10 総務

情報セキュリティ対策

masashi0025
目次
  1. はじめに
  2. 自治体における情報セキュリティに関する現状データ
  3. 課題
  4. 行政の支援策と優先度の検討
  5. 先進事例
  6. 参考資料［エビデンス検索用］
  7. まとめ

はじめに

※本記事はAIが生成したものを加工して掲載しています。
※各施策についての理解の深度化や、政策立案のアイデア探しを目的にしています。
※生成AIの進化にあわせて作り直すため、ファクトチェックは今後行う予定です。
※掲載内容を使用する際は、各行政機関の公表資料を別途ご確認くださいZ

概要（自治体における情報セキュリティを取り巻く環境）

  • 自治体が情報セキュリティ対策を行う意義は「住民の個人情報と財産の保護、及び行政サービスの継続性確保」と「デジタル社会における行政への信頼醸成」にあります。
  • 東京都特別区をはじめとする全国の自治体では、デジタルトランスフォーメーション（DX）の推進やクラウドサービスの利用拡大が加速しています。これは、住民サービスの利便性向上や行政運営の効率化に大きく貢献する一方で、ランサムウェア攻撃やサプライチェーンの脆弱性を突いた攻撃など、これまで以上に深刻かつ巧妙化するサイバーセキュリティ上の脅威に直接晒されることを意味します。
  • このような環境下において、情報セキュリティ対策は単なる技術的な問題ではなく、行政運営の根幹を支え、住民の信頼を確保するための最重要経営課題として位置づけられています。

意義

住民にとっての意義

##### 個人情報の確実な保護
##### 行政サービスの安定的提供
##### デジタル行政への信頼向上

地域社会にとっての意義

##### 重要インフラとしての行政機能の維持
##### 安全・安心な地域社会の実現
##### スマートシティ化の安全な基盤構築

行政にとっての意義

##### 行政事務の継続性確保（BCP）
  • 大規模なサイバー攻撃によるシステム停止は、数週間から数ヶ月に及ぶ業務の停滞を引き起こし、復旧に多大な費用と人的リソースを要します。情報セキュリティは、行政における事業継続計画（BCP）の中核をなします。
    • （出典）(https://www.qtpro.jp/blog/security/25.html) 4
##### 法的・財政的リスクの低減
##### 安全なDXの推進

（参考）歴史・経過

自治体における情報セキュリティに関する現状データ

##### サイバー攻撃の全体像
##### ランサムウェア被害の深刻化
##### サプライチェーン・リスクの顕在化
##### フィッシング詐欺の急増

課題

住民の課題

##### 個人情報漏洩による直接的被害
  • 窃取された氏名、住所、生年月日、マイナンバー、口座情報などが悪用され、身に覚えのないローン契約やクレジットカードの不正利用、特殊詐欺などの犯罪被害に直接結びつくリスクがあります。
    • 客観的根拠：
      • 2024年の委託先へのサイバー攻撃では、一つの市だけで最大42万人分の個人情報が漏洩した可能性があり、これには税情報や福祉関連情報も含まれていました。また、過去には職員が紛失したUSBメモリに、生活保護受給世帯の口座情報を含む約46万人分の市民データが保存されていた事例もあります。
      • （出典）NHK「豊田市 個人情報約42万人分流出 委託会社がランサムウエア被害」2024年度 32
      • （出典）(https://www.keepersecurity.com/blog/ja/2024/04/11/cases-of-data-breaches-and-leaks/) 33
    • この課題が放置された場合の悪影響の推察：
      • 住民が常に金融犯罪やなりすましのリスクに晒され、行政に対する根源的な不信感が蔓延します。
##### 行政サービスの停止・遅延
  • ランサムウェア攻撃などにより基幹システムが停止すると、各種証明書の発行、福祉サービスの申請受付、公立病院での診療といった、住民生活に不可欠なサービスが長期間にわたり提供できなくなる可能性があります。
    • 客観的根拠：
    • この課題が放置された場合の悪影響の推察：
      • 特に支援を必要とする高齢者や病人にとって、必要な行政サービスを受けられない事態は生命に関わる問題に直結します。
##### デジタルデバイドと信頼の毀損

地域社会の課題

##### サプライチェーンを通じた地域経済への波及
  • 自治体と取引のある地域の委託先事業者（特に中小企業）が攻撃の踏み台にされることで、その事業者の業務が停止するだけでなく、自治体からの取引停止などにより、地域経済全体に負の連鎖が広がるリスクがあります。
    • 客観的根拠：
      • 2024年の印刷会社への攻撃事例では、委託元である数十の自治体や民間企業が同時に影響を受け、広範囲な業務遅延や情報漏洩につながりました。これは、一社のセキュリティ対策の不備が、サプライチェーン全体のリスクとなることを示しています。
      • （出典）株式会社アイ・ディ・ネット「サプライチェーン攻撃の事例と対策」2024年度 29
      • （出典）(https://www.solnet-dot.com/column/2025/07/AttackSurface.html) 30
    • この課題が放置された場合の悪影響の推察：
      • 大規模なサプライチェーン攻撃は、地域経済の停滞を引き起こし、企業の倒産や雇用の喪失につながる可能性があります。
##### 重要インフラ（医療等）の機能不全

行政の課題

##### 深刻化する人材不足と専門性の偏在
  • 自治体、特に特別区において、サイバーセキュリティを専門とする職員が絶対的に不足しています。さらに、限られた専門人材は都心部の一部の区に集中しており、区ごとの対策レベルに著しい格差が生じています。
##### 予算確保の困難性と投資対効果の不明確さ
  • 多くの自治体がDX推進の課題として予算確保を挙げており、セキュリティ対策も例外ではありません。攻撃を防ぐための投資は効果が見えにくいため、首長や議会の理解を得て継続的な予算を確保することが極めて困難な状況です。
    • 客観的根拠：
    • この課題が放置された場合の悪影響の推察：
      • 継続的な投資不足は、システムの老朽化と防御力の低下を招き、結果的にインシデント発生による莫大な復旧費用という形で将来にツケを回すことになります。
##### 複雑化する技術環境と旧来型モデルの限界
  • クラウド利用やテレワークを前提としていない「三層の対策（αモデル）」が依然として主流であり、業務効率を阻害し、新たなセキュリティリスクを生んでいます。しかし、ゼロトラストなどの新モデルへの移行は技術的・費用的負担が大きく、導入が進んでいません。

行政の支援策と優先度の検討

優先順位の考え方

  • 各支援策の優先順位は、以下の要素を総合的に勘案し決定します。
  • 即効性・波及効果：
    • 施策の実施から効果発現までの期間が短く、単一の課題解決にとどまらず、複数の課題に横断的に効果を及ぼす施策を高く評価します。
  • 実現可能性：
    • 現行の法制度や予算、人員体制の中で実現可能性が高い施策を優先します。既存の仕組みやリソースを活用できる施策は、優先度が高くなります。
  • 費用対効果：
    • 投入する経営資源（予算・人員等）に対し、得られるセキュリティレベルの向上やリスク低減効果が大きい施策を優先します。
  • 公平性・持続可能性：
    • 特定の区だけでなく、全ての特別区に便益が及び、対策レベルの底上げにつながる施策を優先します。また、一過性でなく、長期的に自治体の能力向上に資する施策を高く評価します。
  • 客観的根拠の有無：
    • 国のガイドラインや調査報告、先進自治体での成功事例など、効果が実証されている、あるいは強く示唆される施策を優先します。

支援策の全体像と優先順位

  • 特別区における情報セキュリティ対策は、各区が個別・事後的に対応する従来型モデルから脱却し、全区が連携して「協調的・継続的」な防御体制を構築することを目指します。
  • この目的のため、施策を「人材基盤の強化」「技術的・制度的防御の近代化」「インシデントへの強靭性（レジリエンス）向上」の3つの階層で整理します。
  • 最優先で取り組むべきは「支援策①：サイバーセキュリティ人材の育成と確保」です。いかなる高度な技術や制度も、それを運用・維持する「人」がいなければ機能しないため、人材不足という根源的な課題の解決が全ての土台となります。
  • 次に「支援策②：技術的・制度的防御の強化」を進めます。これは、旧来の防御モデルの限界を克服し、現代の脅威に対応するための具体的な手段を提供するものです。
  • 最後に「支援策③：インシデント対応能力の向上」により、100%の防御が不可能な現実を前提として、万一インシデントが発生した際に被害を最小化し、迅速に復旧する能力（レジリエンス）を確立します。

各支援策の詳細

支援策①：サイバーセキュリティ人材の育成と確保に向けた共同基盤の構築

目的
  • 特別区全体で深刻化しているセキュリティ専門人材の絶対数不足と、都心部への極端な偏在を解消します。
  • 共同での研修、資格取得支援、専門家シェアリングを通じて、持続可能な人材育成・確保の仕組みを構築します。
主な取組①：特別区合同セキュリティ研修プログラムの創設
主な取組②：専門人材シェアリング制度（共同CIO/CISO補佐官）の導入
  • 特別区が共同で、高度な専門知識を持つCISO（最高情報セキュリティ責任者）クラスの専門家やコンサルタントを複数名雇用または業務委託契約します。
  • この専門家プールから、各区のニーズに応じて専門家を派遣し、セキュリティ戦略の策定支援、ガバメントクラウド移行の監督、高度なインシデント対応の指揮など、単独では確保が難しいハイレベルな支援を提供します。
  • これにより、人材が不足している区でも、都心区と同レベルの専門的知見を活用できる体制を構築します。
主な取組③：若手・中堅職員向け「セキュリティ・キャリアパス」の明確化
  • 各区の人事担当部署と連携し、情報セキュリティを専門職として位置づけ、明確なキャリアパス（昇進ルート、役職、求められるスキル・資格、給与体系）を制度として確立します。
  • これにより、セキュリティ業務が専門性高く、長期的にキャリアを築ける魅力的な職務であることを示し、若手・中堅職員の意欲向上と定着、さらには新規採用力の強化を図ります。
KGI・KSI・KPI
  • KGI（最終目標指標）：
    • 全特別区におけるセキュリティインシデントに起因する個人情報漏洩件数を3年間で50%削減する。
    • データ取得方法： 各区CSIRTのインシデント報告記録、個人情報保護委員会への報告内容の集計・分析。
  • KSI（成功要因指標）：
    • 全特別区のIT部門職員に占めるセキュリティ専門資格（情報処理安全確保支援士等）保有者の割合を平均15%まで引き上げる（現状は推定5%未満）。
    • データ取得方法： 各区人事部門による年次資格保有状況調査。
  • KPI（重要業績評価指標）アウトカム指標：
    • 職員のフィッシングメール開封率を平均1%未満に抑制する（標的型メール訓練結果に基づく）。
    • データ取得方法： 年次で実施する合同標的型メール訓練の開封率・報告率データ。
  • KPI（重要業績評価指標）アウトプット指標：
    • 合同セキュリティ研修（基礎・中級・専門）の年間総受講者数：5,000人。
    • データ取得方法： 研修管理システムによる実績集計。
    • 共同CIO/CISO補佐官による各区への年間コンサルティング提供日数：延べ200日。
    • データ取得方法： 業務日報および派遣実績管理簿。

支援策②：「ゼロトラスト・セキュリティ」への移行を前提とした技術的・制度的防御の強化

目的
主な取組①：ガバメントクラウド移行と連携したゼロトラスト導入ロードマップの策定
主な取組②：自治体情報セキュリティクラウドの機能強化と共同利用の促進
  • 東京都が主体となって運営する「自治体情報セキュリティクラウド」を、特別区共通の高度セキュリティ基盤として最大限活用します。
  • WAF（Web Application Firewall）、CDN（Contents Delivery Network）、SOC（Security Operation Center）による24時間監視といった高度なセキュリティ機能を、クラウドを通じて共同で調達・利用します。
  • これにより、各区が個別に高価な機器やサービスを導入するのに比べ、大幅なコスト削減と高度なセキュリティレベルの均一化を実現します。
主な取組③：サプライチェーン・リスクに対応する「委託先セキュリティ格付け制度」の導入
KGI・KSI・KPI
  • KGI（最終目標指標）：
    • VPN機器の脆弱性、または委託先を起点とする重大インシデント（個人情報1,000件以上の漏洩、または24時間以上のサービス停止）の発生件数をゼロにする。
    • データ取得方法： CSIRTのインシデント根本原因分析レポート、個人情報保護委員会への報告内容。
  • KSI（成功要因指標）：
    • 全特別区の職員アカウントにおける多要素認証（MFA）の有効化率100%。
    • データ取得方法： 各区情報システム部門によるID管理システムの監査ログ分析。
    • 新規・更新契約の主要委託先（年間上位100社）に対するセキュリティ格付け評価の実施率100%。
    • データ取得方法： 共同調達部門または各区契約部門の委託先管理台帳。
  • KPI（重要業績評価指標）アウトカム指標：
    • クラウドサービスの設定ミスに起因する情報漏洩インシデントの発生件数を前年比80%削減する。
    • データ取得方法： CSIRTのインシデント原因分析レポート。
  • KPI（重要業績評価指標）アウトプット指標：
    • ゼロトラスト移行ロードマップを策定し、第1フェーズに着手した区の割合：100%。
    • データ取得方法： 各区DX推進部門からの進捗報告。
    • 自治体情報セキュリティクラウドを通じて共同利用する高度セキュリティサービスの数：10種類以上。
    • データ取得方法： サービス提供事業者との契約内容確認。

支援策③：インシデント対応能力向上のための実践的体制整備

目的
  • サイバー攻撃の100%防御は不可能であるとの前提に立ち、インシデントの発生を迅速に検知し、被害を最小限に封じ込め、速やかに復旧するための協調的な対応体制（サイバーレジリエンス）を構築します。
  • これにより、行政サービスの停止期間を極小化し、住民への影響を最小限に抑えます。
主な取組①：特別区合同CSIRT（シーサート）の設立と運用
  • 京都府内の全自治体が参加する「ALL京都CSIRT」などを参考に、23区共通の調整機能を持つ「東京特別区CSIRT（仮称）」を設立します。
  • この合同CSIRTは、各区のCSIRTを代替するものではなく、高度な技術分析、最新の脅威情報の集約・共有、複数の区にまたがる大規模インシデント発生時の司令塔としての役割を担います。
  • 専任のセキュリティ専門家と、各区からの出向者で構成し、平時から情報共有や合同訓練を行います。
    • 客観的根拠：
      • 京都府や長崎県では、都道府県と市町村が連携するCSIRTが既に運用されており、リソースの共有やノウハウの横展開に成功しています。このモデルは、リソースが偏在する特別区において特に有効です。
      • （出典）(https://www.kouiki-kansai.jp/material/files/group/3/20210203siryou2-4.pdf) 49
      • （出典）(https://www.softbanktech.co.jp/news/topics/service/2019/010/) 50
主な取組②：AIを活用した脅威インテリジェンスと予兆検知の導入
  • 各区のネットワークやサーバーから得られるログ情報を集約・分析する、AI搭載のSIEM（Security Information and Event Management）基盤を共同で導入・運用します。
  • AIが膨大なログデータから、単一のシステムでは見逃してしまうような攻撃の予兆（例：複数の区に対する偵察活動、正規ツールを悪用した不審な挙動）を検知し、合同CSIRTに警告を発します。
  • これにより、攻撃の初期段階での検知と対応が可能となり、被害の深刻化を防ぎます。
主な取組③：年次合同サイバー演習の義務化
  • 特別区全区、合同CSIRT、東京都、警視庁公安部サイバー攻撃対策センターなどが参加する、大規模な合同サイバー演習を年1回義務付けます。
  • IPAの「情報セキュリティ10大脅威」で指摘される最新の脅威（例：重要インフラを狙ったランサムウェア攻撃、大規模サプライチェーン攻撃）を想定した、実践的なシナリオに基づき実施します。
  • 演習を通じて、組織間の情報伝達、意思決定プロセス、復旧手順などを繰り返し検証し、改善します。
KGI・KSI・KPI
  • KGI（最終目標指標）：
    • 重大インシデント発生時の行政サービス停止時間を平均24時間以内に短縮する。
    • データ取得方法： CSIRTのインシデント対応記録における、サービス停止時刻と復旧時刻のログ分析。
  • KSI（成功要因指標）：
    • 特別区合同CSIRTを設立し、脅威情報共有とインシデント調整機能の運用を開始する。
    • データ取得方法： 合同CSIRTの設立に関する公式文書、運用規則、活動記録。
    • 全23区が年次合同サイバー演習に毎年参加する。
    • データ取得方法： 演習の参加記録および事後評価報告書。
  • KPI（重要業績評価指標）アウトカム指標：
    • インシデントの検知から合同CSIRTによる対応方針決定までの平均時間（MTTR：Mean Time To Respond）を3時間以内に短縮する。
    • データ取得方法： SIEMのアラート時刻とCSIRTのインシデント管理ツールの記録突合。
  • KPI（重要業績評価指標）アウトプット指標：
    • 合同CSIRTが発行する、特別区を対象とした脅威分析レポートの発行回数：年12回（月次）。
    • データ取得方法： レポートの発行・配信記録。
    • 全区参加の合同サイバー演習の実施回数：年1回。
    • データ取得方法： 演習の実施計画書および完了報告書。

先進事例

東京都特別区の先進事例

千代田区「ゼロトラスト環境の実現に向けた取り組み」

  • 千代田区は、旧来の境界防御型セキュリティからの脱却を目指し、ゼロトラスト・セキュリティモデルへの移行を先進的に進めています。その具体的な一歩として、区立学校の教員用スマートフォンに多要素認証を導入し、校内・校外を問わず安全に校務システムへアクセスできる環境を整備しました。これは、特定の信頼できるネットワークという概念をなくし、全てのアクセスを検証するゼロトラストの基本原則を実践したものです。
  • 成功要因：
    • 「全てのアクセスは信頼できない」というゼロトラストの核心的な考え方を早期に受容したこと。
    • 全庁一斉導入ではなく、まず教育現場という特定分野でパイロット導入を行い、効果と課題を検証する現実的なアプローチを取ったこと。
  • 効果：

渋谷区「データ利活用とセキュリティの両立」

  • 渋谷区は、「シティダッシュボード」の構築などデータ駆動型の区政運営を積極的に推進する一方で、それを支えるセキュリティとプライバシー保護に強力なガバナンスを効かせています。特に、業務委託先が区の情報を扱う際の遵守事項を明確に定め、契約段階で厳格なセキュリティ要件を課しています。また、攻撃の100%防御は不可能との認識のもと、侵入後の迅速な検知と対応を重視する現代的なセキュリティ思想を取り入れています。公式ウェブサイトにはDDoS攻撃対策やWAFを備えたスケーラブルなクラウド基盤を採用し、有事の際の情報発信の継続性を確保しています。
  • 成功要因：
    • データ利活用とセキュリティをトレードオフの関係ではなく、一体不可分のものとして捉える先進的な視点。
    • 委託先管理やインシデント対応など、技術だけでなく運用・管理面のルールを徹底している点。
  • 効果：

板橋区「地域と連携した情報セキュリティ人材育成」

  • 板橋区は、区単独ではなく、東京都や地域の多様な主体と連携し、重層的な人材育成の仕組みを構築しています。具体的には、東京都立職業能力開発センター板橋校で実施される、国家試験「情報セキュリティマネジメント試験」の受験対策講座を区職員が活用できる体制を整えています。さらに、区立企業活性化センターでは、地域の事業者や起業家を対象とした情報セキュリティ入門講座を開催し、サプライチェーンを構成する中小企業のセキュリティレベル向上にも貢献しています。
  • 成功要因：
    • 既存の公的施設（職業能力開発センター、企業活性化センター）を有効活用している点。
    • 行政職員向けと地域事業者向け、双方のプログラムを提供し、地域全体のセキュリティ意識向上を図る包括的なアプローチ。
  • 効果：

全国自治体の先進事例

会津若松市「官民学連携によるスマートシティ・セキュリティ」

  • 会津若松市は、スマートシティ構想を強力なセキュリティ基盤の上に築いています。特筆すべきは、産官学の強固な連携体制です。市は、全職員を対象とした年1回の情報セキュリティ理解度チェックを義務付け、基準点未満の職員には補習を受けさせるなど、組織全体で高いセキュリティ意識を維持しています。また、会津大学との連携により、最新の技術動向の取り込みや専門人材の育成・確保を行っており、サイバーセキュリティに関する人材育成講座も共同で開催しています。
  • 成功要因：
    • トップの強力なリーダーシップと、セキュリティを最優先事項とする明確なビジョン。
    • 地元の会津大学という学術機関をパートナーとし、人材育成と技術革新の好循環を生み出している点。
  • 効果：

神戸市「AIとデータ連携基盤を活用した業務改革」

  • 神戸市は、AIやデータ分析技術をいち早く行政運営に取り入れ、業務改革を推進しています。その核となるのが、庁内の各部署が持つデータを安全に連携・可視化するための基盤「神戸データラウンジ」です。さらに、生成AIの活用においても先進的で、全職員を対象とした実証実験を経て、セキュリティが確保された「Azure OpenAI Service」の本格利用を開始しました。アンケートでは9割以上の職員が業務効率の向上を実感するなど、大きな成果を上げています。
  • 成功要因：
    • データ活用の前に、まず安全なデータ連携基盤を整備するという正しい手順を踏んだこと。
    • トップダウンではなく、全職員参加型で実証実験を行うことで、職員のAIリテラシーと納得感を醸成した点。
  • 効果：

参考資料［エビデンス検索用］

まとめ

　東京都特別区が直面するサイバーセキュリティの脅威は、もはや看過できないレベルに達しており、従来の個別・事後的な対策では住民の安全と行政の継続性を守ることは困難です。今求められるのは、人材育成を土台とし、ゼロトラストの考え方に基づく技術・制度へ転換し、インシデント対応能力（レジリエンス）を確立するという、協調的かつ継続的なアプローチです。これにより初めて、安全なデジタルトランスフォーメーションを実現し、住民から信頼されるデジタル行政を構築できます。
　本内容が皆様の政策立案等の一助となれば幸いです。
　引き続き、生成AIの動向も見ながら改善・更新して参ります。

ABOUT ME
行政情報ポータル
行政情報ポータル
あらゆる行政情報を分野別に構造化
行政情報ポータルは、「情報ストックの整理」「情報フローの整理」「実践的な情報発信」の３つのアクションにより、行政職員のロジック構築をサポートします。
関連記事
あわせて読みたい
記事URLをコピーしました