資料４－４
サイバー安全保障分野での対応能力の向上に向けた有識者会議
官民連携に関するテーマ別会合（第２回）
議事要旨
1.

日時
令和 6 年７月 23 日（火）9 時 00 分から 10 時 15 分までの間

2.

場所
オンライン開催

3.

出席者
（有識者）
遠藤 信博

日本電気株式会社特別顧問

落合 陽一

筑波大学デジタルネイチャー開発研究センター長/准教授

佐々江 賢一郎 公益財団法人 日本国際問題研究所理事長

4.

宍戸 常寿

東京大学大学院法学政治学研究科教授

篠田 佳奈

株式会社 BLUE 代表取締役

辻

SB テクノロジー株式会社プリンシパルセキュリティリサーチャー伸弘

野口 貴公美一橋大学副学長、法学研究科教授

丸谷 浩史

株式会社日本経済新聞社常務執行役員 大阪本社代表

村井 純

慶應義塾大学教授

山岡 裕明

八雲法律事務所弁護士

山口 寿一

株式会社読売新聞グループ本社代表取締役社長

吉岡 克成

横浜国立大学大学院環境情報研究院/先端科学高等研究院教授

議事概要（１）河野国務大臣挨拶○

おはようございます。お忙しい中、今朝もお集まりいただきまして誠にありがとうございます。このテーマ別会合もいよいよ２サイクル目に入りました。事務局からこうした論点で議論をお願いしたいという点がございますが、前回同様に活発なご議論をお願いしたいと思います。

（２）事務局説明
事務局より、官民連携に関するこれまでの議論の整理等について、【資料１】及び【資料３】を用いて説明があった。

1

（３）討議
有識者より、以下のような発言があった。
○ サイバー攻撃は密かに仕組まれて、被害が発生すれば瞬時に広範囲に及ぶ特質がある。従って、受け身の防御では防げないのは明らかである。サイバー攻撃から国民の命とその暮らしを守るには、政府が中心となって、平時から通信を監視して脅威があると判断したら、相手の攻撃を無害化するという仕組みが必要である。
○ その観点から、政府にはサイバー防御を能動的に行う責務があることを明確化するべきではないか。具体的には新たな法律を作り、国民生活と経済活動とその基盤を防御する国の責務を、サイバーセキュリティ基本法や経済安全保障推進法より踏み込んで明記すべきであろうと思う。
○ 重要インフラ事業者もサイバーセキュリティに取り組む責務があるということを新法で明確化し、その責務を果たすため、重要インフラの重要設備にはセンサーを設置して、常時監視する体制を構築するよう求めるべきではないか。
○ ソフトウェアベンダにも安全な製品を開発する責務があるということを法律上明確化し、ゼロデイ攻撃に対応する法的義務を明示するなど、法の定めを設けるべきであろう。
○ 官民連携を機能させるには政府組織を一元化し、抜本的に強化した新しいＮＩＳＣを司令塔とするということだと思うが、そのもとに官民の協議会を置く体制が考えられる。
○ 企業からのインシデント報告は、これまで議論されたように、義務化して報告のためらいをなくすと同時に、民間企業が積極的に取り組めるよう、政府から企業に対しては機微な情報を含めて提供し、あるいは脅威を取り除くための技術的な支援を受けられるようにすることが必要であろう。
○ また、サイバー防御のための投資に対しては税制優遇を行うことも考えられる。
○ 平時において脆弱性対応を行っていく上では、まず資産の把握が必要であるため影響 を 受 け る もの が 国 内に ど れ く ら いあ る か とい う こ と が 大切 で あ る。 例 えば
NOTICE のようなスキャンの活動を活かして、国内 IP アドレスに対してスキャンを行い、影響の範囲の把握をすることが必要ではないか。一つの脆弱性が発表されて、これは影響が大きい脆弱性であると判断できるインパクトであったとしても、国内にどれくらいのサーバーや機器があるのかという状況によって、注意喚起の程度も変わってくるのではないか。こういったことを平時に行っておく必要がある。
○ 加えて、ソフトウェアベンダの役割としては、ゼロデイにフォーカスしがちなところもあるが、ゼロデイ、N デイ問わず、提供すべき情報の整理が必要ではないか。現在、影響を受ける製品やバージョンの情報は当たり前のように提供されているが、それに対する緩和策は必ずしもそうではない。脆弱性が公表されたからと言って、すべて2

の組織が即対応できるとは限らないことを考えると、脆弱性の緩和策の有無や、検知の手法、調査手法の提供が必要ではないか。また、脆弱性が公表されたあと、対処するまでの間は攻撃可能な期間であり、ゼロデイであれば公表以前から攻撃が可能な状態である。従って、脆弱性の対応は、パッチ適用等の根本的な修正だけではなく、そもそも自分たちが対処するまでの間に、攻撃を受けていないかを知る必要がある。
脆弱性に対処しても、対処するより前に攻撃されていると、違う入り口を作られているというケースもあるため、実際にその脆弱性を悪用されていないかをログ等で確認する方法を提供する必要があるのではないか。
○ これらの情報をどういったところで発信するかについては、これまで情報の受け手の一本化、フォーマットの一本化についての話があったが、情報発信する側もある程度一本化が必要なのではないか。そうでないと、いろいろな情報を収集するために、あそこもここも見ないといけないとなると、見る側からするとかなり手間であり、煩雑になってしまう。よって、ここを見ればよいという情報元のサイトを政府から提供するとともに、サイトを提供するだけではなく、RSS やメールを登録することで、更新された場合の通知が来るような機能もセットで提供することが必要なのではないか。
○ また、実際の攻撃でどのようなことが行われているかという情報を吸い上げられている場合には、攻撃者がどのような攻撃手法を用いるのか、脆弱性を悪用した後でどのような行動をするのかなどの TTP、攻撃手法、手順を公開するということも考えられるのではないか。
○ １点目は、非常に広範囲にわたる重要インフラに対するサイバー攻撃のインパクトの大きさについて。先日の日本商工会議所の議論にあったように、サプライチェーンを中心とした中小企業がサイバーセキュリティのネットワークに入ってくることに伴い、中小企業も重要なインフラストラクチャの一翼を担うことととなり、そこのサイバーセキュリティ対策の難しさについても会議を通じて議論されてきたと思う。
○ 対象は本質的に横断的なインフラであり、非常に重要な新しい技術と状況が次々と出てくることを考えると、全てに対して同時に対応していくことは不可能。したがって、サイバー攻撃が起こった時に、どれだけの被害や影響が国民生活や経済に対して起こるのかというインパクトファクターに対する知恵の確立が必要。これを持っていれば、新しい組織の中で誰にどの優先度で対応するのかとなった際、ある程度ガイドラインにもなる。非常に複雑なインフラができている中であるが、その全体を見た上で、インパクトファクターの体系的な基準のようなものを作っていくことが重要。
これが、これからのアクションの助けにもなっていくと思う。
○ ２点目として、サイバーセキュリティに対する現場力の集結・連携の重要性について。
この政策については、既に構成員となっている大臣に加え、別の大臣も含める必要が3

あるというような話は、IT 戦略本部が始まった時からずっと言い続けているもの。
各省庁が皆出てきて頑張っていくことは重要である。しかし、現場力の集約にあたっては、民間を主なプレイヤーとし、現場で働く人をいかに連携させていくような構造を作り出していくことができるかが重要となる。この構造を、政府が関わって作っていくことが今回の大事な使命である。何かが起こった際、民間が政府を信頼して情報を提供するようなことができるか。民間企業が、自分たちを助けるために、自分たちで主体的に政府の中にそうした組織・力を作っているのだと自覚することが重要。こうして官民の信頼関係が確立されていると、インシデント報告の義務化等もスムーズに動いていく。
○ ３点目として、デジタルインフラと電力について。まとめていただいているとおり、政府にしかできないことでもあるので非常に重要である。コンピュータ、デジタルデータ、ネットワーク、それらがデジタルインフラであるが、これらが電力とどのように連動して動き、どこかで何かが起こったとしても動き続けるというのが、明らかに安全に対する優先度の高いデジタルインフラストラクチャーだと思う。こうしたデジタルインフラストラクチャーの安全性を守っていくことは、複数の省庁が連携しないとできないことでもあり、優先度や重要性を認識し、政府のアクションを進めるべきだと思う。
○ サイバー安全保障に関して方策を考える際は、日本国のレジリエンスの最大化にどのように貢献できるか、また、そのための方法論になっているかということを、いつも頭の中でおいて議論することが必要。
○ まず、情報公開の話もあったが政府から一元化して共有して欲しいと思う。この際に、やはり海外からの影響をなるべく排除した方が良い。他国の提供しているデータを使っているが、提供の値段がコントロールされてしまうとか、場合によっては、外国のソフトウェアが企業の都合により非常に使いにくい状態になることもある。ソフトウェア、ハードウェアの国内の自立性ということを考えると、情報共有基盤の開発についても海外の影響を排除した形での提供というのが重要になる。
○ 2 つ目は情報提供に関して。レジリエンスの最大化ということを考えると、いかにそのリアルタイム性を高めるかということが重要であって、なるべくスピーディーに情報が一元化されて集まるという形をとるべきだと思う。
○ また、情報の正確性も必要なので、報告のフォーマット化とともに文言等の標準化も準備いただき、報告の第一報、第二報というものがスピード感を重視した形で提供されることが重要だと思う。
○ 政府が入手した情報に関しては非公開であると思われるが、何らかの形で工夫をして、業種や企業規模、攻撃の種類等がある程度分かる範囲で、注意喚起の観点から情報提供がなされることが日本国のレジリエンス力の最大化に貢献すると思う。

4

○ 最後に、中小企業について。やはり中小企業が大企業に与える影響は大きい。また、中小企業は、攻撃側にとっては非常に有利という形で見えている。
○ 一方、中小企業そのものの自立した対応力は非常に弱いというのが現状であって、その観点から言うと何らかのソフトウェアを官の方から中小企業に提供するという形が最もあるべき形に近いのではないかと考えている。この点に関しては配慮いただき、方向感を作っていただきたい。
○ 技術的な視点でいくつかコメントを差し上げたい。まず 1 つ目はゼロデイ攻撃についてである。ゼロデイ攻撃を認識するためには、原理的には攻撃が発生する前にデータの収集と分析が必要となる。攻撃の観測システム、いわゆるハニーポットを充実させることが必要である。
○ ハニーポットは、実際にゼロデイを定期的に発見しているという実績があるとともに、ハニーポットで観測された攻撃は、沢山ある脆弱性の中で本当に悪用されているものであるので、対応の優先度をつける観点でも重要。
○ 実際の攻撃対象になっているインフラの中にセンサーを設置することも必須。それによって把握できる攻撃も情報源として必要となってくる。
○ CYXROSS 等にも他にはないデータが生まれてくるが、データがあっても分析をしなければ認識できない。適切なクリアランスを前提として、このデータを分析できる優秀な人材を登用できないか。
○ 脆弱性のやりとりもそうだが攻撃のもとになっているナレッジがアンダーグラウンドコミュニティで共有されているため、こうした脅威インテリジェンスを収集することも必要だと考えている。
○ もう１つの観点はアタックサーフェスマネジメントについて。広域のスキャンによって、脆弱性を持っているかもしれないシステムを把握することが重要になってくる。Shodan や Censys といったスキャンシステムが有名だが、国内版のこうした広域スキャンシステムの開発が望まれる。また、これらを使って、脆弱性を発見したら、企業に注意喚起するといったことも効果的。
○ 外から簡易的なスキャンをかけるだけでは、それが本当に脆弱性なのか判断できない。注意喚起をしても空振りになってしまう可能性がある。アタックサーフェスマネ
ジメントは大事だが、精度を上げなければ注意喚起を受け取った側の企業の負担になってしまう可能性がある。
○ 今までの議論になく、また、官民連携とは関係しないかもしれないが重要な情報という意味で述べたいのが仮想通貨である。これはサイバー攻撃を行うときの資金源や攻撃ビジネスの支払いを行うプラットフォームになっており、その資金の移動の分析も大事だと思っている。トランザクションを分析し支払いがどのように行われているのかを把握すべきだが、資金洗浄も高度化してきている。これが分からないと裏5

の動きがどうなっているのかも分かりにくいので重要であることを申し上げたい。
○ ２点申し上げたい。まず、１点目について、資料１の７ページ（１）「政府やソフトウェアベンダに求められる役割や対応」について。ソフトウェアにバグや脆弱性がなぜ発生するかと考えたときにソフトウェア産業の特殊性が挙げられる。自動車等の製造業の場合、不具合は人命に直結するし、発売後に不具合が見つかってリコールになった場合には多額のコストが掛かる。そのため、徹底してテストを実施して発売する。他方で、ソフトウェアの不具合は人命には直接的には関わらず、仮に、不具合が見つかってもアップデート版をインターネットから配信すれば足りるのでコストがほとんどかからない。そのため安全性・安定性よりは、ソフトウェアを市場に早期にリリースすることが重視される傾向にある。つまり、ソフトウェア産業においては、他の産業と比べるとテストが比較的軽視されているという産業構造上の特殊性があると考えている。
○ そこで、提案であるが、国土交通省が関わっている自動車の安全性テストのように、政府としてソフトウェアの安全性に関するテスト基準を設けたり、設けたテストをソフトウェアベンダに推奨したりする取組を実施するのはどうか。
○ ２点目は、資料１の７ページ（２）について。企業側のセキュリティの取組に関わっていると、金融機関のセキュリティレベルはあらゆる産業の中で突出して高いと見受けられる。6 月に出された「金融分野におけるサイバーセキュリティに関するガイドライン（案）」も非常によくできている。金融機関のセキュリティモデルは他の重要インフラにおいても参考になるのではないかと思う。もちろん、官側の金融庁の監督権限、民側の金融機関のリソースがあって成り立っていると思うが、優れた国内のモデルがあるのであれば参照に値するのではないか。
○ 官民の連携は、重要インフラが国民の生命・財産に関わる問題であるといことを提示したうえで、サイバー防御においては通常の安全保障論議でよく使われる「平時」「有事」についても両者の境がないので、言葉の使い方や概念についてよく整理したほうがよい。
○ 「平時」と「有事」の概念整理が、どのような時にどのような情報を収集して、どう提供するかということに関わってくる。概念整理をすることで、報告、情報収集・提供等の官民連携がしやすくなると思う。
○ サイバー攻撃が発生した場合の対応については、最終的には重要インフラに対して情報提供を行ったり、情報共有を求めたりする部分があると同時に、重要インフラに依存する事業者に対する情報発信や公衆に向けた情報発信まで考えないといけないと思う。

6

○ コミュニケーション方法については、特に一般向けに関しては、新型コロナの時にも問題になったリスクコミュニケーションの経験が参考になると思う。また、どのような情報提供を行ったか等が後で判別できるように、情報のやり取りのログが自動的に残るような仕組みを作っておいた方が良いのではないかと思う。加えて、平時有事の両方における話であるが、外国への情報提供、あるいは外国からの情報の受領を見据えて情報共有の全体的な流れを考えるべきであると考える。
○ 官民の普段からの対策強化に向けた体制・枠組みについては、現場の力を結集することが大事であると同時に、現場の力を引き出す各組織のマネジメント層に、現場を支援するための取組を行ってもらえたり、現場における組織間のコミュニケーションの重要性を理解してもらえたりするような政府の取組が求められると思う。
○ 報告のあり方については、様々な法律に基づき、様々な行政機関からインシデント報告を求められることによる現場の負担を踏まえ、報告の簡素化・一本化が必要。また、それを行うためには、なぜその報告が必要なのかを整理し、必要に応じて各法律に手を入れていくことが必要。さらに、組織の中にしっかりとした対策者が置かれていれば、各政府機関はその人に聞けば情報を取得することができるため、政府はそういったことにも配慮して、報告プロセスを構築することが必要。
○ 重要インフラ事業者たる電力会社に対しサイバー攻撃が行われ、電力の供給が停止
すると、リアル空間にも非常に大きな影響を及ぼす。そういったサイバーに閉じない状況を分析した上で、公衆に対して情報発信を行う政府の体制を常に考えることが必要。
○ 官民の対策の議論の中でしばしば話が欠落しがちなのが、国・地方関係の問題である。国が地方公共団体に対して指示を行ったり、情報提供を求めたりすることに関しては、例えば、政府が定める地方公共団体のためのサイバーセキュリティに関するガイドラインについては、どのような根拠で作成され、どの程度の拘束力があるものなのかといった議論が出てくる。これについては、国・地方横断的な形で政府の司令塔が役割を果たせるようにすべきではないかと思う。
○ サプライチェーンの対策強化については、前回の第２回有識者会合で日本商工会議所様などにお伺いした通り、サプライチェーンの中の主要なプレイヤーである企業にしかるべき対応を行っていただくために、法的な整備をしっかり行うことが必要であると考える。
○ 行政法学の観点から、法制度化を念頭に、各論点について１点ずつ申し上げる。まず、情報提供・共有を支える制度については、政府が適切に情報提供を行うためには、当然のことながら、事業者の情報が政府に集中・蓄積されていることが肝要であるから、制度的に、情報提供のインセンティブを高め、ディスインセンティブを取り払うことが必要であると考える。領域は異なるが、例えば、独禁法におけるリニエンシー

7

制度に類似する仕組みなどのように、情報提供者・報告者の責任の調整や減免に関する制度を設けてはどうか。また、情報提供・共有の仕組みについては、法制度として分かりやすく明文化しておくことが重要なのではないか。
○ 政府の司令塔としての組織が何をすべきかという点については、当然ながら、司令塔には、必要な活動を実施するための強力な権限と、権限を具体的に行使できる（執行力を有する）職員を擁していることが必要になると考える。加えて、サイバーセキュ
リティの領域は、施策を実施するための手法として規定や基準、指針を作ったり、ガイドラインやマニュアルで具体化したりするといった、諸基準の策定を「手法」として活用する分野になるように思われ、このような制度を巡る諸基準を、関係者が動かしやすいように常に見直し、修正することが重要と考える。したがって、戦略本部は司令塔であると同時に、関係者の声を聞き、制度や仕組みを常に見直して改変・修正していくというようなタスクが担えるような、調整役としての位置づけにもあるものと考えるべきではないか。
○ 人材の育成・確保については、資格の取得状況や公務員制度における状況等を可視化するなど、人材が育成されていることを見える化する手法の活用が有効なのではないか。
○ 対策強化に向けた体制・枠組みについては、民間が信頼して現場で働ける人材を政府に派遣させることができるような仕組みを整えることは勿論であるが、それに相対する官側の取組として、各省庁がサイバーセキュリティ部門を物理的に中央に寄せて、一緒に働く時間を設け、情報交換できるような体制を構築することが必要であると考える。そうすることで、迅速に対応でき、現場に沿った制度改革が進められる。
したがって、根幹的に体制を構築していくという点については、何度もお伝えしていきたい。
○ 人材の育成・確保、中小企業の対策強化について、これまで人材育成は自主性に頼るところがあり、政府が本気で育成するという姿勢があまり伝わってなかったように思うため、政府が育成したいというメッセージを大きく出すことが重要。具体的な施策としては、大学における認定コースの設定支援に加え、諸外国でも見られる親の巻き込みがある。親を巻き込むという点では、現在、経済産業省が実施するセキュリティキャンプ等でも多少実施されているかもしれない。今までは子供への教育プログラムはあったが、親への教育プログラムはなかったと思うので、それを設けていく必要があると考える。
○ 前回の分野別会合でもお話ししたが、英国では７歳からサイバーセキュリティに関する教育を始めており、日本においてもティーンエイジャーに向けた教育を始めていくことが必要。
○ また、全国的に学校の補助教材としても提供されることを期待しており、その手段と8

しては地域 SECUNITY の活用があるかと思う。学校内のサイバーセキュリティの教育において、地域 SECUNITY からのエキスパートが補助要員として入ることで、指導する先生方の不安は減ると思う。
○ 各自治体でのコミュニティ内で、災害時のシミュレーションが実施されることはあると思うが、サイバー攻撃が原因で発生した事態のシミュレーションが実施されることはないと思う。病院がサイバー攻撃を受けたときの、コミュニティ全体へのインパクトという点については、アメリカでもこれから見ていかなければならないこととして、データを集めようとしているようである。病院 A がハッキングを受けて、その機能が麻痺した時に、付近の病院 B、C、D にも影響があるので、その際の体制やこうした場合におけるレジリエンスの強化というのは考えていかなければならないと思う。こういったことは病院に限るものではない。また、こうした検討を進めることは、人材の育成・確保、中小企業の対策強化につながる。
○ サイバー攻撃が発生した場合の対応についてだが、情報の発信、受付の一本化は切に願うところ。関係者にプッシュ型で通知することも大切だと思う。内容については、これから吟味し、ブラッシュアップできればよいと思う。
○ 加えて、重要な視点として、仮想通貨の資金源の移動分析について話があったが、ブロックチェーン上でのセキュリティはこれから非常に注目度が高くなると思う。韓国でもブロックチェーン上でのセキュリティは北朝鮮の関連からか随分前から高いデマンドがあるようで、韓国国内だけではなく諸外国の協力も得て実施している。
○ 「金融機関のセキュリティモデルは参照に値する」ということは、英国も同様のことを述べていたので、確かにそうである思う。
○ 最後に一点、資料 1 の６ページについて、「人材の育成・確保」の 3 点目に書かれている流動化を進めるべきという点は、その通りであると思う。次の文で「政府人材の任期等について検討すべきではないか」とあるが、以前から主張している「任期の長期化」という言葉も加えていただきたいと思っている。
○ 重要インフラを含めた被害組織から吸い上げた情報の取扱いについては、慎重にすべきという意見はその通りだと思うが、そういった情報をどこに出すのか、公開範囲に応じてどのような情報を出すかといったことを考慮して進めるべきではないか。
慎重になりすぎると、あれも出せない、これも出せないということになり、マイナスの意味での際限がなくなってしまうと思うので、情報の区分の定義や情報公開に関するポリシーを作っていく必要があるのではないか。
○ 情報の吸い上げについては、JPCERT/CC や IPA などの様々な組織が、現在のところ、現場からどれくらいの情報を吸い上げられているのかを把握しておくべきではないか。また、その上で、現場からこういったことをなかなか言ってもらえない、などの課題も併せて把握しておくべきではないか。

9

○ 例えば、情報を吸い上げて共有するには、最近の事案をモデルケースとして、どういった情報を共有すべきなのかという点を机上確認してもいいのではないか。
○ 政府がソフトウェアを提供しないと中小では対策が難しいのではないかという意見に賛成である。サイバー攻撃から守り切るためには、こういう方法がある、こういう情報を使ってくださいといっても、結局、お金がないということで頓挫してしまうケースが多いのではないかと思う。そこで、最低限の守りを固めるためには、例えばプロキシのように、インターネットの境界でこのネットワークを通じて出て行ってください、というようなものを使ってもらってもいいのではないかと思う。予算の兼ね合いもあるだろうが、今後の検討の一つに入れてほしい。
○ 政府から情報の開示を受ける観点では、当然のことであるが、クリアランスが必要な部分があると思う。各企業がクリアランスを取得する作業を積極的に行って、情報が公開される段階で、全員が自由に閲覧できる状況にすることが重要なので、情報の内容とともにクリアランス条件を明確化することを検討願いたい。
○ 戦略本部は意思決定をする機関なのか、助言等を受ける機関なのか。また、意思決定と言っても、ある種の方針や計画を決める、あるいはサイバーを超えた領域も含めて決定するのか。個人的には、有事の際は特定の責任者があらかじめ決められた方針に基づき決定していく形になると思うが、基本的な方針や大きな枠組みを決めるのが本部、それに対し普段から助言をする機関が別立てで横にいる、あるいは有識者を交えた本部とそうでない本部とで座組を変えることも考えられる。実効ある対応を支える組織を考えるべき。
○ 本部の構成員だけでなく事務体制も一定数人がいないと回らない。公務員の定員を少なくしている中ではあるが、きちんと張り付いている人がいないといけないだろう。
○ （第１回テーマ別会合（ア）資料２の 11 ページについて）戦略本部の絵は上下逆というか、重要な視点の「国民の生活や命」、「安全な国土」が一番上にあり、それを支える産業、そのための重要インフラがあって、それを支えるサイバーセキュリティ組織があり、そのための意思決定を戦略本部が行うという視点・感覚であるべき。現場の国民の生活や生産性に対するインパクトファクターを把握しておき、それに対して有事の時にどのような連携をし、国民一人一人も関わりながら支えていかければならないという社会的・人的な構造が分かるような絵を描いた上で、戦略本部のあり方を考えると良いのではないか。
○サイバーセキュリティ戦略本部について。英国では、戦略本部に近いイメージになる10

と思うが National Cybersecurity Advisory Board（NCAB）というのがあり、政府から副首相、民間からもチェアを選び、会議体を形成して官と民がとあるべき姿をディスカッションする場が平常的にある。このことが価値を上げていくとともに、改善がその場を通じて行われる可能性が高い。官と民の間のアドバイザリーボードを政府に設置するなどのあり様を検討すると良いのではないか。
（４）その他
事務局より、以下のとおり補足説明があった。
○ 闊達な意見交換に感謝。例えば有事・平時の定義や法の位置付けの議論等を含め、検討を深めた上で御相談させていただきたい。
○ 政府等からの情報の公開を一元化すべきとの御意見、重要インフラのインパクトファクターを明示すべきとの御意見、ソフトウェアのテストの基準を作るべきとの御意見、国・地方の関係についての御意見をいただいた。これらについては新たに資料を追加しつつ、今後の対応についてよく検討していきたい。
○ また、御指摘いただいたブロックチェーンに係る議論はこれまで十分でなかったため、よく検討させていただく。
○ サイバー攻撃が原因で発生した事態のシミュレーションの話があった。研修等についてはこれまで政府も取組も進めてきたところではあるが、どこかで整理してまた御提示したい。
○ また、各省のサイバー関連部署の集約や、政府人材の任期の長期化について。これらの重要性については御指摘のとおりであり、政府においても検討を進めているところ。資料２に先生の御指摘も踏まえ、より詳細に記載しているが、あわせて資料１の書き方についても検討させていただきたい。
○ 全般論として、各省と NISC の併任は進んでおり、準備室にはそういった併任の職員は複数在籍している。
○ 各省では、ポストの長期化は進んでおり、制度的には難しい話ではないと考えている。
○ 人材のフレームワークと同様に、長期的に取り組むべきポストということであれば長期的に、短期的に様々な職員が経験して回していくべきポストであれば短期的なポストとすべきであり、制度設計にあたっては、ポストごとに考える必要性がある。
人事院含めてそうした方向性で検討が進んでいるところ、準備室としても、その構想を踏まえつつさらに検討を深めていきたい。
○ また、IPA や JPCERT/CC と新しい枠組みの役割について意見があった。第２回の有識者会議においても既存の枠組みの評価が必要といった御指摘もいただいている
ところ、それぞれの課題等について今後分析を行い、改めて御相談させていただきたい。
以上

11