自治体の情報セキュリティ事例集｜
サイバー攻撃・情報漏洩の対応から学ぶ再発防止策

はじめに

自治体の情報セキュリティ対策は、住民の暮らしを守る取り組みそのものと言えます。

この記事では、
・押さえておくべき情報セキュリティのポイント
・実際に起きたサイバー攻撃や情報漏えいの事例
・セキュリティ対策
について、紹介します。

押さえておくべき情報セキュリティのポイント

自治体の扱う情報資産と狙われやすい侵入経路

情報セキュリティの目的は、情報が
・漏れる（機密性の問題）
・書き換わる（完全性の問題）
・使えなくなる（可用性の問題）
といった事態を防ぐことです（参照*1）。

自治体が扱う情報資産は、住民の個人情報だけではありません。行政サービスを動かすための職員のメール、申請の受付、ホームページ、各種の業務システム、委託先とのやり取りも含まれます。どれか1つが止まるだけでも、窓口対応や支払い、連絡が滞り、住民の不安につながります（参照*1）。

狙われやすいのは、「外部とつながる接点が多いところ」です。とくに、外部から庁内へ入るための仕組みや遠隔操作の仕組みは、便利な反面、突破されると被害が広がりやすい“です。警察庁によると、ランサムウェア被害の侵入経路は、外部接続の仕組み（VPN）や遠隔操作（リモートデスクトップ）が多くを占めています（参照*2）。

さらに、委託先や外部サービス（クラウド等）とのやり取りが増えるほど、「自治体の外で情報が扱われる場面」も増えます。そのため、委託先の選定や、委託終了時の返却・廃棄確認など、契約と運用の両面で管理範囲を明確にしておくことが被害防止の土台になります（参照*1）。

平時の備えと有事対応の基本プロセス

自治体の情報セキュリティは、現場の注意といった意識レベルのものだけでなく、法令やルールに沿った運用をする必要があります。特に個人情報の取り扱いでは、漏えい等が起きたときの報告や、点検・指導の枠組みが求められます（参照*1）。
平時から、連絡網、報告に必要な項目、ログや画面の記録方法、外部サービスの連絡先を一覧にし、訓練で実際に動かしてみることが大切です（参照*3）。

有事対応の基本は
・止める（被害拡大を防ぐ）
・記録する（証拠を残す）
・連絡する（関係先に伝える）
の三点です。特にサイバー攻撃では、最初は不具合に見えても、調べる途中で攻撃だと分かることがあり、即座に判断できる体制を作っておくことで、被害の拡大を防ぐことができます（参照*3）。

サイバー攻撃の自治体事例

■不正アクセスによる漏えいの可能性が生じる

東京都の事例

不正アクセスを受けた場合、不正にアクセスされたという事実と、実際に漏えいが起きたかどうかを分けて調査し、公表することが重要です。

東京都では、東京都立多摩図書館が使用するメールアカウントが第三者によりメールサーバへ不正アクセスされ、大量のEメールが送信される被害がありました。一方で、アクセス履歴の確認により、当該アカウントで送受信されたEメールに記載のあった個人情報（メールアドレス、電話番号、氏名、住所等）について、第三者からの不正アクセスは確認されず、個人情報の漏えいはないと判断したと述べました。（参照*4）

この事例では、目に見える被害（大量送信）と、漏えいの有無を分けて結論を出し、住民への説明を行っている点がポイントです。被害を｢記録｣し、適切に｢連絡｣することで、被害による不安感などを抑えようとしています。

■外部サービスを起点とした被害

東京都中央区の事例

自治体は、申請受付や予約などで外部サービスを使う場面が増えています。便利になる一方で、外部サービスに対する不正アクセスが、住民の情報漏えいにつながります。

東京都中央区は、電子申請で利用するトラストバンク社の「LoGoフォーム」が不正なアクセスを受け、一部の個人情報が外部に漏えいした可能性があると公表しました（参照*5）。

住民に対しては、漏えいの可能性がある情報を整理し、中央区が管理する申請情報の漏えいはないことを発表しています（参照*5）。影響範囲を人数と項目で示し、自治体側で漏えいがない範囲を丁寧に伝えることで、住民の不安を抑えやすくなります。

■公開サイトに対する攻撃・書き換え

茨城県つくば市の事例

学校や教育現場は、行事連絡や学習のために外部公開のページや仕組みを使うことが多く、攻撃者から見える入口が増えがちです。さらに、児童生徒や保護者が閲覧するため、改ざんが起きると影響が広く、信頼の低下にも直結します。

つくば市では、全校分のWebサイトのログインID・パスワードが第三者により書き換えられるという被害がありました。対応として市は、疑いのある不審ファイルの削除、Webサイトの更新権限の遮断、管理業者へのアクセスログ調査依頼、各校による再点検、プラグイン等の更新確認を進めたうえで、全市内小・中・義務教育学校のWebサイトを休止しました（参照*6）。

再発防止には、サイトを動かすOS・アプリ・拡張機能などの定期的な更新、パスワード運用の強化、ログの保存と点検、改ざん疑い時の連絡網（教育委員会・委託先・関係機関）の整備といった、運用設計が求められます（参照*7）。

ヒューマンエラーによる情報漏洩の自治体事例

■メール誤送信による漏えい

東京都の事例

メールは日常業務の中心にあり、ミスが起こりやすい業務です。

東京都は、職員が事業者にEメールを発出する際、職員による複数チェックをせずに、他の事業者のメールアドレスが表示される形式で送信し、他社にメールアドレス等を漏えいする事故が発生したことを報告しています（参照*8）。

このような事例を防ぐためには、個人の注意だけではなく手順を明確に定めることが必要です。たとえば、外部宛メールは送信前に別職員が宛先欄と添付ファイルだけ確認する、BCCの使い方を統一する、テンプレートの宛先を空欄にしてから入力する、といった形に落とすと漏えいを防ぎやすくなります（参照*9）。

■Web公開・文書取り扱いミスによる漏えい

山口県の事例

Web公開する情報は、公開後にミスに気づいて差し替えても、閲覧や保存がすでに行われている可能性があります。だからこそ、公開前の確認を厚くし、公開後も速やかにミスに気づける状態にしておくことが求められます。

山口県は、県ホームページに非公開とすべき氏名が1箇所記載されていることが判明したため、公表している答申の氏名を削除したものに差し替え、誤って氏名が公表された者に状況を説明し謝罪しています。原因は担当者1名が確認作業を行っておりチェック体制が不十分だったためで、再発防止策として複数の職員が確認するなど事務処理手順を見直し、チェック体制を強化しています（参照*10）。

この事例は、ホームページ公開後の外部からの指摘によってミスが発覚しています。公開前の複数確認に加えて、公開後も「第三者目線で見える状態」を点検する仕組みが必要であることが分かります。たとえば、公開後に担当外の職員がページを開いてチェックする、公開物の一覧を週1回見直す、といった軽い運用でも、情報漏えいの発見の確率が上がります（参照*11）。

■郵送・委託・外部共有時に起きた漏えい

北海道江差町の事例

郵送や委託、外部共有は、自治体の外に情報が出る工程です。工程が増えるほど、宛先違い、同封ミス、共有範囲の設定ミスなど、ミスの種類も増えます。しかも、外に出た後は回収が難しく、影響範囲の把握にも時間がかかります。

北海道江差町では、ふるさと納税の返礼品発送を委託している事業者が、返礼品の荷物に個人情報が記載された発注依頼書を誤って混入させ、返礼品配送先情報13名分・依頼主情報2名分（氏名・住所・電話番号）が漏えいした事案が発生しました。町は、書類の複製・記録がなされていないことを確認したうえで、対象者へ事実関係の説明とお詫びを行っています。再発防止策として、委託事業者側が荷造梱包時の封入書類を複数人で確認する工程へ見直すこと、社員への指導徹底を示し、町としても再発防止に向けた対策を進めるとしています（参照*12）。

事例から考える情報セキュリティ対策

技術的な対策

技術的対策は、全部を一度に整えるより、被害が大きくなりやすい侵入経路から進めることが重要です。攻撃は、外部の侵入経路を起点に、内部の権限や端末へ連鎖していきます（参照*13）。

優先して見直したい入口の一つが、外部に公開しているホームページです。公開サイトは「止めにくい」一方で、更新が滞った部品や設定不備があると、改ざんや内部侵入の足がかりになります（参照*7）。

もう一つがメールです。メールは、なりすましや不審なリンクをきっかけに、端末の感染やアカウント情報の窃取につながりやすく、入口として狙われやすい領域です（参照*13）。

技術的な対策における最小限のチェックリストは次の通りです（参照*1）。

・公開サイト／外部接続の仕組み等に、更新の止まった機器やソフトを使用していないか
・職員メールや外部サービスのアカウント管理が「担当者任せ」になっていないか
・重要データをバックアップし、戻せるかどうか
・外部サービス利用時の連絡先と、責任分担を文書化しているか

運用体制の整備と訓練の進め方

部署ごとに、業務や外部サービスや委託の形が違う自治体では、共通の運用体制を作って管理することが重要です。

たとえば、総務省は、情報セキュリティ対策を統一的に実施するための意思決定機関（情報セキュリティ委員会）を置くことを推奨しています。さらに、攻撃の分析や封じ込めなどは専門性が高いため、他自治体や関係機関と連携できる窓口づくりや、外部の専門家にすぐ依頼できるよう候補のリスト化や契約を事前に結んでおく、といった対応が重要です（参照*1）。

訓練では、まず被害シナリオを想定して「いつ誰が何をするか」「部門間がどう連携するか」を確認します。次に連絡網・報告ルート・外部窓口への連絡が本当に機能するかを通信訓練で点検し、最後に影響の大きい業務（住民向け窓口、基幹、学校系など）の検討へと広げていくと、負荷を抑えつつ実効性を上げられます（参照*14）。

情報漏えい時の初動対応と住民・関係者への周知

情報漏えい時は、まず被害の拡大を止めることが求められます。そして、証拠を適切に記録し、関係先へ連絡し、最後に住民や関係者へ説明します。

まずは、侵入経路を閉鎖です。疑いのあるアカウントの停止、外部公開の一時停止、外部接続の遮断、委託先・運用事業者への緊急連絡などです。ただし、原因究明に必要な手がかりまで消してしまうと、被害範囲の特定が遅れます。不正アクセス時は証拠保全を意識し、端末の不用意な初期化等を避けること、必要に応じて専門家の調査を活用することがポイントです（参照*15）。

そして、記録と連絡を並行して進めます。記録する際は、いつ・どのシステムで・何が起きたかを時系列で整理し、操作履歴（ログ）や画面、メール、設定変更の履歴などを残します。連絡する際は、庁内の責任者に即時共有したうえで、個人の権利を害するおそれが大きい事態に当たる場合は、個人情報保護委員会への報告と本人（住民等）への通知が求められます（参照*16）。

住民・関係者への周知では、事態の概要、漏えいした（可能性のある）情報の項目、原因、二次被害またはそのおそれを伝える必要があります。周知は「一回で終わり」ではなく、影響範囲や再発防止策が更新され次第、追加で説明し、住民が取るべき行動までセットで示すことが、混乱と二次被害を抑えることにつながります（参照*16）。