砂川市議会 令和8年第2回定例会 2026年6月17日
（1）総務省通知を踏まえた市職員の副業・兼業制度の柔軟化と許可基準の明確化について／（2）持続可能なＩＴセキュリティ体制の構築について
2026年6月17日、砂川市議会の一般質問で、武田真議員が「総務省通知を踏まえた市職員の副業・兼業制度の柔軟化と許可基準の明確化について」「持続可能なＩＴセキュリティ体制の構築について」について質問し、総務部長 三橋真樹が答弁しました。
- 質問者
- 武田真 議員
- 答弁者
- 総務部長 三橋真樹
議事録から機械で取り出したものです。正しくは会議録でお確かめください。
市のサイトの一般質問の一覧ではこの議員の件名が 2 件あります。1回の登壇で続けて質問しており、議事録の中に件名ごとの区切りが無いため、1件の中に並べています。件名は市のサイトの一般質問の一覧の表記です。
質問 武田真
おはようございます。それでは、通告に基づきまして私からは大きく２点について伺います。大きな１、総務省通知を踏まえた市職員の副業・兼業制度の柔軟化と許可基準の明確化についてであります。私は、令和４年第３回定例会において地域貢献活動等を要件とした市職員の副業解禁について一般質問を行い、先進自治体の事例を参考に調査研究に努める旨の答弁があったところです。しかし、その後４年が経過し、公務員の働き方をめぐる環境や地域社会における担い手不足の状況は大きく変化しました。特に地方では、農業・林業・福祉・地域行事の運営など多くの分野で人手不足が深刻化しており、地域を支える新たな担い手の確保が重要な課題となっています。そのような中、令和７年６月１１日に総務省から発出された営利企業への従事等に係る任免権者の許可等に関する通知では、地域課題の解決や地域活性化に資する兼業について各自治体が地域の実情に応じて柔軟に判断することが求められるとともに、職員が利用しやすい環境整備のため、許可基準の明確化・公表が重要であると示されました。道内でも地域産業の担い手不足への対応や地域貢献活動の促進を目的として、一定の条件の下で職員の副業・兼業を認める自治体が増えています。職員が勤務時間外に地域の現場で活動し、市民と同じ視点で課題に向き合う経験は、職員自身の成長につながるだけでなく、行政サービスの質の向上にも寄与すると考えます。そこで、次により伺います。（１）令和４年第３回定例会以降において本市ではどのような先進自治体の調査研究や情報収集を行ってきたのか。また、職員からの副業・兼業に関する相談件数、申請件数及び許可件数の推移について。（２）本市においても地域課題の解決等に資する兼業を対象とした許可基準を策定し、公表する考えはないか。大きな２点目として、持続可能なＩＴセキュリティ体制の構築についてであります。近年サイバー攻撃は高度化・巧妙化し、地方自治体もその対象となっています。また、国においては、サプライチェーンリスク対策や政府機関・自治体における安全なＩＴ機器調達の在り方について制度整備や基準策定が進められています。地方自治体は、住民情報を預かる立場として、総務省が示す地方公共団体における情報セキュリティポリシーに関するガイドラインやＩＰＡ、独立行政法人情報処理推進機構が示す要件リスト等、最新のセキュリティ動向を踏まえた調達・運用を行う責務があります。本市においても税・戸籍・マイナンバー等の重要情報を取り扱っており、ＩＴ機器の安全性確保は極めて重要です。一方で、機器内部の安全性や供給網の信頼性などを一自治体で判断することには限界もあります。そのため、総務省のガイドラインやＩＰＡが示す要件リスト等を活用しながら安全性を継続的に担保できる仕組みを構築することが重要と考えます。そこで、次により伺います。（１）総務省は、地方自治体のパソコン等のＩＴ機器の調達について安全性が確認された製品の使用を求める方向性を示しており、国認定品に限定する制度も検討されています。本市は、その動向を把握しているのか。また、把握していたのであれば調達仕様書にどのように反映していたのか。（２）そもそも本市がパソコン等のＩＴ機器を調達する際には、現状においても価格や性能のみならず、総務省のガイドラインやＩＰＡが示す安全基準認証制度、サプライチェーンリスク等も踏まえた調達要件が必要と考えるが、現状はどのように対応しているのか。（３）現在稼働しているパソコン等のＩＴ機器の技術的セキュリティ対策について、アクセス制御・不正プログラム対策・不正アクセス対策等の具体的対策はどのように講じているのか。（４）総務省のガイドライン等の制度整備が進む中で、持続可能なＩＴセキュリティ体制を今後どのように構築していく考えなのか。以上、第１回目の質問といたします。
答弁 総務部長 三橋真樹
初めに、大きな１、総務省通知を踏まえた市職員の副業・兼業制度の柔軟化と許可基準の明確化についてご答弁申し上げます。（１）令和４年第３回定例会以降においてどのような先進自治体の調査研究や情報収集を行ってきたのか、また職員からの副業・兼業に関する相談件数、申請件数及び許可件数の推移についてでありますが、本市におきましては多様化する地域課題や社会環境の変化を見据え、先進自治体における職員の副業・兼業に関する事例として、地域貢献、社会貢献型の兼業事例、民間企業等での副業によるスキルアップを目的とした事例、職員が個人の資格や特技を生かす事例など多岐にわたる事例の調査研究、情報収集を継続して行ってまいりました。その結果も踏まえ、さらに職員からの相談、要望もあったことから、昨年４月１日に職員の知識や経験を地域のスポーツ、文化活動の指導に生かすことを目的とした部活動の地域展開に伴う活動及び地域貢献活動の許可基準を新たに策定し、職員周知を図った上で、要件を満たした場合の職員の副業・兼業について許可することとしたところであります。次に、職員からの副業・兼業に関する相談、申請許可件数の推移についてでありますが、直近５年間の申請、許可件数について申し上げますと、令和４年度、延べ１２６件、令和５年度、延べ２４４件、令和６年度、延べ１４８件、令和７年度、延べ２５８件、令和８年度、本日現在、延べ１４件となっており、これらは土地開発公社や観光協会、選挙事務等への従事に係る申請許可がほとんどでありますが、今ほど申し上げました部活動の地域展開に伴う活動及び地域貢献活動の許可基準に基づく申請許可がこのうち令和７年度３件、令和８年度２件となっております。なお、この間の職員からの副業・兼業に関する相談につきましては、部活動の地域展開に伴う活動に関するものが数件あったのみであります。（２）地域課題の解決等に資する兼業を対象とした許可基準を策定し、公表する考えはないかについてでありますが、本市におきましては先ほど申し上げたとおり昨年４月に部活動の地域展開に伴う活動及び地域貢献活動の許可基準を策定したことで、まずは部活動の地域展開やそれに類する地域貢献活動を対象とした許可の枠組みを明確化したところであります。一方で、国におきましては総務省から昨年６月に営利企業への従事等に係る任命権者の許可等に関する留意事項についての通知が発出され、地方公務員の兼業・副業の許可について柔軟な運用の方向について示されたほか、本年４月からは人事院において国家公務員の自営兼業制度が見直され、個人の特技や趣味を生かした兼業の承認範囲が拡大されるなど、公務員の働き方をめぐる国の動向も新たな局面を迎えております。本市といたしましては、まずは昨年４月に策定した新基準の運用状況や課題、本務への影響などを今後しっかりと検証していくことが必要であると考えており、その上で地域課題解決等に資する兼業を対象とした許可基準の策定、公表につきましては国の動向や他自治体の取組状況を注視し、職務専念義務や品位保持、職務の公正確保等の大前提を踏まえつつ、その必要性について引き続き検討してまいりたいと考えております。続いて、大きな２、持続可能なＩＴセキュリティ体制の構築についてご答弁を申し上げます。初めに、（１）総務省が示した方向性について動向を把握しているか、また把握していたのであれば調達仕様書にどのように反映したのかについてでありますが、総務省が示す地方自治体のパソコン等ＩＴ機器調達における安全性確保の方向性につきましては、４月にその旨の報道があったところであり、６月に総務省令を改正し、来年夏の運用開始を目指していることについて本市で把握しているところであります。国においては、サプライチェーンリスク対策や政府機関、自治体における安全なＩＴ機器調達の在り方について制度整備と基準策定が進められており、国認定品に限定する制度についても検討が進められております。本市の調達仕様書につきましては、国の方向性が具体化する以前の段階であることから、まだ反映はしておりませんが、今後国が示す安全性確認製品使用の方向性や認定品制度が具体化いたしましたら、調達仕様書への反映について検討を進めてまいりたいと考えております。次に、（２）パソコン等のＩＴ機器を調達する際には総務省のガイドライン等を踏まえた調達要件が必要と考えるが、現状はどのように対応しているのかについてでありますが、本市では毎年総務省が示す地方公共団体における情報セキュリティポリシーに関するガイドラインが改定された都度、砂川市情報セキュリティポリシーの見直しを行っているところであり、パソコン等のＩＴ機器の調達に際しましては、価格や性能のほか、基本的なセキュリティ機能の確認を行っているところであります。現状においては、ＩＰＡが示す安全基準、認証制度、サプライチェーンリスク等を調達要件に組み込むことはしておりませんが、今年３月の総務省のガイドライン改定では、これからは法律上の義務としてより計画的、体系的にセキュリティ対策を進める必要があるとされていることから、今後は客観的な基準に基づく評価によるリスク管理が重要であると認識しております。次に、（３）パソコン等のＩＴ機器の技術的セキュリティ対策についてでありますが、本市においては、住民情報保護の観点から具体的なセキュリティ対策の詳細はこの場では申し上げられませんが、総務省のガイドラインに基づき、多層的なセキュリティ対策を実施しているところであります。アクセス制限につきましては、職員のパソコンにおけるログイン認証、重要情報を扱うパソコンについて２つの異なる要素を組み合わせて本人確認を行う２要素認証を導入しております。また、業務データへのアクセス権限を職務に応じて制限するなど、適切なアクセス管理を実施しているところであります。不正プログラム対策につきましては、複数のセキュリティソフトを導入し、定期的に最新版へのアップデートを実施することで新種のマルウェアに対応する体制を整えているところであります。不正アクセス対策につきましては、本市の庁内ネットワークは平成２８年度から国の指導に基づき、重要情報を取り扱うネットワークとインターネットの分離、いわゆる３層分離を実施しており、インターネットからの不正アクセスを防止しているところであります。本市のセキュリティ対策は、個々の機器のセキュリティのみならず、組織全体のネットワーク構成、監視・分析体制、運用管理体制を含めた総合的なセキュリティ体制として構築しているところであります。次に、（４）総務省のガイドライン等の制度整備が進む中で持続可能なＩＴセキュリティ体制を今後どのように構築していく考えなのかについてでありますが、近年総務省のガイドラインは毎年改定されており、本市といたしましては国が示す最新のセキュリティ動向を継続的に注視し、本市の情報セキュリティ体制の改善に反映させてまいりたいと考えております。特に、国においては国と地方のネットワーク基盤の共用化を図るべく、従来の３層分離の考え方を改め、ネットワーク内で常に厳格なチェックを行う新たな仕組みについて自治体への導入を検討しております。この仕組みが導入されますと、セキュリティの安定確保に加え、テレワークなど職員の柔軟な働き方の実現にもつながるものと考えられ、現在は国の動向を注視しているところであります。また、持続的なＩＴセキュリティ体制を構築していくには職員のセキュリティ意識の向上が重要であることから、セキュリティに関する研修や啓発活動を継続的に実施し、組織全体でセキュリティ文化を醸成してまいりたいと考えております。自治体は、住民の重要な情報を守る責務を負っております。今後も国の動向や他自治体の先進事例を参考にしながら、持続可能で実効性のあるＩＴセキュリティ体制の構築に向けて積極的に取り組んでまいりたいと考えております。
再質問 武田真
それでは、順次再質問していきたいと思うんですけれども、まずこの質問、まず最初の大きな１点目の兼業・副業の関係でありますけれども、前回、４年前に私が一般質問をしたんですけれども、この４年間で非常に大きな動き、先ほども自営兼業の話が国であったというようなお話もありましたが、自営兼業については人事院から、今年４月から施行するというような話が出ております。そうした動きと他自治体の状況、そういうことも大きな変化があったのかなということで、改めて今回お伺いしたいなということで質問いたしました。（１）から伺いますが、まず１点目としては、この４年間、前回も聞いていたんですけれども、近隣自治体における兼業・副業の状況について、最新の近隣自治体の状況についてまずお伺いしたいなと思います。
答弁 総務部長 三橋真樹
空知管内１０都市の状況についてでございますけれども、副業・兼業を許可しているのは本市を含め８市であります。副業・兼業を許可している８市のうち、許可基準等を策定しているのは本市を含め５市であります。許可基準等を策定している５市のうち、許可基準等を公表している都市はないという状況を確認しているところでございます。
再質問 武田真
恐らく前回よりかなり増えているというようなことと、当市においても許可基準をつくられた、ただし公表しているところは一都市もないというようなお話だったと思うんですけれども、現在許可基準、昨年４月に策定したということで職員には周知をされたというような答弁だったと思うんですけれども、国の通知の趣旨を踏まえると職員に対する予測可能性は周知済みということではいいとは思うんですが、市民あるいは議会にとっても客観性、公平性というのがやはり担保されないと仕組みとしてはどうなのかなと思うわけなんです。国においても、それを踏まえた上で公表に当たっていただきたいというような助言、指導の通知だったとは思うんですけれども、市民あるいは議会ともこの辺の情報共有をすべきではなかったのかなと思うんですけれども、当然私自身もこの質問をしている前提としては反対しているわけではなくて、むしろ国の方向性に沿った前向きな取組だと評価しているわけでありますから、この辺の市民等に対しての周知の考え方についてお伺いしたいと思います。
答弁 総務部長 三橋真樹
制度を運用するに当たりまして市民の皆様に誤解を与えたり疑義を持たれないようにするということで、おっしゃるとおり透明性を確保する観点からの基準の公表の必要性については私どもも認識をしているところでございます。ただ、現在許可をしておりますのは部活動の地域展開に伴うものでございまして、スポーツ活動をされている団体から職員に対して、子供たちに対する指導に職員の協力を受けられないだろうかと、そういったニーズがあった。そのニーズに応えたいという職員のニーズもあったということから、私どもとしては基準を策定したというところでございまして、この点については職員が兼業するということについて市民の皆様から誤解を受けるようなことはないであろうという判断をまず１点させていただいたということ。それと、近隣自治体の調査もさせていただいております。電話などでその詳細について伺う場面も当然あったわけなんですけれども、近隣、また全国的に見られるのは１次産業の人手不足に伴う職員の兼業で、その部分を職員が担っていくというような事例がありました。その事例を見る中で直接伺ったのは、どんな作業をしているかというとキュウリの選果場だったわけなんです。それで、所管している部署から職員に声がけも行っているというような事例も直接お話を伺ったところであります。どこかは言えないんですけれども、あったということでございます。先ほど述べられていた国の通知の中においても記載があるんですけれども、兼業に当たって職務遂行上、能率の低下を来すおそれがないことというような基本的な原則の部分のほかに、動員的なものであってはならない、そこに留意をすべきであるという留意に関して通知の中で触れられていることもあります。国は、恐らくそういった自治体の事例も知っていて、そういった通知が発出されたのではないのかなと思います。ちょっと長くなって申し訳ないんですけれども、例えばキュウリの選果ではなくて、施設園芸栽培をやっている農家さんが暑熱対策でどんなつらい思いをしているのか、人手不足の中でパートさんをかき集めなければならない状況で、集まってくださっている方はどんな方なのか、どんな工夫をしているのかということを間近に見てみたいんだということで、職員の自発的な意思があって兼業の相談があれば当然許可もしますし、新たな基準をつくって公表していこうという考えはあるんですけれども、現状においてはそういった逆に市民の皆様から期待を受けるがために違った形で職員への兼業の要請というものがあっては職員が逆に萎縮をしてしまったり、そういった部分の兼業について本務への影響というのも出てきますし、私ども人事当局としてはワーク・ライフ・バランスということも当然職員に求めているわけでございますので、この点については今後も先進事例を調査しながら慎重に判断をしていきたいという考えでございます。
再質問 武田真
当然私も総務省の通知を見て、動員という言葉は私も実は気になっていて、他自治体で恐らく似たような事例があったのかなという、あえてそれが付け加えられた理由なのかなと、私自身もそのように読みました。恐らく地方の小さな自治体では、空気感といいますか、そういう形で望まないような形のものがもしかしたらあったのかなという想像もできるところであります。それは当然あってはならないことだと思いますし、各自治体それぞれのスピード感というか、地域の状況も違うわけでありますから、一律にということには当然ならないのかなと私も思っております。ただ、せっかく基準をつくったということであれば、ぜひとも委員会等で明らかにしていただいて、どういった基準、今答えられる範囲でいいと思うんですけれども、私も手元に実は恵庭市の副業・兼業の基準等、他自治体の事例も持っているんですけれども、そういったものと比較してどうなのかということもお話をぜひ聞きたいなという部分もあるわけですから、この辺は当市も恐らくは他自治体の事例を参考にしながら基準をつくったなとは思うんですけれども、今答えられる範囲で他自治体と比較してこの辺の特徴があるとか、この辺をもう少し具体的な現在の許可基準の内容についてご説明いただきたいなと思います。
答弁 総務部長 三橋真樹
恵庭市さんで委員会報告されたときの資料をホームページに掲載をされているということで、私も拝見をいたしました。大きく内容が他市の自治体と比べて何か特色のある部分があるかといえば、ございません。全国的な事例を参考にしながら整備をさせていただいた基準でございます。部活動の地域展開に伴う活動及び地域貢献活動というタイトルにしております。要請があったのは部活動の地域展開に伴う職員からの要望があったということを踏まえて、その基準のタイトルに持ってきたわけなんですが、対象となる活動の中には公益性が高く継続的に行う活動であって報酬を伴うものという表現にしておりまして、広く地域活動についても今後適用できる余地を残した記述にしているということ。そして、その許可基準でありますけれども、これは国の通知なども参考にしながら、兼業時間については週８時間以下、１か月３０時間以下、勤務時間が振られた日においては１日３時間以下とすると、あとは大原則の部分になりますけれども、信用失墜行為のおそれのないこと、利害関係が生じるおそれがないこと、職務の公平性の確保を損なうおそれがないこと、報酬については地域貢献活動として許容できる範囲であること、市内外の地域の発展、活性化に寄与する活動であることということで明記をしているというところでございます。
再質問 武田真
お話をお伺いしている限りは他自治体の基準とは大まかにずれてはいないのかなと思うんですけれども、一方では当市独自の部分ということでスポーツ指導にある意味特化した部分もあるのかなと見受けられました。私自身は今回の基準の明確化は前向きに受け止めていますし、当市の独自の課題の一つということで今回なったのかなと理解しております。一方では、当市においても様々な地域課題があって、恐らくこれは一つのきっかけなのかなと理解いたしました。今後、先ほども国の動向等を私もお話をしましたし、答弁でもありましたけれども、こうした動きというのを受け身で見守るということではなく、地域の課題の解決、あるいは人材育成の観点からというのも先ほどの答弁でもあったとは思うんですけれども、本市にとってふさわしい兼業の在り方について今回の事例をきっかけにより私は前向きに検討を進めていただきたいなと思うんですけれども、この辺、当然ですけれども、当市の独自の課題、あるいは当市のスピード感もあるとは思いますけれども、当然他の分野についても今後の動向を見ながら、兼業の現状の許可基準に加えられるのか新たになるのかは考え方はあるとは思いますけれども、変化に応じて許可基準の内容についても、先ほど見直すというお話もありましたが、場合によっては農業であったり、あるいはその周辺の分野の許可基準、兼業の緩和についても当然進めていくという考えでいいのかの確認をしたいと思います。
答弁 総務部長 三橋真樹
職員の柔軟な働き方を後押しするというのは大変重要だと私どもとしても考えておりますし、地域貢献活動に職員が出ていくことを一律に否定しているものでも当然ございません。大事にしたいのは、職員自らが働きたいと、あそこに行って経験を積みたいと、市民の皆さんの困り事に直接触れてみたいというような自発的な意思に基づいた要請について許可をし、働いてもらう、兼業してもらうというのが一番理想だと思っております。制度をせっかくつくったんだから、職員の方に使ってほしいというようなアプローチをする考えはございません。職員からの相談件数は少ないですし、許可の申請、許可件数も少ないんですけれども、まずは本業である公務員としての本務をしっかりとやりたいんだという職員の意思の表れであるとも受け止めているところであります。国家公務員でも地方公務員よりもっと柔軟に働き方の改革が行われていると承知をしております。職員もそういった活動については目に触れる機会が今後多く出てくると思います。自発的な意思に基づいて職員からの申出があれば、基準の見直しなど、また基準の公表などについても前向きに検討していきたいと考えているところでございます。
再質問 武田真
最後に提案ということで申し上げたいんですけれども、私自身も北海道職員として勤務した経験もあります。採用されたのは平成６年だったと思うんですけれども、当時の公務員像というのはまさに職務専念、兼業・副業はもってのほかというような時代だったと思います。ただ、現在、私の世代、５０代ですけれども、若い世代の労働観というか、仕事に対する価値観、あるいは働き方に関する考え方というのは恐らく私たちの世代とは大きく異なっているのではないかなと思います。実際本市におきましても、以前も一般質問しましたが、若手職員が民間企業あるいは地方公共団体に転職するという事例も見受けられるようになってきました。人口減少が進む中、当市も人材獲得競争の時代に入っているなというのを実感しております。そのような中、国でも自営兼業の制度を新たにスタートさせて、中を読んでいきますと、ユーチューバーと言ったらちょっと怒られるかもしれませんが、それに近いこともできそうな雰囲気の働き方も例示として示されているなど、やはり大きく働き方に関する考え方が変わってきているな、価値観が変わってきているなということを強く実感しております。いずれ国の自営兼業も含めて、その変化というのは地方自治体にも及ぶことはほぼ間違いないのかなと思っております。知識、技能を生かした事業や社会貢献事業を新たに認める制度ということで進んでいくのかなと思います。繰り返しになりますけれども、答弁にもありましたけれども、地域に出て活動していろいろな経験をしたり、新たな人脈をつくるということは仕事のモチベーションにつながったり、あるいは組織自体に対する、市役所に対するエンゲージメント向上にもつながるのかなと私も思っております。そうしたことから、今回についてはスポーツ指導の部分ということで許可実績があるところではありますが、国の動向を見守るだけではなく、地域課題の解決や人材育成の観点から、ぜひ本市にふさわしい兼業の在り方について前向きな検討を進めていただきたいということを要望して、大きな１点目は終わりたいと思います。続きまして、ＩＴセキュリティに入りますけれども、今回この質問をした理由なんですが、先ほども答弁にありましたとおり、今年４月に報道等によれば総務省で地方自治体が使用するＩＴ機器についてサイバーセキュリティのリスクが低いと認定した機器のみの調達を義務づけるという報道がありました。今月にも省令が改正され、自治体が使うパソコンあるいは通信機器、サーバー等についてが対象になるのではないかというような報道だったと思います。実際中央官庁では、既に国の方針に基づき、サイバー対策の条件を満たした機器しか購入できないというような状況になっておりまして、これが自治体に規制がいよいよ来たのかなと理解しております。実際自治体を対象とするサイバー攻撃も増加しているという情報もありますし、個人情報の漏えい等の被害が今後見込まれるのであれば、やはりその辺は強化しなければならないのかなということから今回質問をさせていただいております。そこで、順次（１）、（２）、（３）と聞いていきたいんですけれども、（１）、（２）は相互に関連していますので、まとめて確認していきたいなと思うんですけれども、先ほどの点ではセキュリティポリシーが毎年変わっているということで、基本的には国の動向を見ながら対応していくことなのかなと理解いたしました。調達仕様書の関係、細かいなとは思ったんですけれども、先ほどの答弁では今後国の動向を見ながら対応していくのかなと、具体化した段階で検討するという答弁だったと思います。ただ、実際私が大まかに調べたところ、国からこのような通知等がある前に既にパソコン等のＩＴ機器については自治体独自の考え方によって、例えばサプライチェーンリスクに配慮した商品であることにする、あるいはこれはちょっと極端な事例かとは思うんですけれども、国内メーカーに限定するというような仕様書にしている自治体も見受けられます。この辺は各自治体の独自のセキュリティに対する考え方でやってきたとは思うんですけれども、こうした対応というのは恐らく国の動向を先取りした動向なのかなと思います。そこで、国においては既に２０１８年に指針ができて、その後国においてはセキュリティリスクが低い機器を導入すると、一部外国製品が排除されているような状況も既に始まっている状況なのかなとは思うんですけれども、答弁では今後の具体的な内容が明らかになった時点で対応していくというような答弁でしたけれども、私自身は既に数年前からこうした動向というのは出ていたわけでありますから、この辺はあえて仕様書等に例えばサプライチェーンリスク対策や認証制度の適合状況を盛り込まなかった理由についてどういうことだったのかなということをお伺いしたい。たしか先ほどの答弁ではサプライチェーンリスク等については盛り込んでいないと認識したんですけれども、この辺こうした他自治体の事例が既にあったところ、現状ここ数年のそうしたＩＴ機器、パソコン等の購入機器においてあえてそういうことを盛り込まなかった理由について確認をまずしていきたいと思います。
答弁 総務部長 三橋真樹
まず、仕様書に盛り込まなかった理由でございますけれども、私どもが報道に触れた以前に既に実は、中国製なんですけれども、端末を購入していたという状況でありまして、物品調達後に国の取組で今後の方針、考え方みたいなものが報道されてきたということで知ったことですので、対応ができていなかったという部分があるのは事実でございます。サプライチェーン対策ということで国でよく言われているんですけれども、端末ですとかネットワーク機器において、特定国と言っても分かりづらいので中国と言ってしまいますけれども、中国製の部品を使っていないような端末はほぼないと、また国内の有名なメーカーであっても中国資本傘下にあったりもするということがあって、セキュリティの部分でサプライチェーンリスクというのを認識していたかと言われますと、そこはあまり意識していなかったという状況にあります。契約事務におきましては、公平性、競争性、そして私どもは経済性の確保、これらが求められておりますので、特定の国の企業を一律に排除するですとか、そういった排除を前提とした入札の運用というのはこの間してきていないと。ただ、先ほど来１回目の答弁でも申し上げたとおり、３層分離とか、システム上の対策は十分に構築をしているという認識でおりますので、そこに端末が入ってきたとしても国が想定するようなリスクは発生しないということを判断して導入をしているというところでございます。ただ、今後はそういったことは言っていられません。国で義務化すると言っております。省令が出されるということは法律の施行令が改正をされるということになりますので、こういったものに準じた形で当然仕様書の条件設定をしていくことになっていくと考えております。
再質問 武田真
私自身も質問の趣旨を改めて述べたいと思うんですけれども、過去の調達が違法であったとか不適切だったとまでは申し上げてはいないんです。ただ、サイバー攻撃、あるいはサプライチェーンリスクをめぐる環境というのは大きく変化している状況であります。本市におけるセキュリティの基本方針がありますよね、その趣旨を踏まえれば、調達段階におけるリスク評価の在り方については国の動向というよりは本市独自の砂川市情報セキュリティ基本方針もあるわけでありますから、この趣旨を踏まえて、調達段階におけるリスク評価の在り方についても今後見直しする時期に来ているのかなという問題意識からお伺いしているわけであります。今後は、導入段階においてもより一層の対策が国の省令改正という大きな流れの中で進むと認識しております。そこで、（１）、（２）の答弁を踏まえて（３）の対策ということでお伺いしていきたいなと思います。答弁を伺っている限りは、ネットワーク上の様々な階層によってセキュリティで防御しているというようなお話だったと思います。答えられない部分も当然あるということも私も認識しております。私としては、今後導入済みの機器についてどう対応していくんだと、答弁では外部からの不正アクセス等については十分守られているなという認識を受けております。ただ、今般のサイバー攻撃等のお話を見ていくと、例えばＩＴ機器等のソフトウェア上で、先ほどもウイルス対策ソフトの導入というようなお話もありましたが、ハードウェアにそうしたいわゆるバックドア的なものを仕掛けられた場合、ソフト上で検知できるのかといえば、なかなか難しいというような話も聞いております。要はハードウェアに、ファームウェア等に仕込まれたとすればその機器が外部との不正な通信をするというリスクというのは避けられないのかなと思います。ただ、先ほどの答弁を伺う限りは、様々な段階に応じて内部からの情報漏えいも防止できているのではないかなという想像もできております。そこで、私が次に伺いたいのは、具体的な説明があったところなんですけれども、基本的には当市のセキュリティ基本方針に基づいてお伺いしていきたいなと思うんですが、様々な技術的対策を講じているということでありましたが、一方ではそうしたサイバー攻撃というのは日々変化しているという状況かと思います。対策を導入していることとその対策が実際に有効に機能している評価というのは、そこは私は別の問題かなと思っております。当市のセキュリティ基本方針の７番目によれば、情報セキュリティポリシーの遵守状況を検証するために定期的な情報セキュリティの監査及び自己点検を実施するとなっております。まさに技術的セキュリティで対応した部分についての評価の部分というのが私は重要になってくるのかなと思うんですけれども、この辺は当市のセキュリティ基本方針に基づく監査や自己点検というのはどのように進めていくのか、この考え方をお伺いしたいと思います。
答弁 総務部長 三橋真樹
私どもでネットワークを構築したり備品を購入する際に当たりましては、総務省認定のアドバイザーなどの有識者やネットワークベンダーのシステムエンジニアの方、また既に同様の製品を導入している自治体にも相談、確認をして慎重に検討を進めているところでございます。総務省認定のアドバイザーは派遣制度が国で設けられておりまして、本市においても活用させていただいております。実際に機器購入、システム購入に当たって物品調達する際などに特に相談をいたしますけれども、電話やメールなどで直接相談に応じていただけますし、年に５回程度、本市に足をお運びいただいて、サーバー室、また購入して配置されている端末ネットワークの状況などについても年に５回程度、実際に現地で確認していただいているということもあります。そういった専門技術、専門知識のある方に直接お伺いをしながら日々点検をしているというところでございます。
再質問 武田真
点検の状況は、専門の技術者が来てということは分かるんですけれども、ポリシー上の情報セキュリティの監査、自己点検はそのうちの一つに当たるのかなと思うんですけれども、私自身の監査のイメージがあるものですから、もうちょっと本格的な第三者機関等の監査等なのかなと想像したんですけれども、それとはちょっと違うという、セキュリティポリシーの監査の通常のイメージとは違うというイメージでよろしいのか、その確認だけしたいと思います。
答弁 総務部長 三橋真樹
監査といいますか、点検といいますか、自己点検も含めてになりますけれども、そういった部分で認められていない使い方がされていないか、不正なログがないかとか、そういった点検を内部または専門家のそういったアドバイザーの方にお越しいただいた中で点検をしている、検証しているという監査でございます。
再質問 武田真
分かりました。そうすると、そうした外部の専門家から様々なご意見等が寄せられるのかなとは思うんですけれども、これを踏まえた改善措置というのはどのように進めているのか、その手順といいますか、年に何回来て、そういう指導があって、こういう改善をしていくという、この辺の実際の実務の状況についてちょっと確認をさせていただきたいと思います。
答弁 総務部長 三橋真樹
明確化されているそのスキームということになりますと、実際はなかなか明確にお答えできるような状況にはないのが状況です。ただ、こういった部分で、１回目の答弁でも若干触れさせていただいたんですけれども、３層分離を行ってネットワークをインターネット上から物理的に分離をしている中で機器を購入し、システムを運用しているというお話をさせていただきましたが、国では３層分離ではない違う方法を今検討しているということでございます。アタックサーフェスマネジメント、頭文字を取ってＡＳＭということで、こちらではＩＴ機器とかＩＴ資産についてサイバー攻撃の視点で継続的に監視、発見をしていくプロセスです。国では既に構築をされておりまして、国は地方版のＡＳＭというものを国で一括構築をして地方に導入をさせるということを検討していると言われております。これが導入をされてきますと日々の監視体制が構築されるということになりますので、こういった状況も踏まえて今後の監視体制については整備、検討していきたいと考えているところでございます。
再質問 武田真
最後の質問になるんですけれども、やはり基本的には当市のセキュリティ基本方針に基づいて進めていくのかなとは思うんですけれども、当市のセキュリティ基本方針からも情報セキュリティに関する状況というのは日々変化していると、それに対応した上でセキュリティポリシーを常に見直していくというようなことも記載されております。繰り返しになりますけれども、近年サイバー攻撃等が高度化していること、サプライチェーンリスクも新たに対応しなければならないという時代にはなっております。私は、単にそうしたソフトウェア上の国の指針に基づいて、先ほども新たな仕組みということでありましたけれども、安全性を継続的に確認し続ける仕組みというのはやはり重要なのかなと。その一環として先ほどの新たな仕組みというような話だったかなと思うんですけれども、私が最後に伺いたいのは、本市が保有する住民情報等の大事な情報をいかに守る、どうにか守るために国のガイドライン等の整備も当然踏まえますけれども、ただ本市独自として持続可能な情報セキュリティ体制をどのように構築していくのかというのはやはり重要な課題なのかなと思います。先ほども述べましたけれども、既に国から指針が出る前、省令改正を待つ前に既に各自治体によってはしっかりサプライチェーン対策を盛り込んだ仕様書等を独自に作っているというような自治体もあったわけであります。国から言われるまでもなく、できることは自分たちでやっていくんだということも私は重要なのかなと思うんですけれども、この辺は当然国の動向には従いつつも、当市独自の体制でどのように今後対応していく考えなのか、基本的な当市のＩＴセキュリティに対する認識を最後にお伺いして終わりたいと思います。
答弁 総務部長 三橋真樹
国で購入できる機器を限定して認証品に限定をしていく、それを義務としていくというのはかなり思い切った、踏み込んだ対策を国は取ろうとしております。昨年になりますけれども、経済安全保障ということが政府から強力に言われるようになりました。その中でよく言われていたのが、国内のデータをしっかりと守っていくんだと、データの安全性を確保していくのだということが言われています。現在は、システムも共通化、標準化していくという取組が進められている中でネットワークはどんどん、どんどん大きくなっていっています。ですので、当市が誤った認識の下でシステムを構築してしまいますとシステム全体に影響を及ぼすことになりかねない、市民の皆様に多大な迷惑をかけることにもなりかねないということは十分に認識をしているところでございます。仕様書の関係についても触れられておりましたけれども、国でＪＣ―ＳＴＡＲですとか、そういった認証制度を事例として出しているものなんですけれども、それをどうやって地方公共団体が物品調達するものに当てはめていくのかということを見定めなければなりませんし、認証品だけに限定されてしまいますと物品調達が難しくなってくるのではないか、価格が上昇していくのではないのか、国はその点について財政措置をしてくれる考えがあるのか、見極めなければならない部分はあるにせよ、仕様書の部分については言われるとおりで、今からでもできる部分はあるとも考えています。限定する条項というのはどういう文言にするべきなのか、今後の検討課題とはなっていきますけれども、市民の情報をしっかりと守っていくという考え方の下、今後セキュリティ対策についてはしっかりと対策を講じてまいりたいと考えているところでございます。