門松貴の発言 （内閣委員会）

○政府参考人（門松貴君）　お答えいたします。
　まず、本法案においては、特定重要電子計算機に係る特定侵害事象、これと、当該特定侵害事象の原因となり得る事象として主務省令で定めるものの発生を認知した場合にはインシデント報告という、行わなければならないという旨を定めておるわけでございます。
　そのうち、特定侵害事象としては、特定重要電子計算機においてマルウェアが実行されることが判明した場合であったり、ネットワーク機器の脆弱性を悪用することなどにより特定重要電子計算機に対して不正アクセス行為が行われたことが判明した場合、また、ランサムウェアによる暗号化や大量のパケットを送り付けるＤＤｏＳ攻撃のような特定重要電子計算機の機能を低下又は停止させられたことが判明した場合において報告を求めることを想定しております。
　また、特定侵害事象の原因となり得る事象としては、特定重要電子計算機に保管されているシステム管理者等のＩＤ、パスワードが窃取され、システム全体への広域な、広範な攻撃が可能となったことが判明した場合であったり、特定重要電子計算機において、マルウェア自体は見付かっていないがその実行された痕跡が残っている場合といったことについて報告を求めることを想定しています。
　先生御指摘の情報セキュリティー十大脅威でございますが、この義務自身が、法律の義務自身が基幹インフラ事業者に限定されています。この情報セキュリティー十大脅威を見ますと、組織向け、個人向けでいろいろ書いてあるので、全てがこの対象となるわけではありませんが、当然ながら、その中で特定侵害事象と関係がある事象については報告対象になることになろうかとは思います。
　いずれにいたしましても、今後、主務省令における報告対象の具体化、これは専門家や技術者、ごめんなさい、専門家や事業者の意見も伺いながら、丁寧に制度設計してまいりたいというふうに考えております。