サイバーセキュリティ事業について（ファイル暗号化）・実施事例【自治体事例の教科書】

地方自治体でもICT化が推進され、行政機密情報や住民の個人情報などの保護が求められる中、いかにサイバーセキュリティ対策を図っていくかが重要な課題です。サイバーセキュリティの強化のためには、ファイル暗号化をはじめ、さまざまな対策があります。サイバーセキュリティ事業におけるファイル暗号化をはじめとする、地方自治体のセキュリティ対策の実施事例をご紹介します。

【目次】
■岡山県岡山市の取り組み
■兵庫県神戸市の取り組み
■神奈川県川崎市の取り組み

岡山県岡山市の取り組み

岡山市では情報セキュリティ対策の抜本的強化のために、以下の対策を講じています。

第一にマルウェア等監視システムを2016年3月から導入しました。これにより、未知のウイルスや不正な通信などを常時監視できる体制を構築しています。

第二に二要素認証の仕組みを導入しました。システムなどにログインする際、2つ以上の要素で認証を行うことでセキュリティを高めることが可能です。岡山市では業務系ネットワークに指静脈認証も導入することで、強力なアクセス制御を実現しました。

第三にファイルサーバ暗号化の仕組みを導入しました。データの持ち出し対策を強化することが目的です。データが暗号化されているので、万が一、職員の不正や外部からの侵入、情報端末機器の置き忘れなどでデータが流出したとしても、内容を閲覧できない仕組みでデータの秘密を保護します。

第四にインターネットの分離とメールの無害化を図りました。LGWANと接続している情報系ネットワークとインターネット環境を分割するために仮想化、画面転送の仕組みを構築しました。インターネットからの電子メール送受信については、添付ファイルの無害化処理、メール本文のテキスト化やリンクの無効化といった対策を行うことでメールの無害化を図ります。無害化とは、インターネットメール本文のテキスト化や端末への画面転送などにより、ウイルスなどの不正プログラムが添付されることがないよう、安全を確保した通信スタイルを図る手法です。

第五として、情報セキュリティの専門人材による高水準なセキュリティ運用監視など、都道府県単位で高度なセキュリティ対策の仕組みを構築し、自治体情報セキュリティクラウドを運用することとしました。

兵庫県神戸市の取り組み

神戸市では日々高度化、複雑化するサイバーリスクから情報資産を保護するために、以下の情報セキュリティ対策を講じています。

まず、情報セキュリティの管理体制を整えました。情報化統括責任者である副市長を情報セキュリティ最高責任者とし、その下に全庁的な組織体制を確立するとともに、神戸市が保有する情報資産を機密性、完全性、可用性に応じて分類し、分類に基づいた情報セキュリティ対策を講じることとしました。

次に情報システム全体の強靭性の向上を図っています。情報資産の分類に応じた情報セキュリティ対策に加えて、以下の対策を構築しました。マイナンバー利用事務系では原則として、他の領域との通信を回避します。端末からの情報持ち出しができないようにする設定や、端末への多要素認証の導入を構築することで、住民情報の流出を防いでいます。

情報の持ち出し不可設定とは、次のような内容を含む対策です。まず、USBメモリ等の電磁的記録媒体による端末から情報持ち出しを行う場合は、以下の手段を講じなくてはなりません。端末に接続する媒体は利用許可された媒体のみしか許されません。中古品や正規ルートで入手していない媒体では、すでにマルウェア感染などをしているリスクがあるためです。

また、持ち出すデータは暗号化し、パスワードを設定しなくてはなりません。不正持ち出しや無断持ち出しリスクを予防すべく、利用媒体はすべて管理し、利用履歴を残しておくようにします。その上で、データの受け渡しには、必ず上司の承認と承認記録を残せる体制を整備しました。なお、納付書など大量帳票のアウトソーシングを行うケースや、指定金融機関に対する口座振替情報の提供に伴い、電磁的記録媒体の利用がやむを得ない場合は、管理者権限を持つ職員が、その都度、不可設定や限定を解除するか、管理者権限を持つ職員のみに許可する設定とすることを例外規定として整備しています。

LGWANと接続する業務用システムは、インターネット接続系の情報システムとの通信経路を分割しました。なお、両システム間で通信が必要な場合には、無害化通信の徹底を図りました。

インターネット接続については、不正通信の監視機能の強化など高度な情報セキュリティ対策を構築しています。入退室の管理やサーバ等の管理、通信回線と端末への物理的セキュリティをはじめ、職員が遵守すべき事項を定め、十分な研修とトレーニングや啓発を行う人的セキュリティも講じています。技術的セキュリティとして、コンピュータ等の管理やアクセス制御、ウイルス等不正プログラム対策、不正アクセス対策を講じました。

神奈川県川崎市の取り組み

川崎市では国等の施策･指針、最新の技術動向を踏まえた対策を講じるべく、新たなシステム環境の構築を目指したルール整備を行っています。自治体情報システム強靭化のために、ネットワーク分離、二要素認証などを実施しています。

将来を見据えた技術的対策を目指し、最新の施策動向や技術動向を常にキャッチアップしながら、未知の不正プログラムに対する挙動検知機能やWebサイトの常時SSL化を図りました。ファイル暗号化がデータファイルの内容を見えなくする暗号技術であるのに対し、SSLはインターネット上でのデータの通信を暗号化することで、盗聴や改ざんを防ぐ仕組みです。

物理的な対策としては、新本庁舎竣工や組織改編による執務室の移転の予定があることから、区域ごとの入退室管理や機器･設備などの物理的対策を強化しました。持ち出しや置き忘れ、万が一の盗難などに備え、データファイルを保護する上でのファイル暗号化もひとつの対策です。人的な対策として、情報セキュリティに関する意識を高め、セキュリティ技術の向上を目指したレベル別研修を継続的に実施しています。万が一のサイバー攻撃や情報流出などに備えて迅速かつ的確に対応するため、初動対応マニュアル等も整備しなくてはなりません。

新たなICTの導入に向けた規定の見直しと整備も必須事項です。庁内無線LANをはじめ、モバイルワークやテレワークの導入に伴う安全管理措置に関する規定を整備。従来の情報機器だけでなく、クラウド利用型翻訳機などの新たな機器についても情報セキュリティ対策の対象としなくてはならず、その管理に必要な規定を整備しています。