諮問庁：厚生労働大臣
諮問日：令和４年６月３日（令和４年（行情）諮問第３３５号ないし同第３３８号）
答申日：令和６年２月２９日（令和５年度（行情）答申第７４８号ないし同第７５１号）
事件名：平成３０年度に医療機関や自治体から寄せられた情報セキュリティインシデント発生の報告に係る文書の一部開示決定に関する件
令和元年度に医療機関や自治体から寄せられた情報セキュリティインシデント発生の報告に係る文書の一部開示決定に関する件
令和２年度に医療機関や自治体から寄せられた情報セキュリティインシデント発生の報告に係る文書の一部開示決定に関する件
令和３年度に医療機関や自治体から寄せられた情報セキュリティインシデント発生の報告に係る文書の一部開示決定に関する件
答申書
第１ 審査会の結論
別紙の１に掲げる文書（以下「本件請求文書」という。）の開示請求に対し，別紙の２に掲げる各文書（以下，併せて「本件対象文書」という。）を特定し，その一部を不開示とした決定については，本件対象文書を特定したことは妥当であるが，諮問庁がなお不開示とすべきとしている部分については，別紙の３に掲げる部分を開示すべきである。
第２ 審査請求人の主張の要旨
１ 審査請求の趣旨
本件審査請求の趣旨は，行政機関の保有する情報の公開に関する法律（以下「法」という。）３条の規定に基づく開示請求に対し，令和４年２月７日付け厚生労働省発医政０２０７第３号ないし同第６号により厚生労働大臣（以下「処分庁」又は「諮問庁」という。）が行った各一部開示決定（以下「原処分」という。）について，その取消しを求めるというものである。
２ 審査請求の理由
審査請求人の主張する審査請求の理由は，審査請求書の記載によると，おおむね以下のとおりである。
（１）令和４年（行情）諮問第３３５号（以下「第３３５号」という。）サイバー攻撃を受けた医療機関の件数がわかる資料を公表しても厚生労働省と医療機関の信頼関係には影響がないと思われるため。具体的な医療機関名を聞いているわけではないことから。
（２）令和４年（行情）諮問第３３６号，３３７号及び３３８号（以下，それぞれ「第３３６号」，「第３３７号」及び「第３３８号」という。）サイバー攻撃を受けた医療機関の具体的な名前を聞いているわけではなく，件数や内容を聞いているのであり，厚労省と医療機関の信頼関係に影響があるとは考えられないため。
第３ 諮問庁の説明の要旨
１ 本件審査請求の経緯
（１）本件審査請求人は，開示請求者として令和４年１月７日付け（同日受付）で，処分庁に対して，法３条の規定に基づき，別紙の１に掲げる文書に係る開示請求を行った。
（２）これに対して，処分庁が，令和４年２月７日付け厚生労働省発医政０２０７第３号ないし同第６号により本件対象文書について原処分を行ったところ，審査請求人は，これを不服として，同月２５日付け（同日受付）で本件審査請求を提起したものである。
２ 諮問庁としての考え方
本件審査請求については，原処分で不開示とした部分の一部については新たに開示し，その余の部分については，不開示情報の適用条項として法５条２号ロ及び４号を追加した上で，不開示を維持することが妥当である。
３ 理由
（１）本件対象行政文書について
本件開示請求は，「サイバー攻撃の被害を受けた医療機関の数や内容がわかる文書（平成３０年度から令和３年度までの４件）」に関して行われたものであり，処分庁において確認を行ったところ，医療機関等とやり取りを行ったメール及びメール添付文書が認められたため，これらを本件対象行政文書として特定した。
（２）不開示情報該当性について
以下のアからエに掲げる情報については，それぞれ以下に示す理由により，不開示を維持することが妥当である。
ア 報告担当者の氏名など
報告担当者の氏名などについては，個人に関する情報であって，特定の個人を識別することができるものであり，法５条１号に該当し，かつ，同号ただし書イからハまでのいずれにも該当しないため，不開示を維持することが妥当である。
イ 地方公共団体が経営する医療機関等から提出された報告文書医療機関（第３３５号及び第３３７号は「地方公共団体が経営する医療機関」，第３３６号及び第３３８号は「法人等又は地方公共団体が経営する医療機関等」）から提出される報告文書については，サイバー攻撃の詳細や医療機関内のネットワーク環境，実施しているセキュリティ対策等具体的内容等が記述されており，これらが公にされた場合には当該医療機関に対する信用を低下させ，医療機関の医療提供に対する正当な利益を害するおそれがあり，また，セキュリティ対策等医療機関施策の一端を知られることにより，セキュリティ対策の脆弱性を攻撃者等に把握され，攻撃される等犯罪の予防に支障を及ぼすおそれがあり，これらの当該情報は法５条４号及び６号ホ（第３３６号は，これらに加えて２号イ）に該当するため，不開示を維持することが妥当である。
ウ 医療機関等から報告のあった内容の医療機関名，報告内容及び担当者の連絡先
医療機関等から報告のあった内容の医療機関名，報告内容及び担当者の連絡先については，当該行政文書には，医療機関等が，公表を目的とせず厚生労働省との信頼関係を前提に報告した情報が記録されており，これらを公にした場合には医療機関等と厚生労働省との信頼関係が失われ，医療機関等は厚生労働省への報告をためらい，情報提供への協力意欲を低下させ，さらに事案の隠蔽を行うおそれがあること，また，直通電話番号，電子メールアドレス等については，公にすることにより，いたずらや偽計等に使用されるおそれがあるなど，厚生労働省及び関係府省庁が行う当該業務の適正な遂行に支障を及ぼす可能性があることから，法５条６号柱書きに該当するため，不開示を維持することが妥当である。
なお，上記理由から当該不開示部分は法５条２号ロ及び４号に該当するため適用条項を追加する。
エ ２０１８年度より前の対象行政文書（第３３５号のみ）サイバー攻撃を受けた場合やサイバー攻撃により障害が発生した場合等の医療機関からの報告は，「医療機関等におけるサイバーセキュリティ対策の強化について」（医政総発１０２９第１号医政地発１０２９第３号医政研発１０２９第１号平成３０年１０月２９日）に基づき行われていることから，２０１８年度より前の対象行政文書については，事務処理上作成又は取得した事実はなく，実際に保有していないため，不開示を維持することが妥当である。
（３）審査請求人の主張について
ア 審査請求人は，審査請求書において「サイバー攻撃を受けた医療機関の具体的な名前を聞いているわけではなく，件数や内容を聞いているのであり，厚労省と医療機関の信頼関係に影響があるとは考えられないため。」等と述べ，一部不開示について異論を唱えている。
イ しかし，対象行政文書には，医療機関から報告のあったシステムの不具合の状況，組織内のネットワーク環境，セキュリティ対策等が記載されている。
これらの情報に係る医療分野は，上記（２）によるほか，医療機関はＮＩＳＣ（内閣サイバーセキュリティセンター）により重要インフラに位置付けられており，重要インフラ事業者から厚生労働省に連絡のあったシステムの不具合等に関する情報は，重要インフラの情報セキュリティ対策に係る第４次行動計画の「２．３情報連絡された情報の取扱い」において，「情報連絡された情報の取扱いについて，内閣官房及び連絡を受けた重要インフラ所管省庁は，法令等に定めがある場合又は連絡を行う重要インフラ事業者等の了承がある場合を除き開示しない。当該情報は，法第５条第２号ロに規定する情報として取り扱う（不開示情報）。」とされていることからも，不開示情報として取り扱うことが相当である。
また，これらの情報は，上記（２）ウで述べたとおり，医療機関等が公表を目的とせず厚生労働省との信頼関係を前提に報告した情報であり，公にした場合には医療機関等と厚生労働省との信頼関係が失われ，医療機関等は厚生労働省への報告をためらい，情報提供への協力意欲を低下させ，さらに事案の隠蔽を行うおそれがあるから，請求人の主張に理由はない。
ウ 本件において，特に留意すべきことは，情報セキュリティの脆弱性やネットワークの情報が公になることにより，サイバー攻撃の手がかりを与えることに繋がり，犯罪の予防に支障を及ぼす可能性があることである。また，報告内容や日付から，どの医療機関の事案か推測することが可能な場合もあり，医療機関の具体的な名前を開示しなくても特定につながる可能性があることから，慎重に不開示情報該当性を判断すべきである。
エ また，サイバー攻撃の被害を受けた医療機関の数については，これを集計した文書は本件開示請求のあった時点で作成・取得していない。なお，あらためて諮問庁として，サイバー攻撃の被害を受けた医療機関の数を集計した文書について，処分庁に確認したところ，存在しないことが確認できたことから，これに係る原処分は結論において妥当である。
４ 結論
以上のとおり，原処分において不開示とした部分については，法５条各号に該当しない部分は開示することとし，その余の部分については，一部に不開示情報の適用条項として，法５条２号ロ及び４号を追加した上で，不開示を維持することが妥当である。
５ 補充理由説明書
不開示とした職員のメールアドレスについては，公にすることにより，いたずらや偽計等に使用されるおそれがあるなど，厚生労働省及び関係府省庁が行う当該業務の適正な遂行に支障を及ぼす可能性があることから，法５条６号柱書きの不開示理由を追加する。
第４ 調査審議の経過
当審査会は，本件各諮問事件について，以下のとおり，併合し，調査審議を行った。
① 令和４年６月３日諮問の受理（令和４年（行情）諮問第３
３５号ないし同第３３８号）
② 同日諮問庁から理由説明書を収受（同上）
③ 同月２０日審議（同上）
④ 令和５年６月６日本件対象文書の見分及び審議（同上）
⑤ 同年８月３日諮問庁から補充理由説明書を収受（同上）
⑥ 同年１０月１２日審議（同上）
⑦ 令和６年２月７日審議（同上）
⑧ 同月２１日令和４年（行情）諮問第３３５号ないし
同第３３８号の併合及び審議
第５ 審査会の判断の理由
１ 本件開示請求について
本件開示請求は，本件請求文書の開示を求めるものであり，処分庁は，別紙の２に掲げる各文書（本件対象文書）を特定し，その一部を不開示とする原処分を行った。
これに対し，審査請求人は，「サイバー攻撃を受けた医療機関の件数がわかる資料を公表しても厚生労働省と医療機関の信頼関係には影響がないと思われるため。具体的な医療機関名を聞いているわけではないことから。」などと主張し，サイバー攻撃を受けた医療機関の件数が分かる資料の追加特定及び不開示部分の開示を求めていると解されるところ，諮問庁は，当該資料は保有していないとし，また，原処分において不開示とした部分のうち，法５条各号に該当しない部分を開示した上で，その余の部分（以下「不開示維持部分」という。）については，その一部に不開示情報の適用条項として，同条２号ロ及び４号を追加した上で，不開示を維持することが妥当であるとしていることから，以下，本件対象文書を見分した結果を踏まえ，本件対象文書の特定の妥当性及び不開示維持部分の不開示情報該当性について検討する。
２ 本件対象文書の特定の妥当性について
審査請求人は，審査請求書において，サイバー攻撃を受けた医療機関の件数が分かる資料を公表しても，厚生労働省と医療機関の信頼関係には影響がない旨を主張して，サイバー攻撃を受けた医療機関の件数が分かる資料の追加特定を求めているものと解される。
この点について，当審査会事務局職員をして，当該資料の保有の有無を含め，諮問庁に対して補足説明を求めさせたところ，以下のとおり説明する。
（１）諮問に当たり，念のため書庫や共有フォルダ等を探索したが，報告件数を記録した文書は発見されなかった。
（２）なお，情報セキュリティインシデントに関する報告件数を集計・把握することは可能であるが，当該件数を公表することにより，分野別報告件数の多寡が注目を集め，結果としてサイバー攻撃を誘発するおそれがあるため，いずれにせよ報告件数は公表しない方針としている。報告件数を記録した文書の保有に係る諮問庁の上記説明については，これを覆すに足りる事情は認められず，また，文書の探索の範囲も不十分とは認められないことから，是認せざるを得ない。したがって，厚生労働省において，審査請求人が追加特定を求める文書を保有しているとは認められず，本件対象文書を特定したことは妥当である。３不開示維持部分の不開示情報該当性について
当審査会において本件対象文書を見分したところ，その不開示維持部分は，（１）情報セキュリティインシデントに対応した厚生労働省職員の連絡先等，（２）地方公共団体が経営する医療機関において発生した情報セキュリティインシデントに対応した，地方公共団体の職員等の担当者の氏名，所属及び連絡先等，（３）地方公共団体が経営する医療機関において発生した情報セキュリティインシデントに係る医療機関名，報告内容及び関連資料等，（４）（２）及び（３）以外の医療機関において発生した情報セキュリティインシデントに係る医療機関名，担当者の氏名，所属及び連絡先並びにインシデントに関する報告内容及び関連資料等であることが認められる。
これについて，審査請求人は，審査請求書において，医療機関の名称の開示を求めていない旨説明しているのみで，それ以外の不開示部分については言及していないが，諮問庁は原処分における不開示維持部分全体について，諮問の対象としている。そこで，以下，医療機関の名称以外の不開示維持部分について，不開示情報該当性を判断することとする。（１）情報セキュリティインシデントに対応した厚生労働省職員の連絡先等当該部分については，厚生労働省職員の直通電話番号，内線番号，ＦＡＸ番号，メールアドレス（その一部の記載を含む）及び厚生労働省ウェブサイトのＵＲＬが，厚生労働省職員のメールの職員の署名部分に記載されていることが認められる。
ア このうち，厚生労働省職員の直通電話番号，内線番号，ＦＡＸ番号及び厚生労働省ウェブサイトのＵＲＬについては，厚生労働省職員の職氏名と一体として，法５条１号本文前段に規定する個人に関する情報であって，特定の個人を識別することができるものであると認められるが，出版物等により公にされている内容と同じ情報であることから，同号ただし書イに該当すると認められる。
したがって，当該部分は，法５条１号に該当せず，開示すべきである。
イ これに対し，厚生労働省職員のメールアドレス（その一部の記載を含む）については，公にされている情報とは認められず，これを公にすると，いたずらや偽計等に使用され，国の機関が必要とする緊急の連絡や部外との連絡に支障を来すなど，国の機関の事務の適正な遂行に支障を及ぼすおそれがあると認められる。
したがって，当該部分は，法５条６号柱書きに該当し，不開示とすることが妥当である。
（２）地方公共団体が経営する医療機関において発生した情報セキュリティインシデントに対応した，地方公共団体の職員等の担当者の氏名，所属及び連絡先等
当該部分には，地方公共団体が経営する医療機関において情報セキュリティインシデントが発生した場合において，当該インシデントに関連して対応を行った，地方公共団体及び医療機関の職員等の担当者の氏名，所属及び連絡先等が記載されていることが認められる。
当該部分を公にした場合，当該インシデントの発生に関連して，どのような立場の職員が対応を行っているのか等の事情が明らかとなり，サイバー攻撃を受けた場合における対応等に支障を生じさせるおそれがあることが認められる。
このため，これらを公にした場合，当該医療機関の医療提供に対する正当な利益を害するおそれがあるとの諮問庁の説明は否定できず，当該部分は法５条６号ホに該当し，同条４号について判断するまでもなく，不開示とすることが妥当である。
（３）地方公共団体が経営する医療機関において発生した情報セキュリティインシデントに関する報告内容及び関連資料等
当該部分には，地方公共団体が経営する医療機関において発生した情報セキュリティインシデントに関する具体的な内容等が記載されていることが認められる。
当該部分を公にした場合，これらのインシデントの内容及びインシデントへの対応方法等が明らかとなり，サイバー攻撃を受けた場合における対応等に支障を生じさせるおそれがあることが認められる。このため，これらを公にした場合，当該医療機関の医療提供に対する正当な利益を害するおそれがあるとの諮問庁の説明は否定できず，当該部分は法５条６号ホに該当し，同条４号について判断するまでもなく，不開示とすることが妥当である。
（４）（２）及び（３）以外の医療機関において発生した情報セキュリティインシデントに係る，当該医療機関等の担当者の氏名，所属及び連絡先並びにインシデントに関する報告内容及び関連資料等
当該部分には，民間の医療機関等において情報セキュリティインシデントが発生した場合において，インシデントに関連して対応を行った医療機関等の担当者の氏名，所属及び連絡先等，インシデントの具体的な内容等が記載されていることが認められる。
これらの情報は，医療機関等が，公表を目的とせず厚生労働省との信頼関係を前提に報告した情報等が記録されており，これらを公にした場合，当該医療機関等と厚生労働省との信頼関係が失われ，医療機関等が厚生労働省への報告をためらうことなどにより，厚生労働省の業務の適正な遂行に支障を及ぼすおそれがあるとの諮問庁の説明は否定できない。したがって，当該部分は法５条６号柱書きに該当し，同条２号ロ及び４号について判断するまでもなく，不開示とすることが妥当である。
４ 本件各一部開示決定の妥当性について
以上のことから，本件請求文書の開示請求に対し，本件対象文書を特定し，その一部を法５条１号，４号並びに６号柱書き及びホに該当するとして不開示とした各決定については，厚生労働省において，本件対象文書の外に開示請求の対象として特定すべき文書を保有しているとは認められないので，本件対象文書を特定したことは妥当であり，諮問庁が同条１号，２号ロ，４号並びに６号柱書き及びホに該当するとしてなお不開示とすべきとしている部分のうち，別紙の３に掲げる部分を除く部分は，同条６号柱書き及びホに該当すると認められるので，同条２号ロ及び４号について判断するまでもなく，不開示とすることは妥当であるが，別紙の３に掲げる部分は，同条１号に該当せず，開示すべきであると判断した。
（第３部会）
委員長屋聡，委員久末弥生，委員葭葉裕子
別紙
１ 本件請求文書
「サイバー攻撃の被害を受けた医療機関の数や内容がわかる文書（２０１０～２０２１年）」
（サイバー攻撃はコンピューターウイルスに感染させて，システムを使えなくする手口が一般的で，電子カルテのデータの復元と引き換えに身代金を要求する「ランサムウェア」が代表的です。厚生労働省はサイバー被害を受けたら，報告するよう医療機関に求めており，報告文書があると思います。）
２ 本件対象文書
（１）第３３５号
平成３０年度に医療機関や自治体から寄せられた情報セキュリティインシデント発生の報告に係るメール及び添付資料
（２）第３３６号
令和元年度に医療機関や自治体から寄せられた情報セキュリティインシデント発生の報告に係るメール及び添付資料
（３）第３３７号
令和２年度に医療機関や自治体から寄せられた情報セキュリティインシデント発生の報告に係るメール及び添付資料
（４）第３３８号
令和３年度に医療機関や自治体から寄せられた情報セキュリティインシデント発生の報告に係るメール及び添付資料
３ 開示すべき部分
厚生労働省職員のメールの職員の署名部分に記載された，厚生労働省職員の直通電話番号，内線番号，ＦＡＸ番号及び厚生労働省ウェブサイトのＵＲＬ
出典：総務省ホームページ「情報公開・個人情報保護審査会 答申」（https://www.soumu.go.jp/main_sosiki/singi/jyouhou/toushin_r0515.html）を加工して作成（加工：TaiLexi AI）。
本文は公表資料（PDF 等）から機械的に抽出・整形したもので、改行や記号に誤りを含むことがあります。正確な文言は原本でご確認ください。