自治体情報セキュリティクラウドとは？ 概要と課題。新しい動きについても解説

自治体情報セキュリティクラウドは、各都道府県と都道府県内の自治体（市区町村）がWebサーバー等を集約し、インターネットへの接続口の集約や監視、ログ分析や解析など、情報セキュリティ対策を高度なレベルで実施するものです。

都道府県単位の自治体情報セキュリティクラウドを提供することで、セキュリティ対策における市区町村間の格差が解消され、どの自治体（市区町村）においても、情報セキュリティ対策を強化した状態でインターネットを活用できるようになりました。

自治体情報セキュリティクラウドが導入される以前は、インターネットへの接続や情報セキュリティ対策については、各自治体に任されており、それぞれの方法で運用されてきました。そうなると、十分な予算を付けて取り組める自治体は情報セキュリティ対策を万全に行える一方で、予算が確保できない自治体ではセキュリティ対策が十分ではない、という格差が生じることになります。

そのようなときに発生したのが、日本年金機構の情報流出事件（2015年）です。この事件発生を受けて総務省が各自治体に向けて「三層の対策」等の情報セキュリティに関する抜本的な強化策を要請しました。

総務省からの要請に対応して、自治体では、2017年までに対応を完了しています。

自治体情報セキュリティクラウドは、情報セキュリティの水準を一定に保ちながらインターネットセキュリティサービスが提供されています。その一定の水準は総務省から通達された自治体向けの情報セキュリティ対策である「三層の対策」を実現したものです。

では三層の対策とはどういったものか、見ておきましょう。

三層の対策というのは、情報システムをそれぞれ情報によって3つの領域に分け、その領域ごとに対策を講じるものです。

• マイナンバーを含むデータの取り扱い（個人番号利用事務系）
• 地方公共団体どうしで接続する専用のネットワーク（LGWAN接続系）
• 機密性の高い情報は取り扱わないもの（インターネット接続系）

これら3つの領域ごとに分離をして最適なセキュリティを講じることで、リスクを分断し、全体のセキュリティレベルを過不足なく維持できるとされています。

デジタル庁が推進しているガバメントクラウドと自治体情報セキュリティクラウドとはどう違うのでしょうか。またそれらの関係はどのようになっているのでしょうか。ガバメントクラウドを理解しておきましょう。

自治体情報セキュリティクラウドは、都道府県単位で、各自治体が、Webサーバーを集約して、情報セキュリティレベルを高め、安全を確保しようとするものです。

一方、ガバメントクラウドは、デジタル庁が推進しているクラウドプラットフォームのことです。ガバメントクラウドの本格的な運用は2023年度に開始され、デジタル庁のWebサイトや農林水産省のシステム、マイナンバーカード制度の広報などがガバメントクラウド上で稼働を始めています。今後は各自治体情報システムの標準化においても、ガバメントクラウドへの移行を進めていく方針です。

最終的には、自治体の業務システムや基幹業務システムにおいて、ガバメントクラウドが検討されています。

近年は自治体であっても企業であっても、また個人であっても、さまざまなセキュリティリスクがあります。たとえば、データ消失や破損、情報漏えい、サイバー攻撃、不正アクセスなどはよく耳にするリスクでしょう。こうしたセキュリティリスクは、自治体においては、地域の住民や地元企業への影響も大きくなります。

セキュリティクラウドはクラウド環境特有のリスクへの対応も、多様で高度なレベルで機能が備わっています。そのため、より安全にクラウド環境を維持できると考えられています。

セキュリティクラウドは、サービス提供事業者と契約をすれば、すぐに導入・運用が可能となります。業務への適用も素早く行えるので、特別な準備をするための期間を計算して、導入する必要はありません。

セキュリティクラウドはオンプレミス型にくらべると、設備の用意が必要ない分、導入コストを低く抑えられます。また、メンテナンスやアップデートに関しても、クラウドサービス提供事業者が行うことになりますので、維持コストも削減できます。

運用する際にも、たとえば、オンプレミス型であれば、メンテナンスやアップデートするたびに自治体内の担当者が対応する必要があります。そのため、専門の技術や知識を有した担当者も確保しておかなければなりません。安全を保つための手間やコスト、技術・知識を持った担当者の確保など、運用するハードルもオンプレミス型にくらべて低くなるのがクラウド型だといえるでしょう。

データが漏えいする危険性はデータを保存した端末を庁外へと持ち出し、紛失あるいは置き忘れることによって起こる可能性があります。クラウド型であれば、使用する端末にはデータが残りませんので、たとえ端末を紛失、置き忘れをした場合でも、データ漏えいのリスクは軽減されます。また高度なセキュリティ対策が施されたセキュリティクラウドであれば、不正アクセスによる情報の流出にも対応できます。

容量拡張の可否やその費用については、利用するクラウドサービスにもよりますが、一般的に、オンプレミス型でスペックを変更して、容量を拡張するとなると、新たにサーバーを構築する必要がでてきます。

上記でみた内容とも重複しますが、クラウド型であれば、導入のコストやスペックの拡張において、オンプレミス型のように新たな機材やサーバーを用意する必要がなく、クラウドサービス提供事業者が対応してくれます。こうしたことにより、運用管理にかかる負担が軽減できると考えられます。

自治体は地域住民や地域企業に関する重要情報を取り扱っています。そのため、コンピュータウイルスが侵入して情報漏えいの危険性を高めることは避けなければなりません。方法のひとつとしては、インターネットの分離環境構築を意識しておくべきです。

分離する方法には2つあります。物理的分離と理論的分離です。

次期自治体情報セキュリティクラウドの要件は、上記で見たとおり、4項目あります。

インターネット通信の監視、インシデントの予防、高度な人材による監視と検知、対応と復旧です。これらの基準を満たしたクラウドサービスを選ぶことが重要です。

要件を満たしたサービスを導入していても、日々の業務において情報セキュリティ・リテラシーが職員に欠けていたのでは安全は維持できません。情報の扱い方（保存、管理方法）、パソコンの使用方法、ウイルスやサイバー攻撃への知識向上などについて職員が学べる機会を作ることが必要でしょう。

職員全体の情報セキュリティ・リテラシーを高め、日々の業務における意識を向上させたうえで、ウイルスや大規模なシステム障害が発生した際には、インシデント対応が可能な専門的な知識と技術を持った人材（チーム）が必要になります。職員のなかに適材を見いだし、組織作りをするのか、あるいは、外部から知見のあるエンジニアを採用しチーム作りをするのか、各自治体に適した方法で組織作りに早急に着手する必要があります。

セキュリティ対策と一体化させながらDXを推進している京都市では、業務をデジタル化するにあたり、デジタル化と一体で不可欠となるのが情報セキュリティ対策であるとしました。そのうえで、メールシステムの更改を機に実績のある多層的なメール防御の仕組みを検討しました。具体的には、入口対策としてファイアウォールの運用、Webサイトの改ざん検知やDDoS対策を進めてきました。さらに、職員が利用する端末については、セキュリティ対策ソフトを導入したほか、データを暗号化し、許可なく持ち出せない仕組みも整えました。そうした多面的な対策を講じたうえで、導入するメールセキュリティソリューションについて実績があり、総務省の求めるセキュリティ要件を満たすものを選択しました。選択したのはFortiMailです。LGWAN系は別ですが、インターネットへの出口・入口でFortiMailがゲートウェイとして動き、すべてのメールを検査している形が構築されています。

宮崎県では2015年の全国自治体への情報システム強靭化対策の通達を受け、翌年「マイナンバー利用事務系」「LGWAN接続系」「インターネット接続系」をそれぞれ分ける「三層分離」を実施しました。2017年、インターネット接続点のセキュリティ対策を都道府県ごとに集約する「自治体情報セキュリティクラウド」の運用も始めています。また、2021年を「みやざきデジタル化元年」と位置付け、宮崎県情報化推進計画を策定しました。宮崎県では自治体内と外部との通信を監視し、悪性の通信や公務に関係のない通信をブロックできるフィルタリングを重要視しており、既存のネットワーク体制の見直しも進めました。従来は、IDS（不正侵入検知システム）と連携したフィルタリングを利用していましたが、Squid（オープンソースのWebプロキシサーバー）で運用していたため管理がかなり煩雑であったことが課題でした。そこで、IDSとの連携が可能で管理もしやすいプロキシとして、Webセキュリティ・アプライアンス製品「D-SPA」や「i-FILTER」を導入。純国産のプロキシで細かな機能がある点や、POST通信のバイト制限、ログイン、ファイルアップロード、メッセージ送信調整などの機能を評価しての選択でした。また、「D-SPA」はhosts機能や多段プロキシの設定など細かい調整が可能な点も、宮崎県のめざすスタイルに叶ったものであったと評価しています。