谷脇康彦君）（谷脇康彦）
○政府参考人（谷脇康彦君） お答え申し上げます。 いわゆる標的型攻撃が我が国において広く社会的に問題化いたしましたのが、平成二十三年の衆議院事務局に対する攻撃、あるいは三菱重工業に対する攻撃、この辺りに端を発しているところでございます。 ＮＩＳＣにおきましては、平成二十三年の十二月に、標的型攻撃による被害が拡大している事例を踏まえたセキュリティー対策の徹底に係る注意喚起をまず発出しております。また、翌平成二十四年の四月に、政府機関の情報セキュリティ対策のための統一基準の改定によりまして標的型攻撃に備えた体制の整備を規定しております。加えて、翌平成二十五年の九月以来、高度サイバー攻撃対処のためのリスク評価ガイドラインに基づきまして具体的なシステム対策を計画的に実施するなど、適時注意喚起や対策の強化に取り組んできているところでございます。 -
行田邦子君（行田邦子）
○行田邦子君 四年前に事案が具体的に起きてから、ＮＩＳＣにおいては注意喚起を行ってきたということでありますけれども、そうした中で、今御答弁にもありましたけれども、昨年の五月に政府機関の情報セキュリティ対策のための統一基準が改定されました。この改定の中には、標的型攻撃の高度化への対策、こうしたことも意識したものとなっています。厚生労働省ではこれに準拠して情報セキュリティーポリシーを改定しているはずでありますけれども、一方で、特殊法人である日本年金機構は統一基準の対象になっていませんので、政府統一基準に準拠した改定ができないままになっていました。 私は、これは、これだけ大量の個人情報を預かっている組織ですので、やはり政府機関と同等レベルの対策を講じるべきであるというふうに思っておりますけれども、なぜ厚労省の責任において機構に対して同等の対応を求めなかったのでしょうか。 -
政府参考人（樽見英樹君）（樽見英樹）
○政府参考人（樽見英樹君） 御指摘のとおり、日本年金機構の情報セキュリティーポリシーにつきましては、最新の政府統一基準に準拠した改定に追い付いておりませんでした。これ、国、厚生労働省を言わば追いかけて、年金機構の方でも追いかけた改定をしなければいけないという意識はあったわけでございますけれども、率直に申し上げまして、私を含めて、その点についての言わば切迫をしたリスクの意識というものが薄かったというふうに言わざるを得ないというふうに考えております。 おっしゃるとおり、公的年金制度の最も重要な執行という部分を請け負っているということでございますので、可能な限り政府統一基準と同等レベルの情報セキュリティー対策が講じられるべく、機構を私どもとして適切に監督すべきであったというふうに考えているところでございます。 その中で、検証委員会の報告書でも指摘されておりますとおり、厚労省全体のセキュリティー体制が脆弱、あるいは機構ＬＡＮについて監督すべき部署が不明確であったということの御指摘もいただいております。したがいまして、まず年金局におきまして、機構のＬＡＮについての監督というところにつきましては、局の中でＩＴシステムに関する一定の専門性を有する職員が配置されております年金局事業管理課のシステム室という部署がございます。ここで機構ＬＡＮを含めて機構システムの監督を行うというふうなことをまずしたところでございます。 今後とも、今回の事案を機に、しっかりと指導するということを心掛けてまいりたいというふうに考えております。 -
行田邦子君（行田邦子）
○行田邦子君 このことだけではなくて、厚労省の情報セキュリティーに対する意識の甘さ、欠如というのは随所に見られるわけでありますけれども、そしてまた、今になって機構ＬＡＮシステムの責任がどこの部署にあるのかということがようやく決められたということ、非常に私は問題があるというふうに思っております。 そこで質問を続けたいと思うんですが、内閣官房に伺いたいと思います。 実は、八月二十日、検証委員会が報告書を出す前日、そしてまた日本年金機構が報告書を出した同じ日に、サイバーセキュリティ戦略本部におきましては、当事案に関する原因究明調査結果というものを出しています。そこの二十一ページにも書いてあるわけでありますけれども、五月二十一日に不審メールの解析結果をＮＩＳＣは厚労省を通じて提供したわけであります。けれども、こうしたＮＩＳＣがふだんから行っている通知や注意喚起や、また不審メールなどの解析結果というのをせっかくＮＩＳＣが提供していても、生かされていないといった場合があると。 これ、間接的に厚生労働省を批判しているわけであると私は読んでいるんですけれども、せっかくＮＩＳＣがこのようなことをやっていても、当該の府省庁でその情報が欠如、意識のレベルが低いために何にも生かされていないというケースがあるというようなことであろうかと思います。 そしてさらに、私の手元にありますが、サイバーセキュリティ政策に係る年次報告二〇一四年度版というのが七月二十三日に出たんですけれども、ここに二〇一四年度の政府機関等に係る情報セキュリティインシデント一覧というものがあるんですが、全部で二十六件あります。これを見させていただいたところ、二十六件中、何と九件が厚生労働省に関係するものです。厚生労働省本省、そして労働局や労災病院といった二十六件中九件が一年間での政府機関等における情報セキュリティーのインシデントに挙げられていると。 これを見て私は、一体厚生労働省のこの情報セキュリティーのレベルってどの程度なんだろうかと思っております。かなり低いのではないかと思っていますし、そう思いたいんですけれども、内閣官房、いかがでしょうか。 -
政府参考人（谷脇康彦君）（谷脇康彦）
○政府参考人（谷脇康彦君） お答え申し上げます。 お尋ねのセキュリティー体制の評価でございますけれども、物理的な情報システムはもとより、この物理的なシステムの運用方法ですとか業務手順といった種々の要素が絡むため、一概にそのレベルということをお答えするのはなかなか難しい面がございます。 しかしながら、今回の私どもの事案調査におきましても、厚生労働省のセキュリティー体制のうち、インシデント対処につきましては、その報告・対処手順を整備しているものの、今回のインシデントにおいて、連絡を受けた担当窓口から責任者である幹部に報告が上がっていなかったこと。また、インシデント対応組織であるＣＳＩＲＴの構成員が課室長等以上でありまして、課長補佐以下の実働要員が選任、指名されていなかったこと。さらには、委員からも御指摘がございましたように、厚労省統合ネットワークにおける標的型攻撃に対する多重防御の取組はございましたけれども、機構の情報系ネットワークについては取組が十分でなかったといったような問題点を指摘しているところでございます。 こうした問題点を踏まえて、ＮＩＳＣとしましても、今回得られた教訓を基に、厚生労働省はもとより、各府省庁がより適切な体制整備、必要な取組が行われるよう措置をしてまいりたいと考えているところでございます。 -
行田邦子君（行田邦子）
○行田邦子君 いっそのこと、厚生労働省の情報セキュリティーレベルは政府機関でかなり低いと、相当低いレベルにあると答弁していただいた方が私も逆に安心したわけでありますけれども、それでも、今審議官からは幾つか重要な指摘がありました。 そして、質問を続けますけれども、各府省庁におきましては、やはり自らが情報を保有して、そしてまた管理をするという責任と自覚を持って、自らの職員の教育とか、あるいは情報セキュリティーの体制整備といったことを自ら行うということが私は原則だというふうに考えていますけれども、結局、その結果、厚生労働省、それから年金機構の情報セキュリティーを厚労省、年金機構に任せてしまったがゆえに、情報セキュリティーへの認識が足りない政府機関においてこのような事態が生じてしまったということです。 私は、これ、政府全体としては情報セキュリティーの水準を底上げしていかなければいけないというふうに思っているんですけれども、政府全体の情報セキュリティー水準の底上げとして、ＮＩＳＣがまたは政府がとるべき措置についてお答えいただけますでしょうか。 -
政府参考人（谷脇康彦君）（谷脇康彦）
○政府参考人（谷脇康彦君） お答え申し上げます。 委員御指摘のとおり、各政府機関におきます情報セキュリティー対策につきましては、各府省庁の業務ですとか保有する情報、あるいは利用する情報システムといった個別事情を踏まえて取り組むべき性質のものでございまして、一義的には当該府省庁が責任を持って行うものであるというふうに考えております。 しかしながら、ＮＩＳＣといたしましては、こうした府省庁の取組を更に積極的に後押しをしていくという立場から、今回の私どもの原因究明報告書を踏まえて、新たなサイバーセキュリティ戦略案におきまして、私どもＮＩＳＣが運用しておりますＧＳＯＣシステムの一層の強化、あるいは監視、監査等の業務について、政府機関のみならず、重要業務を行う独立行政法人、あるいは政府機関と一体となって公的業務を行う特殊法人なども対象とすること、さらには、大量の個人情報等の重要情報を取り扱う情報システムのインターネットからの分離を含む攻撃リスク低減のための対策強化などを盛り込んでいるところでございます。 政府といたしましては、この戦略を踏まえて、政府全体として適切な予算あるいは人員の確保に向けて対策の強化を図ってまいりたいと考えております。 -
行田邦子君（行田邦子）
○行田邦子君 ＧＳＯＣの強化についてはまた後ほど伺いたいと思うんですけれども。 そして、私は、やはり日頃からの教育訓練、情報セキュリティーに関する教育訓練、演習、研修といったことの強化がやはり政府全体として求められているというふうに思っております。 ただ、これまでも政府全体として各府省参加しての教育訓練といったことが行われています。 そこで、二年前に行われました、二〇一三年八月から十二月に行われました標的型メールに対する教育訓練について伺いたいと思います。 お手元に資料一をお配りさせていただいておりますけれども、標的型メールに対する教育訓練を行いまして、その訓練の結果、二回行って、メールを送っているわけですけれども、一回目のメールの開封率が全体で一〇・一％、二回目の開封率が一六・三％と、これは政府十八府省庁約十八万人全体の平均ということですけれども、厚生労働省の実施結果、メールの開封率はいかがでしたか。 -
政府参考人（安藤英作君）（安藤英作）
-
行田邦子君（行田邦子）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
政府参考人（安藤英作君）（安藤英作）
○政府参考人（安藤英作君） この一三年度でございますけれども、一回目の訓練の開封率が五・四％、二回目が一五・七％でございます。 -
行田邦子君（行田邦子）
○行田邦子君 事前には、この数字を言ってしまうと厚労省の情報セキュリティー体制の脆弱性をあらわにするから言いたくないという、文書でも答弁いただいていたんですけれども、一回目は平均よりか、約半分なので悪いけれども、二回目はまあさほど悪くはないという……（発言する者あり）あっ、逆ですか、済みません、逆でしたね、ということです。 そして、もう一つ結果を伺いたいことがあります。 資料二なんですけれども、これも政府全体としてのサイバー攻撃対処訓練についてなんですけれども、今年三月十八日、三月十八日はサイバーの日と言われているようですけれども、ナショナルサイバー駅伝という競技形式のサイバー攻撃対処訓練を政府として初めて実施して、十二省庁が参加しました。そこには厚生労働省も参加をしていまして、資料二をお配りしているとおりでございます。これで結果が、総合優勝、最速タイムが警察庁、そして、総務大臣表彰が金融庁という結果になっています。 そこで伺いたいんですけれども、厚生労働省のナショナルサイバー駅伝における結果はいかがでしたでしょうか。 -
政府参考人（安藤英作君）（安藤英作）
-
行田邦子君（行田邦子）
○行田邦子君 なぜ答えることができないんでしょうか。 -
政府参考人（安藤英作君）（安藤英作）
-
委員長（丸川珠代君）（丸川珠代）
-
委員長（丸川珠代君）（丸川珠代）
-
行田邦子君（行田邦子）
-
委員長（丸川珠代君）（丸川珠代）
-
行田邦子君（行田邦子）
-
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） 先ほど審議官が答弁いたしましたが、政府全体でやっているものでありますために細かな数字は控えたいと、こういうことでございますけれども、厚労省としては、いずれにしても、もう今回の事案で明確になったように、また検証委員会でも厳しく御指摘をいただいたように、サイバーセキュリティーに関する、幹部を含めて、省の意識レベルは問題が大きいということは私もそのとおりだと思いますので、こういった政府の中でのこういう訓練の中で問題が指摘をされていると思いますので、それを踏まえて、金輪際こういう低い評価からは決別をするという決意を持っていかなければいけないというふうに思いますが、そのためには、かなりやらなきゃいけないことがたくさんあると思っています。 先ほどちょっと申し上げましたけれども、組織的にも、また人員配置的にも様々な問題がこれまではあったわけでありますので、有効なセキュリティー体制が組めるように、まず組織、また人の体制を組むとともに、職員を、やっぱり教育訓練を自らやっていかないといけないと、それにはやっぱり意識レベルを我々変えていかなきゃいけないので、まずは幹部からしっかりと意識を変えて、これから出直すという気持ちでやっていかないといけないこの駅伝の評価でもあったということでございます。 -
行田邦子君（行田邦子）
-
国務大臣（塩崎恭久君）（塩崎恭久）
-
行田邦子君（行田邦子）
-
政府参考人（谷脇康彦君）（谷脇康彦）
○政府参考人（谷脇康彦君） お答え申し上げます。 サイバー攻撃がますます複雑化、巧妙化している中で、内閣サイバーセキュリティセンター、ＮＩＳＣの機能強化ということも非常に重要なテーマだというふうに考えております。先ほども御答弁申し上げましたＧＳＯＣの大幅な機能強化、あるいは監視、監査、原因究明調査業務の対象の拡大、それから、まさに今委員から御指摘がございましたＮＩＳＣの要員の強化、こうしたことを柱といたします機能強化を行う必要がございます。 先週、八月二十日に決定をいたしました新たなサイバーセキュリティ戦略案におきましてこうした項目を盛り込んでいるところでございますけれども、政府としては、この戦略案を速やかに閣議決定をし、この戦略を踏まえて、政府全体として適切な予算あるいは人員の確保などサイバーセキュリティー対策の強化を遅滞なく図ってまいりたいと考えているところでございます。 -
行田邦子君（行田邦子）
○行田邦子君 終わります。 -
薬師寺みちよ君（薬師寺みちよ）
○薬師寺みちよ君 無所属クラブの薬師寺みちよでございます。 今朝から様々な議論、私も聞かせていただきましたけれども、本当に胸が痛くなるような答弁でございまして、なぜここまでこのような事態というものが本当に放置されていたのかということをしっかりと私どもも含めて反省をしていかなければならないのではないのかなと考えております。特に、私、今日は、旧社保庁の時代から何がどういうふうに変わった、それでもやはり足りなかっただろうというようなところを今日の議論の中で中心的に扱わせていただきたいと思っております。 一問目は、行田委員から御質問いただきましたので飛ばさせていただきます。二問目から参ります。 旧社保庁の時代、これは本当にさんざんたることが行われていたことが明らかになっておりますけれども、平成十七年十二月には、個人年金情報等の業務外の閲覧をしたとして約二千七百名の職員が懲戒処分になされております。また、上司など約五百八十名が監督責任の内規処分にされております。 一連の処分者は、当時の職員の一一％です。私もこれ新聞記事を見ましたら、タレントの住所だとか、若しくは同窓会の名簿を作りたいからということで住所を見たとか電話番号を調べたとかと、あってはならないようなことが起こっていたわけです。職員一人一人のやはりこういうふうに個人情報に対する認識の甘さというものを、意識を変えるために様々な努力がなされてきたと思います。 一体それはどのような対策を取られたのかということを、済みません、理事長、私に教えていただけますでしょうか。 -
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） お答えをいたします。 旧社会保険庁時代の業務目的外閲覧事案を踏まえまして、個人情報保護の徹底は旧社会保険庁改革の重要な柱と位置付けられておりました。日本年金機構法におきまして、特に年金個人情報の保護に関する規定を置きまして、その利用及び提供の制限について法定化をいたしております。そして目的外の利用を禁止しているところでございます。 また、機構発足に当たりまして、日本年金機構個人情報保護管理方針、プライバシーポリシーと言っておりますが、これや個人情報保護十か条などを定めまして、個人情報保護管理を徹底することとしてきております。この個人情報保護十か条については役職員必携として常時携帯するとともに、各拠点において毎年度個人情報保護研修を実施することなどを通じて、職員が法律及び規程等を遵守し、個人情報を適切に取り扱う意識の醸成に努力をしてきたところでございます。 なお、情報漏えいがあった場合はもとよりでございますが、業務目的外で年金記録を閲覧した場合にも制裁の対象といたしております。 -
薬師寺みちよ君（薬師寺みちよ）
○薬師寺みちよ君 ありがとうございます。 十か条を携帯していても、個人情報というものが一体どれほど貴重なものなのかという意識がまだまだ根付いていなかったということだと私は捉えております。 結局、今まで取られてきた対策というものがいかに空振りであったのか、形骸化していたのかということについてもしっかり今見直していただかなければ、この報告書を見ましても、大変高尚に改革を進めるということがありますけれども、改革って一体何なんだ、国民は誰一人もこの言葉を信じることができないと思います。 例えば、旧社保庁時代の年金記録の問題でございます。 平成十九年十月の年金記録問題検証委員会の報告書でも同じようなことが書かれているんです。厚生労働省及び社会保険庁は、年金記録を正確に作成、保管、管理する組織全体の使命感、責任感が決定的に欠如と指摘をされているじゃないですか。もうこれから何年たっているんでしょう。今回の検証報告書の中でも同じことです。組織全体として個人情報保護に関する意識が薄かった、全く変わっていないんです。 平成十九年の年金記録問題検証委員会のこの報告書を受けて、年金機構ではどのような組織などを設けられたのか、どのような策を設けられたのか、もう一度、理事長、私に教えていただけますでしょうか。 -
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 年金記録問題検証委員会の報告書におきましては、年金記録問題発生の根本にある問題として、厚生労働省及び社会保険庁の基本姿勢として、国民の大切な年金に関する記録を正確に作成し、保管、管理するという組織全体としての使命感、国民の信任を受けて業務を行うという責任感が厚生労働省及び社会保険庁に決定的に欠如していたことが、年金記録問題発生の根本にある問題であったと指摘をされております。 平成二十二年一月の日本年金機構設立に際しましては、このような指摘を踏まえまして、日本年金機構運営方針におきまして、職員全員が年金記録管理や個人情報管理の重要性を再確認するとともに、お客様である国民の信任を受けて年金記録を正確に管理し、正しく年金をお支払いするという使命感と責任感を持って業務に当たると、このことを掲げますとともに、そのための組織ガバナンスとして、組織内の対話とコミュニケーション、厳格な内部統制の仕組み、コンプライアンス・リスク管理担当部署の整備等の方針を定めたところでございまして、これに伴いまして、コンプライアンス委員会及びリスク・コンプライアンス部、あるいはリスク管理委員会、これらの組織の設置を行ってきたところでございます。 -
薬師寺みちよ君（薬師寺みちよ）
○薬師寺みちよ君 ありがとうございます。 社会保険庁から日本年金機構という看板がただ掛け替わっただけじゃないか、中身は何も変わっていないじゃないかということを今回も委員会から指摘をされている。先ほどの委員長の読み上げられました文書の一番最後、最後に機構について、個々的な対策以上に、いわゆる意識改革というものが必要であるというふうな、全くその意識改革というところが何も行われていなかったではないかと私は指摘をさせていただきたいと思います。 では、かねてから指摘されている機構のガバナンスの在り方ということを、検証の報告書でも書かれておりましたけれども、機構のガバナンス、一体どこが問題で、どのような改革を今までその問題の解決のために図られてきたんでしょうか。教えてください。 -
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 平成二十二年の日本年金機構発足以降、全国一体的な人事により組織の一体感を醸成すること、職員提案制度や拠点訪問等によりまして各拠点の声を業務運営に反映させることなど、公的年金業務の的確な運営という目標に向けて取り組んできたところでございます。 しかしながら、今回の事案を踏まえますと、まさに改革は道半ばでございまして、ガバナンスの脆弱さ、組織としての一体感の不足、リーダーシップの不足、ルールの不徹底など、まさに旧社会保険庁時代から指摘されてまいりました諸問題がいまだ解決されていないと。また、お客様の大切な年金情報を守れなかったということは、厚生労働省が責任を担う公的年金制度の最も大切な執行部分を責任を持って請け負うという緊張感、責任感、使命感が十分共有されるに至っていなかったという組織全体の基本姿勢に関わる問題があるというふうに考えております。 そのため、日本年金機構再生本部を新たに設けまして、職員各層を糾合いたしまして、今後、ゼロベースで組織全体を総点検し、ガバナンスや組織風土の抜本的な改革に向け、組織を挙げて全力で取り組んでまいりたいというふうに考えております。 -
薬師寺みちよ君（薬師寺みちよ）
-
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） これまでの改革努力についてどういう監視をしてきたのかということでございますけれども、私ども厚生労働省は、監督官庁としてこれまで、今回の事案を振り返ってみると、十分なガバナンスの、あるいは改革のフォローアップをできていたということは私どもとしては十分言えないと私は思います。 それで、今先生から御指摘があったように、何度となくこの改革の試みが行われて、なぜ今までうまくいかなかったんだろうかということを考えて、私も第一次安倍内閣で、この機構の法律を作って成立したのは第一次安倍内閣のときでありました。 あのときのことを振り返ってみると、数々いろんな信じられないような事案がたくさんあって、今回もまた信じられないこともたくさんありますけれども、あのときは、やはり非公務員型にして民間の手法を入れることが一つの解決方法じゃないかという何となく大きな流れが世の中的にもあったと思いますし、私どもの政権の中でもそういう流れがあったと思います。 そして、民間の方のトップのリーダーシップで引っ張ってもらうということで、民間手法をやることがお客様のやっぱりニーズにしっかりと合って、心にも寄り添うということになるんじゃないかという思いがありましたが、先ほど来私が申し上げているように、よくよく改めて考えてみれば、年金機構にやっていただくのは、公的年金制度そのものを執行してもらうという、まさに公の仕事そのものでありますから、これを国のやっぱり仕事として私たちは、どうやって本当に働いている人たちがやりがいを感じながら誇りを持ってやれるようにするのかということを今回は本当にやり直さなければいけないんじゃないかと私は思っています。 さっきもちょっと行田先生のときに申し上げましたけれども、やっぱり今までは、組織の人たちは、機構の人たちは、自分たちの問題として全員が、じゃ、参加でやっていたかというと、多分トップダウンでいろいろ水島理事長が頑張っていただいて、これまでの経験を全て入れ込んでやろうということでやっていただいたと思いますけれども、やっぱり組織は、中にいる方々が自らのオーナーシップを持って自分の問題としてやっていただくしかないのではないのかなということを考えておりまして、これから日本年金機構再生本部で水島理事長をトップに、いろんな方々の考え方を、自らの問題としてこの機構をどうするのかということを考えていただくように聞いては私もおりますので、私どもとしても何ができるのか、そういう中で、新しい、今までの反省を踏まえた監督指導を新たにやるとしたらどういうふうにするのかということを考えていかなければならないなというふうに考えております。 -
薬師寺みちよ君（薬師寺みちよ）
○薬師寺みちよ君 ありがとうございます。 今大臣からお言葉をいただきましたので、質問の順番をちょっと変えさせていただきます。私の質問、済みません、順番が変わっておりますのでお答えいただける範囲で結構でございますけれども、理事長にお尋ねします。 今回、再生本部というものを設置する、今も大臣からありました、理事長がトップで再生本部を設立するという言葉がありました。本当にそれで再生できるのかということは、誰しもが疑問に思っております。 今まで改革といいながら改革も進まなかった、結局、個人情報漏えいをしてもこれだけ後手後手に回っているこの状況の中で、そのガバナンスの体制というものについても厳しく批判をされている、しかし理事長がトップで再生本部を設立する。このことについて、理事長、どのようにお考えでしょうか。お願いいたします。 -
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 今般の不正アクセスによる情報流出事案に関しましては、国民の皆様に多大な御心配と御不安をお掛けいたしました。これに関しまして、理事長として極めて重い責任を感じておりますし、重い責任があるというふうに思っております。 日本年金機構における調査委員会に関しまして、私が委員長として本事案の原因究明と再発防止策の検討を行ってきたところでございますが、まさに改革に向けての取組はいまだ道半ばだというふうに考えております。組織全体の基本姿勢に関わる積年の構造的問題の解決、解消が急務であると改めて認識をしたところでございます。したがいまして、国民の信頼回復と再発の防止に向けまして、ゼロベースからガバナンスと組織風土の抜本改革に取り組むことが当面の私自身の責務であるというふうに考えているところでございます。 -
薬師寺みちよ君（薬師寺みちよ）
-
参考人（水島藤一郎君）（水島藤一郎）
-
薬師寺みちよ君（薬師寺みちよ）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
薬師寺みちよ君（薬師寺みちよ）
○薬師寺みちよ君 ありがとうございます。 果たしてそういうものが今のこの機構でできるのかどうかというのは今後のしっかりとした検証に委ねたいと思いますけれども、では、それを要するに監視していくという体制も一つこれからまた私は置く必要があるのではないかと考えております。 前々回いらしていただきました業務監視委員会の委員長、あのときに郷原さんからは、自分たちは今のこの委員会をクローズするということに対してまだまだ不満があると、もっともっと外部の目というものを機構に走らせていかなければならないという意見書まで出したというふうに答弁があったと思います。 今回のことを踏まえまして、年金機構、厚労省の外に常設の行政評価という機関を置くべきだと考えますけど、まず大臣、どのようにお考えになられますでしょうか。 -
国務大臣（塩崎恭久君）（塩崎恭久）
○国務大臣（塩崎恭久君） これは先生御存じの上でおっしゃっているんだろうと思いますけれども、日本年金機構法には、厚生労働大臣の監督の下で、厚生労働大臣と緊密な連携の下で年金事業を行わなければならないと、こう書いてあるわけであります。 したがって、厚生労働大臣の考えることは、どのように監督をして適切な年金事業を行わせしめるかということが大事なのであって、どこかほかに何かをつくるというようなことは全く私の関知するところではありませんし、そういうことを考える前に、私は、私の場合はですよ、自らがどういう監督手法を持ってやるのかということが大事なので、だからこそ、先ほど申し上げたように、両者の関係を再定義をしないといけないんじゃないかということを申し上げているわけで、それは、外の方がどういうことを言ったところで、実際に監督をし、実際に組織を機構で運営をする方がどうするかということで決まるわけでありますので、まずは一義的にはそこを頑張らなければいけない。当事者として私は、自らがどういうふうな監督体制をしくべきなのかということと、機構にどういう努力を願うのか。 先ほど再生本部の話にいろいろ御注文をいただきましたけれども、水島理事長がこういうことでやるんだということが、もしこの報告書の中に何も将来のことが入っていなかったら、正直言って私はどうしようかと思っていたぐらいでありますが、理事長が自らリーダーシップを取ってやるということでありますから、これはこれでやってもらおうと思っていますけれども、そのままで終わりかといったら、それはまた別問題で、私は、監督する立場でさらにその上にどうするかということを考えるということだと思います。 -
薬師寺みちよ君（薬師寺みちよ）
-
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
薬師寺みちよ君（薬師寺みちよ）
○薬師寺みちよ君 ありがとうございます。 今様々な御意見をいただいたところでございますが、私、報告書を読んでおりまして大変違和感を覚えた言葉がございます。組織としての一体感のなさという言葉でございます。本当に、組織として一体感のなさというものが一体何なのか。どうなれば一体感があって、これ上手に回っていくのか。 我々委員、誰しもが本当にうまくいってほしいと願っていることは確かなんです。誰も恨みつらみでこのような質問をしているわけではございません。だけれども、何か問題があるんだったら我々も一緒に考えたいと思ってこの場で質問させていただいております。ですので、この一体感のなさをどうやったら一体感を持って、大臣がおっしゃられるように、再生本部、理事長がトップとして責任を持ってやられるのであれば、それが実行できるのか、教えていただけますでしょうか。 -
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 今般、検証委員会の報告においても、また私どもの調査委員会の結論としても、組織上の問題として一体感のなさということを指摘され、指摘したということでございます。 その原因でございますが、何度か申し上げておりますが、ガバナンスの脆弱性、あるいはリーダーシップの不足といった役員や管理職の問題、担当者任せで情報が共有されない、あるいは組織としての判断がなかなか行えない、そうなっていない、それを担保するルールがないといった問題、あるいはルールの設定について現場の実態を踏まえた設定となっていない、あるいはルールを遵守する、これを徹底する仕組みが欠如しているということについては再々指摘されてきたところでございます。 こうした問題につきまして、機構発足以降、幹部職員人事を本部で一括して行う、あるいは全国異動を推進する、組織風土改革を進める、このような取組を行ってきておりますが、本部と現場との情報共有が隅々まで行き渡っていないということはやはり事実として認めなければならないし、それを改革しなければならないというふうに思います。 加えて、人事が一元的に管理されていないという問題がまだ残っております。日本年金機構が国民の皆様から信頼される組織となるためには、現下の問題を解決することはもちろんのこと、情報共有や組織内連携をうまく機能させ、職員一人一人が組織目標達成のために自ら考え自ら行動する、これを着実に実践すること、すなわち職員全員がお客様の年金を守ることに、この方向に向かって業務を遂行していく、これによって真の一体感のある組織ができ上がるというふうに考えておりまして、それに向け努力をしてまいりたいというふうに考えております。 -
薬師寺みちよ君（薬師寺みちよ）
○薬師寺みちよ君 時間になりましたので、終わります。ありがとうございました。 -
福島みずほ君（福島みずほ）
○福島みずほ君 社民党の福島みずほです。 報告書が出たので、何が問題かということが以前よりもかなり分かるようになりました。とりわけ第三者委員会という立場でこれをまとめられた甲斐中参考人、今日もお出ましいただきまして、心からこの労苦に関して感謝を申し上げたいというふうに思っております。 ところで、これを、報告書を二つ、第三者委員会の分と年金機構と両方読んで、実は余りに驚いたことがたくさんあります。今日も委員からも出ておりますが、とりわけ、一部の者が重要な資料を出し渋り、黒塗りをするなどの態度は論外であるという検証報告書の三十六ページなど、この期に及んでまだこういうことが起きていたのかということに実は唖然といたしました。やはりそんな態度で改革などできるのかというのが一点です。 それから第二点目は、私たちは、これ、一民間企業であればこんなに議論を絶対しないんですが、甲斐中参考人も冒頭おっしゃいましたが、みんなの年金が懸かっている、みんなの年金の情報が懸かっているわけですから、こういう状況だとこの議論を国民の皆さんが聞いたら、本当に大丈夫かというふうに思われるというふうに正直思います。ですから、これはもうしっかりうみを出すというか、何が問題かをきっちりやって、もう一回やり直さなければならないというふうに思っています。 ところで、六月四日に至るまで遮断が実施されなかったことについて報告書で挙げてありますが、実は二つの報告書を読み比べてみますと、第三者委員会の方は、十九日の段階でインターネットの全面遮断に踏み切るべきであったというふうに書いてあります。ところで、機構の報告書では、十八ページ目、五月二十九日の時点で、当機構全体の統合ネットワークを通じたインターネット接続の遮断と同時に実施すべきでしたとなっている。ここでももう違うんですね。第三者委員会は十九日にやるべきだった、機構は五月二十九日の時点でやるべきだった。 このことについて、甲斐中参考人、水島理事長、それぞれ御見解をお願いいたします。 -
参考人（甲斐中辰夫君）（甲斐中辰夫）
-
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） まず、検証委員会の御報告では、五月十八日に送信されてきた不審メールが百通余りあったということでございまして、また、一旦五月十八日にこの送信元を切ったわけでございますが、切った後もまた新たにメールが送られてきたということでございまして、これに関しましては、機構は標的型攻撃であるということをきちんと認識をして、その時点でインターネットの遮断をするべきだったという御指摘でございます。 これに関しましては、まさにそのとおりだというふうに思っておりまして、私どもは二十二、二十三とセグメント遮断をいたしまして、最終二十九日にしておりますが、基本的にはできるだけ早く遮断を行うべきだったというのは、現在も私どもは同じように考えております。 ただ、私どもの報告書では、少なくとも五月二十日には遮断を行うべきだったというのが私どもの報告書の結論になっておりますが、十九日の方がよりよかったというふうには思っております。 -
福島みずほ君（福島みずほ）
-
参考人（水島藤一郎君）（水島藤一郎）
-
福島みずほ君（福島みずほ）
-
参考人（水島藤一郎君）（水島藤一郎）
-
福島みずほ君（福島みずほ）
-
参考人（水島藤一郎君）（水島藤一郎）
-
福島みずほ君（福島みずほ）
-
参考人（水島藤一郎君）（水島藤一郎）
-
福島みずほ君（福島みずほ）
-
参考人（水島藤一郎君）（水島藤一郎）
-
福島みずほ君（福島みずほ）
-
参考人（水島藤一郎君）（水島藤一郎）
-
福島みずほ君（福島みずほ）
-
政府参考人（谷脇康彦君）（谷脇康彦）
○政府参考人（谷脇康彦君） お答え申し上げます。 まず、政府機関でございますけれども、政府統一基準におきましてそうした規定がございます。すなわち、情報セキュリティーインシデントが発生した情報システムの停止又は隔離について、ＣＳＩＲＴ責任者の判断で指示又は勧告するとなっております。したがいまして、各府省庁の情報セキュリティーポリシー、手順書におきましても同じ旨の規定がされております。なお、こうした内容につきましては、各府省庁が自組織におきまして、この情報セキュリティー監査を行う際に自己点検を行っております。 また、独立行政法人でございますけれども、平成二十七年度より政府統一基準を踏まえたセキュリティー対策を講じるということになっておりまして、現在、その取組を進めているところでございます。 独立行政法人のチェック体制でございますけれども、基本的には、主務大臣が各事業年度ごとに評価を行う際に、その実施状況についても評価を行う、また、その結果についてはＮＩＳＣでも確認をするという体制になっているところでございます。 -
福島みずほ君（福島みずほ）
-
参考人（水島藤一郎君）（水島藤一郎）
-
福島みずほ君（福島みずほ）
-
政府参考人（谷脇康彦君）（谷脇康彦）
-
福島みずほ君（福島みずほ）
-
政府参考人（其田真理君）（其田真理）
○政府参考人（其田真理君） お答え申し上げます。 特定個人情報保護委員会では、昨年十二月に策定しましたガイドラインにおきまして、政府統一基準等に準拠した各省の情報セキュリティーポリシーを各省が遵守することを前提といたしまして定められているものでございますけれども、ガイドラインにおきまして、情報システムを外部から不正アクセス又は不正ソフトウエアから保護する仕組みを導入し、適切に運用する、また、個人番号利用事務の実施に当たり、接続する情報提供ネットワークシステム等の接続規定等が示す安全管理措置を遵守するといったことについて定めております。 また、今般の年金機構の事案を踏まえまして、七月二十九日に国の行政機関及び独立行政法人等に対しまして、安全管理措置を講ずるに当たり留意すべき事項といたしまして、個人番号利用事務で使用する情報システムが接続するネットワークはインターネットに接続されたネットワークから物理的又は論理的に分離すること、個人番号利用事務で用いる特定個人情報ファイルは電子媒体を介してインターネットに接続されたパソコン等で取り扱わないことということにつきまして通知をいたしまして、インターネットから分離する形で番号利用事務を行うことを求めております。 今後、政府部内におけるセキュリティー対策の検討状況も踏まえまして、ガイドラインの見直しを検討してまいりたいと思います。 -
福島みずほ君（福島みずほ）
-
政府参考人（其田真理君）（其田真理）
-
福島みずほ君（福島みずほ）
-
政府参考人（其田真理君）（其田真理）
-
福島みずほ君（福島みずほ）
-
政府参考人（其田真理君）（其田真理）
-
福島みずほ君（福島みずほ）
○福島みずほ君 いや、全然駄目ですよ。だって、外部への持ち出しやって、いろんなことがあって、全然対応できないということが明らかになったのが今回の事件であり、報告書なわけじゃないですか。 以前もこの委員会で議論しましたが、「特定個人情報保護評価書（全項目評価書）」で、評価書番号一、評価書名「公的年金業務等に関する事務 全項目評価書」、評価実施機関名厚生労働大臣、そして承認日平成二十七年三月三日、塩崎大臣がきちっと大丈夫だということを言っていると。 リスク対策のところの自己点検、十分に行っているとなっていて、そして具体的な内容、データに対するコンピューターウイルス対策を講じること、これ全部十分に行っているということなんです。ですから、今、マイナンバーの担当者が、外部に情報を持ち出しません、接続しません、だから大丈夫だと思っているというようなことは、絵に描いた餅じゃないですか。 実際、そういうことは一切履行されていないし、むしろそれに反する実務が横行している。それのチェックもできなければ、今現場がちゃんとやるということを前提に答弁されても、この評価書、全然駄目だったということじゃないですか。だったら、マイナンバーやり直すべきじゃないですか。 -
政府参考人（其田真理君）（其田真理）
-
福島みずほ君（福島みずほ）
-
委員長（丸川珠代君）（丸川珠代）
-
福島みずほ君（福島みずほ）
-
政府参考人（猿渡知之君）（猿渡知之）
○政府参考人（猿渡知之君） お答え申し上げます。 自治体における情報セキュリティー対策につきましては、本年三月に、標的型攻撃に対する対策等を加えまして、地方公共団体における情報セキュリティポリシーに関するガイドラインを改定し、その強化を図ったところでありますけれども、今般の日本年金機構における事案は自治体にとっても改めて重大な警鐘となりましたので、直ちに緊急時の対応体制やシステム、ネットワークの総点検等をお願いしているところであります。 総務省におきましても、専門家及び実務家から成る自治体情報セキュリティー検討チームを立ち上げまして、この八月十二日には中間報告が取りまとめられたところであります。 これを受けまして、インシデント発生時におけるＮＩＳＣまでの連絡ルートの強化や、あるいは自治体における緊急時対応計画の見直しと訓練の徹底等を図るとともに、インシデント情報の共有や情報セキュリティー専門人材のノウハウを自治体の対策に生かす仕組みづくりなどを今鋭意推進しているところであります。 今後とも、ＮＩＳＣを始め関係機関と連携しながら、自治体における情報セキュリティー対策が充実してまいりますよう努めてまいります。 -
福島みずほ君（福島みずほ）
-
政府参考人（斉藤実君）（斉藤実）
○政府参考人（斉藤実君） 本件事案につきましては、サイバー攻撃による年金に係る大量の個人情報が流出をした極めて重大な事案であると認識をしておりまして、現在、警視庁において捜査中であります。 具体的な捜査状況についてはお答えは差し控えさせていただきますが、委員御指摘の、誰が何のためにやったのかという点も含めまして、事案の全容を解明すべく現在鋭意捜査をしているところでございます。 お尋ねの被害届についてでございますが、現時点、被害届は提出をされておりませんが、警視庁におきましては、日本年金機構からの通報、相談があり、かつ関連する資料の提出も受け、所要の捜査を行っているところでございまして、被害届の有無が私どもの捜査に何らかの影響を及ぼしているということではございません。 -
福島みずほ君（福島みずほ）
-
政府参考人（斉藤実君）（斉藤実）
-
福島みずほ君（福島みずほ）
○福島みずほ君 もちろんそういう回答になるかもしれないんですが、実際は、告訴、告発するとか被害届を出すとか、やっぱり書面を出して、これちゃんとやってくださいで、今回の件で高井戸警察署に相談しているという時点から、きちっとこれ刑事事件としてやるのかとか、被害届を書面で出してちゃんとやっているのかというのが、今日の答弁でも、被害届が書面として出ていないという点では、本当にちょっと、えっという声も出ておりますが、きちっと刑事手続としても構えて、あるいはちゃんとメスを入れてやるんだというのが本当に機構の側にあったのかというふうに思います。 それで、今日は資料として契約書をお配りをいたしました。というのは、報告書の中に何度も何度も運用委託会社というのが出てきて、それから、運用委託会社との連携が良くなかったと。例えば報告書の二十九ページ、運用委託会社は、部分的な情報をもとに五月八日の事象をマルウエアの分析結果に基づき、情報漏えいの可能性は極めて低いと報告し、機構もその内容をうのみにしてしまったというふうになっております。 報告書をいただきました。でも、この報告書を読む限りは、これはＬＡＮシステムサーバー等の賃貸料や保守業務であって、サイバー攻撃について本当にどこまで打合せをやり、どこまで責任を持ち、どこまでお金を払っていたのかというのがよく分からないんです。運用委託会社としっかり会って、きちっと会議をやって、打合せをやったんでしょうか。ということについて、理事長、いかがでしょうか。 -
参考人（水島藤一郎君）（水島藤一郎）
○参考人（水島藤一郎君） 解析に関して手順書があるということは既に申し上げたとおりでございます。 五月十八日から二十日までに受信をいたしました不審メールへの対応につきましては、情報セキュリティー担当部署から運用委託担当部署を通じまして運用委託会社に、不審メールの受信者の確認調査、不審メールの送信元のメールアドレスの受信拒否設定並びにウイルスの解析等を依頼をいたしております。 この間、運用委託担当部署と運用委託会社との間では、受信拒否設定の具体的な内容や不審メールを特定するための抽出方法などの打合せを行っております。 なお、運用委託会社から、この時点で標的型攻撃に対する具体的な提言はなかったという報告を受けております。 -
福島みずほ君（福島みずほ）
○福島みずほ君 質問は、この契約書を読む限りは、運用委託会社がサイバー攻撃に対して、先ほど別の契約の書面があるとおっしゃいましたけれど、どの程度関与してやっていたのか、役割分担も含めて極めて曖昧ではないかと思います。 私は、この点については素人なので、四十五億円、これは数年にわたるものですし、最後の年間の賃借料、環境整備等に係る一時費用として年間十二億円払っているというのも、多いのか少ないのか、これにサイバー攻撃の分が入っているのか入っていないのかというのもよく分かりません。また、報告書の中に、ＣＩＯ補佐官の活用ができていなかったとか、いろんな記述があるのですが、まだたくさん論点がありますので、引き続きしっかり追及するよう集中審議をお願いすると申し上げ、質問を終わります。 -
委員長（丸川珠代君）（丸川珠代）