古川俊治サイバー安全保障担当相は11月10日の記者会見で、国内で完結する通信（内内通信）を政府による通信情報の分析の対象に加えるかについて、「今後どのようにこの議論を進めていくか、これから検討を始めるという段階」と述べた。高市早苗首相は6日、サイバー対処能力強化法の改正の検討を古川氏に指示している。同法が政府に通信情報の取得を認めるのは国外が送信元か送信先の通信に限られ、その部分はまだ施行されていない。古川氏は、施行前で運用上の課題が分かっていないことなどを、改めて検討すべき点に挙げた。
「国内で完結する通信も対象に」との意見を問われる
会見はデジタル庁で午前10時10分から14分間開かれた。古川氏はデジタル相に加え、内閣府特命担当相としてサイバー安全保障や海洋政策なども受け持つ。
冒頭、古川氏は6日の関係閣僚会議で取りまとめた「サイバーセキュリティ緊急対策パッケージ」に触れた。AIも活用した基本的な対策の徹底、情報収集・集約、捜査・分析体制の強化、サイバー攻撃への対処の戦略的な実施、被害者支援・被害拡大防止策の強化の4つの柱に沿って、関係省庁と取り組むと説明した。被害を受けた事案の多くで「基本的な対策の不備」が見られるとして、事業者や個人に対策の徹底も求めた。
質疑の最初で記者は、首相の改正指示に関連して、与党から現行法では対象外の「国内で完結する通信」も監視や分析の対象とすべきだという意見が出ていると指摘した。そのうえで、政府はその方向で検討するのか、有識者会議を設けるのか、来年の通常国会への法案提出を目指すのかを尋ねた。
答えは「これから検討」、挙げた論点は3つ
古川氏はまず、政策パッケージには「多くの政党から様々な御意見をいただいている」と述べた。そのうえで、首相の指示は「情報収集能力を更に強化する観点から、サイバー対処能力強化法の改正も含めて検討するように」というものだと説明した。
内内通信を通信情報の利用の対象にするかについては、検討すべき点を3つ挙げた。1つ目は、国外から国内への通信（外内通信）を法律の対象にしたときにも「いろいろな論点」があったこと。2つ目は、情報収集能力の強化には、官民の協議会に参加する事業者を増やすという方法も考えられること。3つ目は、外内通信の部分は「来年の11月までに」施行する予定で、運用上の課題が「まだ分かっておりません」ということだった。
そのうえで、こうした課題を「もう一度しっかりと検討して」、議論の進め方をこれから決めると答えた。内内通信を対象にする方向かどうかには踏み込まなかった。有識者会議を設けるか、通常国会に法案を出すかという問いにも、具体的には答えなかった。
いまの法律が取得を認める通信は「国外」が絡むものだけ
サイバー対処能力強化法（正式名は「重要電子計算機に対する不正な行為による被害の防止に関する法律」）は2025年5月23日に公布された。基幹インフラ事業者による被害の報告などは先に施行され、本紙は基幹インフラのサイバー被害、10月1日から国への報告が義務にで伝えた。通信情報の取得を定める第3章から第7章は、公布から2年6か月以内に政令で定める日に施行される。2027年11月が期限になる。
条文が政府に取得を認める通信は、いずれも国外の設備が関わるものだ。区別は、IPアドレスなど通信設備を識別する符号から判断する。
- 外内通信: 国外の設備から国内の設備へ送られる通信（第11条）
- 外外通信: 送信元も送信先も国外で、国内の設備を経由する通信（第17条）
- 内外通信: 国内の設備から国外の設備へ送られる通信（第33条）
取り方は2通りある。1つは、電気や鉄道などの基幹インフラ事業者と政府が結ぶ「当事者協定」で、事業者が当事者になっている通信の情報を受け取る（第11条）。もう1つは、国外とつながる通信設備を流れる情報を複製して政府の設備に送らせる措置で、外外通信のほか、攻撃に使われている疑いのある外内・内外通信が対象になる（第17条・第32条・第33条）。協定を結んだら新設のサイバー通信情報監理委員会に通知し、複製・送信の措置には事前に同委員会の承認が要る（第14条・第17条など）。
協定で受け取った情報であっても、政府が分析のために残せるのは外内通信のものに限られる。協定や外外通信の措置で取得した情報は、人の目に触れない自動的な方法で、攻撃に関係するIPアドレスや指令情報など2つ以上の条件を使って選び分け、残らなかった情報はすぐに消去しなければならない（第22条）。メールアドレスのように個人を特定できる情報は、別の符号に置き換える措置もとる（第24条）。国内の設備どうしで完結する通信は、どの取り方でも分析のために残せる対象になっていない。
法律の附則は、通信情報の取得などの規定が施行されてから3年をめどに状況を検討し、必要なら措置を講じると定めている。首相の改正の指示は、通信情報の取得の規定が施行される前、この見直しの時期より前に出たことになる。
首相は「民間企業への不審な通信」の把握も指示
6日の関係閣僚会議で首相は、日本を標的とした攻撃を把握する情報収集能力を「更に強化するため」として、古川氏に強化法の改正の検討を指示した。あわせて、「現行の政府機関などに加えて、民間企業への不審な通信」を国家サイバー統括室が把握・分析できる仕組みについて、「主要国の例を参考にしながら」検討するよう求めた。基幹インフラ事業者からの被害の報告を「できれば数時間、少なくとも同日中」に届くようにすることも目指すとした。会議の詳細は首相、サイバー対処能力強化法の改正検討を指示にある。
首相の指示は、内内通信を対象にするかどうかまでは述べていない。一方、自民党の国家サイバーセキュリティ戦略本部が10月20日付でまとめた提言は、強化法の「外国関連通信情報の利用で不十分な場合」に「国内通信情報を被害の防止のために利用すること」の検討も辞さずに対応するよう政府に求めている。会見で記者が挙げた与党の意見は、この提言と重なる。
古川氏が2つ目に挙げた官民の協議会は、強化法第45条が定める。首相と関係行政機関の長で組織し、重要な電子計算機を使う事業者などを同意を得て構成員に加え、被害の防止に役立つ情報を共有する。通信の中身を新たに集めなくても、参加者を増やせば集まる情報は増える。古川氏はこの方法を、内内通信を対象にする案と並べて挙げた。
AI法を含む制度の見直しも
会見では、首相が9日夜にフランス政府主催のAIセキュリティの会合に出席したことを記者が挙げ、AIの規制の方針も尋ねた。古川氏は、首相が会合で「AI法を含む関連制度の見直しを進めていく」と発言したと説明した。10月末に人工知能戦略専門調査会のもとに制度の在り方を検討するワーキンググループを立ち上げ、見直しを進めていると述べた。各国との協力では、AIセーフティ・インスティテュートの知見を生かし、リスク評価や情報共有を深めるとした。日本でのAIサミットの早期開催も目指すという。
内内通信の扱いは、通信の秘密にどこまで踏み込むかに関わる。強化法は、国外が絡む通信に限ったうえで、自動の選別、消去、監理委員会の承認という手続きを重ねて取得を認めた。対象を国内の通信に広げるなら、その手続きをどう組み直すのかが、今後の検討の中身になる。首相は情報収集能力の強化を指示し、与党の提言も外国関連の通信だけでは被害を防げない場合を想定している。外内通信の施行前で運用の経験が無いことは、検討の進め方を決めない理由にはならない。政府は、国内の通信を扱う場合の選別・消去・承認の手続きの案と、検討の日程を早く示すべきだ。