自治体情報セキュリティ対策の抜本的強化について

山梨県における自治体情報セキュリティ対策の抜本的強化の取り組みをご紹介します。

1.経緯

平成27年5月に発生した日本年金機構の個人情報流出事案を背景に、平成28年1月に運用が始まるマイナンバー制度を踏まえ、総務省において「自治体情報セキュリティ対策検討チーム」による地方自治体の情報セキュリティに係る抜本的な対策が検討され、平成27年11月24日に「早急に各地方自治体の情報セキュリティ対策の抜本的強化を図ることが必要」と報告されました。

この報告を受けて、平成27年12月25日の総務大臣通知により、全ての地方自治体に対する情報セキュリティ対策の抜本的強化の実施が要請され、特に都道府県においては、域内市区町村における必要な情報セキュリティ水準確保のための支援が要請されました。

2.対策の内容

総務省は、次の三層からなる対策を講じることにより、全ての地方自治体が情報セキュリティ対策の抜本的強化に取り組むよう要請しました。

1.庁内のマイナンバー利用事務ネットワークにおいて、各端末からの情報持ち出し不可設定や二要素認証等を図り、住民情報流出を徹底して防止すること

2.マイナンバーによる情報連携に活用されるLGWAN環境のセキュリティ確保のため、庁内のLGWAN接続ネットワークとインターネット接続ネットワークを分割すること

3.都道府県と市区町村が協力して自治体情報セキュリティクラウドを構築し、高度な情報セキュリティ対策を講じること

3.山梨県における対応

山梨県では、次のとおり対応しました。

(1)ネットワーク分離等(上記2の1、2への対応:平成28年度実施)

行政情報ネットワークを「マイナンバー利用事務環境」「LGWAN接続事務環境」「インターネット接続事務環境」の3つに分離・分割するとともに、端末もそれぞれ専用化し、インターネット接続事務環境では仮想化技術で対応した端末も導入
マイナンバー利用事務端末へのICカード認証機能、ネットワーク接続機器制御機能を追加(端末における情報持ち出し制御機能は導入済み)
インターネット専用のメールシステムを導入
インターネットからの攻撃リスクを低減するための措置として、未知のウィルスへの対応強化を目的とした振る舞い検知と、万一の情報流出(窃取)に備えたファイルの自動暗号化を導入
マイナンバーの情報連携(平成29年7月から試行運用)に備えるため、平成28年12月にインターネット利用環境を分離後、マイナンバー業務所管部署における業務システム導入に合わせて、独立した業務専用環境への切り替えを順次実施

(2)自治体情報セキュリティクラウド(上記2の3.への対応:平成28年度構築)

県と市町村のインターネット接続口の集約に加え、各自治体が個別に設置していたDNSサーバやメールサーバーなどを県と市町村が協力して集約し、セキュリティ監視及びログ分析・解析をはじめ、高度な情報セキュリティ対策を実施
本県においては、平成27年度に全市町村が参加して自治体情報セキュリティクラウドの検討・協議体制を整備し、平成28年度に構築を終え、その後に県及び全市町村が平成29年6月末までに切替を完了し、平成29年7月から全体運用を開始
構築時の考え方
・セキュリティクラウドで実施するセキュリティ対策の措置や監視業務などは、市町村ごとに調達する場合は高額になる(費用負担が大きい)ことに加え、運用段階でも担当職員に専門的な知識や技術が求められる
・このため、共同利用を前提とし、機器台数の圧縮や構築に対する国の補助金(平成27年度補正予算)の活用に加え、万一の攻撃等発見時の初動体制強化(被害拡大防止のための県による市町村支援を含む。)を目指した