日本のセキュリティ・クリアランス－求められる企業の経済安全保障対応

総合政策研究部准主任研究員鈴木智也

1――はじめに

来年中の法案成立を目指して、政府は機密扱いとした情報にアクセス可能な人や施設を審査し、認証する「セキュリティ・クリアランス（以下、ＳＣ）制度」の導入に向けた議論を進めている。

今年（2023年）６月、経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議は、６回にわたる議論を取りまとめた中間論点整理を公表した。今後、同提言で示された方向性を踏まえて、詳細な制度設計が進められる。

そこで本稿では、すでに導入済である特定秘密保護法と対比したＳＣ制度における特徴を整理し、企業に及ぶメリット・デメリットを踏まえたうえで、企業が取るべき対応について考える。

2――セキュリティ・クリアランス（ＳＣ）制度

セキュリティ・クリアランスとは、国家における情報保全措置の一環として、政府が保有する安全保障上重要な情報を指定することを前提に、当該情報にアクセスする必要がある者（政府職員及び必要に応じ民間の者）に対して政府による調査を実施し、当該者の信頼性を確認した上でアクセス権を付与する制度と説明される¹。

政府が保有する安保上重要な情報へのアクセスは、基本的には自国民を対象に付与され、特別の情報管理ルールを定めたうえで、当該情報を漏洩した場合には厳罰が科すことが通例である。

日本では、国が機密扱いとした情報を扱う制度として、2014年から特定秘密保護法が施行されている。今般議論されているＳＣ制度は、これを強化し補完するものとなる。両制度の主な違いは、(1) 機密指定される情報の範囲と、(2) それを扱う適格性評価の２つである［図表１］。

まず、機密指定される情報の範囲については、特定秘密保護法が「防衛」「外交」「特定有害活動（スパイ活動等）の防止」「テロリズムの防止」の４分野に関する一定の要件を満たす事項に限定されるのに対して、ＳＣ制度では、これらに加えて経済安全保障に関する情報（経済制裁に関する分析関連情報や規制制度の審査関連情報など）、宇宙・サイバー分野の技術情報（脅威情報や防御策に係る情報）といった領域まで広がっている。これは、人工知能（ＡＩ）やドローン、ロボットといった民生技術が、軍事転用されるリスクが高まっていることに対応した動きである。安全保障上重要な先端技術が他国に流出することを防ぐ。

特定秘密保護法では、機密情報の秘密区分は「特定秘密」の単一層で管理し、比較的機密度の高い情報のみを対象としてきたが、ＳＣ制度では、諸外国のように情報が漏洩した場合の被害の深刻さ等に応じて、「Top Secret」「Secret」「Confidential」など複数階層で管理される見込みだ。

適格性評価では、対象となる人の範囲も拡大する。特定秘密保護法は、主に行政機関の職員を対象²としてきたが、ＳＣ制度では、機密となる情報の範囲が経済や技術等にも広がるため、民間企業の職員も広く対象となる。また、施設における情報管理も厳しく求められる。情報漏えいを防止するため、機密情報を扱う施設には、専用の区画を設けるなど適切な対応が求められる見込みだ。

加えて、評価基準が厳格化することも予想される。今般の中間論点整理では、ＳＣ制度について「相手国から信頼されるに足る実効性のある制度」とすることが強調されている。とりわけ、米国との実質的同等性を確保する重要性が指摘されており、評価基準も米国に近いものとなる可能性は高い。すでに各国のＳＣ制度は、相違点を踏まえつつ相互承認されている。例えば、米国のＢレベルは英国のＡレベルに相当するといった具合だ³。日本も機微情報をしっかり扱っていると諸外国から確信が持たれる仕組みとするため、同程度に厳格な基準が求められる。

ただ、日本では適格性評価において、犯罪歴、違法薬物の使用歴、飲酒の節度、交友関係、精神疾患、財務情報など、多様な身辺調査が行われることに対して懸念の声も上がっている。実際の運用では、プライバシーに深く立ち入る適格性評価は、本人同意が大前提となり、対象者の同意がなければ、適格性評価は実施されない仕組みとなる。

なお、資格保有者が機微情報を漏洩した場合には罰則もある。特定秘密保護法には、10年以下の懲役および1,000万円以下の罰金に処するとの規定があり、ＳＣ制度においても、同程度の罰則が設けられる見込みである⁴。

¹ 内閣官房経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議「中間論点整理」（2023年6月6日）
² 2021年末時点の資格保有者は、公務員130,853人（全体の97.4％）および一部民間企業の職員3,444人
³ 國分俊史「エコノミック・ステイトクラフト経済安全保障の戦い」日本経済新聞社2020年5月8日
⁴ 日経新聞「経済安保の機密漏洩に罰則　高市氏、改正法案提出を明言」（2023年8月24日）

3――企業から見たＳＣ制度

ＳＣ制度は、米国や英国のほか、ドイツやフランスなどの欧州諸国、豪州や韓国などのアジア諸国でも導入されている。民間人を対象としたＳＣ制度を導入していないのは、実のところ主要国の中で日本だけである。そのようなＳＣ制度が日本で導入された場合、企業が得られる主なメリット・デメリットは、以下のように整理される。

1｜制度導入のメリット （ ビジネス機会の拡大 ／ 産業競争力の向上 ／ セキュリティの強化　）
１つ目は、ビジネス機会の拡大である。例えば、地経学研究所のアンケート調査⁵によると、「日本に現状セキュリティ・クリアランス制度がないことにより、参画することのできなかった案件や会議などはありますか」との質問に対し、回答した73社のうち40社（54.8％）が「これまでなかったが、将来的に参画できないことが予想される」と回答している。

海外の政府や企業との取引においてＳＣを保有していることが、入札参加や会議出席の前提条件となっているものもあり、ＳＣが無いと声すら掛からない案件も存在する。日本でＳＣ制度が導入されれば、日本企業がこのような案件に参入することも容易になる。

２つ目は、産業競争力の向上である。日本にＳＣ制度が導入されれば、企業は機微に触れるという理由で、これまで拒まれて来た機微情報にアクセスすることが可能となる。共同開発に臨む他国研究機関と、より踏み込んだ協力ができるようになる。とりわけ、軍事転用可能な人工知能やドローン、量子コンピュータといったデュアルユース技術は、民生分野でも重要かつ有望な技術となっており、そのような分野で機微情報の共有が進むことは、今後の成長機会を広げるうえで意義は大きい。

また、社会全体がデジタル化・情報化する中で、サイバー・セキュリティに対する重要性も増している。デジタルのシステムや製品に関して、市場投入後に発見される脆弱性のうち、修正プログラムが開発されて、一般開示される前のものは「ゼロディ情報」と呼ばれる。このゼロディ情報は、サイバー攻撃の強力な手段にもなる。ＳＣ制度がなければ、この機微情報へのアクセスが制限されることになり、リスク管理面で他国研究機関や企業に劣後することにもなりかねない。実際、米国では「自動運転に対するサイバー攻撃防御（AI、地図情報、画像解析技術など）」に関するゼロディ情報は、「テスラやＧＭには開示されるがシリコンバレーに出入りしていても日本企業には開示されない可能性」が大きいといった指摘もある⁶。ＳＣ制度の導入は、経済安保面で基幹インフラの安全性・信頼性確保が重要になる中で、製品の信頼性を高め、企業のブランド価値を向上させるものとなる。

さらに、海外のＳＣ資格保有者を持続的な人材として、企業内部で資源化できる意義も大きい。例えば、米国では日本企業に転職した場合、ＳＣの更新を認めていないため、資格保有者が更新のタイミングで転職している事態があるとされる⁷。ＳＣ制度の相互承認が図られるようになれば、日本企業に在籍しながら海外のＳＣ資格を継続できる可能性も高まる。企業はＳＣ資格保有者を通じて、海外の機密情報にアクセスし、その知識を企業の研究開発に活かすことが可能となる。

３つ目は、セキュリティの強化である。上述のゼロディ情報を用いたサイバー・セキュリティ面の強化に加えて、自社で機微情報を扱う人や施設の適格性が事前に分かるため、重要な情報が漏洩するリスクを低減することができる。例えば、直近の2023年６月には、産業技術総合研究所の上級主任研究員が、フッ素化合物に関する技術を中国企業に漏洩させる事案が発覚した。この事件で漏出した情報は、安全保障上の機微情報ではなかったとされるが、情報管理の重要性が広く理解された。これまでにも、技術者が退職後に機密情報を持って他国企業に転職し、最先端技術を流出するといった事件が起きて来た。ＳＣ制度では、情報漏洩に対する罰則も強化されることから、抑止力として機能することにもなる。

⁵ 地経学研究所「経済安全保障 100 社アンケート結果」（2022年度調査）
⁶ 杉田定大「米中新冷戦の中での日本企業の生き残り戦略（2020年10月6日）
⁷ 國分俊史（同2020）