政府のサイバーセキュリティ対策に関する質問主意書

一　本年五月八日に発生した日本年金機構の年金情報流出問題について、五月十九日に日本年金機構が警視庁高井戸署に通報・捜査依頼した。その事実を年金機構は、厚生労働省大臣官房情報政策担当参事官室と年金局に電子メールで連絡したが、情報政策担当参事官室の担当者が、直属の上司である情報政策担当参事官室長にその事実を伝えたのは、六日後の五月二十五日であったと、私の参議院内閣委員会での質問に対して厚生労働省の蒲原官房長は答弁した。

さらに、この事実を、厚生労働省の情報セキュリティの最高責任者（ＣＩＯ）でありインシデント対策を担当するＣＳＩＲＴの責任者でもある官房長が知ったのは、さらに三日後の五月二十八日であったと答弁した。

この事実を、政府は承知しているか。

この事実は、厚生労働省の情報セキュリティポリシーなどないも同然であり、情報セキュリティ以前の単純な事務連絡体制も全くできていない大変な失態だと思うが、政府の見解を明らかにされたい。

二　同様の問題が、内閣官房情報セキュリティセンター（ＮＩＳＣ）にも存在する。五月十九日の日本年金機構の警視庁高井戸署への通報・捜査依頼の事実を、ＮＩＳＣが初めて知ったのは五月二十九日であったと、ＮＩＳＣの谷脇副センター長は、参議院内閣委員会で答弁した。政府は、この答弁を事実であると認識しているか、政府の認識を示されたい。

ＮＩＳＣの谷脇副センター長は、五月二十一日の首相官邸におけるサイバーセキュリティ対策推進会議と、五月二十五日、同じく首相官邸におけるサイバーセキュリティ戦略本部の会合で、この事実を報告できなかったことについて、六月十一日の参議院内閣委員会における私の質問に対して、「この二つの会議の前に御報告をいただいておれば、会議の議題とする可能性というのは当然あったというふうに考えております」、「二十一日あるいは二十五日の会合の時点で、この重篤度について、他の事実に比べて特にこの事案について報告をこの会議において行わなければならないという認識には至っていなかったという点がございます。この点については、私どもとしても真摯に反省をし、今後の改善策を考える必要があるだろうというふうに考えております」と答弁した。政府は、この答弁の内容を事実として認識しているか、政府の認識を示されたい。

三　五月二十一日のサイバーセキュリティ対策推進会議には、村田警察庁長官官房審議官（サイバーセキュリティ担当）、川邉警察庁情報通信局長、西村内閣危機管理監も出席していた。また、五月二十五日のサイバーセキュリティ戦略本部の会合には、山谷国家公安委員会委員長、西村内閣危機管理監も出席していた。五月十九日の日本年金機構の警視庁高井戸署への通報・捜査依頼の事実は、警視庁及び警察庁のルートから、二つの会合に報告することはできなかったのか、政府の見解を明らかにされたい。

四　八月二十一日の厚生労働省検証委員会報告書には、五月十九日の日本年金機構による警視庁高井戸署への通報・捜査依頼の事実の伝達が大幅に遅れたことについて具体的記述はない。検証が甘いのではないか。また、五月八日以来、厚生労働省と連絡を取り合い指導してきたにも関わらず、通報・捜査依頼の事実を五月二十九日に初めて知ったＮＩＳＣの対応も大失態だと思うが、政府の見解を明らかにされたい。

ＮＩＳＣを始めとする政府全体のサイバーセキュリティ対策と徹底検証及びサイバーセキュリティ対策の抜本的見直しがなければマイナンバー制度の運用などすべきではないと思うが、政府の見解如何。

右質問する。

一について

第一段から第三段までのお尋ねについては、平成二十七年五月十九日に日本年金機構が警視庁高井戸署へ捜査依頼した事実について、厚生労働省大臣官房参事官（情報政策担当）が報告を受けたのは、同月二十五日であり、同省大臣官房長が報告を受けたのは、同月二十八日である。

第四段のお尋ねについては、政府としては、厚生労働省において取りまとめた「情報セキュリティ強化等に向けた組織・業務改革」において記載されているとおり、職員間、上司と部下、関係組織間で情報や危機感が適時に共有されず、組織が一体として危機に当たることができていなかったことは、反省点であると考えている。

二について

御指摘の引用の答弁の内容については、事実として認識している。

三について

警視庁においては、平成二十七年五月十九日に日本年金機構から通報を受け、所要の捜査を行った上で、同月二十八日、警察庁に対して報告したものと承知している。したがって、当該通報について、御指摘の「五月二十一日のサイバーセキュリティ対策推進会議」及び「五月二十五日のサイバーセキュリティ戦略本部の会合」に報告することは困難であったと考えている。

四について

日本年金機構における不正アクセスによる情報流出事案検証委員会は、平成二十七年八月二十一日に取りまとめた検証報告書において、同年五月十九日に日本年金機構が警視庁高井戸署へ捜査依頼を行った際の状況も踏まえ、「現場と幹部の間、関連する組織間に（例えば、機構と厚労省、同一組織間の各部署、機構と運用委託会社など）、情報や危機感の共有がなく、組織が一体として危機に当たる体制になっておらず、その結果、組織内の専門知識を持つ者の動員ができず、担当者が幹部の明確な指揮を受けることもできないままに場当たり的な対応に終始し、迅速かつ的確な対処ができなかった」と指摘しており、「検証が甘い」との御指摘は当たらないと考えている。

また、今回の事案において、同月八日以降、内閣官房内閣サイバーセキュリティセンターは複数回にわたり厚生労働省に対し情報提供や助言を行ってきたが、同月十九日に日本年金機構が警視庁高井戸署へ捜査依頼した事実について、厚生労働省から報告を受けたのが同月二十九日となったことについては、改善が必要な課題であると認識している。

さらに、御指摘の「マイナンバー制度」については、公平・公正な社会の実現や国民の利便性の向上、行政の効率化に資するものであり、可能な限り速やかに実施すべきと考えている。政府としては、今回の事案を受けて、サイバーセキュリティ戦略本部において原因究明調査を実施するとともに、「「日本再興戦略」改訂二〇一五」（平成二十七年六月三十日閣議決定）及び「サイバーセキュリティ戦略」（平成二十七年九月四日閣議決定）において、政府機関等のサイバーセキュリティを抜本的に強化することとするなど、プライバシーの保護等に万全を期しつつ、同制度の円滑な施行に向け取組を進めてまいりたい。