自治体情報セキュリティクラウドの仕組みは？見直し後の要件についても解説

1.自治体情報セキュリティクラウドとは

本章では、自治体情報セキュリティクラウドについて紹介し、導入された背景や仕組み、ガバメントクラウドとの違いを解説していきます。

1-1.自治体情報セキュリティクラウドとは何か

自治体情報セキュリティクラウドとは、都道府県下の各自治体（市区町村）が、Webサーバー等の集約や監視、ログ分析や解析といった、高度な情報セキュリティ対策を実施するものです。

都道府県単位の自治体情報セキュリティクラウドを各自治体に提供することによって、これまでは十分な情報セキュリティ対策ができなかった自治体でも、情報セキュリティ対策が強化され、インターネットが使用できるようになりました。

1-2.導入された背景

自治体情報セキュリティクラウドが導入される前は、インターネット接続に関する情報セキュリティ対策は、各自治体に任されており、それぞれの自治体が独自に運用していました。地方公共団体におけるインターネット使用時の、インターネットへの接続口は、全国市区町村の各自治体が各自で回線を引いて利用していたからです。

規模が大きく予算のある自治体では、情報セキュリティ対策を高い水準で十分に実施できる一方、予算が限られている自治体では、情報セキュリティ対策が十分に行えませんでした。

そこで発生したのが、平成27年の日本年金機構の情報流出事案です。この事案を問題視した総務省は、平成30年9月に各自治体へ「三層の対策」等の情報セキュリティの抜本的強化策の内容を反映するよう要請しました。

そして、各自治体が一定水準の情報セキュリティレベルを保ちながら、安全にインターネットが使用できるように、自治体情報セキュリティクラウドの実現をめざしました。

1-3.仕組み

自治体情報セキュリティクラウドは、一定水準の情報セキュリティレベルを保ちながらインターネットセキュリティサービスを提供する仕組みになっています。一定水準の情報セキュリティを達成するためには、総務省から通達された自治体向けの情報セキュリティ対策、「三層の対策」を実現する必要があります。

「三層の対策」とは、各情報システムを取り扱う情報を3つの領域に分け、領域ごとに対策を講じるものです。

具体的な3つの領域は以下のとおりです。

• 個人番号利用事務系（マイナンバーを含むデータを取り扱う）
• LGWAN接続系（地方公共団体どうしを接続する専用ネットワーク）
• 機密性の高い情報は取り扱わないインターネット接続系

この「三層の対策」の実現をめざし、各都道府県において自治体情報セキュリティクラウドの詳細要件の検討・整備を短期間で行いました。

1-4.ガバメントクラウドとの違い

自治体情報セキュリティクラウドは、都道府県と市区町村の各自治体でWebサーバーを集約し、高度な情報セキュリティ対策の実現をめざした仕組みである一方、ガバメントクラウドはデジタル庁が推進している、クラウドプラットフォームです。複数のクラウドサービス事業者が提供している、複数のサービスモデルを組み合わせ、相互に接続できる予定です。

業務システム（国民健康保険や児童手当などに関わるシステム）や、基幹業務システム（各府省において標準仕様書の作成が求められる事務に係る業務システム）において、ガバメントクラウドの活用が想定されています。

現在では、ガバメントクラウドの機能の一部が自治体情報セキュリティへ提供されるなど、部分的に試行されています。

2.自治体情報セキュリティクラウドが抱えていた課題

従来の自治体情報セキュリティクラウドが抱えていた課題は以下の3点です。

2-1.都道府県の間で情報セキュリティレベルに差がある

自治体情報セキュリティクラウドは、都道府県それぞれが独自に情報セキュリティ要件や対策を短期間で検討し、整備・実施しました。

一方、情報セキュリティの対策基準や要件が都道府県に一任されていたことが裏目となり、都道府県間で格差が生じました。情報セキュリティのレベル差だけでなく、サーバーの監視をしている業者のレベルにも差があることが分かったのです。各自治体間で標準的な情報セキュリティ要件が設けられていないのが課題となって浮き彫りにされました。

2-2.テレワークに対応できない

マイナンバーや地方税の所得情報、生活保護に関する情報など、自治体には重要な個人情報が集積されています。そのため、外部からのサイバー攻撃やウイルス、情報漏えいを防がなくてはなりません。

従来の自治体情報セキュリティクラウドでは、大切な情報を守るため、職場外からLGWAN系のネットワークへ接続できませんでした。その結果、テレワークへの対応が不可能となったのです。

2-3.サイバー攻撃・ウイルスへの対策が不十分

2015年の日本年金機構の情報流出では、外部からのメール経由で不正アクセスが発生し、個人情報の一部が流出しました。この事案を受け、有識者による「自治体情報セキュリティ対策検討チーム」が設置され、自治体情報セキュリティクラウドの取り組みが実施されました。

サイバー攻撃やウイルスは日に日に巧妙化しているため、より強固な情報セキュリティ対策が求められるようになっています。

自治体業務のクラウド化にご相談や見積作成などNTT東日本のクラウドエンジニアにて無料で対応いたします。マルチクラウド/マルチベンダー環境における構築から運用まで一元的な対応ができますので、ぜひお気軽にお問合わせください。

3.自治体情報セキュリティクラウドの見直しポイント

三層の対策の見直しにより、次期情報セキュリティクラウドでは4つの標準要件が提示されました。それぞれ詳しく解説します。

3-1.三層の対策の見直し

令和元年度～令和2年度に、「地方公共団体における情報セキュリティポリシーに関するガイドラインの改定等に係る検討会」が行われました。

この検討会では、新たな情報セキュリティ対策の検討を行う前提として、三層の対策の枠組みは維持した上で、クラウド化やテレワークなどの利便性・効率性を向上させる対応方策について議論されました。

三層の対策で見直された部分は以下の3点です。

• マイナンバー利用事務系の分離の見直し
• LGWAN 接続系とインターネット接続系の分割の見直し
• 自治体の情報セキュリティ対策におけるリスク評価の実施

効率性・利便性を向上させるためには、より高度な情報セキュリティ対策が必要となります。しかし、自治体によって対応可能な情報セキュリティレベルは異なります。

そのため、αモデル（業務端末および人事給与、財務会計といった内部管理系のシステムをLGWAN接続系に配置する従来型の三層の対策による強靭化モデルを、強化・改善したモデル）を基本形として提示しました。

加えて、クラウド・バイ・デフォルト原則やテレワーク等の要請を踏まえて効率性・利便性の高いモデルとして、βモデル（インターネット接続系に業務端末・システムを配置した新たなモデル）も提示されました。

三層の対策の見直しにあたり、リスクに対して必要な情報セキュリティ対策を整理することが必要であると総務省は示しています。

3-2.標準要件

総務省では、令和2年5月に公表した「自治体情報セキュリティ対策の見直しについて」を踏まえ、「地方公共団体における次期情報セキュリティクラウドの検討に係るワーキンググループ」を開催しました。そこで、次期自治体情報セキュリティクラウドの標準要件の詳細が検討されたのです。

検討結果を踏まえた上で、「地方公共団体における情報セキュリティポリシーに関するガイドラインの改定等に係る検討会」において、次期自治体情報セキュリティクラウドに係る標準要件のとりまとめが提示されました。

総務省が公表している次期自治体情報セキュリティクラウドの要件は、以下の大きな4つの項目から構成されています。

• インターネット通信の監視：主にサーバーに関する要件
• インシデントの予防：マルウェアをはじめとするウイルス対策など、予期せぬトラブルを防ぐための要件
• 高度な人材による監視と検知 ：エンジニアなどによる人的な監視や検索に係る要件
• 対応と復旧：データのバックアップや復旧、管理などに関わる要件

標準要件の詳細は以下で解説します。

3-2-1.インターネット通信の監視

インターネット通信の監視の標準要件は以下の表の通りです。

• 横にスクロールします

3-2-2.インシデントの予防

インシデントの予防の標準要件は以下の表の通りです。

• 横にスクロールします

出典：総務省「次期自治体情報セキュリティクラウド機能要件一覧」

3-2-3.高度な人材による監視と検知

高度な人材による監視と検知の標準要件は以下の表の通りです。

出典：総務省「次期自治体情報セキュリティクラウド機能要件一覧」

3-2-4.対応と復旧

対応と復旧の標準要件は以下の表の通りです。

• 横にスクロールします

出典：総務省「次期自治体情報セキュリティクラウド機能要件一覧」

3-3.重大インシデントを踏まえた対策強化

令和元年12 月、神奈川県で、リース契約満了により返却したハードディスクの盗難・情報流出が起こりました。

この事案を受けて情報システム機器を廃棄、リース返却する場合には、データや機器を物理的・磁気的に破壊する、職員が立ち会い確実な廃棄を確認する、完了報告書を作成する、といった対策強化が行われました。

また、令和元年12 月には、自治体向けのクラウドサービス「Jip-Base」に障害が発生した事案もあります。総務省は、必要なサービスレベルを保障する契約締結の実施、バックアップの随時保管、クラウドサービスを提供する事業者との認識共有を提言しました。

3-4.各自治体の情報セキュリティ体制・インシデント即応体制の強化

各自治体の情報セキュリティ体制・インシデント即応体制を強化するためには、総務省と地方公共団体情報システム機構の連携が大切です。

これにともない、総務省は以下の4点に取り組むことを提言しています。

• 実践的サイバー防御演習（CYDER）の受講
• インシデント対応チーム（CSIRT）の設置及び役割の明確化推進
• 演習等を通じた各自治体の職員の情報セキュリティ・リテラシーの向上
• 啓発や訓練を通じた各自治体の職員の情報セキュリティ・リテラシーの向上

自治体業務のクラウド化にご相談や見積作成などNTT東日本のクラウドエンジニアにて無料で対応いたします。マルチクラウド/マルチベンダー環境における構築から運用まで一元的な対応ができますので、ぜひお気軽にお問合わせください。

4.情報セキュリティクラウドを運用する自治体に求められること

情報セキュリティクラウドを運用する自治体には、次期自治体情報セキュリティクラウドの要件を満たしたサービスの導入、情報セキュリティ対策やインターネット環境の強化、職員のリテラシー向上・組織の見直しが求められています。

4-1.次期自治体情報セキュリティクラウドの要件を満たしたサービスの導入

次期自治体情報セキュリティクラウドの要件は、以下の4項目をクリアする基盤を構築できるクラウドサービスを導入することが大切です。

• インターネット通信の監視
• インシデントの予防
• 高度な人材による監視と検知
• 対応と復旧

特に、インターネット通信の監視、インシデントの防止やデータの復旧に関しては一定の水準を満たさなければならないため、しっかり確認しましょう。

4-2.情報セキュリティ対策やインターネット環境の強化

インターネットの分離環境を見直し、外部からウイルスなどが侵入しないように情報セキュリティ対策をすることが大切です。

三層の対策で言及されたように、マイナンバー利用事務系、LGWAN接続系、インターネット接続系を三層に分けて分離しなくてはなりません。分離には、物理分離（インターネット接続可能な端末を限定し、物理的に分離する方法）と、理論分離（仮想ブラウザなど使用し、理論上インターネットから分離する方法）の2つがあります。

また、分離環境を整えるときには情報セキュリティも重視しなくてはなりません。次期自治体情報セキュリティクラウドでは、Webサーバー、メールリレーサーバー、プロキシサーバー、外部DNSサーバーを監視し、脅威に備えることが必須となっています。

4-3.職員のリテラシー向上・組織の見直し

ウイルスの脅威や大規模なシステム障害などのトラブルが発生したときに、自治体職員だけで対応するのは難しいでしょう。インシデント対応が可能な、専門的な知識や技術を持ったチーム（CSIRT）を作り、トラブルに対応可能な組織作りをすることが大切です。

また、職員の情報セキュリティ・リテラシーを向上させるために、パソコンの使用方法や情報管理方法、ウイルスなどの脅威を学べる場を設けましょう。

5.情報セキュリティ万全のクラウドならぜひNTT東日本にご相談ください

クラウドサービスの導入には、各自治体が注目しています。しかし、「日々のシステム運用や業務に追われ、クラウド移行の検討が進まない」、「次期自治体情報セキュリティクラウドの要件を満たせる業者選定方法がわからない」といった悩みを持つ自治体職員や、自治体向けアプリケーションベンダーも多いでしょう。

そのようなときは、NTT東日本にご相談ください。AWS・Microsoft Azureなどの資格を持つクラウドエンジニアが、ネットワークからクラウドの構築・運用まで、サポートします。NTT東日本の自治体クラウドソリューションなら、地方自治体に寄り添って、デジタル化・クラウド化を推進します。

NTT東日本の自治体クラウドソリューション

自治体情報セキュリティクラウドについてまとめ

従来の自治体情報セキュリティクラウドでは、各都道府県がそれぞれインターネット接続や情報セキュリティ対策を実施していました。自治体情報セキュリティクラウドによって、どの自治体でも安心してインターネットが利用できるようになった一方、自治体によって情報セキュリティレベルにばらつきがあるという課題も出てきました。そこで、総務省が中心となって標準要件を提示したものが次期自治体情報セキュリティクラウドです。

必須とされている機能は都道府県が設置するクラウドサービスに取り入れる必要があるので、クラウドサービスの導入前に、標準要件を把握しておくことが大切です。

インシデント予防のためには、専門的な知識や技術を持つ人材が欠かせません。クラウドエンジニアのフルサポートが得られるクラウドサービスがおすすめです。標準要件を満たし、各自治体に適したクラウドを選定しましょう。