さくらインターネットさんは毎月報告を、三か月置きに、済みません、三か月置きに報告をいただいて、今、何というんですかね、寄り添う形で状況を伺っているところであります。

　一方で、ＩＳＭＡＰ基準に、結構厳しくて、国内事業者がいわゆるパブリッククラウドの事業者として選ばれないというのは、これサイバーセキュリティー始めいろんなことがありますので、ここは緩められないと思います。

　一方で、今話ししているのは、これパブリッククラウドだけの話ししていますけど、プライベートクラウド使うこともありますし、オンプレサーバーも国が使うことがあるので、そこは国内事業者がかなり力持っていますので、そういうところから、プライベートクラウドのところからパブリッククラウドまで行っていただきたいなというふうには思います。

　いずれにしても、こういった事業者の支援は専ら経産省の方で、データセンター支援とか国内のクラウド事業者育成というのは経産省のメニューを使っていただきたいと思っております。

大臣、ありがとうございます。

　今回のガバメントクラウドだけではなくて、恐らくＤＸの話が多分これは多分に含まれると思いますので、是非、デジタルトランスフォーメーションを進めていく上では様々な、業務効率だけではなくて、サービス内容の充実含めていろいろと御検討を是非いただければと思いますので、よろしくお願いをいたします。

　それでは、通告した順番で一番からまた確認をしていきたいと思います。

　まず、このガバメントクラウド、現状は五つのクラウドサービス事業者が選定されています。選定には、セキュリティーの観点などで約三百三十を超える選定基準が設けられているということで認識しておりますけれども、今後、この新規の事業者がガバメントクラウド事業者として応募したいといった場合にはその新規参入のプロセスはどのようになるのか、この点お伺いしたいと思います。

お答え申し上げます。

　御質問につきまして、政府機関等の情報システムのサイバーセキュリティー上のリスクという観点からお答えをさせていただきたいと思います。

　政府機関等によるクラウドサービスの調達につきましては、ＩＳＭＡＰ、正式には政府情報システムのためのセキュリティ評価制度という制度がございます。各政府機関等がクラウドサービスを調達しようとするときは、原則ＩＳＭＡＰクラウドサービスリストに登録、掲載されたリストから、サービスから調達することとされてございます。

　クラウドサービスのＩＳＭＡＰリストへの登録申請に当たっては、クラウド事業者に対して、国際標準等を踏まえて策定されたセキュリティー基準であるＩＳＭＡＰ管理基準を満たすことを求めておりますほか、例えばデータセンター等の場所や準拠法令、裁判管轄権、資本関係や役員の情報などのサプライチェーンに関する情報の提供を求めております。

　政府では、これらの情報を基に、基準への適合性やサプライチェーン上のリスクの有無を審査した上で、クラウドサービスの登録可否を総合的に判断しております。

　なお、ＩＳＭＡＰではデータセンターの場所を国内に制限するといったことはしてはございませんが、当該サービスがＩＳＭＡＰに登録された場合には、ＩＳＭＡＰリストにデータセンターの設置場所等の情報を含めて記載、公表することとしております。

　各政府機関等においては、これらの情報を踏まえて、個々の情報システムの業務内容や取り扱う情報等に応じて、ＩＳＭＡＰリストの中から適切なクラウドサービスを調達するということとされてございます。

　政府としましては、こうした制度を通じて、政府機関等において適切なクラウドサービスが選択され、データの安全が確保されるよう引き続き取り組んでまいりたいと考えてございます。

ちょっと数倍、数十倍、具体的にまた教えていただければと思いますが、今自治体も運用しているので、オンプレサーバーなり自治体クラウドで。ですから、その御負担は自治体にしていただくというのは大原則です。その上で、今やっているよりもちゃんと低くなるようにあらゆるメニューやサポートを動員してやろうと我々思っていますので、それで実現できるというふうにも思っております。

　なので、その上で、いやいや、それでも全然ランニングコスト違うじゃないかと、新たな需要も出てきますよね、サイバーセキュリティーも強化しなければいけないとか新たな需要も出てくると思いますけれども、その辺でそういうようなそごが出てくるようであれば、その時点でしっかり対応を考えたいと思います。

御質問ありがとうございます。

　重大なサイバー攻撃は、国家を背景とした形でも日常的に行われているところであります。重要インフラ事業者等のサプライチェーン全体のセキュリティーを確保をする必要があること等を踏まえると、官のみ、民のみでサイバーセキュリティーを確保することが困難な状態になっています。

　このため、十一月に有識者会議からいただいたサイバー安全保障分野での対応能力の向上に向けた提言においては、情報共有こそが社会全体の強靱化を高める上で最重要であることから、政府が率先して情報を提供し、官民双方、双方向の情報共有を促進すべきとされており、政府において本提言に示された考え方に基づき具体的な検討を行っているところでございます。

　今、ランサムウェアも御指摘をいただきましたが、新しいウイルス若しくは新しい攻撃方法など、ゼロデー攻撃などがありますので、官民が連携をすると、そのことによってほかの被害を防ぐという意味では民間企業を守ることに資するというふうに考えております。

　また、御指摘のサイバー安全保障については、安全保障という言葉の意味は、一般に外部からの侵略等の脅威に対して国家及び国民の安全を保障することを意味するものとされており、サイバー安全保障は、これをサイバー空間においても確保するといった考え方であると御理解いただきたいと思います。

おはようございます。兵庫九区、明石市、淡路島から参りました橋本慧悟と申します。

　では、早速質問を通告に従いまして進めさせていただきます。平大臣には、昨日別の委員会で質問させていただきました。今日も引き続きよろしくお願いいたします。

　時間の関係もございますので、ちょっと一番は一度飛ばさせていただいて、申し訳ございません、データセンターの設置場所についてからということでよろしいでしょうか。

　先ほどから、神津先生、そして安藤先生の中でも議論が進んでおりますが、データセンターの設置場所については、ガバメントクラウドの提供事業者として令和五年度までに選定されたのは全て海外の事業者であります。データセンターの設置場所を日本国内に限定するというのはもちろんのことでありますが、海外の事業者が提供するクラウドの場合には、監督権限を持った政府機関によるアクセス、ガバメントアクセスと呼ばれますが、これや事業者による遠隔でのアクセスができないように対策していると理解をしております。ただ、仮に米国政府から介入があった場合は拒否条項を入れて対応するということのようですが、海外事業者が私たちの大切なデータを扱うということに対してやはり国民の不安は大きい面があると思います。

　漏えいした場合のリスクが明らかな利用者データを保管する場合はデータを判読できないように暗号化の措置を講ずるということになっておりますが、将来的に、例えば量子コンピューター等の先進的な技術によって暗号が解読されるリスクや対応策について政府はどのように考えているのか、御見解をお聞かせください。

自治体クラウドで取り組まれている皆さんは、先ほど申し上げました一自治体でサーバーを持ってやっている、オンプレサーバーでやられている方々よりも多分ローコストでランニングが実現をしているんだろうと思います。なので、ガバメントクラウドに移ったとしても、オンプレサーバーの方々から比べれば、その効果は圧縮をされると思います。

　一方で、ガバメントクラウドは規模の経済性が働きますので、イメージとしては、自治体クラウドはこんな感じだ。ガバメントクラウドは広いのでコストのところにも優位に働きますし、また、サイバーセキュリティーにおいても、ガバメントクラウドの方が常に最新の情報を入れながら高度なサイバーセキュリティーの体制が組める。さらには、災害があったときの復旧復興もガバメントクラウドの方が優位だと思いますので、コストのみならず、サービスの高度化、サービスの強靱化においてガバメントクラウドに是非移っていただきたいと思っております。

委員御指摘のとおり、基本、自治体で御負担いただくことになっています。その上で、今回の法律を通していただいて、クラウド事業者と我々が交渉をして大口割引、長期割引などをかち取っていく。あとは、クラウド最適化をすることによってランニングが下がりますので、こういったところの支援もデジタル庁としてしていきたいというふうに思います。

　自治体の方々に是非考えていただきたいのは、クラウドがなかったとして、自分でオンプレサーバーでやったときに、これから更に熾烈になってくるサイバー攻撃から本当に自分のサーバーを守れるんでしょうかとか、人材が採れるんでしょうかという観点を考えれば、これはクラウドで、みんなで協力をしてガバメントクラウド化にするしかないと思いますので、よく協力をして、コストも抑えていく努力をしてまいりたいと思います。

コストの面につきまして御丁寧に御説明いただきまして、本当にありがとうございました。

　続きましては、セキュリティー面についてお伺いをしたいと思います。米国企業のクラウドを利用する場合に想定されるリスクでございます。

　米国のＣＬＯＵＤ法の下では、米国企業が運営するクラウドサービスを利用する場合、サーバーが日本国内にあったとしても、米国政府がデータにアクセスするリスクが排除できないという指摘があるかと思います。特に、日本のガバメントクラウドにおいて米国企業であるアマゾンウェブサービスが約九割を占めているといった現状では、このリスクが現実のものとなる可能性があります。政府として、このようなガバメントアクセスによるデータ主権侵害や機密情報漏えいのリスクをどのように認識し、現段階でどのような対策を講じているか。また、万が一これらの事態が発生した場合、責任の所在はどこにあるか。

　これは、先ほどの質問で大臣からクラウドサービス事業者というお答えがあったかと思います。しかしながら、ガバメントクラウド、大変膨大なデータを管理されると思います。一つの事業者のみが責任を負うといったことに対して、国民の皆様からの不安の声はあるかと思います。こちらは政府も責任を負うべきかと思いますが、いかがお考えでしょうか、お答えください。

御質問ありがとうございます。

　今回、特にｉＰｈｏｎｅについては、スマホ搭載の際にスマートフォン側に、いわゆる四情報とマイナンバーと顔写真というマイナンバーカードでもチップで持っている情報を今回は載せることになります。そのため、前回の改正マイナンバー法では、このスマホに搭載されることになる基本四情報等を特に外に持ち出す際に、その外に送り出す送信用プログラムについては、技術的基準を定め、大臣認定されたものしか使えないというような形で、そもそも制度、法律の方をお認めをいただきました。

　この規定は、ＯＳ事業者が自身で作る場合ももちろんでございますが、ＯＳ事業者さん以外がこの部分をやりたいという場合も含めて全て均等に適用されます。と同時に、この技術的基準の内容の中で、その四情報が送り出されるときに、例えば、ＯＳベンダーが途中でのぞいちゃうんじゃないかとか、余計なセキュリティーでのタッピングを受けやすくなるんじゃないかといったようなことがない技術的基準をしっかりと定めてまいりたいというふうに考えてございます。