八木橋ゼミナール 第1回 「自治体の情報セキュリティ強化」

2016年6月20日掲載

「情報連携」の運用開始に向けた「情報セキュリティ」強化

今、自治体においては、「新たな自治体情報セキュリティ対策の抜本的強化」が進められているところです。
現在、自治体は住民基本台帳ネットワークシステムや総合行政ネットワーク（LGWAN）によって、約1,800の自治体間の情報交換のネットワークシステムが運用されています。
これに加え、2017年7月から、マイナンバー制度の「情報提供ネットワークシステム」の運用が開始されます。各自治体は各教育委員会、医療保険者、国の機関等のあわせて、5,000団体を超える「行政機関等」とのネットワークを介しての「情報連携」が始まります。個人番号（マイナンバー）や住所・氏名の項目はこの中には含まれていませんが、各行政機関ごとに、暗号化された「符号」が付けられた「特定個人情報」のやり取りが行なわれていきます。
こうした情報ネットワークでの「情報セキュリティ」について、十分に対策せよというのがこの「抜本的強化」の内容です。

「自治体情報セキュリティ抜本的強化」に至る経緯

国の「情報セキュリティ対策」に関して、昨今の世界的な「サイバーセキュリティ」への対応として、2015年1月に「サイバーセキュリティ基本法」が施行され、「サイバーセキュリティ戦略本部」および「内閣サイバーセキュリティセンター（NISC）」が設置されたところです。
そこに2015年5月、日本年金機構での個人情報の流出事件が発生しました。「なにが起きたのか？」に関して、NISCのHPに調査結果の報告が公開されています。

日本年金機構における個人情報流出事案に関する原因究明調査結果 (758 KB)

「4. 今回のサイバー攻撃の特徴と対策」の部分を読むと、いかに昨今の「不審メールと標的型攻撃」がレベルアップ（？）しているかがうかがえます。「4.2. 標的型攻撃に対する情報システム防御策等の考え方」の部分はたいへん参考になります。国は、この教訓を受け、2016年4月にこの基本法を改正して、対象範囲を「特殊法人・認可法人」まで拡大、あわせてNISCの一部事務をIPA等に委託可としました。そして各省庁向けも含め、予算の追加も行っています。

自治体への「指導」

こうした背景もあり、2015年11月には、総務省が設置した「自治体情報セキュリティ対策検討チーム」から自治体に対して、「新たな自治体情報セキュリティ抜本的強化に向けて」と題された報告が提示されました。「マイナンバー制度導入に関連し、標的型攻撃等の新たな脅威に対応可能な情報セキュリティについての抜本的な対策を実施」と説明されています。
「インシデント即応体制の強化」「情報セキュリティ確保体制の強化」の人的組織的な強化の施策と、「攻撃リスク低減のための抜本的強化対策」として「マイナンバーを多層の防御でインターネットのリスクから分離する」ための「自治体情報システム強靱化向上モデル」「自治体情報セキュリティクラウドの導入」が勧められています。
また、このために、2015年度の補正予算で「情報セキュリティ強化対策補助金」を通知しました。

自治体におけるセキュリティ強靱化対策

自治体の視点から

先のNISCの報告書の「おわりに」は、次のようにまとめられています。「再発防止対策について、着実に取り組んでいく必要があるが、その際には、ITを取り巻く環境変化を十分認識し、適切な人事、予算、インフラ整備の側面からの対応も忘れてはならない。」
自治体は独立した団体で、規模、予算も体制、要員もそれぞれ異なります。当社では、かねてより「自治体グランドデザイン」という呼称で、団体ごとの「全体最適」を進めていくご提案をしてきました。

自治体インフラ最適化

今回の総務省が提示している「強靱性向上モデル」は、「セキュリティを最優先に考慮されたインフラ対策モデル」と考えることができます。自治体の視点においては、「情報セキュリティレベル定義を踏まえたICT対策」として、どこまでの範囲でICTの活用範囲を考えるか、不足の範疇については人間系でどこまで補うこととするか等、また、数年後の中期計画とあわせ、災害対策や事業継続等の要素も考慮した「最適化計画」の中にどのように組み込んでいくべきか、様々なレベルでの取組が考えられます。

今後の中長期展開を考慮して

いずれにしても、ビッグデータやIoTなどインターネット社会の拡大は進化していく一方です。
自治体の行政においても、マイナンバー、マイナンバーカード、公的個人認証サービスの拡大等で、今後も様々な分野での利用が拡がり、地域の視点からの民間も含めた、「ワンストップサービス」等のインターネット利用の進展は必至です。
加えて、インターネット社会における情報セキュリティの対策・対応も進化していきます。
短期的な対応・対策も喫緊の課題ですが、中長期的な計画もお忘れなくご検討ください。
当社は、こうしたトータルなセキュリティを継続して、お客様の視点で、最適にご提案・ご提供してまいります。

セキュリティは富士通～FUJITSU Security Initiative～