「経済安全保障法制に関する有識者会議」
基幹インフラに関する検討会合（第１回）
議事要旨
１ 日時
令和５年 12 月 20 日（水）午前 10 時から午前 11 時 30 分まで
２ 場所
オンライン開催
３ 出席者
（委員）
青木節子

慶應義塾大学大学院法務研究科 教授

阿部克則

学習院大学法学部 教授

大橋弘

東京大学大学院経済学研究科 教授

北村滋

北村エコノミックセキュリティ 代表

小柴満信

経済同友会 経済安全保障委員会 委員長

長澤健一

キヤノン株式会社 顧問

羽藤秀雄

住友電気工業株式会社 代表取締役 副社長

原一郎

日本経済団体連合会 常務理事

渡井理佳子

慶應義塾大学大学院法務研究科 教授

（政府側）
飯田陽一

内閣官房経済安全保障法制準備室長・内閣府政策統括官（経済安全保障担当）

田中博

内閣参事官・内閣府政策統括官（経済安全保障担当）付参事官（特定社会基盤役務担当）

澤田孝秋

国土交通省港湾局港湾経済課長

新畑覚也

厚生労働省医政局参事官（特定医薬品開発支援・医療情報担当）付医療情報室長

森恩厚生労働省医政局地域医療計画課災害等緊急時医療・周産期医療等対策室長

井上大輔

厚生労働省医薬局医療機器審査管理課再生医療等製品審査管理室長

中村和弘

厚生労働省保険局保険課支払基金業務調整官

４ 議事概要（１）事務局等説明
事務局並びに国土交通省及び厚生労働省から、資料の内容について説明があった。
（２）自由討議＜委員からの意見＞○ 提案双方とも支持したい。柔軟に対応するとともに、あまりに広範な規制とならないように、基本的には他の法規で対応すべきであり、それぞれ港湾関係者・医療関係者で対応していくことが望ましい。その上で、港湾について、今回の提案は支持するものの、日本の沖合施設や人工島等、内水や領海内でもどのような事態が発生するか分からないため、注意喚起を促すとともに、法律の枠内や、要すれば政省令の改正等によって、予防的に対応することも考えていただきたい。
○ 今回の事務局の提案に特段の異論はない。その上で、運送事業は過去の経緯から各役務が事業として分かれたものの、デジタル化によって各役務を一気通貫で行うことが今後一般的になることも考えられる。今回は一般港湾運送事業に限り特定社会基盤事業に追加することが適当だが、今後の技術革新は港湾の在り方の変化によっては、適当な対象事業範囲が変わり得ることも念頭に置いておく必要がある。医療については、デジタル化が進んでいないことが幸いしており、現状において特定社会基盤事業に追加しないことに異存ないが、他方で、遠隔医療や在宅医療が普及する中、これらの医療供給においては医療機器も含めたサイバーセキュリティ対策がこれまで以上に求められることとなる。事業継続計画の整備だけでなく、抜き打ちチェックの体制を整える等、事業継続計画を実行的にはたらかせる必要がある。また、今回の港湾のインシデントは本年７月に発生したため、追加議題となることに違和感はないが、厚生労動省の事案は昨年 10 月に発生していることを考えれば、もう少し早期に提言されてもよかったと感じる。
○ 追加分野について異論あり。内閣官房にお願いしたいのだが、今回追加された案件については、事件が発生してから対応しているが、本当に特定社会基盤事業として指定しなくてよかったのかという問題について精査いただきたい。また、当初から地域医療の中核となる病院は特定社会基盤事業として指定すべきと考えている。医療機関ごとの病院情報システムと言えば小さな病院というインプリケーションがあるが、例えば、全国に 540 強存在する医療法上の地域医療支援病院や、全国に 80強存在する特定機能病院は、いずれも特定社会基盤事業に該当しないという解釈をしているのか。医療法と経済安全保障推進法は共に実定法だが、本当に政府としてそのような解釈で問題ないのか回答いただきたい。紛争時にサイバー攻撃が行われ、同時に医療機関がダウンすることも当然考えられ、そうした中で、地域医療支援病院や特定機能病院を認定する必要が本当にないのか、改めて検討いただきたい。
○ 基幹インフラについては、提供するサービスが常に維持されていること、仮にダウンした場合にはすぐに復旧できることを確保しておく必要がある。その観点から、一般港湾運送事業が基幹インフラに該当することはよく理解できた。基幹インフラの概念自体に国民の生存に不可欠という意味合いがあるが、医療はさらに国民の生存に直結するものであり、基幹インフラへの該当性については、もう少し詳細に検討する必要があるのではないか。今後、引き続き精査をするということをもって、今回の提案に賛成する。
○ 一般港湾運送事業を対象とし、それ以外の港湾運送事業及び医療は対象としないことについて同意。他方で、様々なサイバー攻撃が起きている現状において、特定社会基盤事業に該当するかどうかよりも、サイバーセキュリティの強化に左右されるのではないか。一般港湾運送事業は過去にも検討されたことがあるように思われ、今回のような事件が発生してから特定社会基盤事業に追加されるという形は本来好ましくない。突然事業が指定されることは、予見が難しいため産業界の負担が大きく、特に、海外のサプライヤーに対して情報提供等の対応を求めるには数か月から１年程度かかることもある。特定社会基盤事業者として基幹病院を指定するかどうかという論点とは別に、現状、医療ＤＸは米国や欧州等の同志国間における比較的オープンなイノベーションの下に形作られようとしているシステムであり、海外の事業者が関与する可能性が高い。また、日本の医療ＤＸが様々な規制を受けることで、日本の医療ＤＸ産業自体が世界に劣後してしまう可能性もあるため、慎重に検討いただきたい。さらに、海外の事業者や協議会等からは、基幹インフラ制度について聞いたことがないとの話も聞いており、内閣府やＮＳＳ等から、制度について情報提供を必要とすることを通知するための書類を発出する等のサポートも考えていただきたい。

○ 特段違和感はない。サイバーセキュリティについて、別の会議において、半導体や量子技術の話が出ているが、その中で、量子計算暗号については、国の中で議論がされていない。今回、どのような形でサイバーセキュリティの基準を作っているのか承知していないが、ＱＫＤ（量子鍵配送）やＩＯＷＮ等の光電融合技術は、既存のサイバースペースで守ることができない。今、量子計算機が進歩しているため、これらのサービスのサイバーインシデントについて新たな対策を行っていくもの

と思うが、耐量子計算暗号については日本の中で議論が空白状態になっているのではないか。ＮＩＣＴでは少し議論がされるようになってきたが、ＱＫＤにかなりのリソースを割いており、耐量子計算暗号の観点からクラウドや量子デバイスをどのように守るかとは少し視点が異なる。手遅れにならないように検討いただきたい。
○ 結論には特段異議はないが、今後、日本全体として、経済安全保障の確保と並んで、経済社会の効率化や生産性の向上が課題である。それにはＤＸは不可欠であり、その観点から考えると、基幹インフラ事業・事業者を追加していく対応で果たして良いのか。ＤＸが進む中で、必ずしも基幹インフラ事業・事業者に指定されていない事業・事業者がサイバー攻撃を受け、結果として基幹インフラ事業者にも影響が及ぶことは十分に考えられるのではないか。そのような場合を想定すると、インシデントが発生したことを受けて事後的に特定社会基盤事業を追加するような、ボトムアップのアプローチだけではなく、トップダウンのアプローチが求められるのではないか。経済安全保障推進法の４つの柱のうち、特定重要技術や特定重要物資についても、同様にトップダウンとボトムアップを掛け合わせた対応が課題となってきている。基幹インフラについても、政府において、誰から何を買ってはいけないのかを把握すべく情報力を強化し、トップダウンでリスクの高い製品を示すような仕組みを併せて構築しなければ、いたちごっこになりかねない。今のままでは事業者のみの負担が重くなり、効果が上がらないのではないかと懸念する。
○ 異論はない。医療について、特定社会基盤事業者として指定される者が現時点で想定しにくいとのことだが、外部からの妨害行為を同時に受けることが十分想定される中で、経済安全保障推進法上の基幹インフラに該当するかどうかは別として、重要なインフラであることは間違いなく、我が国としてどのように対応すべきかは極めて重要な課題ではないか。
＜政府側からの回答＞○ （事務局）国民の安全を確保するためには、事案を受けてから後追い的に把握・議論するのではなく、平時から役務の安定的な提供を阻害する要因とリスクを把握し、不断の見直しをすることは重要。基本指針の中でも不断の見直しについて触れており、基幹インフラ制度の対象とするかどうかについては、引き続き内外の情勢を見ながら不断の見直しを行ってまいりたい。
○ （事務局）内閣府では海外調査や関係省庁との情報交換を行っており、必要に応じて周知広報・情報提供を行うことは基本指針でも記載しているとおり、適宜情報提供を進めてまいりたい。

○ （事務局）耐量子計算暗号については、経済安全保障推進法は、基幹インフラ制度以外にも特定重要技術やサプライチェーンを守る制度もあり、これらも合わせ、全体で進めていくことと思う。
○ （事務局）政府側の審査能力を上げていく必要がある。内閣府及び事業所管省庁において審査を積み重ね、それを踏まえて事業者の実態を把握していくことは重要。
ホワイトリストやブラックリストを示すことについては、様々な御意見をいただいているが、攻撃者の回避行動を可能にすることとなり、また、企業の構成員や役員も日々変動するため、リアルタイムでの更新が困難。
○ （国土交通省）港湾に限らず、沖合施設や人工島、内水領海も含めて対応を高めていく必要があるのではないかいう点については、省内取りまとめ課とも相談し、委員の問題意識を伝えてまいりたい。
○ （国土交通省）我々としても、今後の技術革新によって、サイバーセキュリティの対象が拡大していくと考えており、その状況を見つつ、常に対象が適切なのかどうかという観点から検討してまいりたい。
○ （厚生労働省）予防的な対応が重要という点については、まさに我々もそのとおり考えており、医療機関に対してはサイバーセキュリティ基本法の枠組みの中で省令等改正をし、同法の下、サイバーセキュリティ対策のガイドラインにどの程度準拠しているか立入検査を行う等、対応状況を確認しつつ、平時から対策を高めることが予防に繋がると考えている。厚生労働省ではサイバーセキュリティ対策に関する研修事業を２年前から実施しており、人材育成についても取り組んでいるところ。
医療ＤＸについても仕様を検討しているところで、その中でどのような製品等を使用してシステムを構築していくかにもよるが、影響の程度を鑑みながら慎重に検討してまいりたい。
○ （厚生労働省）地域医療支援病院や特定機能病院については、代替不可能なものを提供していることをもって医療法上承認しているものではない。これらの病院において、地域の医療セーフティネットとしての役割を担っていることについては御指摘のとおりだが、その提供する医療の代替可能性に差異があるものではないと認識している。このため、これらの病院においても、医療計画等に基づき、医療機関との連携による医療提供体制の確保は可能と考えている。
＜委員からの意見＞○ 先ほどの事務局の回答には非常に不満である。経済安全保障の確保にあたっては、

官民の連携が非常に重要であるが、先ほどの回答は、審査体制は強化するが、審査のための材料は民間から持ってこいと言わんばかりである。そのような姿勢は非常に問題であると思う。
○ 海外の企業が日本の法律を知らないと申し上げており、海外の行政が知っている必要があるという趣旨ではなかった。海外の企業がすべからく経済安全保障推進法を理解し、条項に沿った情報を出すにはかなりの時間を要する。例えば、行政からレターの案のようなものを特定社会基盤事業者に送り、それを海外の企業に見せれば、対応の必要性を説明しやすくなる、といったことを申し上げたかったため、行政同士で話をしているかいないかということではない。
○ 事務局の耐量子計算暗号の理解は違うのではないか。ＲＳＡ暗号が使われなくなり、米国のＮＩＳＴでは新しい暗号のプロトコルが４つ示されており、これを早く取り入れるべき。そして、暗号プロトコルだけではなく、乱数をどうするか、そのあたりの新しい政策で取り入れていくことが必要であり、今回そのような視点があるのかどうか疑問に思っていた。やはり、耐量子計算暗号に関して、日本では議論が空白地帯に落ちているのではないか。
○ 厚生労動省の回答は承知したが、内閣官房として、経済安全保障推進法上の特定社会基盤事業者に地域医療支援病院と特定機能病院は当たらないという解釈でよいということか。また、14 の特定社会基盤事業が定まる前に、地域医療病院について基幹インフラとすべきではないかとの問題意識をもって、厚生労働省にはたらきかけた経緯があった。インシデントは世界においても発生しており、2021 年には豪州、2021 年５月には米国で 14 万人の医療情報が流出、大阪の事件の前に奈良でも発生している。こうした観点から、国土交通省では制度の改正に向けて有識者会議を開催しているが、厚生労働省においても同様の観点から制度改正や経済安全保障推進法における基幹インフラの考え方について、有識者会議における検討等はなされたのか伺いたい。
＜政府側からの回答＞○ （事務局）当然、行政機関と民間事業者・業界団体等とのコミュニケーションは非常に重要。可能な限り情報提供を行いたいと考えており、コミュニケーションを重ねつつ、事業者の事業活動に著しい不利が生じないよう、周知広報活動を行うとともに、事業所管省庁でも審査を積み重ねていくことで、審査の効率化や事業者の負担軽減に努めてまいりたい。

○ （事務局）委員の御指摘は、海外企業が日本の法令を理解していないことによって、法令を遵守しようとしている日本の特定社会基盤事業者やサプライヤーが海外企業から情報を得にくい状況を打開するために、政府の資料等によって先方に伝えるような支援を考えるべき、と理解している。委員は例としてレターを挙げられたが、まずは経済安全保障推進法の内容について外国企業に理解いただくための英文資料や、政府と実際の事業者とのやり取り等において開示できる情報の範囲等を、今後の議論の中で整理できればと思う。
○ （事務局）耐量子計算暗号については、あえて申し上げれば、経済安全保障推進法の枠組みも超えた大きな議論についての御提案だというふうに受け取っており、経済安全保障全体の中で、サイバー空間を守るための新たな技術的な方向性について、ある種の基盤整備も含めてあるいは政府としての取組方針も含めて、しっかりと議論すべきであるという御指摘と受け取った。預からせていただいて関係部局と議論をさせていただきたい。
○ （事務局）経済安全保障推進法の法令の解釈として、例えば一律に病院を排除するような規定になっているとは考えていない。厚生労働省には後ほど補足いただきた
いが、法律の条文と基本指針で示された考え方を考慮した上で、現時点で指定するという考えがないという説明があっただけであり、法律の解釈上、一律に御指摘のあった病院を指定できないという解釈をしたものではないと理解している。
○ （事務局）政府によるトップダウンのアプローチについては、調達を避けるべきといった政府からの情報発信にとどまらないと思っており、積み上げ式ではなくという点と、予防的対応あるいはトップダウンのアプローチは軌を一にした議論と思っている。規制の執行とは、規制当局としての責任もあり、必ずしも民間に全ての挙証責任も含めて押し付けているようなものではないと理解している。民間との協力協働なくして円滑な運用はできないと思っているので、可能な限りの対応をしたい。
○ （厚生労働省）経済安保の対象に医療機関を含めるかどうかという点に関し、直接、有識者を交えた検討会等は行っていない。経済安保の基本指針に則り、省内で整理をしたところ。サイバーセキュリティ対策をどうするかという観点については、ガイドライン等について有識者の意見をいただきながら進めているところ。
＜委員からの意見＞○ 事務局と厚生労動省から承った。特に、特定機能病院においては、それがない場合において本当に地域において代替的な設備がなくなることになる。そうした観点から、さきほどの説明で国民は納得するのだろうか。また、内閣官房でかつてそうした観点での問題提起があり、インシデントも 2020 年前後から世界や我が国で発生していることについて、経済安全保障との関係でどのような医療法上の問題があるのかという点について、医療の部内だけではなく、外部の観点から制度的な検討を是非行っていただきたい。
＜政府側からの回答＞○ （厚生労働省）地域の医療の代替性が守られないとの御指摘があったが、医療法に基づく承認は、その地域の医療における代替不可能なものを守る目的ではなく、それぞれの病院が連携をして医療提供をしていくこととなるため、その点は御承知い
ただきたい。
＜委員からの意見＞○ 今おっしゃった点は法律上の解釈と思うが、実態においてどうなのかということを申し上げている。
＜政府側からの回答＞○ （厚生労働省）実態については、地域での医療が守られるように、それぞれの医療機関で連携するように医療計画の中でも示しているとおりであり、引き続きそのような連携体制がとられ、医療が安全安心に提供・維持されるように進めてまいりたい。

（３）その他○ （事務局）本日欠席された委員から事前に次の３点の御意見を頂戴している。１．
対象とされていなかった港湾施設がサイバー攻撃により運営不可となった事を受け、今後海外でのサイバー攻撃の事例をモニターし現在対象になっていない設備への攻撃等を認知した場合は本邦においても対象とすべきか早急に検討する体制を作るべき。２．医療機関は対象としないことに同意するものの、個別医療機関の体制整備だけではなく障害時の地域連携の仕組みの整備等についても厚労省、各自治体が推し進めることを検討いただきたい。３．サイバー攻撃を防御することは難し
く、障害時のレジリエンスがより重要。指定対象であるかないかにかかわらず、常に自発的にレジリエンスの向上する必要性を求め、必要に応じてモニター、評価を行う。

○ （事務局）一つ目の御意見については、委員御指摘の海外における事案を踏まえつつ、対象事業等について検討してまいりたい。
○ （厚生労働省）災害時等の医療提供体制については、これまでも医療計画に基づき、連携体制の構築を求めて取り組んでいただいているもの。サイバー攻撃等によるシステム障害時においても、必要に応じてこうした体制を活用し、地域の周辺の医療機関と連携して、患者の受け入れや医療従事者の派遣を行うこととなると理解。引き続き、災害時等の医療提供体制における連携の構築を目指して進めてまいりたい。
○ （事務局）三つ目の御意見については、基幹インフラ制度の対象事業であるかどうかにかかわらず、役務の安定的な提供を継続するための自発的な取組が重要と認識している。こうした観点から、特定社会基盤事業者の自発的な取組であるリスク管理措置を評価することとしている。また、基本指針にも記載しているが、基幹インフラ制度で対象となっていない設備についても、こうした自発的・自主的な取組が同様に重要であるということについて、今後、周知、広報、情報提供等を進めてまいりたい。
以上