公的機関や民間企業を取り巻く脅威が高まり続けるなか、「情報セキュリティ」はIT施策の様々なテーマの中でも大きなウェイトを占めるようになった。しかしながら、セキュリティ対策の理念や取り組みは、民間企業、自治体や教育機関、医療機関など、組織の形態によって共通する部分と異なる部分があるため、なかなか情報共有が進んでいないのが現実だ。そこで本連載では、これからのセキュリティ対策を考える自治体、教育機関、医療機関、民間企業すべてに参考となる情報の提供を目指したい。企業IT専門誌、公的機関向け専門誌双方の編集者を経験し、現在「組織と情報セキュリティ」をテーマに取材・執筆を行っている筆者が、様々な組織におけるセキュリティ対策が、どのような理念にのっとって行われてきたのか、そして実際のモデルケースを追っていく。
第一回となる今回は、最終段階に入った自治体の「情報セキュリティの強靭化」のアプローチの基本となった「三層の構え」を取り上げる。
セキュリティ対策の基本は総務省資料の「三層の構え」 にあり！
2016年1月に運用がスタートした「マイナンバー制度」だが、ようやく世間でもマイナンバーについての理解が進んできているようだ。念のためおさらいしておくと、マイナンバーとは「個人番号」とも呼ばれ、“日本国内の住民票を有する住民一人ひとりが持つ12桁の個人番号”を指している。つまり、生涯にわたって行政手続などで使用することになる、自分だけに割り当てられた番号ということになる。それだけに、マイナンバーを取り扱う地方自治体や民間企業には、運用のためにクリアすべき厳しいセキュリティ基準が国により設けられているのだ。とりわけ「番号法」において「個人番号利用実務実施者」と定義されている自治体には、庁内ITシステムの構成そのものを抜本的に見直さねばならないほどの厳密なルールが数多く示されている。そのルールの基本となる提言が、2015 年11月に総務省の自治体情報セキュリティ対策検討チームが提示した資料「新たな自治体情報セキュリティ対策の抜本的強化に向けて」。そして、その中で象徴的に書かれているのが「三層の構え」である。自治体にまつわる最新のセキュリティ課題を知り、民間企業や教育・医療団体など、その他組織におけるセキュリティ対策を考える上でも、今回はこの「三層の構え」にフォーカスしてみたい。
「三層の構え」と、各「層」に求められる対策とは？
まず「マイナンバー制度」というのは「社会保障・税番号制度」の通称であり、2014年10月5日に施行となった「行政手続における特定の個人を識別するための番号の利用等に関する法律（通称・「番号法」もしくは「マイナンバー法」など）」に基づいて運用される制度となる。マイナンバーはこの制度のもとで、現在のところ「社会保障」「税」「災害対策」の3つの分野の行政手続において使用されている。
このマイナンバーを取り扱うことになる全国の自治体に対し、国が「自治体情報セキュリティ対策の抜本的強化」を訴えるきっかけとなったのが、2015年前半に発生した日本年金機構の情報漏えい事件をはじめとした、標的型攻撃等のサイバー攻撃による脅威の高まりである。これを受けて同年11月、総務省の「自治体情報セキュリティ対策検討チーム」が、2017年７月の情報提供ネットワークシステムの稼働を見据えて前述した「新たな自治体情報セキュリティ対策の抜本的強化に向けて」という「報告」を発表したのだ。
>総務省 自治体情報セキュリティ対策検討チーム
>概要版「新たな自治体情報セキュリティ対策の抜本的強化に向けて」
上記の報告では、「三層の構え」による自治体情報セキュリティ対策の抜本的強化の方針を示している。大まかに言うと、自治体のネットワークを保護レベルの強度に応じ3層に分離して、セキュリティ・レベルの抜本的な向上を図るという内容である。
まず3層のうちの第1層となるのが、「マイナンバー利用事務系システム」で、これを他の領域のシステム／ネットワークから原則分離しなくてはいけない。ネットワークを分離したうえで、端末からの情報持ち出しの不可設定や、端末への2要素認証の導入などを行うことで、個人情報の流出を徹底して防ごうとしているのである。
続く2層目では、マイナンバーによる情報連携に活用される「LGWAN（統合行政ネットワーク）環境」のセキュリティを確保するために、財務会計などLGWANを活用する業務用システムと、Web閲覧やインターネットメール等に使用するインターネット接続系のシステムとの通信経路の分割を掲げている。また、両システム間で通信する場合には、ウイルスの感染のない無害化を図る必要がある。
これら2つの層が、「自治体情報システム強靱性向上モデル」と呼ばれるものだ。
そして3層目のインターネット接続系については、都道府県と市区町村が協力して構築する「自治体情報セキュリティクラウド」に一度集約して、監視およびログ分析・解析をはじめ高度なセキュリティ対策を実施することとしている。
「国のモデル」を基本に、取り巻く環境、業務内容、組織の性質によるアレンジが必須
ここまでで想像できるように、三層の構えによるネットワークの分離を実現するには、複数の最新のテクノロジーの活用が必須となってくる。それは、無害化のための暗号化技術であったり、ウイルス検知のためのサンドボックス技術であったり、確実なユーザ認証のための多要素認証技術であったりと様々だ。また、ネットワーク／システムの分割は仮想的に行ってもよいことから、VDI（仮想デスクトップ）をはじめとした仮想化技術も視野に入ってくる。
こういったテクノロジーのどれを、どのような組み合わせにするのかは、各組織に意思決定にまかされることになる。
既にほとんどの自治体では三層の構えによるネットワークの分離への対応を済ませていると思われるが、今後もマイナンバー制度の内容は変化する可能性が高いのに加え、残念ながらセキュリティ上の脅威は今後も高まり続けるものと想定される。
そして、こうした脅威に対抗するための基本的なアプローチは、自治体だけでなく、教育機関、医療機関、民間企業など、あらゆる組織に当てはまるという点を忘れてはならない。基本となるのは、自らの組織についての「取り巻く環境」、「業務内容」、「組織の性質」をしかり把握し、最適なかたちへとアレンジすることなのだ。
「取り巻く環境」の１例としては、所管する官庁からのセキュリティに関する指針やガイドライン等が挙げられるだろう。例えば教育機関であれば、文部科学省の事務連絡「『教育情報セキュリティのための緊急提言』等について」が、医療機関であれば、厚生労働省が示した「医療情報システムの安全管理に関するガイドライン」がこれに該当するだろう。
次に「業務内容」を抑える際には、まず自分達が最も守るべき情報とは何かについて見直すことが求められるだろう。自治体であれば住民の個人情報であるマイナンバーや戸籍情報だとしたら、医療機関では患者のカルテ、教育機関なら児童・生徒に関する情報、企業では顧客情報などに置き換えられるだろう。
最後の「組織の性質」に関しては、「人材の流動性がどの程度か」、「組織の大きさ（人数）」、「事業フィールドが国内のみorグローバル」「構成人員の学歴レベル・ITリテラシー」などに着目するようにしたい。
今後の連載に向けて
今回は「三層の構え」を組織の情報セキュリティ向上策の例として取り上げた。
今後の記事では、情報セキュリティ向上を進めるうえでの理念や、興味深いモデルケースを取り上げていく予定だ。その際においても、各組織における「取り巻く環境、業務内容、組織の性質」の3要素を把握したうえで、参考にしていただきたい。
【著者プロフィール】
企業IT・地方自治体系ライター 小池晃臣（株式会社タマク代表）
元地方自治をテーマとした月刊誌の編集者＆エンタープライズIT雑誌の副編集長。現在はフリーとなり、主に企業や公共機関のIT活用事例の取材、経営者や首長へのインタビューを中心に活動。唯一の自慢は、日本の全都道府県庁所在地制覇。