陸上自衛隊のＵＳＢメモリのウイルス感染を踏まえたサイバーセキュリティ対策等の必要性に関する質問主意書

小泉進次郎防衛大臣は令和八年六月二十六日の記者会見において、陸上自衛隊中部方面総監部が保有するＵＳＢメモリにマルウェアが含まれていることを検知した事例（以下「本件事例」という。）があったことを明らかにした。また、本件事例について、ＵＳＢメモリの使用に際し、例外なくウイルスチェックを実施し、安全性を確認するという規則が遵守されていなかったことは問題であったと発言している。

政府機関等のサイバーセキュリティ対策のための統一基準群（以下「統一基準群」という。）においては、ＵＳＢメモリ等の外部電磁的記録媒体について、利用制限、マルウェア対策、接続制御その他必要な安全管理措置を講ずることとされている。本件事例は、防衛省における個別の問題にとどまるものではない。政府機関全体において統一基準群及びこれに基づく運用基準が遵守されているか、同様の事例が生じていないことを確認しているかとの観点から検証されるべき問題である。

また、一つの政府機関においてサイバーセキュリティ上の問題が判明した場合、その教訓を他の機関にも展開し、政府全体として点検及び再発防止を図ることが重要と考える。

以上を踏まえて、以下質問する。

一　令和七年度に政府機関が調達したＵＳＢメモリの数量を示されたい。把握していない場合、その理由を示されたい。

二　前記一の数量のうち、インターネット通販により調達した数量を示されたい。把握していない場合、その理由を示されたい。

三　政府は、本件事例以外に、政府機関においてマルウェアに感染したＵＳＢメモリが使用されていた事例を把握しているか示されたい。把握している場合、その件数及び概要を示されたい。

四　政府は、他の政府機関において本件事例と同様の事例が発生していないことを確認しているか示されたい。確認している場合、その確認方法及び結果を示されたい。確認していない場合、全ての政府機関におけるＵＳＢメモリ等の外部電磁的記録媒体について、マルウェア感染の有無並びに統一基準群及びこれに基づく運用基準の遵守状況を点検する考えはあるか示されたい。点検を実施しない場合、その理由を示されたい。

五　本件事例について、政府は統一基準群及びこれに基づく運用基準に沿った運用が行われていたと認識しているか示されたい。行われていなかった事項がある場合、その内容及び再発防止策を示されたい。また、再発防止策を検討する際、内閣官房国家サイバー統括室はどのような役割を果たすか示されたい。

六　本件事例を踏まえ、政府は全ての政府機関に対し、統一基準群及びこれに基づく運用基準の遵守状況について点検を行い、必要な是正措置を講ずるよう求める考えはあるか示されたい。考えがない場合、その理由を示されたい。

七　一つの政府機関においてサイバーセキュリティ上の問題が判明した場合、政府として他の機関へ注意喚起、情報共有及び点検の指示を行う仕組みが構築されているか示されたい。また、本件事例を踏まえて注意喚起等を行ったか示されたい。行っていない場合、その理由を示されたい。

八　ＵＳＢメモリ等の外部電磁的記録媒体に係る調達時の真正性の確認、マルウェアチェック、サプライチェーンリスクについて、現行の統一基準群により十分対応できると考えているか、政府の見解を示されたい。また、本件事例を踏まえ、統一基準群及びこれに基づく運用基準を見直す考えはあるか示されたい。

右質問する。

一及び二について

「政府機関等のサイバーセキュリティ対策のための統一基準（令和七年度版）」（令和七年六月二十七日サイバーセキュリティ戦略本部決定）等（以下「政府統一基準群」という。）に基づき、「政府機関等のサイバーセキュリティ対策のための統一規範」（平成二十八年八月三十一日サイバーセキュリティ戦略本部決定、令和七年六月二十七日一部改定）第二条第一項第一号に規定する国の行政機関（以下「府省庁等」という。）において共通の情報セキュリティ対策を徹底することにより、府省庁等におけるサイバーセキュリティの確保を図ることとしているところ、御指摘の「ＵＳＢメモリ」の調達及び管理を課室ごとに行うことも可としており、各府省庁等において、その数量を網羅的に把握することとはしていない。その上で、現時点で確認できる範囲で各府省庁等において調査したところ、お尋ねの令和七年度に「調達したＵＳＢメモリの数量」は、約六千八百個であり、このうち「インターネット通販により調達した数量」は、十三個であると承知している。

三について

令和七年七月一日の内閣官房国家サイバー統括室設置以降に、お尋ねの「政府機関においてマルウェアに感染したＵＳＢメモリが使用されていた事例」として、サイバーセキュリティ戦略本部に対して報告されたものはない。

四について

お尋ねの「本件事例と同様の事例」の具体的に意味するところが必ずしも明らかではないが、サイバーセキュリティ基本法（平成二十六年法律第百四号）第三十二条第一項等に基づき、関係行政機関の長は、府省庁等の情報システムにおいて発生した「政府機関等のサイバーセキュリティ対策のための統一基準（令和七年度版）」に定める「情報セキュリティインシデント」等に関する資料又は情報をサイバーセキュリティ戦略本部に提供しなければならないところ、令和七年七月一日の内閣官房国家サイバー統括室設置以降に、「情報セキュリティインシデント」等に該当するものとして、三で御指摘の「政府機関においてマルウェアに感染したＵＳＢメモリが使用されていた事例」は発生していないと承知している。

五について

御指摘の「本件事例」に係る「ＵＳＢメモリ」の取得までの経緯については、現在、防衛省において調査を行っているところであるが、「本件事例」については、「政府機関等の対策基準策定のためのガイドライン（令和七年度版）」（令和七年七月一日内閣官房国家サイバー統括室策定、令和八年六月十二日一部改定）の「基本対策事項」に準拠して作成された同省の内部規則が遵守されておらず、当該「ＵＳＢメモリ」の使用に際し、コンピュータ・ウイルスの検査を実施し安全性を確認していなかったことは問題であったと考えており、同省において、その再発防止のため、当該検査の実施を徹底したところである。また、当該調査の結果を踏まえ、同省が必要な対応を行っていくこととなるが、その際、内閣官房国家サイバー統括室は、同省に対し、必要に応じた助言等を行うこととなる。

六について

御指摘の「点検」及び「是正措置」の具体的に意味するところが必ずしも明らかではないが、サイバーセキュリティ基本法第二十六条第一項第二号の規定に基づき、サイバーセキュリティ戦略本部において、府省庁等に対し、サイバーセキュリティ対策に関して、順次、政府統一基準群に基づく監査を行い、必要に応じて、改善のための助言等を行っているところであり、御指摘の「本件事例」も踏まえ、適切に対応してまいりたい。

七について

お尋ねの「他の機関」の具体的に指し示す範囲が必ずしも明らかではないが、内閣官房国家サイバー統括室に設置した政府関係機関情報セキュリティ横断監視・即応調整チーム（ＧＳＯＣ）が、御指摘の「注意喚起等」を含め、府省庁等、独立行政法人及び指定法人の相互の連携促進、情報共有等を行っている。御指摘の「本件事例」に係る「ＵＳＢメモリ」の取得までの経緯については、現在、防衛省において調査を行っているところであり、現時点において、府省庁等、独立行政法人及び指定法人に対し、「注意喚起等」は行っていない。

八について

政府統一基準群において、御指摘の「ＵＳＢメモリ等の外部電磁的記録媒体」を含む機器等の調達に係るサイバーセキュリティ対策を定め、各府省庁等はこれに基づき必要な措置を講ずることとしており、これにより必要な対応がされていると考えているが、御指摘の「本件事例」に係る防衛省の調査結果を踏まえ、お尋ねの「見直」しを含め、引き続き必要な対応を検討してまいりたい。