“ウイルス感染USB”、陸自に続き三重県庁でも47本 「禁止」では解決しない、自治体ネットワーク分離の盲点（3/3 ページ）
三重県が庁内で使用するUSBメモリを全数調査した結果、47本からウイルスが検知された。この出来事は、自治体の情報セキュリティ対策の何を問いかけているのか。ネットワーク分離の基本原則から読み解く。
ネットワーク分離が本来想定していた対策とは
あらためて、ネットワーク分離のコンセプトを整理しましょう。ネットワーク分離は、標的型攻撃を防ぐことを目的として、以下のような対策を講じていました。
- 庁内ネットワークを外部から隔離して、外部からのデータの持ち込みは「無害化処理」を加えてリスクを抑える
- マルウェアに感染しても遠隔操作されないように内部からのネットワーク疎通も遮断する
- マイナンバーとひも付けされた住民情報は、さらに奥のネットワークに隔離する
- インターネット経由の脅威を監視し、不正なアクセスは即時遮断するために、都道府県単位でインターネット回線を集約し、SOC（セキュリティ監視センター）を配置する
注目すべきなのは、最初の対策である「外部からのデータの持ち込みは『無害化処理』を加えてリスクを抑える」という点です。これはネットワーク分離の基本コンセプトとして明確に組み込まれています。
言い換えれば、ネットワーク分離の設計思想自体が、外部から持ち込まれるデータへの対策を出発点としているのです。つまり「外部から入ってくるものは必ず無害化した上で内部に持ち込む」ことが前提になっています。そして、ここでいう「外部」には、一度物理的なデバイス（USBメモリなど）を介したケースも含まれる、と考えることができます。
したがって、今回のUSBメモリのウイルス問題に対する適切な対応は、USBメモリそのものを禁止することでも、ネットワーク分離を見直すことでもなく、分離されたネットワーク内に持ち込む際の検疫体制を確立することだといえます。
まず、物理的な記録媒体を庁内ネットワークへ持ち込む際には、USBメモリに限らず、外部からのあらゆる媒体を端末に接続する前に、その媒体をスキャンし、マルウェアが含まれていないか確認する「検疫」の仕組みが必要です。これは、インターネットからダウンロードしたファイルに無害化処理を施す考え方を、物理媒体にも応用したものです。
ネットワーク分離の根幹である「外部からのデータ持ち込みには無害化処理を行い、リスクを抑える」という原則は、USBメモリのような物理媒体にも等しく適用されるべきです。
さらに、ネットワーク分離の視点からは、USBメモリを接続するネットワークのレベル（インターネット系、LGWAN接続系、個人番号系）ごとに、必要な検疫の厳しさを柔軟に調整することが自然な対応です。
USBメモリを「レベル0」（外部・管理外）と位置付けると、それらをどのネットワークに接続して持ち込むのかによって、求められる検疫・無害化のレベルも異なります。そして、その経路が多様化すると管理のためのコストも増大します。したがって、物理媒体との接触点を、例えばレベル1内の特定の端末に限定するなど、いかに低いレベルの中で数を限定するのかが対策の基礎となります。
問われているのは「入り口」の対策
三重県と陸上自衛隊のUSBメモリによるウイルス問題は、ネットワーク分離の有効性を否定するものではありません。むしろ逆です。
言い換えれば、ネットワーク分離の壁そのものに欠陥があったのではなく、壁の「入り口」での検査が機能していなかったということです。
陸上自衛隊の事例では、機密システム端末がレベル3ネットワーク（あるいはそれに相当する機密ネットワーク）に接続されていたにもかかわらず、USBメモリに対する検疫が十分に機能していなかった可能性がうかがえます。もし、外部からのデータ持ち込みに対する無害化処理が機能していれば、1年間にわたってウイルスが潜伏するリスクは大きく低減できたはずです。
三重県も陸上自衛隊も、USBメモリの全数調査を実施し、ウイルスの検知に至ったということは、問題を把握し、対処を始めているという意味では評価できる取り組みです。
ただ、その後の対応が重要です。USBメモリを全数調査してウイルスを検知することは「発見」であり、そこから「検疫体制の構築」に進まなければ、同じ問題が再発するだけです。泥臭い話になりますが、解決策は基本原則の忠実な実行にあるのではないでしょうか。
引き続き、自治体の皆さんと一緒に自治体の情報セキュリティについて考えていければと思います。
ダイハツ、旭化成、NOT A HOTELなど登壇：
無料セミナー「ITmedia デジタル戦略EXPO 2026 夏」開催！
ITmedia デジタル戦略EXPO 2026 夏では、各分野の第一人者や企業の現場でビジネス変革に取り組むリーダーの声を通じて、経営×IT×現場のコラボレーションで全社変革を進めるヒントをお届けします。
AIを活用したデジタル戦略が必須となる中、ダイハツ工業や旭化成、NOT A HOTELなどビジネス変革に取り組む企業の「当事者の声」を通じて、現場のリアルな課題解決方法を探ります。視聴登録はこちらから。
- 開催日：7月8日（水）〜8月5日（水）
- 形式：オンラインセミナー
- 参加費：無料
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
自治体DXを阻む「三層分離」の壁 国主導のゼロトラスト移行に、現場が抱く“決定的な違和感”
セキュリティ強化を目的に導入された「三層分離」。しかし今、自治体の現場では業務効率の低下やクラウド活用の制約といった新たな課題が浮き彫りになっている。CIO補佐官として全国の自治体を支援する筆者が、三層分離の実態と見直しの論点を整理する。
ChatGPTを使って「文書機密レベル」を判別する方法 自治体の情報セキュリティについて考える
今回は「自治体における情報セキュリティの考え方」について見ていきたい。情報資産の「重要性レベル」をいかに判別していくべきなのか。
ChatGPTに重要な情報を送っても安全か？ 自治体のネットワーク分離モデルから考える
自治体における生成AIの利活用、今回は「送信された情報の管理の問題」、つまり「ChatGPTに重要な情報を送信しても安全なのか？」という点について考えたい。