Special Feature
自治体のセキュリティ対策は新たなフェーズに ガイドライン改定の影響を読み解く
2021/02/25 09:00
週刊BCN 2021年02月22日vol.1863掲載
先進自治体インタビュー
地方自治体のデジタル化・DX施策への影響は?
ガイドラインの改定は、地方自治体の情報セキュリティ対策や行政のデジタル化、さらにはデジタルトランスフォーメーション(DX)にどのような影響をもたらすことになるのか。先進自治体のキーマンにインタビューした。
<神戸市>クラウドが活用しやすくなったことを評価
「β/β´モデル」への移行は将来の検討課題
新型コロナ禍により、自治体においても多くのイレギュラーな業務への対応を余儀なくされた2020年。公共分野でもデジタル化の遅れが指摘されたが、トップのリーダーシップ、現場の積極的な行動がDXのモデルケースづくりにつながった事例も散見された。神戸市もそうした自治体の一つと言えよう。有原正樹・企画調整局情報化戦略部情報政策担当課長に、改定版ガイドラインへの対応やデジタル化、DXの展望を聞いた。Q1 改定版ガイドラインをどう評価するか?
かなり規模の大きな改定だった。改定のテーマも、これまで地方自治体として課題だと感じていたシステム利用における利便性とセキュリティの両立について、一定の方向性を出してもらった。 これまでLGWANというセキュアな環境で業務システムを運用しようというのが地方公共団体のシステムの発想だったが、ガイドラインではβモデル、β´モデルという形で、一定の条件の元にインターネット環境での業務をメインにしようという方針が示された。われわれの利便性の要求に対しての答えとして前向きに評価している。
三層の対策の見直し以外では、クラウドサービスの利用・調達に関して一定の基準や手続きが示された。政府が「クラウド・バイ・デフォルト」の方針を示している中で、地方自治体がどう対応すべきかという観点から重要な改定だった。
住民からオンラインで行政手続きを電子申請してもらう際のシステム上の受け皿についても基準が示されたが、これはもう一歩進んだ改定を期待していた。ガイドラインでは、インターネットから申請されたデータを住民記録や税のシステム(基幹系システム)に通信する手段として、マイナポータルやeLTAXなど国がつくっているシステムを通じたもののみ認める形になった。マイナポータルだけでなく、例えば自治体が独自につくっているような電子申請のシステム/プラットフォームから直接基幹系システムまで通信できるような制度を期待していた。ここは引き続き国に要望していきたい。
Q2 従来の三層の対策(αモデル)による弊害は顕在化していたか?
コロナ禍においてテレワークが一般化した。これがわれわれの業務としてはかなりドラスティックな変革だった。庁内で使っている事務処理用PCは、VDI方式でLGWAN接続系とインターネット接続系を1台の端末で画面を切り替えて使える仕組みを整備している。これを2000台まで増やし、外部からは閉域LTE網で庁内ネットワークに入り、職場と同じように業務ができるようにしている。現在神戸市では2日に1回の在宅勤務を奨励しており、状況によっては2000台でも業務端末が足りないので、セカンドツールとして兵庫県が県下の市町向けに提供してくれているリモートアクセスツールも活用している。
ただし、テレワークツールが(現在のαモデルで)使いやすい状況にあるかという点は課題。庁内での打ち合わせも、外部との会議もWeb会議ツールが一般的になってきていたので、ここにどう対応していくかは大きなテーマだ。
Q3 βモデルもしくはβ´モデルを採用するか?
即時にβモデルやβ´モデルに移行するということは予定していない。システムの次のリプレースの時に、引き続きαモデルを採用するのか、β/β´モデルに移行するのか意思決定しようという方針だ。三層の対策に対応した現在のシステムがまだ5年程度の使用なので、運用保守の期間も残っているし投資の回収ができていない。3年後の夏くらいにネットワークの運用保守の契約が切れるので、その段階で考えたい。今の段階でネットワークをもう一度見直すメリットはないと評価している。
クラウドサービスの利用・調達については、昨年、神戸市の関連セキュリティポリシーをガイドラインに先駆けて改定した。改定版ガイドラインを確認したが、特に追加で対応が必要な内容はなかった。昨年、保育所の業務システムでクラウドの導入事例が出てきた。セキュリティの審査・検討もしたが問題なしだった。費用的にもオンプレミスの半分くらいで導入できた。徐々にクラウドサービスの導入は増えていくだろう。
Q4 今後のIT投資やデジタル化、DXの展望は?
庁内のITインフラはヴイエムウェアの仮想化基盤を使ってプライベートクラウドを構築している。これがリプレースの時期を迎えているため来年度にかけて調達・構築を進めていくとともに、庁内システムの仮想化基盤への移行はまだ途上であるため、5年以内には完了させたい。一方で、国は5年以内に自治体情報システムの標準化を完了させ、「Gov-Cloud」という共通の基盤にシステムを収容していく方向性を打ち出している。これに対応して必要な調達などを行っていくのも大きなテーマ。神戸市も11システムを標準化する方針だ。
行政手続きのオンライン化を一層進める方針も明確にしている。電子申請だけでなく、相談業務のオンライン化も拡大する。専門性の高い相談業務などは本庁に対応職員を集約し、区役所に相談に来られた方にオンラインで対応できると市民サービスも充実する。手続きの件数ベースで、7割程度をオンラインを活用したものに転換していく方針だ。
<藤沢市>自治体に課される責任はより重くなる
αモデルでも工夫次第で利便性は高められる
藤沢市総務部IT推進課の大高利夫・課長補佐は、入庁間もない1980年代初頭から住民記録、税総合システム、保健福祉総合システム等の開発に従事。工事契約システムや電子申請、電子入札の導入も主導し、「NISC重要インフラ専門調査会」など、内閣官房、総務省、消防庁といった中央省庁の委員も歴任した自治体情報システムの専門家だ。大高課長補佐は改定版ガイドラインをどう見るのか。Q1 改定版ガイドラインをどう評価するか?
前提として、三層の対策によるインターネット分離は非常に効果があった。一方、デジタルガバメントや自治体DXが叫ばれている中で、新しい施策のハードルになっていたのも確か。今回のガイドライン改定は、これからの自治体情報システムがセキュリティと利便性のバランスをどう取っていくかという課題に一定の回答を示したとは言える。
インターネットやクラウドサービスの活用については、一般論として、雑に、なし崩し的に拡大してきた事例もかなり見受けられるという印象だが、そこで踏むべき手順をしっかり示してくれたことはよかった。一方で、自治体の責任は重くなっているとも感じる。リスクアセスメントをして対策を立て、その評価もしなければならない。セキュリティポリシーは全ての自治体が策定しているが、きちんと運用できているのかがより厳しく問われるようになる。監査の縛りがきつくなるという覚悟は必要だろう。
Q2 従来の三層の対策(αモデル)による弊害は顕在化していたか?
やりたいことができないという明確な障害になっていたわけではない。現在のネットワーク環境であっても工夫次第でまだまだ利便性を高めることができると考えている。
藤沢市はデスクトップの仮想化は15年以上の実績があるし、神奈川県下では、県の自治体情報セキュリティクラウドの一環として仮想ブラウザーも提供されている。全国の自治体情報セキュリティクラウドの中でも、構築に費やした額はトップレベルのはず。こうした背景もあり、インターネット接続系に業務端末は置いておらず、LGWAN接続系の業務端末でインターネット接続系の環境も見られるという形を当初から実現している。
Q3 βモデルもしくはβ´モデルを採用するか?
コストを考えた時にインターネット側に業務システムを移したほうが安いんじゃないかと安易に考える自治体はかなりあるのではないか。ただ、強固なセキュリティ対策を講じなければいけないなど、リスクを踏まえた責任の重さをよく考える必要がある。
自治体の業務は市民や企業の情報をお預かりしているので、安全な場所で作業することが大事。新しい世の中のサービスを上手に利活用していく上でネックになるところはどこなのか、それをどうやって解消していくのかをきちんと考えていけば、αモデルでできないことは多くないだろう。前述のとおり、神奈川県も当初から利便性を重視した自治体情報セキュリティクラウドを整備しており、“神奈川モデル”のαモデルで基本的には進めていこうという方向性を現時点では示している。
Q4 今後のIT投資やデジタル化、DXの展望は?
世の中の新しいサービスは、ほとんどパブリッククラウド上で展開されるようになる。パブリッククラウドの活用は大きな課題。オープンなインターネット回線を使わなくても、専用線サービスでつなぐこともできるし、藤沢市用の環境を構築することもできる。現在は実証事業レベルでしかパブリッククラウドを活用できていないが、ビッグデータをAIで分析するなど、新しい技術を必要とするような領域を模索している。国内リージョンがあるクラウドサービスであればデータの配置もいろいろな可能性が広がる。
「Microsoft 365」などのコラボレーション/コミュニケーションツールの活用も検討していくことになるだろうが、設定ミスでセキュリティ事故を起こす事例なども見られ、もう少し成熟するのを待ちたい。
いずれにしても、これからの自治体情報システムはクラウド化が進んでいくのは間違いない。フォーカスすべきはアプリケーションの利活用。その意味ではLGWAN接続系で使えるLGWAN-ASPを利用するのも手だが、サービスの提供事業者がまだまだ不足していると感じる。
市としてのデジタル化やDXに向けた施策では、システムの整備というよりも職員の意識改革が非常に重要だと考えている。従来のやり方を踏襲するのではなく、一つ一つの手続きや業務の必要性をゼロから考えながら、住民の皆さんの面倒を取り除いていくことが大事。
昨年、市長が施政方針でスマート自治体を目指すと宣言し、この4月の組織改正では、既存の情報システム部門とは別に、全庁横断的にデジタル化を進めるための組織を立ち上げる。システムありきではなく、デジタル化を前提に組織の文化や風土を変えていくための取り組みを始める。

総務省は2020年12月、自治体の情報セキュリティ対策に関するガイドラインを改定した。公共分野でもDXの必要性が強く指摘される中、業務の効率性や利便性を高めることを意図して、いわゆる「三層の対策」をアップデートした形だ。ガイドラインの改定を受け、地方自治体はどう動くのか。
(取材・文/本多和幸)
改定版ガイドラインのポイント
業務効率向上やクラウド活用を前提に
19年に始まった「三層の対策」の見直し
まずは昨年大きく動いた自治体の情報セキュリティ対策に関する総務省の施策を振り返ってみよう。
総務省は2019年から、「地方公共団体における情報セキュリティポリシーに関するガイドラインの改定等に係る検討会」(座長=佐々木良一・東京電機大学総合研究所特命教授)を設置して自治体の情報セキュリティ対策の見直しに関する議論を進めてきた。昨年5月に発表した「自治体情報セキュリティ対策の見直しについて」というドキュメントでは、一連の議論を取りまとめ、具体的にどのような施策に落とし込んでいくべきかという方向性を示した。
15年6月に日本年金機構が公表した情報流出事件を大きなきっかけとして、総務省は自治体の情報セキュリティ対策を抜本的に強化すべく、各自治体に「自治体情報システム強靭性向上モデル」への対応を促した。このモデルで示されたのがいわゆる「三層の対策」だ。住民の個人情報を取り扱う情報システムである「マイナンバー利用事務系」、LGWANに接続された業務システムなどを利用する「LGWAN接続系」、インターネットに接続されホームページ管理や外部とのメールのやり取りなどで活用する「インターネット接続系」という三種類の情報システムのネットワークを分離して、セキュリティ強度を向上させたうえで運用するという考え方だ。17年夏には全国の自治体で対応を完了し、「インシデント数の大幅な減少を実現した」(総務省)という成果を得た。
一方で、セキュリティ強度は向上したものの、三層の対策により自治体業務の効率が低下したという指摘も聞かれるようになった。さらに、政府が18年に示した「クラウド・バイ・デフォルト」(クラウドサービスの利用を情報システム調達における基本方針にする)原則に象徴されるように、クラウドサービスの積極的な活用が促されるようになっている。行政手続きの電子化や自治体業務におけるテレワークへの対応の必要性も時代の要請と言える。これらの課題に対応できる形で三層の対策をアップデートするというのが検討会の議論の主なテーマであり、01年の策定以来改定を重ねてきた「地方公共団体における情報セキュリティポリシーに関するガイドライン」(以下、ガイドライン)にその議論の成果を反映させることを前提としていた。
新たなモデルは2種類に細分化
昨年5月のとりまとめでは、まずマイナンバー利用事務系について、十分にセキュリティが確保されていると国が認めた特定通信(「eLTAX」やマイナポータルから利用できる「ぴったりサービス」)に限って、LGWAN-ASP※などからデータの取り込みなどができるようにすべきだと指摘した。
続きは「週刊BCN+会員」のみ
ご覧になれます。
(登録無料:所要時間1分程度)
新規会員登録はこちら(登録無料) ログイン会員特典
- 注目のキーパーソンへのインタビューや市場を深掘りした解説・特集など毎週更新される会員限定記事が読み放題!
- メールマガジンを毎日配信(土日祝をのぞく)
- イベント・セミナー情報の告知が可能(登録および更新)
SIerをはじめ、ITベンダーが読者の多くを占める「週刊BCN+」が集客をサポートします。 - 企業向けIT製品の導入事例情報の詳細PDFデータを何件でもダウンロードし放題!…etc…
