全国の自治体でサイバーセキュリティ対策の強化のため、「自治体情報セキュリティクラウド」の構築が本格化してきた。こうした動きは、昨年5月に起きた日本年金機構による個人情報流出問題に端を発する。マイナンバー制度の定着を目指している総務省にとっては、制度の根幹を揺るがしかねない事態で、7月には「情報セキュリティ対策検討チーム」を招集。8月12日の中間報告において「不正通信の監視機能の強化等への取り組みに際し、インターネット接続ポイントの集約化やセキュリティ監視の共同利用等の検討を進めるべき」との提言に基づいて地方自治体にその整備を行うように求めてきた……というのがこれまでの経緯である。
整備すべき広域ネットワーク
自治体情報セキュリティクラウドは、集約の単位を都道府県にすることが前提の補助事業で、自治体間の取りまとめは都道府県が担っている。ここで少し、私自身の話を。私は佐賀県庁と港区において行政情報化に関する業務に従事している。そのため、この事業には、二つの立場で関与している。佐賀県では「取りまとめる側」として、実施方式を設計して参加団体の調整を行い、市町村間の費用負担について話を進めている。一方の港区では、「取りまとめられる側」として、都区市町村IT推進協議会の協議状況を注視する立場にある。
さて、東京都の仕様書案(意見招請)によると、都のセキュリティクラウドは、次の二つのシステム群で構成されるようだ。
■統合イベント監視システム
都の情報ネットワークから発生するログ等を監視することで、サイバー攻撃や不正アクセスの検知能力を向上させ、攻撃経路や攻撃手法等の分析力を強化するもの
■外部接続中継システム
各団体とインターネット間の経路上に、ファイアウォール、不正侵入検知等のセキュリティ機器を配置し共同利用するもの
これだけを見ると万全の対策に思えるが、区市町村側の認識は、やや異なるようだ。特にシステム構成や費用負担、運用体制について、納得感や満足感が得られず、参加に踏み切れないケースも見受けられる。そこには二つの要因が存在すると考える。
一つは「自治体間を結ぶ広域ネットワークの有無」である。他の道府県では、過疎地域との情報通信環境の格差を解消するための手段として、広域ネットワークが整備されていることが多い。これは道府県と各自治体の庁舎まで接続されており、LGWANや防災などに活用されている。佐賀県を例に挙げると、こうした整備済みの広域ネットワークをセキュリティクラウドの通信回線に用いて投資額を抑える設計をしている。
ところで、東京都の場合は区市町村が必要な通信回線をそれぞれ整備することが可能で、広域ネットワーク整備の発想がなかった。そのため、セキュリティクラウドを推進し、各自治体のインターネット接続ポイントを集約するには、新たな通信回線を改めて整備しなければならないのだ。
この東京特有とも言える課題について、解決の道筋は広域ネットワークの整備にあると考える。他の道府県と順番は逆だが、今回のセキュリティクラウドの構築を契機に、各自治体が個別に整備してきた通信回線を順次統合していくのだ。最終的に、東京都と各自治体や出先機関を網羅した広域ネットワークを整備・構築できれば、通信の安全性は保たれ、集約効果も高まる。
リスクに応じた運営を
もう一つの要因は、セキュリティ対策における、都と区市町村間の認識の違い、あるいは「温度差」である。
東京都の仕様書案によると、外部からの攻撃を防御しつつも、それに伴うログの解析など「原因究明や事後的対策」への関心が高いと言える。これに対して区市町村側は、原因究明よりも「攻撃を防御すること」への優先度が高い。一部の自治体などでは、「防御」や「解析」だけでは投資対効果の説明が困難であり、攻撃者を「撃退できる」ぐらいの、インパクトがある効果も望まれている。都と各自治体では保有情報や想定リスクが異なるにも関わらず、共同運営として同じ対応を強いてしまっている限り、この溝は埋まらない。
サイバー攻撃が、何らかの内在論理を持った人間によるものならば、攻撃には明確な意図があり、その対策方法は異なる。2020年東京オリンピック・パラリンピック大会を迎える都の立場では、テロ等の破壊活動や業務妨害に対する優先度が高いことは理解できる。ただ、セキュリティクラウドは、破壊活動や業務妨害に対する防御策にはならない。
一方、区市町村などの最大のリスクは、保有情報の詐取である。こちらに対しては▽無用な情報を保有しない▽情報の重要度分類とそれに基づくネットワークの分離▽セキュリティパッチの適用▽パスワードの定期的な変更▽証跡の確保▽内部監査の実施――などの基本的な対策を行い、その上で多層防御の仕組みを構築することで、攻撃に時間と労力をかけさせ、詐取行為は割にあわないと思わせる対策が有効だ。
総務省は、セキュリティクラウドと同時に「自治体情報システム強靭性向上モデル」に関する補助事業も実施している。こちらは区市町村への補助であり、これにより各自治体内のネットワークは重要度に応じて分離され、保有情報の詐取への対策が行われる。対策済みの団体にはセキュリティクラウドは重複投資でしかないのだ。
各自治体のリスクに応える機能を、納得感・満足感のある費用負担で運営すること――それがセキュリティクラウドの成功の近道だと考える。