第1回目のコラムが掲載された（2002年9月19日）直後、政府のIT戦略本部の会合で「各府省情報化統括責任者（CIO）連絡会議」の
設置を決定した。構成員も局長、官房長クラス（経済省は事務次官！）といった、かなり上層部の方々が勢揃いしており、中央省庁のこの会議にかける意気込みがうかがえる。CIOを推進する立場としては大変喜ばしいことである。
また先日、米国で電子政府推進を担っている機関のエグゼクティブから話を聞いていたところ、米国では連邦政府だけでなく、州政府などにおいても同様のCIOコミッティ的なものが存在するそうである。日本の自治体においても、一日も早くこのような組織が立ち上がり、電子自治体推進の原動力になって欲しいものである。
さて今回は、電子自治体に絡んで、昨今様々な観点から注目されている「セキュリティ」をテーマにしてみたい。電子自治体にとってセキュリティはどのような意味を持ち、CIOはこの重要な課題についてどのように取り組んでいけばいいのであろうか。
■セキュリティとは？ ～やるべきことを基本から見直す～
日常的に何気なく使っているこの「セキュリティ」という言葉だが、まずはその定義について確認してみよう。
OECDセキュリティガイドラインによれば、「情報システムに依存するものを、可用性、機密性、保全性の欠如に起因する危害から保護すること」がセキュリティの目的であるとの記述がある。ここで出てきたキーワードに若干の説明を加えると、以下のようになる。
| データやシステムが、定められた手順でいつでもアクセスでき、利用できること。自然災害、事故、犯罪等によって利用が中断・制限されないこと |
| データが、権限ある者によって、権限ある時に、権限ある方式に従った場合のみ開示され、適切に保護されていること |
| データが正確で完全であり、かつ正確性、完全性が維持されること |
「セキュリティ」と言うと、重要なデータが外部へ流出しない体制や仕組みのこととイコールのような形で報じられる場合が多い。しかし、定義から見ると、情報システムが安定的に運用され信頼できること、内部データがきちんと管理されていることなど、かなり広い範囲の意味を持っていることが分かる。
では、電子自治体の実現に向けて、なぜ「セキュリティ」が注目されているのであろうか？ この答えは大きく3つくらいあると考えている。
電子自治体関連システムは、歴史上初めてインターネットから自治体への接続を許すものである。インターネット自体がいかにセキュリティのレベルが低いものかは改めてここで述べるまでもないが、これを利用する以上、どうしても強力な対策が必要となってくる。
さらに加えるならば、運用主体が自治体という公の組織であるゆえに、不正アタックなどの対象となりやすいという宿命的な問題も、残念ながら存在する（2000年春の中央省庁ホームページへの一連の不正アクセス事件は、まだ記憶に新しいところだ）。 |
| 電子申請を思い浮かべれば分かる通り、電子自治体関連システムは行政サービスとほとんど同義のものである。したがって、むやみに停止したりする品質の悪いシステムであれば、そのまま市民サービスの低下につながってしまう。 |
| 【3】秘匿性が高い重要なデータが保管されていること
|
| 電子自治体関連システムには、当然のことながら膨大な個人情報が管理されている。これらが万が一、漏洩すると、社会的に大きな影響を与えることは必至である。したがって、そのような秘匿性の高い重要なデータを保有している以上、その管理には細心の注意を払う必要がある。 |
■セキュリティ確保の３つの側面 ～制度・システム・運用～
さて、それではセキュリティを確保するためには、CIOとしてどのような対策を打つべきであろうか？ これについても筆者は3つの側面があると考えている。
| いわゆる「情報セキュリティポリシー」を整備するなど、自治体内でのセキュリティに関するルールを作ったり、個人情報保護法（残念ながらまだ成立していないが）のような法的整備を行うこと。 |
|
管理データの暗号化や各種のアクセスコントロール技術の採用、あるいはシステム運用施設における災害対策や浸入対策等を施すこと。 |
|
人的なシステム運用を正確に行ったり、妥当と思われるジョブローテーションを実行するなどの組織・人事管理の側面、あるいは職員へのセキュリティに関する教育・啓蒙等の実施。 |
最も重要なのは、これら3つの側面を十分に意識しつつ、バランスの取れた対応を行うことである。強力な入退出管理システムを導入しつつ、常にドアが開いているような運用管理を行なっていては話にならない（これは実は例え話でなかったりする）。そして各側面を一見して分かる通り、自治体におけるそれぞれの対応部署はバラバラである可能性が高い。
したがって、全体を視野に入れた対応を行うためには、CIOというポジションが大きな意義を持つ。ぜひともCIOの強力なリーダーシップを期待したい。
なお、具体的なアクションを行う上での参考として、「電子政府の情報セキュリティ確保のためのアクションプラン」（2001年10月10日：情報セキュリティ対策推進会議）を一読していただければ幸いである。
■ワンショットではなく継続性を持った対応を
もうひとつ自治体CIOにどうしても心掛けてもらいたいのが、「継続的対応」という観点である。
筆者を含め日本人の悪い特性として「熱しやすく冷めやすい」というものがあるが、ことセキュリティという観点では、これはかなり危険で致命傷につながることであるように思う。
すなわち、阪神・淡路大震災直後のバックアップセンター構築ブーム、あるいY2K（西暦2000年問題--この言葉自体が“死語”に近いかもしれない）の頃に数多くの企業・行政機関で行われた「コンティンジェンシープランニング」（危機管理計画）の整備……。いずれもその時点では、それらの対策の必要性が見事なまでに世の中全体に浸透していたはずなのに、たかだか数年過ぎただけで、これまた見事なまでに話題にもならなくなっているのは事実であろう。
システム的な対策は、既知のとおり、日進月歩の世界である。新たに出現する様々なセキュリティ犯罪などと追いかけっこで（ある意味イタチごっこで）新技術、サービスは生まれており、同時に旧来の技術はその存在意義を失う。また、運用管理的な対策は、今日だけでなく毎日毎日の業務をルール通り行わなければ何の意味も持たない。
セキュリティ対策は、ある時点、ワンショットで大げさに実施するものでなく、これから将来にわたって淡々と継続的にレベルを落とさずに続けていかなければならない性質のものなのである。
CIO自身が毎日の状況をチェックするわけにはいかないであろうが、少なくとも在任期間中は、一定レベルのセキュリティ対策を実施できるように予算や組織体制を維持することをお願いしたい。
■システム監査のススメ
筆者は、電子自治体推進におけるセキュリティ対策として、「第三者によるシステム監査」を実施し、自治体の状況を定点観測することをお薦めしている。
セキュリティ技術や製品の導入に比べると地味に見えるし、効果がはっきり見えにくいとも思われるかもしれないが、今回述べてきた「セキュリティの3つの側面を総合的に見る」「セキュリティ対策の状況を継続的に見る」ということを念頭に置くと、やはり信頼できる第三者によるシステム監査はかなり有効だと考えている。
この9月から経済産業省において「情報セキュリティ監査研究会」（座長：土居慶應大教授。私の所属している日本システム監査人協会からも委員参加している）が立ちあがっている。研究会の目的は、信頼性の高いセキュリティ監査（システム監査）を普及させるために、監査指標や監査実施要領等を整備していくことで、電子政府関連システムもそのターゲットとなっていると聞いている。12月には中間取りまとめが公表されるとのことなので、その成果を注目したい。
筆者紹介 三谷慶一郎（みたに・けいいちろう）
NTTデータ経営研究所
情報通信コンサルティング部長。電子政府・電子自治体や電子商取引分野、それらの基盤となるセキュリティ分野などに関連したコンサルティング活動に取り組んでいる。日本システム監査人協会理事。
|
