ChatGPTを使って「文書機密レベル」を判別する方法 自治体の情報セキュリティについて考える（1/3 ページ）

今回は「自治体における情報セキュリティの考え方」について見ていきたい。情報資産の「重要性レベル」をいかに判別していくべきなのか。

[川口弘行，ITmedia]

　こんにちは。全国の自治体のデジタル化を支援している川口弘行です。

　生成AIの進歩はとどまることを知りません。

　10月23日に　米Anthropicは「Computer Use」という機能を発表しました。これは、生成AI（Claude）を使って自動的にPCを操作することができるというものです。

　自動的にPCを操作させる技術というと、RPA（Robotic Process Automation）というツールが一般的です。自治体でもRPAを使って単純なPC操作を自動的に行わせる事例を見かけることがあります。

　RPAはあらかじめマウスやキーボードの動きを記録して、それを再現することで処理を自動化させる取り組みですが、このComputer UseはAIがPCの画面を読み取りつつ、指示された目的を達成するために自律的な操作を行うことが特徴です。

　私も早速試してみました。

　Computer Useを使って「どのサイトでもいいので、金1キロあたりの価格を調べて」と指示したところ、自動的にサイトを検索して結果を表示してくれました。おそらく、Webサイトを検索した結果をいったんAIで処理したうえで、さらに別のアプリケーション（Excelなど）に入力させる、というような複合的な処理もできると思います。

図：Computer Useを動作させた

　さて、今回は「自治体における情報セキュリティの考え方」について見てみましょう。

　自治体の情報セキュリティ対策の基本的な考え方として、総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」があります。

　このガイドラインは、自治体を取り巻く状況の変化に応じて何度も改定されており、最新の改定は2024年10月に行われました。

　自治体の情報セキュリティ対策の方向性が大きく転換したきっかけは、2015年6月に発覚した日本年金機構のサイバー攻撃による被害でした。約125万件の年金情報をサイバー攻撃によって流出させてしまうという事故は、自治体の情報セキュリティ対策の方針に大きな影響を与えました。

　実はあまり知られていませんが、同じ時期に自治体や民間の経済団体でも同様のサイバー攻撃があり、情報流出が発生していました。これは、同時多発的にサイバー攻撃が行われていたということではありません。事故の発覚や公表の時期が重なっただけであり、それ以前から官民問わず、国内各地でサイバー攻撃の被害があったのだと推察されます。

　これらの事故を契機に、自治体は情報セキュリティの重要性を再認識し、より一層の対策強化が求められるようになりました。

写真はイメージ（ゲッティイメージズ）

著者プロフィール：川口弘行（かわぐち・ひろゆき）

川口弘行合同会社代表社員。芝浦工業大学大学院博士（後期）課程修了。博士（工学）。2009年高知県CIO補佐官に着任して以来、省庁、地方自治体のデジタル化に関わる。

2016年、佐賀県情報企画監として在任中に開発したファイル無害化システム「サニタイザー」が全国の自治体に採用され、任期満了後に事業化、約700団体で使用されている。

2023年、公共機関の調達事務を生成型AIで支援するサービス「プロキュアテック」を開始。公共機関の調達事務をデジタル、アナログの両輪でサポートしている。

現在は、全国のいくつかの自治体のCIO補佐官、アドバイザーとして活動中。総務省地域情報化アドバイザー。

公式Webサイト：川口弘行合同会社、公式X：@kawaguchi_com

なぜ自治体ネットワークは3層に分離されているのか

　では、自治体の情報セキュリティ対策の考え方と取り組みについて整理しておきましょう。一般の方はご存じないと思いますが、自治体は「自治体情報システム強靱性向上モデル」、別名「ネットワーク分離」とか「境界型防御」と呼ばれる対策を基本としています。

　分かりやすく言うと、役所の中のネットワークを、

• インターネットに接続できるネットワーク
• 庁内職員の一般事務のためのネットワーク
• 住民情報（住民記録や税、福祉など）を取り扱うネットワーク

――の3つに分離して、互いのネットワークでの情報のやり取りを制限しているのです。随分とローテクな対策だと思われるかもしれませんが、ローテクなことには意味がありました。

　まず「分かりやすい」ことが重要でした。

　そもそも、ITリテラシーが高い組織であれば、このような対策は不要です。セキュリティは弱い部分から破られ、その多くは人為的な要因によるものです。そのため、リテラシーがばらつきのある組織では、低いレベルに合わせる必要があります。

　そして、残念ながら当時の自治体のITリテラシーはけっして高いとはいえなかったため、目に見えて説明が容易で、理解しやすい対策が求められたのです。

　そして「情報資産の重要性に合わせた対策ができる」ことも意味がありました。

　情報セキュリティ対策において、事故によるリスクを完全にゼロにすることはできません。突き詰めて考えていくと、最終的には一定程度の残存リスクを受け入れる必要があります。リスクを適切に受け入れるためには、情報資産の重要性に応じてリスクをコントロールすることが必要です。

　しかし、情報セキュリティ対策にかける予算にも限りがあるため、全てを高いレベルで保つことも限界があります。したがって、分離したネットワークごとに対策のメリハリをつけるということが求められていたのです。多少乱暴な言い方をすれば、対策のメリハリとは「どれだけ予算を配分するか」という認識でよいと思います。

　例えば、次のようなイメージです。

• インターネットに接続できるネットワーク　→　「レベル1」ネットワークと呼び、軽めの対策予算
• 庁内職員の一般事務のためのネットワーク　→　「レベル2」ネットワークと呼び、中程度の対策予算
• 住民情報（住民記録や税、福祉など）を取り扱うネットワーク　→　「レベル3」ネットワークと呼び、重点的な対策予算

図：ネットワーク分離

　ちなみに、この考え方は庁舎内の物理的な空間でも同じです。

　住民が訪れる役所のカウンターの外側は公共の空間ですので、レベル1です。カウンターの内側は職員の執務スペースであり、これがレベル2。重要な文書は鍵付きのキャビネットに保管しており、ここをレベル3として、セキュリティの観点で対策を施します。

　このように「自分がどこにいて、どの程度対策が施されているか」を誰でも理解できることが、情報セキュリティ対策の第一歩だといえるのです。