諮問庁：厚生労働大臣
諮問日：令和３年３月２３日（令和３年（行情）諮問第９９号）
答申日：令和４年５月２６日（令和４年度（行情）答申第２７号）
事件名：厚生労働省情報セキュリティポリシー等の一部開示決定に関する件
答申書
第１ 審査会の結論
別紙に掲げる文書１及び文書２（以下，併せて「本件対象文書」という。）につき，その一部を不開示とした決定について，諮問庁がなお不開示とすべきとしている部分は，不開示とすることが妥当である。
第２ 審査請求人の主張の要旨
１ 審査請求の趣旨
本件審査請求の趣旨は，行政機関の保有する情報の公開に関する法律（以下「法」という。）３条の規定に基づく開示請求に対し，令和２年７月３０日付け厚生労働省発政統０７３０第１号により厚生労働大臣（以下「処分庁」又は「諮問庁」という。）が行った一部開示決定（以下「原処分」という。）について，原処分の不開示決定部分を取り消し，開示決定（少なくともさらなる部分開示決定）を求めるというものである。
２ 審査請求の理由
審査請求人の主張する審査請求の理由は，審査請求書及び意見書の記載によると，おおむね以下のとおりである。
（１）審査請求書
ア 審査請求人は，作成・保管文書の「機密性格付け」，「取扱制限」の設定や運用に関する説明，基準・運用等が記載された文書（電磁的記録含む）について情報公開請求をしたところ，本件対象文書の一部開示決定処分がなされ，①厚生労働省情報セキュリティポリシー（平成３１年４月１日改訂厚生労働省最高情報セキュリティ責任者），②情報取扱手順書（平成３１年３月１３日改訂厚生労働省統括情報セキュリティ責任者）が開示されたが，そのほとんど全てが「公にすることにより，厚生労働省における情報セキュリティ対策の具体的内容に関する情報が明らかになる又は推測が可能となることで，情報セキュリティ強度を低下させ，サイバー攻撃を誘発し，又はサイバー攻撃を容易ならしめるほか，システムの破壊を招くなど，国の安全が害されるおそれ，犯罪の予防に支障を及ぼすおそれ及び厚生労働省における情報セキュリティに係る事務の適正な遂行に支障を及ぼすおそれがある」とし，法５条３号，４号，６号柱書きに該当するとして，不開示とされた。
イ この点，厚生労働省の決裁文書においては，「格付け」の項目として「機密性格付け」及び「取扱制限」の項目があり，特に「機密性格付け」には「１」や「２」の数字が記載されている（この数字については不開示情報とは取り扱われておらず情報公開請求において開示されている）。
しかしながら，かかる「機密性格付け」の「１」や「２」の意味がわからなければ，開示請求者にこれが了知されたことにはならず，意味がない。そこで審査請求人としては上記アの開示請求を行ったわけであるが，上記ア記載の理由により全面不開示とされた。しかしながらこの「格付け」の基準やそれがあらわす意味自体が明らかとされたところで，情報セキュリティ強度を低下させ，サイバー攻撃を誘発し，又はサイバー攻繋を容易ならしめるおそれなどありえないのであって，少なくとも上記情報については不開示情報にはあたらず開示されるべきである。
（２）意見書
ア 諮問庁は，「厚生労働省情報セキュリティポリシー及び情報取扱手順書における情報の「格付」及び「取扱制限」の基準並びに情報の定義に係る記載については，公にしたとしても上記（３）のようなおそれはないと考えることから，新たに開示することとする」と述べ，原処分の一部を変更してその部分は開示するとして，その余については法５条３号，４号及び６号柱書きに該当するとして原処分を維持し不開示が妥当だとの意見を述べる（下記第３の３（４））。
しかしながら，現時点において審査請求人のところに原処分の変更決定について通知されることもなければ，開示された文書そのものが示されたこともない。
そのため，貴審査会からは審査請求人に令和３年４月２６日までに意見を述べることを求められているが，これら変更決定も変更決定後の新たに開示される部分の文書も見ないまま，意見を述べることなど不可能である。
また原処分の変更決定が現になされていない現時点においては，審査請求書で述べたとおり，原処分（不開示決定処分）は明らかに違法であるといわざるをえない（処分庁も違法であることを自認したからこそ，変更決定をする旨述べていると思われる）。
イ なお，上記のように処分庁が開示決定を一部変更して不開示部分の一部を開示するのであれば，すでに審査請求人は不開示部分（マスキング部分）も含めて郵送手数料を支払っていること，処分庁の都合で自らの誤りを認めて変更決定をすることからすれば，新たに開示される開示文書について審査請求人から改めて謄写・送付手数料を徴収するのは誤りであり，自主的に開示文書を審査請求人に送付すべきとの意見を申し添える。
第３ 諮問庁の説明の要旨
１ 審査請求の経緯
（１）審査請求人は，令和２年６月３０日付け（同年７月２日受付）で，原処分に対して，法３条の規定に基づき，「作成・保管文書の「機密性格付け」「取扱制限」の設定や運用に関する説明，基準・運用等が記載された文書（電磁的記録含む）一切」について，法４条１項に規定する手続により，開示請求を行った。
（２）これに対して，処分庁が，令和２年７月３０日付け厚生労働省発政統０７３０第１号により原処分を行ったところ，審査請求人はこれを不服として，同年９月２５日付け（同月２８日受付）で本件審査請求を提起したものである。
２ 諮問庁としての考え方
本件審査請求においては，原処分における不開示部分のうち，一部を新たに開示し，その余については原処分を維持することが妥当と考える。
３ 理由
（１）本件対象文書の特定について
開示請求の内容から，厚生労働省において情報の格付及び取扱制限について定める本件対象文書を開示請求対象文書として特定した。（２）原処分における不開示部分について
当該行政文書の具体的な内容については，公にすることにより，厚生労働省における情報セキュリティ対策の具体的内容に関する情報が明らかになる，又は推測が可能となることで，情報セキュリティ強度を低下させ，サイバー攻撃を誘発し，又はサイバー攻撃を容易ならしめるほか，システムの破壊を招くなど，国の安全が害されるおそれ，犯罪の予防に支障を及ぼすおそれ及び厚生労働省における情報セキュリティに係る事務の適正な遂行に支障を及ぼすおそれがあり，法５条３号，４号及び６号柱書きに該当するため，これらの情報が記載されていると考える部分を不開示とした。
（３）不開示情報該当性について
本件対象文書の不開示部分は表題や改定履歴，目次の一部を除いた規定の内容である。
前提として，本件対象文書が準拠している「政府機関等の情報セキュリティ対策のための統一基準群（平成３０年度版）」では，各省庁の情報セキュリティポリシーに係る公開範囲の基準等は示されていない。その上で，当該不開示部分については，単独では情報資産の脅威等に直結しない文章も含まれるが，他の公開情報等と突合されることで，当省の情報セキュリティの弱点が類推されるおそれや，職員になりすました攻撃（フィッシング詐欺，ビジネスメール詐欺，標的型メール攻撃等）に悪用されるおそれがあることから，法５条３号，４号及び６号柱書きに該当するため，不開示が妥当と判断した。開示請求の「作成・保管文書の「機密性格付け」「取扱制限」の設定や運用に関する説明，基準・運用等」に係る記載のうち，「格付」及び「取扱制限」の基準に係る記載を除いた箇所についても，情報の取扱いに係る運用等が明らかになることにより，格付や取扱制限に応じた情報セキュリティ対策の確認及び推測が可能となり，情報の窃取，破壊，改ざん，効率的な探索等に寄与すること，関係者になりすました標的型メール攻撃の精度を高めること等の理由から同様に不開示が妥当と判断した。
（４）新たに開示する部分について
本件対象文書における情報の「格付」及び「取扱制限」の基準並びに情報の定義に係る記載については，公にしたとしても上記（３）のようなおそれはないと考えることから，新たに開示することが妥当と考える。また，情報処理推進機構「情報セキュリティマネジメントとＰＤＣＡサイクル」（別紙（略）参照）によれば，情報セキュリティポリシーの文書構成は，「情報セキュリティ基本方針」，「情報セキュリティ対策基準」及び「情報セキュリティ実施手順」の３階層の文書構成を採るのが一般的とされており，このうち「情報セキュリティ基本方針」に関しては，「基本方針は，組織の経営者が，「情報セキュリティに本格的に取り組む」という姿勢を示し，情報セキュリティの目標と，その目標を達成するために企業がとるべき行動を社内外に宣言するもの」とされているところ，文書１における総則については，対外的な宣言を前提としてはいないものの，情報セキュリティの目標を記載している点で「情報セキュリティ基本方針」と同様の性質を有しており，その一部については公にしたとしても上記（３）のようなおそれはないことから，新たに開示することが妥当と考える。
さらに，文書１の「情報セキュリティ対策に関する政府決定等，情報セキュリティ対策に関連する法律」についても，本文と直接的な対応関係は認められず，参考として網羅的に関係法令等を列挙したものに留まるため，公にしたとしても上記（３）のようなおそれはないことから，新たに開示することが妥当と考える。
（５）審査請求人の主張について
審査請求人は「本件対象文書の不開示決定部分を取り消し，開示決定（少なくともさらなる部分開示決定）を求める」としており，その理由として「厚生労働省の決裁文書においては，「格付け」の項目として「機密性格付け」及び「取扱制限」の項目があり，特に「機密性格付け」には「１」や「２」の数字が記載されている（この数字については不開示情報とは取り扱われておらず情報公開請求において開示されている）。しかしながら，かかる「機密性格付け」の「１」や「２」の意味がわからなければ，開示請求者にこれが了知されたことにはならず，意味がない」とし，「この「格付け」の基準やそれがあらわす意味自体が明らかとされたところで，情報セキュリティ強度を低下させ，サイバー攻撃を誘発し，又はサイバー攻撃を容易ならしめるおそれなどありえないのであって，少なくとも上記情報については不開示情報にはあたらず開示されるべきである」と主張しているが，上記（４）で新たに開示するとした箇所を除き，不開示情報該当性については上記（３）で述べたとおりである。
４ 結論
以上のとおり，本件対象文書については，原処分の一部を変更し，上記３（４）で開示するとした部分については新たに開示した上で，その余については法５条３号，４号及び６号柱書きに基づき，原処分を維持して不開示とすることが妥当である。
第４ 調査審議の経過
当審査会は，本件諮問事件について，以下のとおり，調査審議を行った。
① 令和３年３月２３日諮問の受理
② 同日諮問庁から理由説明書を収受
③ 同年４月８日審議
④ 同月２２日審査請求人から意見書を収受
⑤ 令和４年４月２５日委員の交代に伴う所要の手続の実施，本件対象文書の見分及び審議
⑥ 同年５月１９日審議
第５ 審査会の判断の理由
１ 本件対象文書について
本件対象文書は，厚生労働省情報セキュリティポリシー及び情報取扱手順書であり，処分庁は，その一部について法５条３号，４号及び６号柱書きに該当するとして不開示とする原処分を行ったところ，審査請求人は原処分を取り消し，さらなる開示を求めている。
これに対して諮問庁は，不開示部分のうち，上記第３の３（４）に掲げる部分（具体的には別表の「新たに開示する部分」欄に掲げる部分）を新たに開示するとした上で，その余の部分（以下「不開示維持部分」という。）については，原処分を維持することが妥当としていることから，以下，本件対象文書を見分した結果を踏まえ，不開示維持部分の不開示情報該当性について検討する。
２ 不開示維持部分の不開示情報該当性について
（１）本件対象文書は，厚生労働省における情報セキュリティ対策の包括的な規程である「厚生労働省セキュリティポリシー」（文書１）及び当該ポリシーに基づいて，行政事務従事者が情報を適切に取り扱うために必要な事項を定めた「情報取扱手順書」（文書２）である。
（２）諮問庁は，不開示維持部分について，公にすることにより，厚生労働省における情報セキュリティ対策の具体的内容に関する情報が明らかになる，又は推測が可能となることで，情報セキュリティ強度を低下させ，サイバー攻撃を誘発し，又はサイバー攻撃を容易ならしめるほか，システムの破壊を招くなど，国の安全が害されるおそれ，犯罪の予防に支障を及ぼすおそれ及び同省における情報セキュリティに係る事務の適正な遂行に支障を及ぼすおそれがあり，法５条３号，４号及び６号柱書きに該当する旨説明し，さらに，不開示維持部分については，単独では情報資産の脅威等に直結しない文章も含まれるが，他の公開情報等と突合されることで，同省の情報セキュリティの弱点が類推されるおそれや，職員になりすました攻撃（フィッシング詐欺，ビジネスメール詐欺，標的型メール攻撃等）に悪用されるおそれがある旨も説明する。
（３）当審査会において本件対象文書を見分したところ，不開示維持部分は，各文書の表題や改定履歴，目次の一部及び諮問庁が新たに開示するとしている情報の「格付」及び「取扱制限」の基準並びに情報の定義に係る記載並びに情報セキュリティポリシー（文書１）の総則の一部及び情報セキュリティ対策に関する政府決定等，情報セキュリティ対策に関連する法律を除く部分であり，当該部分には，厚生労働省における情報セキュリティ対策や情報の取扱い及びその運用に関する内容が，同省の実情に応じて仔細に渡り詳細かつ具体的に記載されていると認められ，これらを公にすると，同省の情報セキュリティ強度を低下させ，サイバー攻撃を誘発し，又はサイバー攻撃を容易ならしめるとする諮問庁の上記（２）の説明は，これを否定し難い。
（４）したがって，不開示維持部分を公にすることにより，公共の安全と秩序の維持に支障を及ぼすおそれがあると行政機関の長が認めることにつき相当の理由があると認められ，不開示維持部分は，法５条４号に該当し，同条３号及び６号柱書きについて判断するまでもなく，不開示とすることは妥当である。
３ 審査請求人のその他の主張について
審査請求人は，その他種々主張するが，いずれも当審査会の上記判断を左右するものではない。
４ 本件一部開示決定の妥当性について
以上のことから，本件対象文書につき，その一部を法５条３号，４号及び６号柱書きに該当するとして不開示とした決定については，諮問庁がなお不開示とすべきとしている部分は，同条４号に該当すると認められるので，同条３号及び６号柱書きについて判断するまでもなく，不開示とすることが妥当であると判断した。
（第３部会）
委員長屋聡，委員久末弥生，委員葭葉裕子
別紙（本件対象文書）
文書１厚生労働省セキュリティポリシー（平成３１年４月１日改定厚生労働省最高情報セキュリティ責任者）
文書２情報取扱手順書（平成３１年３月１３日改定厚生労働省統括セキュリティ責任者）
別表
通し頁新たに開示不開示を維持する根拠条文する部分部分（法５条）
文書１３３行目ない原処分における不３号，４号，し１８行目開示部分のうち，６号柱書き
左欄を除く部分
４～７なし原処分における不同上
開示部分
８ ６行目ない原処分における不同上
し７行目開示部分のうち，
左欄を除く部分
９～全てなし
１１ 右欄を除く３１行目１０文字３号，４号，部分目ないし６号柱書き
３３行目１７文字
目
１２ １行目原処分における不同上
２８行目な開示部分のうち，
いし最終行左欄を除く部分
１３ ５行目ない１行目ないし４行同上
し最終行目
１４ 全てなし
１５ 右欄を除く４行目１１文字目３号，４号，部分ないし２３文字６号柱書き
目，
４行目２８文字目
ないし５行目２文
字目
１６ 全てなし
１７～なし原処分における不３号，４号，
１３２ 開示部分６号柱書き
１３３ 全てなし
～
１３５ １行目ない原処分における不３号，４号，し１２行目開示部分のうち，６号柱書き左欄を除く部分
文書２２なし原処分における不同上開示部分
３ ５行目及び原処分における不同上６行目開示部分のうち，
左欄を除く部分
４ １４行目な同上同上
いし１６行
目
５ １２行目な同上同上
いし２４行
目
６～なし原処分における不同上
１５ 開示部分
１６ 全てなし
１７ 取扱い制限原処分における不３号，４号，の種類に係開示部分のうち，６号柱書きる部分左欄を除く部分
１８～なし原処分における不３号，４号，
２０ 開示部分６号柱書き
出典：総務省ホームページ「情報公開・個人情報保護審査会 答申」（https://www.soumu.go.jp/main_sosiki/singi/jyouhou/toushin_r0401.html）を加工して作成（加工：TaiLexi AI）。
本文は公表資料（PDF 等）から機械的に抽出・整形したもので、改行や記号に誤りを含むことがあります。正確な文言は原本でご確認ください。