ISMSを取得、紀の川市の実情に即した セキュリティ対策を実施
企画経営課 情報推進班
大西 直人 氏
紀の川市は、ITを積極的に活用している自治体です。2019年にはRPAを導入し、情報の更新やシステムへの入力、請求書、メールをファイルサーバーに格納する作業などを自動化しています。テレワークも20年に始め、21年度は年間3000回ほどテレワーク端末の貸し出しを行いました。22年にはAI-OCRの活用を開始し、申請書のデータ化などさまざまな業務の効率化を進めています。
和歌山県内の自治体で初めてISMS認証を取得するなど、情報セキュリティ対策にも早くから力を入れています。紀の川市役所の情報システム管理を担う、企画部企画経営課情報推進班の大西直人氏は「市役所では大切な住民情報を扱っています。インシデント発生時の影響は非常に大きいため、セキュリティ対策を重要視しています」と語ります。
紀の川市は、「地方公共団体における情報セキュリティポリシーに関するガイドライン」を前提とした上で、独自にリスクアセスメントを行い、紀の川市の実情に即したセキュリティ対策を実施しています。全職員へのe-ラーニングなども行っていますが、個人の能力に頼ることなくシステムでインシデントを防止しています。そのセキュリティ対策の一環として導入したのが、メールセキュリティ製品「m-FILTER」Ver.5とWebセキュリティ製品「i-FILTER」Ver.10です。同市の全部署で導入し、約650人が利用しています。
危険なメール隔離はもちろん、 全文保存や二重配送も評価
紀の川市は2016年、自治体の情報システムの強靭化として「マイナンバー利用事務系」、「LGWAN接続系」、「インターネット接続系」をそれぞれ分ける「三層分離」を実施しました。その際、「インターネット接続系」に届いたメールを無害化した上で、普段の業務で利用する「LGWAN接続系」にメールリダイレクト（二重配送）するため、「m-FILTER」を導入しました。転送しない場合はそれぞれの接続系にログインしてメールを確認する必要があり、それでは仕事のスピードが落ちてしまうことを懸念したためです。
本文や添付ファイルも対象とし、高速かつ詳細にメール検索が可能な、送受信メールの全文保存（メールアーカイブ）も利用しています。紀の川市では全期間を保存しており、「少しメールを調べたい時にも検索機能が便利です」（大西氏）といいます。また、上長のメールアドレスを自動的にBCCに追加する設定も利用しています。
「m-FILTER」は「ドメイン」と「IPアドレス」の組み合わせをDB（データベース）化することで安全なメールのみ受信する「ホワイト運用」を実現しています。受信したメールの送信元や本文、添付ファイルの拡張子が偽装されていないかを判定し、危険と判断したメールは隔離を行います。クライアント端末には隔離通知のみされるため、端末は安全なメールだけを受信します。標的型攻撃メール訓練を行っていても、全員が攻撃メールに引っかからないというのは、どの組織でも難しいことです。大西氏は「人の目に頼ることなく、『m-FILTER』が危険なメールを判別するため、インシデント防止に役立っています」と話します。
「ホワイト運用」は 危険なWebサイトにアクセスできないため安心
「i-FILTER」の導入は、ISMSの分析による改善の一環でした。紀の川市では、これまでインシデントは発生していませんが、個人のWebサイト閲覧状況を確認できなかったため、もし何か起きた場合に個人の閲覧ログを調べられるようにと考え、同市に合わせたきめ細やかなフィルタリングが可能で、閲覧ログを確認できる「i-FILTER」を2022年に導入しました。「i-FILTER」が国内トップシェアである点も導入を後押ししました。
大西氏は「業務に関係のないWebサイトを見せたくないというのはもちろんですが、業務に関係するかどうかにかかわらず、危険なWebサイトにアクセスしてしまうと、マルウェアに感染してしまうことがあります。マルウェアに感染してしまうと、さまざまな問題を生じかねません」といいます。
「i-FILTER」においても「ホワイト運用」を実現しており、国内で検索可能なURLをカテゴライズしてDBに登録し、DBに登録されていない未知のURLへのアクセスをブロックしています。大西氏は「『ホワイト運用』ではあらゆるURLをカテゴライズしており、マルウェア感染リスクの高い危険なWebサイトにはアクセスできないため安心です」と述べています。
「ホワイト運用」で安全を担保した上で、業務上閲覧させたくないWebサイトは「i-FILTER」のフィルタリングカテゴリを活用して部署ごとに閲覧できるWebサイトを管理しています。例えば、ふるさと納税を担当する部署ではショッピングサイトを見れるように設定し、人権に関する部署では掲示板などへのアクセスも許可しています。CAD（コンピュータ支援設計）や決済のみを行う端末では、指定したWebサイト以外には接続できないようにも設定しています。DBの網羅率も高いため、「見たいWebサイトが見れないという問い合わせはほとんどありません」（大西氏）といいます。また、職員がどんなWebサイトを閲覧しているのかという細かいログも取得しています。
業務効率化を進め、 市民サービスの向上につなげたい
紀の川市は、これまでもシステムの運用などのさまざまな改善を行ってきましたが、今後もISMSを中心としてリスクを分析し、改善すべきところは改善していく計画です。
RPAやAI-OCRの活用などが進む紀の川市では、コミュニケーション手段なども含めてDXに取り組む機運が高まっています。大西氏は「22年度にDX計画を作成して、23年度に実施していく予定です。こうしたDXによる業務効率化を進めることで、市民サービス向上につなげていきます」と展望を語ります。
