政府は6日の定例閣議で、サイバーセキュリティ対策の強化に必要な経費として、2026年度一般会計の予備費99億5913万3千円の使用を決定した。このうちデジタル庁の分は37億9951万7千円である。同庁が同じ日に公表した要求書によると、9割にあたる34億5000万円は、政府共通の業務基盤「ガバメントソリューションサービス（GSS）」に充てる。GSSは、同庁が9月に不正アクセスと個人情報の漏えいの可能性を公表したシステムだ。要求書は11月5日付で、財務相に6日付の承認を求めていた。
4つのシステムに約38億円、GSSが9割
要求書は、内閣総理大臣の名で財務大臣に宛てた2ページの文書である。事項は「サイバーセキュリティ対策の強化に必要な経費」で、要求の理由は「サイバーセキュリティ対策を強化するため、ガバメントソリューションサービス等の情報セキュリティ機能の強化に要する経費を支出する必要がある」の一文にとどまる。
2ページ目の別紙に、4つのシステムごとの額が載っている。いずれも雑役務費の区分である。
| システム | 予備費使用額 |
|---|---|
| ガバメントソリューションサービス | 34億5000万円 |
| マイナンバーカードの機能のスマートフォン搭載の実現に向けたシステム構築 | 2億7800万円 |
| 個人向け認証アプリケーション | 4537万円 |
| 政府共通決済基盤 | 2614万7千円 |
| 合計 | 37億9951万7千円 |
GSSに次いで額が大きいのは、マイナンバーカードの機能をスマートフォンに載せる仕組みの2億7800万円である。この仕組みの利用状況は、スマホのマイナンバーカード979万枚 デジタル庁、利用者の離脱箇所「定量的に把握していない」で報じた。別紙に載るのはシステムの名前と金額だけで、どの機能を強化するのかは書かれていない。
6日の閣議決定は3件で、事項名はいずれも「サイバーセキュリティ対策の強化に必要な経費」である。デジタル庁のほかは、内閣官房が20億4373万1千円、内閣府所管の警察庁が41億1588万5千円だった。内閣官房の要求書は「人工知能関連技術を活用した政府機関等の重要システムにおける脆弱性の検証」、警察庁の要求書は「サイバーセキュリティ対策資機材の整備等」を理由に挙げている。
同庁の予算のページに載る今年度の予備費使用要求書は、9月29日の分と今回の2件である。9月の分は、就業者負担軽減支援金制度の実施に必要な経費として50億2726万5千円を求め、公金受取口座登録システムなどの改修に充てる内容だった。
GSSとは何か、9月に公表した不正アクセス
GSSは、デジタル庁が運用する各府省庁向けの業務基盤で、同庁の資料は「政府の共通基盤となる、柔軟で合理的なネットワーク等」の構築と運用を行うものと説明している。
同庁が9月11日に公表した内容によると、6月25日に保守運用担当者のアカウントでサーバー上の大量のファイルへアクセスがあったのを検知した。第三者が通信機器（VPN）の脆弱性を使って侵入していたと7月9日に判明し、同じ日にアカウントを止め、機器と外部の通信を遮断した。
漏えいした可能性がある個人情報は約24万6000件で、利用機関の職員と業務に携わった公務員らが約18万9000件、業務に携わった事業者と個人が約5万7000件である。詳しくは既報のデジタル庁の政府共通システムに不正アクセス 職員ら24万6000件の個人情報が漏えいの可能性 VPNの欠陥突かれるにある。同庁は、一般の人の個人情報は含まれていないとしている。
同時に公開したQ&Aによると、悪用された脆弱性は攻撃の確認前に公表されていたもので、当初の深刻度の評価は「中」だった。同庁は一般的な対応より早く対処を進めたが、修正プログラムの適用前に悪用されたと説明している。公表文は再発防止として「脆弱性管理方法の見直しや、外部からの接続方法の改善等」を挙げた。
古川俊治デジタル相は9月18日の就任会見で、この2つに加え、「仮に侵入があった場合でも影響を最小限に食い止める」ための対策も強化する考えを示している。ただし今回の要求書は、この事案への対応だとは書いていない。
7月の計画は「同年度中に導入」、利用者は約28万人へ
GSSの対策には、別の予定もある。同庁が8月に公表した2027年度概算要求の資料は、7月21日に閣議決定した「デジタル社会の実現に向けた重点計画」から次の一文を引いている。GSSについて「急速に高度化するAI・AIエージェント等を前提としたサイバー攻撃を想定したセキュリティ対策を令和8年度に検討し、同年度中に導入する」という内容である。
令和8年度は2026年度にあたり、今回の予備費と同じ年度になる。ただ、要求書はこの計画にも触れておらず、予備費がこの対策の費用を含むのかは確認できない。
同じ計画は、GSSの利用者を2031年度末までに約28万人、約6000拠点へ増やす目標を掲げている。資料によると、今年度は防災庁が11月から、出入国在留管理庁と財務局が12月から利用を始める予定で、2027年度には財務省などが続く。
概算要求で同庁は、情報システムの整備・運用に関する経費として9523億5000万円（2026年度当初予算は4990億4000万円）を求めており、GSSの整備と運用もこの項目で挙げている。これとは別の「サイバーセキュリティ対策等に関する経費」は2億4000万円（同1億3000万円）で、内部監査、人材の研修、サイバー訓練、脆弱性診断などが中身である。
国会の開会中、「緊急な経費」の扱いで要求
予備費は、憲法87条が「予見し難い予算の不足に充てるため」に設けると定めるお金で、内閣の責任で支出し、後から国会の承諾を求める。今年度の一般会計の予備費は1兆5135億462万5千円で、6日の決定後の残額は6989億5517万6千円である。今回の3件の合計は、決定前の残額7089億1430万9千円の約1.4％にあたる。
国会の開会中は、使い道に制限がある。1954年の閣議決定「予備費の使用等について」の第3項は、国会開会中は決められた経費を除いて予備費を使わないとしている。第222回臨時国会は10月5日に召集され、会期は69日間で、現在も開会中である。
今回の要求書は「第3項第3号後段に該当」と記している。同じ号の前段は災害に関する経費で、後段は「予備費の使用によらなければ時間的に対処し難いと認められる緊急な経費」にあたる。同庁は今回の経費を、予備費を使わなければ時間的に対処が難しい緊急の経費と位置づけて要求した。なぜ急ぐのかの説明は、要求書には無い。内閣官房と警察庁の要求書も、同じ第3項第3号後段に該当すると記している。
38億円の中身は公開資料では測れない
政府の業務基盤を守る費用を急ぐこと自体には理がある。利用者を約28万人へ増やす計画の途中で、基盤はすでに不正アクセスを受けた。利用する省庁が増えれば、侵入されたときに影響を受ける範囲も広がる。手続きも閣議決定の定めに沿う形を取っている。対策の詳細を伏せる点についても、当時の松本デジタル相は9月15日の会見で、セキュリティ対応の情報の公開は「攻撃者を利する可能性がかなりある」と述べている。
一方で、約38億円は納税者の負担である。概算要求でサイバーセキュリティ対策等の経費に計上した2億4000万円の約16倍にあたる。項目の範囲が違うので単純には比べられないが、規模の大きさは読み取れる。それでも要求書から分かるのは、4つのシステムの名前と金額だけだ。同庁が挙げた脆弱性管理、外部接続の改善、侵入時の被害の抑制のどれにいくら充てるのかは読み取れない。現時点の公開資料では、金額が妥当かどうかを納税者が判断することはできない。
6日の古川デジタル相の会見は要旨が「後日」掲載とされており、説明の有無は確認できていない。負担する納税者の立場に立てば、防御を損なわない範囲で、対策の分類ごとの額と導入を終える時期を示すべきではないか。