Soma8622/kokkai_speech huggingface dataset:
○国務大臣（塩崎恭久君）　不審な通信を確認した七月十四日から、ハローワークシステムの職員端末についてはインターネット及び外部メールからの遮断を既に実施をしております。今後も当然これは継続をしていくということにしておるわけでございます。
　また、個人情報を扱う場合のパスワードの設定など、個人情報の適正な取扱いについては、従前よりハローワークシステムを使用する全職員に指示はもちろんしておったわけでございますけれども、改めて今般の事案を受けてその徹底を指示をし、これは七月の二十四日にメールでもって全員に指示をしたというところでございます。
　今後とも、標的型メール攻撃に関する効果的な訓練の実施、これは先ほど来出ておりますけれども、幹部から一般の職員に至るまで、日々高度化するサイバー攻撃に対処できるように、技術面での情報セキュリティー対策についても万全を図らなければならないと思っておるところでございます。
○川田龍平君　この問題は、年金機構と全く同じで、フォレンジック調査で痕跡が見付からなくても情報流出の可能性は完全には否定できないんです。ハローワークシステムに対する早急なサイバーセキュリティー対策を求めます。
　続いて、医療保険者、介護保険者のサイバーセキュリティーについて伺います。一か月半も前の七月十四日に私がこの対応状況を尋ねたところ、七月二十二日に取りまとめるとのことでした。医療や介護の個人情報の流出は国民にとって極めて深刻な問題です。
　取りまとめが遅れている現状について、どうなっているのか御説明ください。
○政府参考人（唐澤剛君）　要点のみお話しさせていただきます。
　物理的な基幹システムとインターネットの切断等につきまして、先生御指摘のように、六月十七日に要請をして、そしてその後対応状況の調査をお願いをいたしました。これは、七月の下旬に締切りをお願いをして回答をお願いをしましたが、六千六百九十九の団体が医療、介護でございます。この団体から、八月三十一日現在で六千六百七十五団体の回答をいただいておりますが、この中に、その記入内容を文書で御記入をいただいたり、あるいはまだ未提出の団体もございますので、こうした督促や集計、精査等を現在行っているところでございます。
　この集計、精査が完了次第、適切な形で公表させていただきたいと考えております。
○川田龍平君　これがまだ終わっていない段階でマイナンバー法の改正案が可決、成立してしまったことは大変残念です。国民の情報流出、医療情報の流出がとても心配です。
　もう時間ですのでまとめますが、これらの保険者のサイバーセキュリティーについて厚労省は一体どこまで責任を持つつもりなのか。やっぱり取りまとめの結果次第では、これしっかりＮＩＳＣに協力を依頼することも検討すべきと考えますが、大臣に答弁いただけませんけれども、是非これ、しっかりＮＩＳＣにも協力依頼をするように大臣に申し上げて、終わります。お願いします。
　ありがとうございました。
○小池晃君　日本共産党の小池晃です。
　私も、今日理事会に示されました、年金機構、厚労省からの資料要求に対する回答、石橋委員と同様に、全く納得、あれはできません。
　特に、今日、今お配りしているものでいうと、これは朝日新聞の記事ですが、マスメディアで報道されているにもかかわらず、これはいまだに明らかになっていない情報なんですね。ここにあるような流出情報のファイル名、例えば、和歌山事務センターが使った届出書などの受付管理簿ツールとか、沖縄事務センターが使った国民年金の届出書などの受付管理簿などという情報、さらに、流出した情報が、沖縄と和歌山の両事務センター、東京の記録突合センターの三か所で使われたものだったこと等々。
　警察庁にお聞きをまずします。
　警察庁は、これらの情報について捜査上明らかにしないように年金機構に要請されていますか。
○政府参考人（斉藤実君）　お答えをいたします。
　被害関係者において把握されている事項の中には、具体的な犯行の状況を示すものなどを公表することでその後の捜査に支障を生じさせるおそれがあるものも含まれておりますことから、その範囲で必要な協力をお願いをしているところでありますが、お尋ねの流出したファイルが所在をしていた事務所について公表を控えていただきたいといった具体的な要請を警察から行ったことはございません。
○小池晃君　重大ですよ、これ。
　水島さん、前回のこの委員会であなたは何と答えたか。この三拠点の名前については、捜査上の問題もあるというふうに承っております、だから公表できませんと言ったんですよ。虚偽答弁じゃないですか。虚偽答弁ですよ、これは。
○参考人（水島藤一郎君）　八月二十五日に小池先生の御質問に対しまして、ファイルの所在に関しましては、捜査上の問題もあるというふうに承っておりまして、公表いたしておりませんとお答えしたところでございます。
　これは、ファイルの所在に関しまして、セキュリティー上の問題に加えまして捜査上の問題もあるという認識を示したものでございますが、委員の御指摘も踏まえまして警察に改めて確認をいたしましたところ、ファイル名は捜査上の問題はあるけれども、ファイルの場所は、捜査の観点からは事務所名など一定の範囲では回答して差し支えないということでございました。
　一方、機構といたしましては、ファイルの存在場所を開示した場合、ファイルサーバーと感染した端末の場所がひも付けされる可能性があり、アクセス権限の設定など機構のシステム構成の一部が推定される懸念もございますのでセキュリティー上の問題があるというふうに考えてございまして、やはり報道内容の真偽も含めましてお答えは差し控えさせていただいているものでございます。（発言する者あり）
○参考人（水島藤一郎君）　前回、捜査上の問題があるというふうに承っておりましたというふうに申し上げました。これに関しましては、私といたしましては、捜査上の問題があるというふうに認識をしていたというふうに申し上げるべきでございましたが、承っているというふうに申し上げたことについては不適切だったというふうに考えております。
　このような誤解を招く表現を使いましたことにつきまして、おわびを申し上げます。
○小池晃君　誤解の余地ないですよ、これ。だって、捜査上の問題があるというふうに承っておりまして、公表いたしましておりませんと言っていたんです。
　こういうことで情報を隠蔽してきたんですよ。セキュリティー上の問題、捜査上の問題、もうそういうこと通用しないですよ。大体、セキュリティー上とかというけれども、新聞に堂々と出ている情報じゃないですか。こういったことすらいまだに認めようとしない。
　委員長に。日本年金機構は、依然としてこれ公表しないんです。流出した情報は何だったのか、そのファイル名とその内容について、それから、流出した情報ファイルはどこで使われていたものだったのか、改めてこれは断固出していただきたい。いかがでしょうか。
○小池晃君　引き続き、先ほどから問題になっている四月二十二日に行われた攻撃のことをちょっと私も今までの議論を踏まえて聞きたいんですが、前回の甲斐中委員長は私の質問に対して、これはそれ以後の年金機構に対する攻撃と同一の攻撃者であると考えると言っています。
　大臣、先ほどちょっと曖昧だったんだけど、これは前兆ではなくて、甲斐中委員長だって同一の攻撃者だと言っているわけだから、これは第一撃だったという認識を当然持っていなければいけないと思いますが、大臣、そういう認識ですね。イエスかノーかで答えてください。
○国務大臣（塩崎恭久君）　当然、そのドメインが同じだったということは、前触れであったということは間違いないわけでありますけど、それを四月二十二日の攻撃は一つの予兆でありというふうに甲斐中委員長は記者会見で述べられているので私はそう申し上げているので、何も関係ないかのようなことは、もちろん、それは検証委員会の報告を否定するような話ですから、ここに明確に、四月二十二日にドメイン単位で止めておけば、一部の五月八日のメールについては、不正アクセスについては防げたんじゃないかということが明確に書いてございますので、これはもう最初に来たということは間違いないわけであります。
○小池晃君　そういうことです。最初に来たと、第一撃だというんですよ。だから、第一撃だと素直に認めればいいんですよ。だから、これ重大なんですよ。
　その重大な第一撃に対する対応について、さっき聞き捨てならない話があったんですね。中途半端に大臣に報告をした。何ですか、これは。これ、大体、いつ報告したんですか。四月二十二日にあって、四月二十三日に報告を官房長にはしたと私聞いていた。その後、五月八日まで、五月八日の段階でドメイン単位でブロックをした。じゃ、安藤さん、中途半端に報告したのは、一体いつの時点で大臣に中途半端に報告したんですか。
○政府参考人（安藤英作君）　八月の二十日にＮＩＳＣの調査研究が、調査が発表され、それから二十一日に検証委員会の報告が出ておりますが、その後でございます。
○小池晃君　これは、でたらめですよ。だって、それで何で中途半端な報告。もう中途半端じゃない報告が出た後で、何で中途半端に報告するんですか。
　おかしい、おかしい。納得できません。これは、きちんと説明してもらわなければこれ進めない。
○政府参考人（安藤英作君）　不十分な御説明を申し上げまして、大変申し訳ございませんでした。
　大臣に対する説明でございますが、この不審通信に係るＣアンドＣサーバーのＵＲＬ、二十三につきまして大臣に御説明申し上げましたのは検証委員会の報告の後でございました。
　また、検証委員会に対するこのＣアンドＣサーバーのＵＲＬに関します検知等々の話につきましては、それにつきましては、ログの解析なりあるいはフォレンジック調査なりの結果につきまして、当然、検証委員会の方に提供されているものと考えてございますし、私どもにございます四月二十二日の件にも関わります資料類につきましては検証委員会の方に御提出をさせていただきまして、そういったものも踏まえまして御報告がなされたものと考えてございます。
○小池晃君　何だかよく分からないんですけどね。
　中途半端に報告したということは、報告書が出てから中途半端に報告するっておかしいと思うんですね。やっぱりこの問題が出た途中のどこかの段階で、これは報告なり何らかの話をしたんじゃないですか。だから中途半端にと、そういう話になったんじゃないの。
　これ、私、だから、第一撃だから重要だと思うんですよ。事前に官房長までは行っていたと。ところが、官房長は全然それをこの予兆だとも捉えずに、これだけ大問題になっているのに議論しなかったというのもおかしいと思うけれども、この何らかの情報が大臣まで行っていたとすれば、これは重大ですよ。まあ違うと言っているから、もうちょっとこれはきちっと解明しなきゃいけない問題だと思うので、これは次回以降またやりたいと思いますが。
　それから、結果を報告してきた問題で、私、もう一点納得できないこと、あの例の流出していないと言って実は流出していた二千四百四十九人の対応。私は、これは当委員会で、管理職だけで秘密裏にテレビのニュースで報道されるまではもう隠蔽してやったのではないかという問題をやったんですけど、これについても何ら答えがございません。
　それで、今日の理事会で示された文書によると、まずは責任ある立場の管理者に対し個別に対応するよう電話により指示をしたというわけですよ。文書を出したのは、私が委員会で示した、今日お配りしている二枚目の指示文書ですね、それが出るまで指示文書を出していないというんですね。しかしですよ、水島さん、二千四百四十九人個別訪問するのに文書なしでできるんですか。電話で指示をしてそれでやらせる、私は、これはちょっと信じられないと思いますよ。
　それで、何だか、その次のページに資料で入れておきましたけれども、ちょっと訳の分からないこういう中身で指示をしたから、これでやったと。私は、これでは全く納得できない。指示文書なしに二千四百四十九人の個別訪問を行わせる、そんな芸当が日本年金機構にはできるんですか。私は、指示文書があったという証言も得ております、ブロック別の所長会議が開かれたとも聞いています。そういったことも否定するんですか。
○参考人（水島藤一郎君）　その点に関しまして、御質問の通告の内容をちょっと私間違えておりまして、白を黒と言ったという十四名についての御質問だというふうに承っておりましたので、同じ問題、基本的に同じやり方をしていると思いますが、いずれにいたしましても、個別に電話で指示をして、二千四百四十九名の方に御説明をするということをしてきたというふうに聞いておりまして、私は、具体的な指示文書は、この今お示ししております指示文書であるというふうに聞いております。
○小池晃君　訳分からないこと言わないでください。
　今朝、年金機構の人来て、何か誤解していたから、それは違うと、白を黒じゃなくて、二千四百四十九人のことだとちゃんと説明してありますよ。ちょっと、そんなとぼけたことを言わないでくださいよ。だから、実際、二千四百四十九人個別訪問しろというのを、指示文書も出さずに電話で指示をしてやりましたと、あり得ないでしょうと言っているんですよ。
○参考人（水島藤一郎君）　担当部からはその旨報告を受けておりますので、そのような形で指示をしていたというふうに承知をいたしております。
○小池晃君　いや、今、意味不明。そのような形で指示しておりますってどういうこと。
○参考人（水島藤一郎君）　担当部からですね、そのような形で指示をしていたという報告を受けております。（発言する者あり）
　ここで、七月三日に指示依頼文書を出しておりますが、それ以外の指示依頼の文書は出しておりません。
○小池晃君　七月三日というのは個別訪問終わった日なんですよ。だから、説明になっていないんですよ。
　六月中旬に明らかになって、六月の二十七日から個別訪問したんでしょう。そのときに、何の指示文書もなしに二千四百四十九件個別訪問ができるんですかと聞いているんです。
○参考人（水島藤一郎君）　どういう形で電話で指示したかということについては、具体的に私聞いておりませんのでここでお答えできませんが、いずれにいたしましても、それぞれのブロックに対して個別に指示を、電話で個別に指示をして、最終的に指示依頼文書を出したのは七月三日だということでございます。
○小池晃君　もう全然これ駄目ですよ。だって、七月三日というのは個別訪問終わった日なんですから。
　二千四百四十九件を個別訪問する、しかも事情もちゃんと説明しなきゃいけないんだから、何か電話でやってくださいといって行けるような話じゃないですよ。どういう経過で流出していない人が流出したというふうになったのか、ちゃんと説明して納得を得ない限り、こんな仕事ができるわけないわけですよ。それが、何の指示文書もなしにやられた。こんな説明が通用するわけがないですよ。もう時間だからもう聞かないけど。
　これは、全くこれでは納得できません。これはもう引き続き議論しなきゃ駄目だというふうに思います。（発言する者あり）
　じゃ、ちょっと、今のことはちゃんとこれ解明してください。委員会に……（発言する者あり）
○小池晃君　委員長、二千四百四十九件の個別訪問を指示した文書、あるはずです。七月三日付けの指示文書以外のものを必ず提出させるようにお取り計らいをお願いします。
○行田邦子君　行田邦子です。
　これまで年金情報流出問題の審議、ずっと続けてきていますけれども、先ほど来の質疑を聞いていまして、答弁が本当に正しいんだろうか、不都合な事実を隠しているんじゃないか、何か知られたくないことを隠しているんじゃないかということを毎回疑いながら質問をしなければいけないというのは非常につらい状況でありますし、これでは原因究明、それから再発防止の審議になりません。このことを苦言を呈しておきたいというふうに思っております。
　私は、この年金情報流出問題、何が原因だったのか、その大きな一つとして、日本年金機構を監督する立場にある厚生労働省の情報セキュリティーの組織、そして体制に問題があったのではないかと、このような視点で今日は質問させていただきたいと思います。
　まず、内閣官房に伺いたいと思います。
　最高情報セキュリティ責任者、ＣＩＳＯなんですが、この役割とそれから選任基準についてお答えいただけますでしょうか。
○政府参考人（谷脇康彦君）　お答え申し上げます。
　政府統一基準におきまして、各府省庁に最高情報セキュリティ責任者、いわゆるＣＩＳＯを設置することとしております。その役割といたしましては、情報セキュリティー対策を推進するための組織、体制の整備、セキュリティーポリシー等の決定、見直し、あるいはインシデントに対処するために必要な指示などの当該府省庁における情報セキュリティーに関する事務を統括することを求めているところでございます。
　また、府省庁対策基準策定のためのガイドラインにおきまして、ＣＩＳＯは、各府省庁における情報セキュリティー対策の推進の責任者であり、府省庁全体の情報セキュリティー対策を推進するため、組織を俯瞰し、資源配分の方針決定を適切に行うなどリーダーシップを発揮できる者を充てることが求められる旨、規定をしているところでございます。
○行田邦子君　政府統一基準では、このようなことでありますけれども。
　そこで、大臣に伺いたいと思います。厚生労働省においては、ＣＩＳＯは官房長になっていますけれども、官房長をＣＩＳＯに選任する理由をお答えいただけますでしょうか。
○国務大臣（塩崎恭久君）　基本的には、官房長でいいのか悪いのかを含めて、今見直しをしておりますが、なぜ今まで選んでいたのかということを、これはもうかねてから選ばれておりまして、私が来る前からそうなっておりましたが、これは、サイバーセキュリティーに関して、緊急時の対処は危機管理の性質を帯びたもので、省が持っている資源をフル動員しないといけないということであり、また配分もしないといけないということで、場合によってはまたシステムの停止の判断を迫られるということであります。こうした判断は、組織全体を横断的に管理するということが可能な立場である者が行うべきではないかということを考えて、厚労省においてはＣＩＳＯを官房長ということで選任してきたのがこれまでのやり方でございました。
○行田邦子君　平成十二年にＣＩＳＯが設置されてからずっと官房長が充て職という形になってきたということでありますけれども、これ、通告していませんけど、大臣は、じゃ、官房長がＣＩＳＯとして適任かというふうにお考えでしょうか。
○国務大臣（塩崎恭久君）　今申し上げたように、それの是非を含めて今検討中でございます。
○行田邦子君　それでは、ＣＩＳＯの任命責任者は誰なんでしょうか。
○国務大臣（塩崎恭久君）　このＣＩＳＯは、私、大臣が任命するものではなくて、情報セキュリティ委員会が策定をする厚生労働省情報セキュリティーポリシーにおいて大臣官房長というふうにされているものでございます。
○行田邦子君　大臣が任命責任者ではなくて、厚生労働省の中にある情報セキュリティ委員会において決めるということであるということでありますけど、この情報セキュリティ委員会のトップは誰なんでしょうか。
○政府参考人（安藤英作君）　官房長でございます。
○行田邦子君　何かおかしくないですか。
　官房長がトップの情報セキュリティ委員会でＣＩＳＯを誰にするかを決める、そして官房長がなると。じゃ、一体、このＣＩＳＯが官房長であることが本当に適任なのかどうかということを誰が判断して、誰が責任を持つんでしょうか。
○政府参考人（安藤英作君）　セキュリティーポリシーを決めておりますセキュリティ委員会として大臣官房長を選任されている。その実質的な理由につきましては、先ほど大臣から御説明したとおりでございまして、資源配分の観点、それから適切な判断を即時にこなせるという観点から選ばれているものと考えてございます。
○行田邦子君　情報セキュリティ委員会というのは、これは厚生労働省の中にあって、外部の機関ではなくて、内部の行政事務などを行う部局の代表者などからメンバーが構成される全くの内部の委員会であります。ここでＣＩＳＯを誰にするかを決めるということ、そしてそのＣＩＳＯが適任かどうかということを誰が責任を取るのか曖昧だというのは、これは組織として私はおかしいというふうに思っております。
　そして、ＣＩＳＯの任命責任者ははっきりと大臣でないにしても、やはり今回このような事件が起きて、そしてＣＩＳＯが官房長であり続けたということ、この責任というのは、私、大臣にあると思いますが、大臣、いかがでしょうか。
○国務大臣（塩崎恭久君）　これはもう繰り返し、今回のことについて、先ほども申し上げたように、検証委員会でも言われているように、機構も厚労省も備えは極めて脆弱だったと、そのうちの一つが今御指摘になったことであって、先ほど私が、官房長がＣＩＳＯの立場にあることの是非を含めて見直しているというのは、これは全てを見直すということを私は申し上げているので、これはセキュリティーポリシーにそう書いてあって、ずっと来たということでありますが、それにしても、今先生が御指摘になったとおり、奇異なことは随所にあって、また考え方自体もいろいろと脆弱だと言われるだけのことがあるということを言っているので、ですから、私は、甲斐中委員会の報告書は極めて辛辣な報告をいただいたなということを重く考えているところでございます。
○行田邦子君　この委員会の審議でも、官房長が、官房長には大変申し訳ありませんけれども、ＣＩＳＯとして適任ではないと、その能力とか知識とか経験といったことにおいて必ずしも適任ではなかったということを私は明らかになっているというふうに思っております。
　ただ、これ、ほかの組織においても、ＣＩＳＯに官房長を充てるというところはほかにもあるわけであります。そうした場合に、官房長というのは必ずしも情報セキュリティーの専門的な知識や経験があるわけではありません。むしろ、そうでない場合が多いというふうに思うんですけれども、そのＣＩＳＯに不足している情報セキュリティーに対する知識やまた経験や能力といったものを補うのがＣＩＳＯアドバイザーだというふうに思っていますけれども。
　このＣＩＳＯアドバイザーなんですが、内閣官房から派遣されている五人のＣＩＯ補佐官のうちの一人がこの任に当たっています。ＣＩＯ補佐官は非常勤というふうに聞いていますけれども、その勤務実態をお答えいただけますでしょうか。
○政府参考人（安藤英作君）　お答え申し上げます。
　今先生からお話がございましたとおり、内閣官房から派遣されている五人のＣＩＯ補佐官のうちの一名をＣＩＳＯアドバイザーとして選任してございます。週に三日程度の勤務でございまして、一日約八時間勤務をしていただいておりますが、随分長時間にわたって残業等をしていただくこともございます。
○行田邦子君　ＣＩＯ補佐官は非常勤で、そして、週に三日程度の勤務と、ＣＩＳＯアドバイザーに選任される方も週に三日であったということであります。
　私は、このＣＩＳＯアドバイザーになっている方自身がどうということではなくて、その方の能力がどうということではなくて、私は、ＣＩＳＯアドバイザーというのは非常に大切な役割を持っていますし、特に今回のような情報セキュリティーインシデントへの対処の支援も行わなければいけないわけでありますので、非常勤、週三日勤務という人をＣＩＳＯアドバイザーに充てるというのは、これは私は問題があるというふうに思いますが、大臣、いかがでしょうか。
○国務大臣（塩崎恭久君）　ちょっと一点だけ。他のＣＩＳＯは、役所はどういう人がなっているかというと、蒲原さんの名誉のためにも言うと、官房長になっているところは、内閣府、総務省、法務省、外務省、財務省、文科省、厚労省、農水省、経産省、環境省、こういうふうにたくさんあるので、どういうふうになるかは、私は、まだこれ検討し直そうというふうに申し上げているわけで、それがどういうふうになるかは、それは分からない。
　しかし、そのときにやっぱり大事になってくるのが、今御指摘いただいているアドバイザーでございまして、ＣＩＳＯのアドバイザーにつきましては、現在は内閣官房の一元的な採用管理の下で非常勤として配置をされているＣＩＯ補佐官をＣＩＳＯアドバイザーに充てているわけでございますが、今後は、検証委員会の報告書等を踏まえて、高度な専門知識や経験を備えた外部人材を常勤職員として採用するようにしたいというふうに考えておるところでございます。
○行田邦子君　これ、ＣＩＳＯアドバイザーはやはり常勤であるべきだったと、今更ながらのことでありますけれども、思うわけであります。
　そして、ＣＳＩＲＴの責任者なんですけれども、これは、厚生労働省の場合は、官房長、ＣＩＳＯになっています。官房長がＣＩＳＯとＣＳＩＲＴ責任者を兼務していますが、このようにした理由をお聞かせいただけますでしょうか。
○国務大臣（塩崎恭久君）　厚労省では、通常時における情報セキュリティー対策の最高責任者、ＣＩＳＯである官房長をインシデント時においても最高責任者として位置付けてきているわけです。これを補佐して実務的な総括を行う者として、情報政策担当参事官を置いているわけでありますけれども、今回の甲斐中検証委員会報告書では、ＣＳＩＲＴも技術力を持った実用的なものに改めることなどは着実に実施すべきと、こう指摘をされておりまして、私どもとしても、これ、ＣＳＩＲＴの即応性それから専門性、これを高める観点から、ＣＳＩＲＴの責任者を見直して、日常的に情報セキュリティーや情報政策を担当している者の中から選んでいこうということを今検討しているところでございます。
○行田邦子君　ＣＳＩＲＴの構成員が課室長以上だった、実働要員がいなかったという指摘が報告書でもありましたけれども、このＣＳＩＲＴの構成員を決定するのはどなたなんでしょうか。
○政府参考人（安藤英作君）　ＣＳＩＲＴの構成員を決定をいたしますのは、セキュリティーポリシーにおきまして構成員の規定をしておりますので、情報セキュリティ委員会ということになってまいります。
　検証委員会の報告にもございますとおり、ＣＳＩＲＴに実働要員が選任されていなかったということをまた大変な問題だというふうに御指摘をいただきまして、今後、即応性、専門性を高めるために、また、実際に事案の対処や関係者の連絡に従事できるという観点から、補佐、係長クラスの職員を充てるとともに、外部の専門家を加えることを検討したいと考えてございます。
○行田邦子君　ＣＳＩＲＴの構成要員を決めるのは情報セキュリティ委員会である、そのトップはＣＩＳＯ、官房長であるということは、今回様々な不備が指摘されているＣＳＩＲＴの体制を整えるべき責任者は官房長、ＣＩＳＯだったということでしょうか。
○政府参考人（安藤英作君）　形式上はそういう形になると存じます。
○行田邦子君　ちょっと、まだたくさん質問したいこともありますけれども、私は、今回の問題が起きたのは、日本年金機構にももちろん責任がありますけれども、厚生労働省の情報セキュリティーの体制、そして組織の整備といったことに不備があった、これはもう大臣もお認めになっていると思います。そしてまた、さらにはその組織や体制を決めるその責任が誰なのか、誰が判断するのかということにも私は非常に曖昧さがあるということに問題があるということを指摘をさせていただきまして、時間となりましたので終わります。
　ありがとうございます。
○薬師寺みちよ君　薬師寺みちよでございます。
　まず、私、今日は主に日本年金機構の制裁審査委員会のことについて取り上げさせていただきたいと思います。
　報告書によれば、理事長を始めとした役員及び関係者の責任については、本調査結果や、厚生労働大臣の下に設置された日本年金機構における不正アクセスによる情報流出検証委員会の検証結果というものを踏まえて、当機構内に設置されている制裁審査委員会の審査を経て厳正に対処することとすると書いてございます。
　質問する前に、何点か、理事長、確認をさせてください。
　まず、この制裁審査委員会の中で、今回、理事長を始めとした役員及び関係者の責任についてということになっておりますけれども、この制裁の内容を、私、規程の中で確認をさせていただきましたら、注意から解雇までと様々な内容がございますが、これについて、この審査をされる対象に理事長を始めとした役員というのがしっかり入っているという認識でよろしゅうございますでしょうか。
○参考人（水島藤一郎君）　はい、入っております。
○薬師寺みちよ君　ありがとうございます。
　では、御検討いただきたいことがございます。
　じゃ、この委員のメンバーは誰なのかということを、私、この中でも確認をさせていただきました。「委員長は、副理事長をもって充てる。」、委員長は副理事長ですよね。かつ、「委員は、理事長が指名し、」ということになっております。委員の一人は外部の有識者も充てるということになっておりますが、これで本当に理事長、そして役員の皆様方というものの正常な判断、もちろん正常にこれは私は制裁を加えていただくような内容になってほしいとは思っておりますけれども、そんなことができるのかどうなのかということ、理事長のお考えをお聞かせいただけますでしょうか。
○参考人（水島藤一郎君）　ちょっと正確に御報告を、御説明を申し上げたいと思いますが、役員の制裁の場合、それから職員の制裁の場合、それから私の制裁の場合と、この三つのケースがございます。私の制裁は理事会で行われます。それから、役員の制裁でございますが、役員の制裁は役員制裁審査委員会というのがございまして、ここで行われます。これは、監事二名、非常勤理事四名、それから外部委員一名で構成されておりまして、委員長は互選でございます。それから、職員の制裁でございますが、職員の制裁に関しましては今御指摘がございましたとおりでございまして、副理事長が委員長でございまして、そのほかは外部委員が一名、その他は内部委員でございますが、基本的には、この制裁委員会、職員の制裁委員会も極めて厳正に行われておるというふうに考えておりまして、ここは監事もオブザーバーで入っているかどうか、ちょっと確認を要しますが、かなり公正かつ厳正な議論が行われているというふうに認識をいたしております。
○薬師寺みちよ君　ありがとうございます。
　しかし、私が読みましたのはこの調査結果の報告書なんですね。理事長もその中に入っているような表現になっておりますが、じゃ、この調査報告書が間違っていたということになるんでしょうか。
○参考人（水島藤一郎君）　正確な表現ではなかったということだと思います。これは、正確に申し上げると、今申し上げたように三つの制裁の委員会を並べて、私、理事長の場合はこういうステップ、それから役員の場合はこういうステップ、それから職員の場合はこういうステップということで個別に書くべきでございましたが、制裁審査委員会としてまとめて書いてしまったという点について、やや不正確だったということについてはそのとおりでございます。
○薬師寺みちよ君　ありがとうございます。
　これが不正確であれば、私の今日の質問というのは本当に前提が崩れてしまいます。これは、理事長を始めとした役員、関係者の責任について制裁審査委員会の審議を経て厳正に対処するというふうに書かれております。ということは、全てがそこで判断がなされるというふうに私は受け取りましたけれども、それが違うという御答弁でよろしゅうございますんですね。
○参考人（水島藤一郎君）　要するに、制裁委員会の、役員制裁委員会それから職員制裁委員会、そこにおいて審査を行った後に、私についてだけは理事会で制裁を最終的に決定するということでございまして、それが正確でございます。
○薬師寺みちよ君　ありがとうございます。
　じゃ、正確にこの文書をもう一度直していただきたいと思います。でないと、これは全てが制裁審査委員会、だから、「理事長をはじめとした」というふうに書いてございますので、理事長も全てそこで審査されるというふうに受け取られて私は仕方がないのではないのかな、この書きぶりではと思っておりますので、これを直していただけますでしょうか。理事長、お願いをいたします。
○参考人（水島藤一郎君）　制裁審査委員会が役員の制裁の審査委員会と職員の制裁の制裁審査委員会がございますが、この二つをまとめて制裁審査委員会というふうに書いてしまったところに正確性を欠いた面があると……（発言する者あり）御質問は、申し訳ございません、訂正しろという……（発言する者あり）済みません。
　済みません、もう一度……
○薬師寺みちよ君　ありがとうございます。
　もう一度、私、読ませていただきます。この三十五ページに、「理事長をはじめとした役員及び関係者の責任については、」「制裁審査委員会の審議を経て、厳正に対処する」ということは、理事長もここで審査を受けるものだというふうに受け止められますよね。ですから、違うのであれば違うとして、はっきりこれを訂正した文書を出していただけますかということです。
○参考人（水島藤一郎君）　前段でおっしゃったことが正しいステップでございまして、制裁委員会の議を経て、私も制裁委員会の議を経て、最終的に私だけは理事会で決定するということでございます。
○国務大臣（塩崎恭久君）　分かりにくいと思うので、正確を期した分かりやすい文章にして理事会にお届けしたいというふうに思います。
○薬師寺みちよ君　ありがとうございます。
　もうこれだけでもかなり時間を経てしまったんですけれども。
　私も、やっぱり今回問題にしたいのは、一体誰がどのような責任を取るのかということです。この日本年金機構の職員制裁規程の中で減給というものが規定されておりますけれども、同委員会、しっかりと減給も含めて今回検討をしていただけるのかどうなのか、理事長、御意見いただけますでしょうか。
○参考人（水島藤一郎君）　この審査は規程に基づいて行いますので、もちろん、減給も含めて検討を行うということに、審査を行うということになります。
○薬師寺みちよ君　ありがとうございます。
　先日いただきました報告書の中でも、今まで既に六億円という、そしてこれから新たに四億円、計十億という国民の財産が使われるということになってしまいます。年金記録の問題のとき、社保庁の職員に対して長官が給与の自主返納も求めております。十億円に相当するぐらいの額というものを減給、自主返納で賄わないと、これ、国民の理解が得られないのではないのかなと私は考えております。国民は何も悪くはありません。しかし、政府に言われるがままお金を払っていたら、いつの間にか何かが起こってしまって、また自分たちの財産が十億円減ってしまった。全くこれ、私、国民一人一人、理解を得てくださいという方が無理だと考えております。
　職員に対して給与の自主返納等を求める意思は、理事長、ございますでしょうか。
○参考人（水島藤一郎君）　まず、今回の不正アクセスによる個人情報の流出事案を重く受け止めまして、六月期に支払われる予定でございました役員賞与は、現在、その支払を全額留保をいたしております。約千八百万円でございます。
　これから、私を始めとした役員及び関係者の責任につきましては、調査報告書あるいは検証委員会の報告書、検証報告書を踏まえまして厳正に対処をしていくということになると思います。また、現在支払を保留しております役員の賞与の取扱いについても、これを踏まえまして適切に対応を検討してまいりたいというふうに考えております。
　また、職員の給与カットに関しましては、労働協約の締結、就業規則の変更、又は職員から個別同意を取る方法等があるというふうに認識をしておりますが、給与のカットを行うことは重要な労働条件の不利益変更になりますので、慎重に検討する必要があるというふうに考えております。
　なお、今般の不正アクセス事案への対応に要しました費用につきましては、厚生労働省とも協議の上、機構の今年度予算の事業の見直しや経費の節減等の努力を最大限行ってまいる所存でございます。
○薬師寺みちよ君　ありがとうございます。
　今日、資料をお配りをいたしております。
　これは、平成十九年度から二十五年度まで、年金記録問題対策に掛かった費用の推移でございます。これを見ましても、平成十九年から二十五年まで合計で四千億円以上というものが既に掛かってしまっている。こうやって不祥事が起こるたびに税金で尻拭いをしてしまうと、いつまでたっても緊張感も出てこない。これ、普通の会社だったら潰れておりますが、先ほどもございましたが、潰れないからこそ甘えが出てきてしまう。
　しっかり、今回の報告書が出た限りにおいては、大臣にも監督責任者として給与の自主返納、若しくは厚生労働省に対してもやはりある程度自主返納というものを求めていく必要があるのではないかと思いますが、大臣、御意見をいただけますでしょうか。
○国務大臣（塩崎恭久君）　私どもの責任についてはもう繰り返し申し上げておりますのでこれ以上は繰り返しませんが、いずれにいたしましても、私自身は厚生労働省の最高責任者でありますから、そのけじめは付けなければいけないというふうに思っていますし、職員においても同様であり、それは機構の職員と同じように監督責任がやはり職員にもございましたので、それから、情報関係でこれだけの脆弱さを示した結果として、先ほど検証委員会にも書かれているように、国民からの年金に対する信頼を失ったことの重みを考えて、法律や規定にのっとって適切な対処をしていかなければいけないというふうに思っております。
○薬師寺みちよ君　ありがとうございます。
　その適切な対応という中で一点、大臣、教えていただきたいんですけれども、先日の島村委員の質問に対しての答弁で、厚労省と機構の間の関係について再定義というものも必要なんじゃないかというふうにおっしゃっていらっしゃったかと私は記憶をいたしております。
　ということは、この年金機構が特殊法人という外部の組織であったように、これからまたその形態を変えるというようなことも含めて検討していらっしゃるのかどうなのか、その辺り、御意見をいただけますでしょうか。
○国務大臣（塩崎恭久君）　結論的に、組織を、これは法律でできた組織でございますから、それを変えるということを申し上げているわけではなくて、むしろ、例えば機構ＬＡＮのことについては、ポテンヒットのように、結局誰が監督をするのかよく分からないままに、年金局のこれは明らかに監督責任はあるわけですけれども、担当もよく分からないということで、これはあるまじきことということで検証委員会にも言われているわけですから、これは、こういう形で特殊法人にしたがゆえにすっぽ抜けが至る所にできているということがないのか。
　そうすると、監督の在り方ということをもう一回考え直すべきじゃないかということを私は考えていて、そうなれば、当然、機構の組織も考えてもらわなきゃいけませんし、私どもの厚労省の組織自体も考えていかなければいけないし、どういう人事政策でいくのかということも考えなければいけないというのがこの両方の組織の間の関係、いろいろありますから、そういうことで、自らの資産である基幹システムだけを見ているような形で人が行っていたりとかいうようないびつな形の監督ではなく、もっときちっとした監督でありながら、もちろんこの機構というものをつくったときの当初の期待をしていた機能はやっぱり改めて発揮してもらうということのために、じゃ、何をするんだと。
　今それが十分発揮されているとはとても思えませんから、そういうことを含めて、厚労省と機構は、まさに公的年金制度の制度をつくるけれども、それと全く同じだけの価値のある大事なことである支払というところに着実、確実なものをやっていただくための、私たち二者の関係はどうあるべきかということを考えたいと、こういうことです。
○福島みずほ君　社民党の福島みずほです。
　肝腎なことがなかなか解明されていないので、改めて水島理事長にお聞きをいたします。
　八月二十五日のこの厚生労働委員会で、百二十五万件以外の個人情報がこの中に入っていること、それから四情報以外があることに関しましては否定をいたしませんと答弁をされていらっしゃいます。
　四情報以外に何があるんでしょうか。
○参考人（水島藤一郎君）　百二十五万件に関しまして……
○福島みずほ君　四情報以外に何かを答えてくだされば結構です。
○参考人（水島藤一郎君）　それは、現在調査を行っているところでございますので、その中で御報告を申し上げるということになると思います。
○福島みずほ君　違うでしょう。四情報以外に何が入っているのかと聞いているわけで、調査しなくても分かるでしょう。
○参考人（水島藤一郎君）　従来から申し上げておりますことは、四情報以外があることは否定をいたしませんというふうに申し上げてきているわけでございまして、調査をした上できちんと御報告をしたいというふうに考えております。
○福島みずほ君　もうずっとこの委員会で議論していて、すぐ、もう、調査すれば五分ぐらいで分かるようなことじゃないですか。
　四情報以外に何があるんですか。
○参考人（水島藤一郎君）　これに関しまして御答弁申し上げておりますのは、例えば国民年金のいわゆる納付率を引き上げる際に、そのようなデータを共有ファイルサーバーの中で使うというようなことはあると。その中で、例えば納付状況のようなものについてはあるということについて、口座振替あるいはクレジットカードの納付の状況、口座振替の状況とかクレジットカードの納付の状況とか、こういうものについてはあるというふうに御答弁申し上げております。
○福島みずほ君　そうしたら、その四情報以外に具体的に何があるか、答弁していただいていますが、書面で理事会に提出をしてください。
　それらが流出していないというのは確証がありますか。流出しているというのはありますか。流出していないという証拠はありますか。
○参考人（水島藤一郎君）　度々御答弁申し上げておりますが、現在、百二十五万件、そして四情報以外の流出は、お客様の個人情報の流出は確認されておりませんというふうに申し上げております。
○福島みずほ君　私の質問は、四情報以外が流出したということがあるかどうかということです。今、四情報の中身について御答弁していただきましたので、それを詳細に言っていただくことと、四情報以外の情報が流出しているかどうかについて文書で提出してください。理事会で諮ってください。
○福島みずほ君　クレジットの状況やいろんなことが四情報以外に入っていて、もしそのことが流出していたら大変なことになるじゃないですか。だから、それは大問題ですよ。そのこともきちっと真摯にちゃんとこの委員会で明らかにすると。やってください。
　それで、資料を今日お配りしておりますが、今回の年金情報流出事件に当たり、政府機関の情報セキュリティ対策のための統一基準や、府省庁対策基準策定のためのガイドラインというのをお配りしております。
　四十一ページ目の「遵守事項」とありますが、情報セキュリティーインシデントに備えた事前準備、報告手順、対処手順、緊急連絡網、あるいは訓練の内容及び体制、府省庁外の者から報告を受ける、これの遵守事項は守られたのでしょうか。
○参考人（水島藤一郎君）　当機構は、ＮＩＳＣがお示しになっていらっしゃいます政府統一基準やガイドラインについては直接適用されてまいりませんでした。しかしながら、今御指摘のＣＳＩＲＴは、被害の拡大防止等を図るための応急措置の実施に係る指示又は勧告を行うことと定められているということは承知をいたしております。
　この点に関しまして、機構には、既に御説明申し上げておりますが、ＣＳＩＲＴは設置してまいりませんでした。そういう意味で、ＮＩＳＣの調査報告書、検証委員会の報告書いずれも、私どもの調査報告書においても、体制が不十分であったと指摘されているところでございます。
　今回、機構の対応といたしましては、五月二十二日、二十三日にセグメント単位で遮断をし、二十九日にインターネット遮断を、全遮断をウエブ閲覧についてはいたしました。この判断については遅過ぎたというふうに反省をいたしております。
　また、標的型攻撃に対して、情報セキュリティーポリシーの定めが抜線のみでございまして、インシデント対処手順書も定めていなかった、対処ルールの不備が今回の情報流出の要因の一つになったと考えております。この点も反省すべきだというふうに考えております。
○福島みずほ君　私の質問は、機構に対してではなく厚労省についてです。この遵守事項は厚労省に掛かっていると思いますが、厚労省はこのことを遵守したのでしょうか。
○政府参考人（安藤英作君）　お答え申し上げます。
　この五月八日からの年金機構の事案に関しましては、御案内のとおり、情参室におきましては担当の係の者で情報が止まっておりまして、ＣＳＩＲＴの要員でございます課室長以上あるいは官房長に情報が上がっていなかったということで、ＣＳＩＲＴは機能しなかったということでございます。
○福島みずほ君　確認ですが、報告手続を整備し、事前準備の、今私が聞いたのは四十一ページ目の遵守事項ですが、あらかじめこういうものをきちっと作って、厚労省内でやる、その事前準備、事前手続の遵守事項はなかったということでよろしいですね。
○政府参考人（安藤英作君）　今お話のございましたような手順に関しましては、事前に規定されているところでございます。
○福島みずほ君　では、なぜそれが遵守されなかったんですか。
○政府参考人（安藤英作君）　先ほども申し上げましたとおり、情参室におきましては担当の係の者から上に情報が上がってこなかったというようなことでございまして、この手続にのっとった対応が取れなかったということでございます。
○福島みずほ君　その責任はどこにありますか。
○政府参考人（安藤英作君）　検証委員会の報告にもございますとおり、厚労省全体としてサイバーセキュリティーに関します危機意識が不足だったというようなことが指摘されているところでございまして、反省すべき点だと考えてございます。
○福島みずほ君　先日、ＮＩＳＣの方で遮断についてのマニュアルがあるというふうな答弁だったんですが、このマニュアルの中での遮断のマニュアルというのは、四十四ページ、上から黒丸の２．２．４（２）（ｃ）ということでよろしいんでしょうか。（発言する者あり）
○委員長（丸川珠代君）　引き続き御発言ください。
○福島みずほ君　はい。
　いつ遮断するかというのが極めて重要だというのがそれぞれの報告書を読んでつくづく思いました。先日、ＮＩＳＣが遮断用マニュアルがあるというふうにおっしゃったので、その遮断用マニュアルというのは、配付資料の四十四ページ、遵守事項２．２．４（２）（ｃ）ということでよろしいでしょうか。
○政府参考人（谷脇康彦君）　大変失礼いたしました。
　御指摘のとおりでございます。
○福島みずほ君　しかし、これで遮断のマニュアルになるんでしょうか。つまり、今回、機構が遮断するのが極めて遅れたというのが大問題なんですが、これで遮断の手続について徹底することができるでしょうか。どうでしょうか。
○政府参考人（谷脇康彦君）　お答え申し上げます。
　各府省におきまして、情報システムをインターネットから遮断するかどうかということは、各省庁の業務、事業の継続性と密接に絡んでくるところでございます。したがいまして、各省庁におきましてそれぞれの事情を勘案して決定をしていただく必要がございます。
　ただ、この規定で十分かという点につきましては、引き続きこの統一基準あるいはそれに基づくガイドラインの見直しを継続的に行っていく必要があるだろうというふうに考えているところでございます。
○福島みずほ君　これでは、いつ遮断したらいいのか、マニュアルとして、停止又は隔離についてはというふうにしか載っていないので、これでは十分なマニュアルではないと思います。
　マイナンバーについてなんですが、マイナンバーについて、この統一基準、このガイドラインが適用になるということでよろしいですね。その場合、やっぱりマイナンバーの遮断についてもこのマニュアルでは不十分ではないか。いかがですか。
○政府参考人（谷脇康彦君）　お答え申し上げます。
　マイナンバー制度につきましても、当然、政府機関、中央省庁につきましては、この政府統一基準に基づくセキュリティーポリシーにのっとって進めていくことになるわけでございます。また、マイナンバー制度につきましては、地方自治体も関係してくるわけでございます。
　総務省におきましては、統一基準に基づいて、地方公共団体に対して情報セキュリティーガイドラインを示しているところでございますけれども、こうしたものの中身につきましても継続的に精査をしていく必要があるだろうというふうに考えてございます。
○福島みずほ君　そのマイナンバーなんですが、自治体のセキュリティー対策は極めて脆弱ではないでしょうか。
　八月二十七日の参議院内閣委員会の質疑で、山口沖縄・北方担当大臣は、サイバー攻撃への対応策が不十分な地方自治体も制度の運用に加えるのかという質問に対し、できていない自治体は制度に入れないと答弁をしております。
　でも、できていない自治体がほとんどなんじゃないですか。
○政府参考人（猿渡知之君）　お答え申し上げます。
　自治体における情報セキュリティー対策につきましては、先ほど谷脇審議官の方からお話がありましたように、政府機関の情報セキュリティ対策のための統一基準などを踏まえまして、この三月にガイドラインを改定いたしまして、その際に標的型攻撃等の対策も加えたということであります。
　御案内のとおり、今般の日本年金機構における事案というのは大きな警鐘になったということで、八月十二日に自治体情報セキュリティ対策検討チームが中間報告というものを出したわけでございます。それに基づきまして、現在、インシデント発生時におけるＮＩＳＣまでの連絡ルートの強化、緊急時対応計画の見直し、訓練の徹底等とともに、セキュリティー専門人材のノウハウを自治体の対策に生かすための仕組みとして、自治体情報セキュリティ支援プラットフォームの整備等を進めるとともに、インターネットのリスクへの対応ということで、安全性の確認、システム全体の強靱性の向上ということを図っておるわけでございます。
　先般の御議論の中では、マイナンバーの施行までに安全性の確認に徹底を努めたいということで、今、鋭意進めておるということでございます。
○福島みずほ君　いや、私がお聞きしたのは、できていない自治体は制度に入れないということでよろしいんですね。
○政府参考人（猿渡知之君）　マイナンバー制度の運用等々については、当方としてお答えする立場にございませんけれども、我々としましては、先ほど申し上げましたとおり、組織体制の再検討、職員の訓練等の徹底、インシデント即応体制の整備と併せて、インターネットのリスクへの対応というものを徹底して、自治体の皆さんと一緒に進めていく、それに精いっぱい努めてまいるということでございます。
○福島みずほ君　ＮＩＳＣが幾ら統一基準やガイドラインを作っても、実際はそういう手続を作っていても、今回のこの年金情報流出の本当に教訓は、実際事件が起きたときにそれが全然作動しなかったということにあります。
　ですから、幾らそういう基準を作り、いや、この統一基準が政府の省庁間で適用ありますといっても、でも実際、マイナンバーのときも、それが遮断やいろんなことが的確に行われるのか。それから、自治体の情報が入りますので、それは脆弱なところもたくさんあって、実はそこから漏れていくというふうに私は思っております。
　マイナンバーのところの医療情報なんですが、特定健診とそれから予防接種履歴がリンクをされますが、特定健康診査は、これは、問診票、標準的な質問票などたくさんありますが、要するに例えばどんな薬を飲んでいるかとか、貧血かとか、たばこを吸っているかとか、お酒を飲んでいる量とか、どんな薬を飲んでいるか、そういう問診票とかありますが、これも全部リンクするということでよろしいですね。
○政府参考人（唐澤剛君）　簡潔にお答えいたします。
　私ども、特定健診の情報につきましては、今、実際の受渡しの手順等や様式等を定めておりませんので、今年度中にこの手順については定めたいと思っております。
　ただ、他方で、現在、特定個人情報の管理はそれぞれの保険者ごとの被保険者番号で管理をしておりますので、うまくつながらないということがございますので、基本的には、私どもはこの問診票に載っておりますことをベースにして引継ぎをさせていただきたいと思っております。ただし、文書で記入したようなものをどうするかというようなことについては検討させていただきたいと考えております。
○福島みずほ君　こういう項目がマイナンバーとリンクをしていくということは極めて危険で、実際はその人の、様々な薬を飲んでいるとか、生活習慣も含めたものが全部マイナンバーにリンクするんですよね。だとすると、今回の年金情報漏れの教訓は、本当にきちっと考えないと大変なことになると思っています。
　まだまだ質問したいこともあったんですが、今回、若干、年金情報についてはマイナンバー使う時期を延期をしました。でも、延期どころで済むのかというふうに私は思っておりますし、根本的に問題があると。それから、医療情報、こんな薬を飲んでいるとか、心臓病だとか、腎不全があるとか、問診票にも細かいことを聞いていますよね。こういうものがマイナンバーとリンクをして、それが万が一漏れたら、あるいは製薬会社や生命保険会社にこれが流れないという保証はないわけで、極めて問題だと思います。
　質問を終わります。
○委員長（丸川珠代君）　本日の調査はこの程度にとどめ、これにて散会いたします。
　　　午後五時二十六分散会