町の情報セキュリティー対策について

答弁　副町長 高木収（副町長は2020年3月まで）

町の情報セキュリティー対策についての御質問にお答えいたします。初めに、情報の紛失や漏えいなどの事案についてでありますが、これまで各所管課からそのような報告はなく、情報の紛失や漏えいはございません。次に、情報セキュリティー対策がどのように行われているかについてでありますが、本町の情報セキュリティー対策の内部規定として平成１７年１２月に音更町情報セキュリティーポリシーを策定しておりますが、この情報セキュリティーポリシーは、本町が保有する情報資産に係る機密性及び完全性などを維持するための対策を総合的、体系的かつ具体的に定めることにより、町民の財産、プライバシーなどの保護及び安定的な行政事務の運営を図ることなどを目的としております。情報セキュリティーポリシーは、本町の全ての職員が、その重要性から遵守する義務を負うもので、情報資産の利用及び保管に当たっては音更町個人情報保護条例など関連する法令等の遵守はもとより、情報セキュリティーポリシーに違反した職員は、当該違反により生じた結果の重大性及び当該違反の悪質性等に応じて懲戒処分等の対象となる場合もある旨を規定しているところであります。御質問の組織体制につきましては、情報セキュリティーポリシーで情報セキュリティー対策を積極的に推進するための体制及び役割を定めているところでありますが、日本年金機構が標的型攻撃に遭った事案以降、地方自治法に基づく国の技術的助言により、副町長を最高情報セキュリティー責任者とし、以下、ネットワーク管理者、情報セキュリティー責任者等の体制を整えております。物理的セキュリティー対策としては、サーバーやネットワーク機器等の重要機器を設置する場所の安全性の確保、当該場所への入退室管理等の物理的及び環境的な対策を定めております。また、近年は外部のデータセンター利用を進め、サーバー機器は減少してきておりますが、その反面、ネットワークの重要性が増していることから、通信機器は予備機を備えることで、機器障害により住民へのサービス停止を招かないような対策をとっております。人的セキュリティー対策としては、職員の責務、職員に対する情報セキュリティーポリシーの啓発、情報資産に対する侵害が発生した場合の職員の報告義務等の人的な対策を定め、情報セキュリティーの一般的事項を掲載した音更町情報セキュリティーハンドブックを全職員に配付するとともに、情報セキュリティーに対する意識の徹底を図っているところであります。技術的セキュリティー対策としては、情報資産を不正なアクセスから守るため、ネットワーク管理上、外部からの侵入等への対策、認証によるアクセス制御等の技術的な対策を定めております。具体的には、ファイアーウォール等を設置して外部との通信を制限するとともに、木野支所などとの重要拠点間における通信の暗号化、システム利用時には利用者番号とパスワードの入力や、住民基本台帳ネットワークシステムでは、静脈による利用者認証を行っております。また、ファイアーウォール等の通信制限の設定を随時見直すなど、情報の流出防止面からも対策を講じているところであります。なお、住民基本台帳を初め、税や福祉といった個人番号を利用する業務システムをインターネットから分離するなどの安全対策につきましては、１月からの運用に向けて準備を進めているところであります。このほか、運用面でのセキュリティー対策としては、電子情報を格納したサーバーや職員が操作するパソコンにはウイルス対策ソフトを導入しており、利用端末では、許可された外部記憶媒体以外は利用できないようにするとともに、端末そのものにもデータが保存できない仕組みを導入しているところであります。職員による点検につきましては、住基ネットや国税連携システムなど全国的な運用基準の定められたものについては、それぞれ年に１度自己点検を行うこととなっておりますので、各所管と情報システム担当職員が連携し実施しております。最後に、情報セキュリティーポリシーの条例化についてでありますが、マイナンバー制度の開始に伴い、情報セキュリティーに対する町民の関心は非常に高まっている反面、攻撃手法は非常に高度化、多様化しております。また、技術の発展に伴い自治体クラウド等も進んでおり、これらの社会情勢の変化にあわせ、技術的対策にとどまらず、人的対策の重要性は認識しているところであります。現在のところ、国からガイドライン等が示されておりますので、これらを参考として、情報セキュリティーポリシーなどを見直しながら実務的な対策を講じることとしており、条例化の考えは持っておりませんが、今後、他市町村の状況も確認しながらその必要性等について研究してまいりたいと考えておりますので、御理解をいただきたいと存じます。以上、答弁とさせていただきます。

答弁　総務部長 杉本俊幸（総務部長は2017年3月まで）

ただいま御質問ございました情報の管理についてということでございます。町におきましては、電子媒体から文書等、いろいろ保持している情報は多々あると思います。そういった中で、その情報が持っております内容によりまして、機密性または完全性といった範囲での情報の区分けは必要なものと思います。それと、体制につきまして、そのリスクをどのように判断していくか、そういったことも必要なものと考えております。重要度の高いもの、そういったものの中で管理しているという部分では、保管、そういった形で徹底を図っているような状況でございます。施錠できるようなところに保管する、そういったような形で今対応をとっているところでございます。以上でございます。

答弁　総務部長 杉本俊幸（総務部長は2017年3月まで）

議員のおっしゃるとおりに、情報が漏れるという観点からいえば、そういったところがないように努めるのが行政の責任だと感じております。以上でございます。

答弁　総務部長 杉本俊幸（総務部長は2017年3月まで）

ハード面におきましては、現在とり得る形としては、ウイルス対策ができるソフトを使っての対応というのが今、最善的でとれる体制かと考えております。また、そういった環境にさらさないといったことも、できる範囲で対応をとっていくことが必要かと考えております。以上でございます。

答弁　総務部長 杉本俊幸（総務部長は2017年3月まで）

議員控室で使用されているパソコン等につきましては、庁内でほかの業務等で運用しております機械、その点については一緒の機械を使っておりますけれども、系統としては内部で一緒にならないように、全く別な系統で設置しておりますので、そういった面では町の情報のほうに入るといったようなことはとらない形で設置させていただいているところでございます。

答弁　情報・防災課長 小塩教敬（情報・防災課長は2015年12月まで）

今、議員さんの使っていただいているパソコン、どういった形で使っていただけるかという部分も若干御相談しなければならないかとは思うのですけれども、事務的にスタンドアロンというような形で、インターネットにつながらないような形で御利用いただけるという使い方であれば、回線は切らせていただくことによって、外部からのネットワーク参入という経路が物理的にあるということについては、遮断できると考えております。なお、その状態ではちょっとやはり使いづらいということであれば、単独に外にインターネット回線を契約していただいて、そこから出ていくと。なお、それに係る各経費等、維持管理、保守等を含めて別段で費用がかかると。現状では、物理的につながってはおりますが、論理的に厳しく分けて、拒否というような形で設定を、町側の行政システムのほうには来られないような形で設定をしておりますので、その同じ役場の大きな中のシステムの中で今は使っていただいていると。インターネットと、あとワープロソフト、表計算ソフトが入っているという形で御利用をいただいておりますので、そのあたりは、どういった形が一番、役場サイドの情報資産を守るということを第一という形で考えておりますので、現状では、それぞれどういった使い方になるのか御相談いただきながら対応を考えていくというような形で考えております。

答弁　総務部長 杉本俊幸（総務部長は2017年3月まで）

今、実際の議員控室のパソコンの系統について担当課長のほうから御説明させていただきました。物理的というか、全体的には機器が一緒のところを使っているという部分で、それに対して、今町のほうで対応をとっております、中で分断しているという部分におきまして、それに対応するウイルス等があれば、議員がおっしゃるとおりに、そこを攻撃されるという形のものがあれば、そういった影響を受けるというのが全くないとは言えないと考えます。以上です。

答弁　総務部長 杉本俊幸（総務部長は2017年3月まで）

各部長等の情報セキュリティーに対する認識、どのようにさせているかということでございますが、基本的にはポリシーハンドブック等、各条例規定ということにございますので、そういった面で周知というか、理解していただいているというような形でございます。今お話がありました部分について、特別なそういった管理職研修という形は今行ってはいない、これまでは行ってはいないということでございます。以上でございます。

答弁　総務部長 杉本俊幸（総務部長は2017年3月まで）

先ほど部長職等の研修の話を御答弁させていただきました。ちょっと足りなかった部分はございますけれども、情報セキュリティーに特化した研修は受けていないということで御答弁させていただきましたが、管理職研修というのは広い範囲で、そういったことも含めての、特化した部分ではないですけれども、管理職研修というのは受講しているような形で、対応は一応しておりますので、全くしていないということではないので、御理解いただきたいと思います。また、今お話しありました、個々の機器に対して、本町におけます電算情報システム担当職員、そんなに多い人数はいないのですけれども、そういった中での対応が非常に大変な中ということもありますけれども、昨年、シンクライアントにしまして、先ほど答弁がありましたけれども、機器自体がそういうふうに外部記憶媒体、ＵＳＢ等については、許可されたもの以外は使えないような形で今設置しているということもございます。そういった対応でさせていただいている。そうなっているのであれば、使わないところは、今お話しいただいたような、ふたと言ったらおかしいですけれども、そういったものを外部的にもわかるようにということのお話でございますけれども、実際に今そういうことで、差し込み口があっても、職員については利用できないようにしているような形をとらせていただいているところでございます。以上でございます。

答弁　総務部長 杉本俊幸（総務部長は2017年3月まで）

今、マイナンバーの施行に際しましての庁内の電算機器、情報管理等についての監査ということの自己点検というような御質問でございます。先ほど来議員からの御質問では、機器等のほうには穴があるという場合もあるといった御質問を受けております。現在は、先ほども答弁いたしましたけれども、まずはシステム的にそういった影響を受けないようなことを進めさせていただいている現状でございます。また、職員に関しましても、またこれ、マイナンバーにつきましては新たな制度でございますので、その取り扱いについて、人的なセキュリティーということで周知を図っていくということで今対応は考えております。したがいまして、今専門的な方を入れましての監査ということは、今のところはちょっと対応を考えていないところでございます。以上でございます。

答弁　総務部長 杉本俊幸（総務部長は2017年3月まで）

セキュリティーポリシーの見直しについて、過去の経緯の関係でございます。町としては、一度平成２４年に全体的な見直しをかけるような形で準備は進めておりましたけれども、システム機構自体が大きく変えていくというような部分になってきたことから、今現在、保留したままという形になっております。また、今年３月に総務省から見直し、改定文ということが出されております。そういった部分で、それもあわせて見直しをしなければならないという状況にはございますけれども、今のところまだそこの体制というか、準備ができていないというような状況でございます。基本的に、先ほども申しましたハードの体制を今整備しておりまして、それらの構築にあわせた中で、ポリシーの中も整合性を保つような形をとらなければならないということもございまして、対応がちょっとおくれているということの状況がございます。そこの点については、十分な対応、体制がとれていないというような御意見もあろうかと思いますけれども、それについては、個別に、マイナンバー等に関しましては、人的セキュリティーを高めるための周知等はしていくというような形で今進めているところでございますので、御理解いただきたいと存じます。

答弁　副町長 高木収（副町長は2020年3月まで）

町の情報セキュリティー対策ということで種々御質問いただきました。今、情報セキュリティーポリシーを当初設定した年度から非常に年数がたっていると。それからハンドブック、職員に配付しているものについても同じように年数がたっていて、改訂をされていないと。御指摘のとおりであります。これについては、今いろいろ内部的な事情は申し上げたところでありますけれども、職員をこの規定によって周知し、この情報の大事さということを知らしめるための手段としてはやはり不十分だったと反省しております。これについては国からのガイドラインもありますので、それらとつき合わせながら、町の現状に即した形で見直すべきところを速やかに見直していかなければならないと思っています。また、今までの情報分野というのは、今御質問もあるわけですけれども、非常に短い周期で、すごい技術革新が進んでおります。それはハード面だけではなくて、いろんなソフトの分野も含めて大変な勢いで進んでおります。やはり私ども行政機関としては、なかなか追いついていくのが正直難しい部分もあります。ハードについても、頻繁にＯＳやなんかが改修されますので、それに飛びつくことは決してしておりません。経費の部分もあるのですけれども、その動作確認等がきちっとできたものについて、安定性があるものについて、更新するべきときにＯＳなんかも更新するようにしております。そのハードの機器構成についても、先ほど御答弁しましたけれども、シンクライアント方式ということで、職員のそれぞれの業務用パソコンの中には基本的にハードディスクは持たないと。記憶媒体を持たないという形で、なるべく一元管理、データセンターでやるようなこともいろいろやらせていただいております。ただ、その中でも、やはりそれを操作するのは職員というか人でありますので、御指摘のとおり、人的セキュリティー対策、これは研修ということも含めて一層やっていかなければならないと思っています。そして、先ほど来マイナンバーの関係の御質問もいただいております。マイナンバーということが出て、年金機構の問題もあって非常に関心は高いと思います。国からもいろいろ助言という形で指導が来ておりまして、基本的には、住基情報、それから税、福祉等のいわゆるマイナンバーに直接関係するような業務を扱うような部署については、端的に言うとインターネット回線と切り離してくださいと。インターネット回線につなぐことを、先ほど御質問にもありましたけれども、論理的な分断をやっても、どこかで機械的にはつながっておりますので、そこを破られるおそれは全くないとは言えません。ですのでそこはもう物理的に切り離してしまうと。そうすると、職員は業務上、そのマイナンバーに絡んだ業務をするときにはこのパソコンを使うと。そうじゃない通常のほかの業務をするときにはまた別のパソコンを使うというようなことにもなる場合もあるのですけれども、いたし方ないと思っています。物理的な分断もそういうセクションについてはやるということで今準備も進めております。マイナンバーは、やはり町民含めて非常に不安視するという声、私もよく承知しておりますので、町としてこれについては十分、音更町から少なくとも情報が漏れるとか盗まれるといったことが絶対ないような措置は講じていくということで、町民の皆さんにもその対策については私どもも積極的にＰＲしていきたいと思っています。そして、情報セキュリティーポリシー、これは非常に重要だということに鑑みて、条例化というお話でございます。条例化について、必ずしも否定するわけではございません。ただ、条例ということになれば、これはやはり条例の目的というのは、広く町民の方に周知し、広く町民の方にその内容を遵守していただく、あるいは町民の方に一定の制約を与えるといったのが条例であります。したがいまして、今の情報セキュリティーポリシーというのはあくまでも内部向けといいますか、私ども情報を取り扱う、基本的には職員等を対象にした部分の規定になっております。したがって、これを、技術的な分野もかなり入ってきます。そうしたことを条例という形で町民の方にわかりやすく、広くお示しするということはなかなか難しい部分もあるのかなと思います。ですから、条例という形をとらなくても、職員にはもう当然、公務員ということのまず枠がはめられておりまして、その中で守秘義務もありますし、さまざまな制約を課しておりますので、まずはこの情報セキュリティーポリシーというのをきちっと今のものに対応するような整備を進める中で、条例化によらなくても、これは音更町としてはきちっとした、さまざまなこの分野の情報管理をしているのだということをきちっと町民の方にも安心してもらえるようにお示ししていただくということをしていきたいと思います。その上で、ほかの自治体等においても、余りまだこの情報セキュリティーポリシーを条例化したという実例は聞きませんけれども、今後の情報化社会の中で、町民の方に対してもそういうお知らせをすることの必要性が生じる可能性もありますので、今後の研究課題としては捉えさせていただきたいと思っております。以上です。

答弁　副町長 高木収（副町長は2020年3月まで）

情報セキュリティー対策、これについては、本当にどこまでやれば終わりがあるというものではないと思っています。その時々のその時代、その時々の仕組みに合わせて常に変えていく、見直していかなければならないと思っています。電子自治体という話でありますが、もう既に私ども、電子自治体というところに入り込んでいるのかなという思いもあります。ただ、議員おっしゃられるように、ますますそういう電子自治体というのはこれから本格的に、一層進むのだろうなという予想もします。そういったときに、その入り口である今のような状況の中、これをやはりしっかり足元を固めておくと。将来を見据えて対策を講じていくということは大変重要なことだと思いますので、今後ともこの対策については十分意を配してまいりたいと思います。