総務省は3月、「地方公共団体における情報セキュリティポリシーに関するガイドライン」の改定版を公表した。標的型攻撃などのセキュリティ上の脅威の高度化やクラウドサービスの利用拡大など、近年の自治体の情報セキュリティ環境の変化を反映した内容に見直した。

　自治体向けのセキュリティポリシーガイドラインの改定は、2010年11月の改定以来、4年半ぶり。2012年ころから顕在化した標的型攻撃、東日本大震災を機に自治体にも利用が広がったソーシャルメディアサービス、システムや業務の効率化の観点から現場でのニーズが高まっているクラウドサービス活用など、自治体を取り巻くセキュリティ環境の変化に対応するための記述を追加している。2014年5月に決定した「政府機関の情報セキュリティ対策のための統一基準」の改定内容を、自治体向けガイドラインにも反映した格好である。

　ガイドラインの主な改定事項は表の通り。すでに政府機関や自治体で侵入・情報窃取の被害が報告されている標的型攻撃については、職員教育などの人的対策、侵入を防ぐ入り口対策、侵入後の情報窃取を防ぐ内部対策の必要性を記載し、具体的な対策も例示した。

　クラウドサービスについては、住民情報などを扱う場合は、「日本の法令の範囲内で運用できるデータセンターを選択する必要がある」と注意書きで明記した。パブリックコメントでは、クラウドサービスで扱える情報の範囲を明記して利用範囲を拡大すべき、暗号化などの対策を条件とすれば十分ではないかなどの修正要望が寄せられていたが、総務省は「データセンターの設置されている国の法令により、日本の法令では認められていない場合であっても海外の当局による情報の差し押さえや解析が行われる可能性がある」として、日本の法令が適用できることを利用の条件とした。ただし、データセンターの所在地を制限するものではないとしている。

　サービス利用を含む外部委託に関しては、再委託事業者のセキュリティレベルが下がる恐れがあることを理由に、「再委託は原則禁止」とした。例外的に再委託を認める場合には、「再委託事業者の情報セキュリティ対策が委託事業者と同等水準であることを確認し、委託事業者に担保させた上で許可しなければならない」としている。

　2016年1月から運用が始まるマイナンバー制度へのセキュリティ面の対応は、ガイドラインに加えて、「情報提供ネットワークシステム等の技術的基準」や「特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）」が示す安全管理措置などを順守するように求め、特段の記述の追加はしていない。ただし、「（マイナンバー制度での）セキュリティ対策の状況を踏まえ、本ガイドラインについても必要に応じて更なる改定を実施する予定」としている。

　2015年1月に施行された「サイバーセキュリティ基本法」については、同法第5条で、自治体でのサイバーセキュリティに関する自主的な施策の策定と実施が責務規定として法定化され、「情報セキュリティポリシーの未策定団体には策定が必須となり、策定済み団体においても、適時適切な見直しとそれを順守することが重要となっている」とした。