“ウイルス感染USB”、陸自に続き三重県庁でも47本 「禁止」では解決しない、自治体ネットワーク分離の盲点（1/3 ページ）

[川口弘行，ITmedia]

著者プロフィール：川口弘行（かわぐち・ひろゆき）

川口弘行合同会社代表社員。芝浦工業大学大学院博士（後期）課程修了。博士（工学）。2009年高知県CIO補佐官に着任して以来、省庁、地方自治体のデジタル化に関わる。

2016年、佐賀県情報企画監として在任中に開発したファイル無害化システム「サニタイザー」が全国の自治体に採用され、任期満了後に事業化、約700団体で使用されている。

2023年、公共機関の調達事務を生成型AIで支援するサービス「プロキュアテック」を開始。公共機関の調達事務をデジタル、アナログの両輪でサポートしている。

現在は、全国のいくつかの自治体のCIO補佐官、アドバイザーとして活動中。総務省地域情報化アドバイザー。公式Webサイト：川口弘行合同会社、公式X：@kawaguchi_com

　こんにちは。「全国の自治体が抱える潜在的な課題を解決すべく、職員が自ら動けるような環境をデジタル技術で整備していく」ことを目指している川口弘行です。

　2026年7月7日に日本経済新聞で「三重県、USB47本でウイルス検知　陸自問題受け全数調査」という記事が掲載されました。

　記事によると、三重県は7日、使用していたUSBメモリ47本でウイルスを検知したと発表しました。このうち4本は無許可の私物だったということです。

　三重県が全数調査を実施した直接的なきっかけは、陸上自衛隊で発覚したUSBメモリのウイルス感染問題でした。陸上自衛隊で、海外のウイルスに感染したUSBメモリが機密システムに接続された端末で1年近く使用されていたことが判明したのです。

　この報道を受けて、三重県庁内で使用しているUSBメモリを自主的に全数調査した結果、47本からウイルスが検知されたという経緯です。

　今回は、三重県のUSBメモリ問題を手掛かりに、自治体のネットワーク分離の本来の考え方から情報セキュリティを見直してみたいと思います。

自治体のセキュリティ対策で見落とされがちな視点とは（画像提供：ゲッティイメージズ）

USBメモリを禁止すれば、問題は解決するのか？

　総務省は今回の出来事を受けて、各自治体に対し庁内で使用しているUSBメモリの実態調査と報告を要請しています。

　このような出来事が起こると、つい「USBメモリを使うのは問題だ。だから廃止すべきだ」という声が高まりがちです。しかし、今回の問題の原因は本当にUSBメモリそのものなのでしょうか。単純にUSBメモリの利用をやめるだけで、再発を防ぐことができるのでしょうか。

　ここで、筆者がこれまでこの連載で繰り返し述べてきた「自治体のネットワーク分離」について振り返りましょう（関連記事：ChatGPTに重要な情報を送っても安全か？　自治体のネットワーク分離モデルから考える）。

　自治体の情報セキュリティ対策の方向性が大きく転換したきっかけは、2015年6月に発覚した日本年金機構のサイバー攻撃による被害でした。約125万件に上る年金受給者の情報がサイバー攻撃によって流出したこの事故は、自治体の情報セキュリティ対策の方針に大きな影響を与えました。

　この被害を契機に、自治体では「自治体情報システム強靱（きょうじん）性向上モデル」、別名「ネットワーク分離」や「境界型防御」と呼ばれる対策が基本となりました。

　分かりやすく言うと、役所の中のネットワークを、

• インターネットに接続できるネットワーク
• 庁内職員の一般事務のためのネットワーク
• 住民情報（住民記録や税、福祉など）を取り扱うネットワーク

　――の3つに分離して、互いのネットワークでの情報のやりとりを制限しているのです。

　筆者が関与する自治体では、これらのネットワークを数字で管理しています。具体的には、ネットワークレベル1：インターネット系、レベル2：LGWAN（総合行政ネットワーク）接続系、レベル3：個人番号系という呼称を用いています。

　この数字による管理には明確な理由があります。分離されたネットワークのレベル（1、2、3）と、取り扱う情報の機密性（1、2、3）を、以下のように1対1で対応させることで、管理をより簡潔かつ効果的にしているのです。

• レベル1ネットワーク（インターネット系）→ 機密性1（広く一般に公開されている情報）
• レベル2ネットワーク（LGWAN接続系）→ 機密性2（庁内でのみ利用する情報）
• レベル3ネットワーク（個人番号系）→ 機密性3（個人情報など、機密性が最も高い情報）

分離した3つのネットワークと機密性の関係（筆者作成）

　それぞれのネットワークで取り扱う情報の機密性は異なります。つまり、自分が今どのネットワークにいて、どのレベルの情報を取り扱っているのかを、誰でも理解できる仕組みになっているのです。