立憲民主党の徳永エリ政務調査会長らは10月30日、古川俊治デジタル相兼サイバー安全保障担当相に会い、サイバーセキュリティ対策の強化を求める緊急要請書を手渡した。企業や官公庁への不正アクセスで個人情報の漏えいが相次いでいることを受け、政府の司令塔の明確化、中小企業への補助と大企業への税制優遇、個人情報保護法の見直し、セキュリティ人材と研究開発予算の確保の4項目を求めた。党が31日に公式サイトで明らかにした。党の記事によると、古川氏は委託先を含むサプライチェーン全体の対策について、来年3月をめどにガイドラインをまとめる考えを示し、政府の緊急対策パッケージは来週にもまとめる決意を示した。
政調会長ら4人が要請、赤松政務官も同席
要請したのは徳永政調会長のほか、岸真紀子内閣部会長、吉川沙織総務部会長、郡山りょう政調副会長の4人。党の記事によると、赤松健大臣政務官も同席した。
立憲は10月28日、国会内で政調全体会議を緊急に開き、関係省庁から対応状況を聞き取ったうえで、政府への提言案を審査していた（立憲、サイバー攻撃で政調全体会議を緊急開催 政府への提言案を審査）。その時点で党は提言の中身と提出時期を公表しておらず、今回の要請書で初めて項目が明らかになった。
要請書は10月30日付、A4判3ページで、宛先は「デジタル大臣 サイバー安全保障担当大臣」の古川氏。冒頭で、9月からの約1カ月間に世界で少なくとも延べ3億人超の個人情報の漏えいが公表され、国内で公表された漏えいも「過去最悪のペース」だとし、現状を「新しい有事の前夜」と表現した。この数字の出所は要請書には書かれていない。そのうえで、要請は「基本的かつ必要最小限の項目に絞った」としている。
面会では、4人がそれぞれ論点を述べた。党の記事によると、徳永氏は「国民に伝わる情報発信を行い、被害の救済について検討する必要がある」と述べ、企業が被害を公表しやすい環境づくりを求めた。岸氏は表に出ていない「隠れたインシデント」の把握と、詐欺などの二次被害を防ぐための消費者庁・警察庁との連携を、郡山氏は中小企業の費用と人手の負担、更新されていないウェブサイトが攻撃の入り口になる危険を挙げた。吉川氏は、被害情報や攻撃手法を省庁の間で共有する仕組みを求めた。徳永氏は最後に、首相のSNSが乗っ取られ、なりすましで虚偽の情報が発信される危険にも触れた。
要請書の4項目 司令塔の明確化から法改正まで
1つ目は「実態を正しく把握し、備える体制の整備」。政府の司令塔機能を明確にし、関係府省庁と重要インフラを所管する省庁が縦割りを排して連携する体制を求めた。一方で「新たな会議体の設置ありきではなく」、既存のサイバーセキュリティ戦略の推進体制を機能させるべきだとした。具体策として、公表への批判や責任追及を恐れて報告が遅れないよう、報告者を保護しつつ被害を公表しやすくする環境の整備、国家サイバー統括室（NCO）やJPCERTコーディネーションセンターなどの役割を明確にしたうえでの手口の情報共有、被害件数や手口の統計を一元的に集めて公表する仕組みを挙げた。
2つ目は税制などによる支援だ。サプライチェーンを構成する中小企業が攻撃を受ければ被害は大企業にも及ぶとして、中小企業の対策への補助・助成の拡充に加え、取引先や委託先まで含めて対策に取り組む大企業への税制上の優遇措置を検討するよう求めた。クラウドサービスへの攻撃が自治体や医療機関に広く影響し得る例として、デジタル庁が10月22日に公表した事案を挙げ、自治体、医療機関、介護事業者への支援の充実も盛り込んだ。
この事案は、デジタル庁がホームページ運営の一部に使っていたStudio株式会社のクラウド環境に不正アクセスがあったものだ。デジタル庁の発表によると、同庁サイトの問い合わせフォームに寄せられた内容など計最大1万3323件と、職員や委託事業従事者のアカウント情報35件が漏えいした可能性がある。
3つ目が個人情報保護法の見直し、4つ目がセキュリティ人材の研修・教育の充実と、研究開発予算の拡充だ。
古川氏「従来の手口が広範に繰り返されている」
党の記事によると、古川氏は関係省庁や被害を受けた事業者から情報を集め、攻撃手法の分析を進めていると説明した。最近の攻撃については「新しい手口というよりは、従来あったものがより広範に繰り返されている」と述べ、以前から必要とされてきた対策を徹底することが重要だとの認識を示した。
そのうえで、委託先を含むサプライチェーン全体の対策に言及し、来年3月をめどにガイドラインを取りまとめる考えを示した。今後の事態には予測できない部分があるとして、各国と連携して情報収集と対応を進めるとも述べ、来週にも対策パッケージをまとめる決意を示したという。
いずれも立憲側がまとめた発言で、デジタル庁や内閣官房が同じ内容を公表したものは、11月2日未明の時点で確認できていない。ガイドラインの対象となる業種や、法令に基づく義務とするのか目安にとどめるのかも、党の記事には書かれていない。
政府側は10月26日、首相官邸で初めての「サイバーセキュリティに関する関係閣僚会議」を開いている。官邸の発表によると、高市首相は「来週中を目途に、政府としての『緊急対策パッケージ』を取りまとめます」と述べ、各閣僚に財政措置を含む検討を指示した（サイバー対策の関係閣僚会議が初会合 首相、来週中に「緊急対策パッケージ」）。首相の言う「来週中」は10月26日の週の翌週、つまり11月2日からの週にあたり、古川氏の「来週にも」と時期がそろう。
首相の指示と重なる項目、重ならない項目
首相が10月26日に出した指示と要請書の4項目を並べると、次のようになる。
| 要請書の項目 | 首相の10月26日の指示に対応する記述 |
|---|---|
| 1 司令塔・実態把握・情報共有 | 各大臣が所管業界の被害企業から情報を集め、国家サイバー統括室に集約。統括室が分析し、対象を分けて情報発信 |
| 2 中小企業への補助、大企業への税制優遇 | 「サイバーセキュリティお助け隊」の体制と支援策の拡充、中小企業向け相談窓口の拡充。税制への言及は無し |
| 3 個人情報保護法の見直し | 言及は無し |
| 4 人材の育成と研究開発予算 | 高性能AIを使った脆弱性の点検、模擬攻撃による点検の前倒し。予算の拡充への言及は無し |
情報の集約と共有については、首相の指示も各大臣に所管業界の被害情報を集め、国家サイバー統括室に集めるよう求めており、方向は一致する。首相はこのほか、サプライチェーン全体で攻撃の観測網を整え、中小企業を含めて対策につなげる取り組みの前倒しも経済産業相に指示した。古川氏が示した委託先を含むガイドラインは、この流れの上にある。
一方、要請書が求めた大企業への税制優遇と、個人情報保護法の見直しは、首相の指示には入っていない。
改正個人情報保護法との違い
3つ目の項目は、7月17日に公布された改正個人情報保護法と食い違う点を含む。要請書は、欧州連合（EU）の一般データ保護規則（GDPR）を参考に、事業者が必要な範囲でしか個人情報を持たず、保存期間を過ぎた情報を定期的に消す「データ最小化」を制度にするよう求めた。
あわせて、課徴金制度の対象に安全管理措置義務の違反を加えるよう求めた。個人情報保護委員会の資料によると、改正法で新設された課徴金の対象は、違法な行為をすると想定される第三者への提供などの不適正利用（第19条）、不正な手段による取得（第20条第1項）、本人の同意の無い第三者提供（第27条第1項）、統計作成の特例に反する目的外利用・第三者提供の4類型で、漏えいを防ぐ安全管理措置の違反は挙がっていない（個人情報の悪質な取り扱いに課徴金 違反で得た利益を国が取り上げ 本人1000人超が基準、繰り返しは1.5倍・自主申告で半額）。要請書は、大規模な漏えいの多くが安全管理体制の不備から起きているとして、この範囲の拡大を求めている。
さらに要請書は、漏えい時の本人通知義務の緩和について「早急に再検討を行うこと」と求めた。改正法は、漏えいが起きても本人の権利利益の保護に欠けるおそれが少ない場合には、本人への通知義務を緩める規定を設けている（第26条第2項）。施行は原則として公布から2年以内で、政令で定める日となる。改正法は7月に成立したばかりで、立憲は施行の前に一部を改めるよう求めた形になる。
政府の緊急対策パッケージがまとまれば、要請書の4項目のうち何が盛り込まれたかを、首相の指示と照らして確かめられる。古川氏が示した来年3月という時期に、委託先を含む対策の目安を示すのか、事業者に義務を課す仕組みまで踏み込むのかも、ガイドラインが出るまで分からない。