自治体情報セキュリティクラウドとは？メリットや課題、導入時の注意点を解説

自治体情報セキュリティクラウドとは、各都道府県の自治体が安全にインターネットを使うためのクラウドサービスのことです。高度なセキュリティ対策が施されており、情報漏洩などのリスクを減らすことが可能です。

本記事では、自治体情報セキュリティクラウドの概要や導入メリットと注意点、次期情報セキュリティクラウドの概要・ポイントについて詳しく解説します。情報セキュリティクラウドについて知りたい方、導入を検討している方は、ぜひ参考にしてください。

セキュリティクラウドとは

セキュリティクラウドとは、高度な情報セキュリティ対策を施したクラウドサービスのことです。具体的には、Webサーバーの集約と監視やログの分析などのセキュリティ対策機能が実装されています。

場所を問わず接続できるクラウドサービスは、利便性が高い一方でサイバー攻撃を受けるリスクが小さくありません。セキュリティクラウドでは、多数のセキュリティ機能を実装することでサイバー攻撃を防止しています。

自治体情報セキュリティクラウドとは

自治体情報セキュリティクラウドとは、全国の自治体が安全にインターネットを利用するために設けられているクラウドサービスのことです。サイバー攻撃や情報漏洩の防止、データの保護などを目的にしています。

ここからは、自治体情報セキュリティクラウドにおける以下の事項について詳しく解説します。

• 導入された理由と成果
• 仕組み
• ガバメントクラウドとの違い

導入された理由と成果

自治体情報セキュリティクラウドが導入される以前は、各自治体が独自にセキュリティ対策を行っていました。規模が大きく、予算を確保できる自治体は高度なセキュリティレベルを確保可能です。ただ、予算が少ない自治体では十分なセキュリティ対策ができておらず、差がある状態でした。

各自治体のセキュリティレベルに差がある状態の中、2015年に日本年金機構で大規模な情報漏洩が発生したことを受け、総務省が新たなセキュリティ対策の実施を要求しました。そのうちの一つが自治体情報セキュリティクラウドの利用です。自治体情報セキュリティクラウドの利用により、予算が豊富でない自治体であっても一定水準のセキュリティ対策が可能になりました。

仕組み

自治体情報セキュリティクラウドでは、都道府県単位でインターネットへの接続口とセキュリティ対策を集約することにより、同じ都道府県下の自治体が一定水準のセキュリティレベルを保つ仕組みが取られています。また、総務省がセキュリティ対策として各情報を取り扱う領域を以下の3つに分ける三層の対策を求め、セキュリティレベルを高めています。

• マイナンバーなどのデータを扱う個人番号利用事務系
• 地方公共団体同士を接続するLGWAN接続系
• 機密性の高い情報は取り扱わないインターネット接続系

ガバメントクラウドとの違い

自治体セキュリティクラウドとガバメントクラウドは、担当と役割が異なります。ガバメントクラウドとは、2023年に運用が開始されたデジタル庁が推進しているクラウドプラットフォームのことです。デジタル庁のWebサイトや農林水産省のシステム、マイナンバーカード制度の広報などに活用されています。

一方、自治体情報セキュリティクラウドでは前述の通り、各自治体がセキュリティレベルを高める目的でWebサーバーの集約などが行われています。ただ、現在自治体情報セキュリティクラウドで運用されている業務システムや基幹業務システムは、今後ガバメントクラウドの活用が予定されており、すでに部分的に試行中です。

自治体情報セキュリティクラウド導入のメリット

自治体情報セキュリティクラウドの導入により、以下のメリットを得られます。

• セキュリティの強化
• 情報漏洩リスクの抑制
• 短期間での導入
• コスト削減
• 低い導入・運用ハードル
• 高い柔軟性

ここからは、上記の各メリットについて解説します。

セキュリティの強化

自治体情報セキュリティクラウドの導入により、セキュリティの強化を図れます。近年は、多くのサイバー攻撃が行われており情報の窃盗や改ざん、不正アクセスが行われています。個人や企業を対象にしたサイバー攻撃も多くありますが、自治体・政府も攻撃対象です。

万が一、自治体がサイバー攻撃を受け情報漏洩やシステム停止が起きれば、住民・企業への影響は小さくありません。自治体情報セキュリティクラウドには、高度なセキュリティ対策が施されているため、サイバー攻撃を受けるリスクを抑制できます。

情報漏洩リスクの抑制

情報漏洩リスクの抑制も、自治体情報セキュリティクラウド導入メリットです。高度なセキュリティ対策が施されている自治体情報セキュリティクラウドであれば、不正アクセスによる情報漏洩を防止可能です。

また、情報漏洩は機密情報を保存したデバイスを庁外へと持ち出して、紛失することでも発生します。一方、クラウドサービスであれば、インターネット環境を利用することで庁外からもアクセスできるため、デバイス自体にデータを保存する必要がありません。デバイスを紛失しても、データが流出するリスクを抑えられます。

短期間での導入

自治体情報セキュリティクラウドであれば、短期間での導入が可能です。物理的なサーバーの準備が不要なため、契約すればすぐに導入・運用できるでしょう。

コスト削減

コスト削減にもつながります。オンプレミスサーバーと異なり、設置場所や設備の準備が必要なく導入コストを抑えられます。また、維持費も少なくて済むでしょう。

低い導入・運用ハードル

導入や運用ハードルが低い点も、自治体情報セキュリティクラウドの特徴です。オンプレミスサーバーの場合はメンテナンスやアップデートする際に、自分たちで専門の知識・スキルを有した人材を採用するか手配しなければなりません。クラウドサービスの場合は、サービス提供事業者が対応するため、負担を減らせます。

高い柔軟性

柔軟性が高いことも、自治体情報セキュリティクラウドのメリットです。オンプレミスサーバーの場合、スペック変更や容量拡張には新たなサーバーの構築が必要です。一方、クラウドサービスであればWebで簡単に容量拡張などができます。

自治体情報セキュリティクラウドの課題

多くのメリットがある自治体情報セキュリティクラウドですが、デメリットも存在します。ここからは、自治体情報セキュリティクラウドにおける以下の課題について解説します。

• 各都道府県でセキュリティレベルが異なる
• テレワークができない
• サイバー攻撃やウイルスへの対策が不十分

各都道府県でセキュリティレベルが異なる

自治体情報セキュリティクラウドは、都道府県単位で活用するサービスの選択や整備が行われています。全国一律での整備ではないため、都道府県ごとにセキュリティレベルが異なります。また、サーバーの監視者などにもリテラシーの差が発生しているでしょう。

テレワークができない

個人情報が集約されている自治体情報セキュリティクラウドは、LGWAN系ネットワークに接続できない仕組みが取られています。テレワークやリモートワークはできません。今後、新型コロナウイルス感染症のような感染症の蔓延や火事・地震などの災害が起き、庁舎に行けなくなった場合、サービス提供が停止する可能性があります。

サイバー攻撃やウイルスへの対策が十分ではない

自治体情報セキュリティクラウドには、一定のセキュリティ対策機能が実装されています。ただ、近年は新たなサイバー攻撃が日々生み出されており、その手法は高度化し続けています。ツールによっては、サイバー攻撃やウイルスへの対策が不十分なものもあるでしょう。

自治体情報セキュリティクラウドには、住民の個人情報が集約されているため、万が一情報漏洩が起これば多くの人が被害を受けます。セキュリティ強度を高めるとともに、情報漏洩が発生した際すぐに気付き迅速に対処して被害を抑える体制の構築が欠かせません。

次期情報セキュリティクラウドの概要とポイント

前述の通り、自治体情報セキュリティクラウドには課題があるため、各自治体におけるセキュリティレベルの平準化・強化を目的に、2020年総務省は「自治体情報セキュリティ対策の見直しについて」を公表しました。また、「地方公共団体における次期情報セキュリティクラウドの検討に係るワーキンググループ」も開催され、課題や解決に向けた要件の設定などが行われています。

ここからは、次期情報セキュリティクラウドにおける以下について解説します。

• 三層の対策の見直し
• 求められる標準要件
• インシデントへの対処強化
• 情報セキュリティ体制・インシデント即応体制の構築

三層の対策の見直し

自治体情報セキュリティクラウドでは、三層の対策を行うことでセキュリティレベルの向上を図っていました。ただ、テレワークなど多様な働き方に対応できないといった課題が存在したため、検討会で以下の3つが提示されました。

• マイナンバー利用事務系の分離の見直し
• LGWAN接続系とインターネット接続系の分割の見直し
• 自治体の情報セキュリティ対策におけるリスク評価の実施

求められる標準要件

次期自治体情報セキュリティクラウドでは、以下4つの要件が求められます。

• インターネット通信の監視
• インシデントの予防
• 高度な人材による監視と検知
• 対応と復旧

順に解説します。

なお、詳細な要件については以下をご覧ください。
⇒次期自治体情報セキュリティクラウド機能要件一覧｜総務省

インターネット通信の監視

インターネット通信の安全性を維持・向上させるために、4つの必須要件と1つのオプション要件が定められています。具体的には、Webサイトを運用するサーバーや外部DNSサーバーの監視が該当します。

インシデントの予防

ウイルス感染やトラブルの防止を目的に、以下5つの中項目で8つの必須要件と4つのオプション要件が定められています。

• ゲートウェイ対策
• メールセキュリティ対策
• メール及びインターネットセキュリティ対策
• Webサーバセキュリティ対策
• その他

具体的には、ポリシーに従った情報制御や迷惑メール・スパムメールの遮断などが挙げられます。

高度な人材による監視と検知

専門的な知識やスキルを有した高度な人材による監視・検索が可能な体制構築を目的に、3つの必須要件と1つのオプション要件が定められています。例えば、ログ・イベントの監視や不審なアクティビティの検出などが該当します。

対応と復旧

情報のバックアップや復旧などに関わる8つの必須要件が定められています。具体的には、脆弱性を悪用した攻撃の防止や運用ルール・マニュアルの整備、インシデント予防・対応能力向上に有益な情報の共有などが挙げられます。

インシデントへの対処強化

2019年12月に、神奈川県でリース契約が満了したハードディスクが盗まれ、情報漏洩が発生しました。この事件を受け、リース機器の返却時には機器の物理的な破壊や職員立ち合いの下での確実な廃棄、完了報告書の作成が求められるようになりました。また、同時期に自治体情報セキュリティクラウドの障害が発生したため、バックアップの取得やメーカーとサービスレベルを保障する契約締結の実施についても、総務省が提言しています。

情報セキュリティ体制・インシデント即応体制の構築

情報セキュリティ体制・インシデント即応体制の構築に向け、総務省では以下の4つを求めています。

• 実践的なサイバー防御演習（CYDER）の受講
• インシデント対応チーム（CSIRT）の設置及び役割の明確化推進
• 演習などを通じた各自治体の職員の情報セキュリティ・リテラシーの向上
• 啓発や訓練を通じた各自治体の職員の情報セキュリティ・リテラシーの向上

なお、CSIRTの詳細は以下をご覧ください。
⇒csirtとは？主な役割や導入のポイントと流れ、注意点を解説

セキュリティクラウド導入時における注意点

セキュリティクラウド導入時における注意点は以下の通りです。

• 不正ログインへの対策実施
• バックアップの取得
• 職員のITリテラシー向上
• アカウントや権限の管理

ここからは、上記それぞれの注意点について解説します。

不正ログインへの対策実施

不正ログインへの対策を実施しましょう。具体的には、多要素認証の導入やログの監視が有効です。多要素認証（MFA）とは、クラウドサービスやアプリケーションを利用する際の本人認証で、知識認証・所有物認証・生体認証など性質の違う複数の要素を利用して認証を行う方式のことです。ID・パスワードが漏洩しても簡単には不正アクセスされません。また、ログの監視を行えば怪しい動きを迅速に察知してスピーディーな対処が可能です。

なお、多要素認証の詳細は以下をご覧ください。
⇒MFA（多要素認証）とは？仕組みやメリット・デメリット、導入方法を解説

バックアップの取得

定期的なバックアップを取得しましょう。トラブルの発生や操作ミスが原因で、データが消える可能性があります。バックアップを取得しておけば、データが消失した際にも対応可能です。
また、バックアップの取得はランサムウェア対策にもなります。ランサムウェアとは、データやシステムの暗号化・ロックを行い、解除する代わりに金銭を要求するサイバー攻撃のことです。

ランサムウェアの概要や感染した際の対処法に関する詳細は、以下をご覧ください。
⇒ランサムウェアとは？手口や対策まで詳しく解説
⇒ランサムウェアに感染したらどうなる？感染時の対応ステップや感染対策を解説

職員のITリテラシー向上

職員のITリテラシー向上も重要です。セキュリティ対策を実施したとしても、職員の不用意な行動や操作ミスが原因でサイバー攻撃を受ける可能性があります。ITリテラシーを向上させれば、サイバー攻撃を受けるリスクを減らせるでしょう。また、テクノロジーを使いこなすことができ業務効率化にもつながります。

アカウントや権限の管理

アカウントや権限の管理も欠かせません。退職者などの不要なアカウントを残しておくと、そのアカウントを乗っ取られて情報を窃盗される可能性があります。退職者のアカウントは日々使われないため、サイバー攻撃を受けていることに気付くのが遅れるでしょう。また、近年は退職者が情報を盗むケースもあります。

さらに権限の管理も重要です。高度な権限を有するアカウントはアクセスできる情報も多く、乗っ取られれば被害が拡大する恐れがあります。退職や異動もあるため、定期的にアカウント・権限を見直し必要最低限の設定を行いましょう。

セキュリティクラウドを選ぶ際のポイント

最後に、自治体情報セキュリティクラウドを選ぶ際のポイントを紹介します。

• 要件適合の確認
• データ量の確認
• 複数サービスの比較

要件適合の確認

「次期情報セキュリティクラウドの概要とポイント」の章で解説した通り、以下4つの要件が求められています。

• インターネット通信の監視
• インシデントの予防
• 高度な人材による監視と検知
• 対応と復旧

まずは、上記の要件を満たしているか確認しましょう。

データ量の確認

業務内容や想定している使い方に対して、データ量が十分かの確認も重要です。クラウドサービスは基本的に拡張がしやすい特徴を有していますが、中には上限が設定されているものも存在します。対応しているデータ量が少ない場合、長期間活用すると容量が足りなくなる恐れがあるでしょう。

また、多くのクラウドサービスは活用するデータ量で料金が異なります。長期間の活用を見越した上で、もっともコストパフォーマンスが良いものを選びましょう。

複数サービスの比較

自治体情報セキュリティクラウドを選ぶ際には、複数サービスの比較が欠かせません。クラウドサービスごとに機能や特徴、料金体系などが異なります。また、提供するメーカーごとにサポート内容や提供方式にも違いがあります。自治体で話し合い比較して、合うものを選ぶと良いでしょう。

まとめ

自治体情報セキュリティクラウドとは、全国の自治体が安全にインターネットを利用するために設けられているクラウドサービスのことです。以前は自治体ごとに利用ツールの選定・導入が行われていたため、予算の関係でセキュリティレベルなどに差がありました。都道府県下の自治体が同じクラウドサービスを導入することにより、セキュリティレベルの平準化・向上が実現しました。

ただ、自治体情報セキュリティクラウドにはテレワークに対応できないなどの課題が存在します。また、セキュリティ対策も十分ではありません。万が一、情報漏洩が起これば多くの住民が被害を受けるでしょう。

セキュリティレベルの向上を図るとともに、情報漏洩を迅速に察知して対処できる体制の構築も重要です。情報漏洩監視ツール「ダークウェブアイ」は、ドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか、一瞬で分かります。

自社情報が漏洩していないか不安な方は、まずは自社の漏洩状況を確認してみてはいかがでしょうか？
⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！