自治体を狙うサイバー攻撃の高度化と、令和8年度から義務化された「サイバーセキュリティ方針」を踏まえ、職員研修・情報資産の管理やリスク評価・実務対応・多要素認証やゼロトラストの導入状況、町独自の強化策について幅広く質問しました。
近年、自治体を狙ったサイバー攻撃は巧妙化し、全国で個人情報漏えい事案が相次いでいます。国も令和8年度から自治体に対し、情報システムの強靱化やゼロトラストの導入など、より高度なサイバーセキュリティ対策を求める方針を示しており、令和8年度からは全ての自治体に対して「サイバーセキュリティを確保するための方針」の策定・公表が義務化されました。
どれほど技術的な対策を強化しても、最終的にリスクを左右するのは職員一人ひとりの判断であり、ヒューマンエラーが重大インシデントの主因となる事例は後を絶ちません。本質問では、職員研修・義務化された方針の位置づけと実務対応・町独自の強化策の3点について、扶桑町の現状と今後の方針を幅広く質問しました。
近年、自治体を狙ったサイバー攻撃は巧妙化し、全国で個人情報漏えい事案が相次いでいます。国も令和8年度から自治体に対し、情報システムの強靱化やゼロトラストの導入など、より高度なサイバーセキュリティ対策を求める方針を示しています。
しかし、どれほど技術的な対策を強化しても、最終的にリスクを左右するのは職員一人ひとりの判断であり、ヒューマンエラーが重大インシデントの主因となる事例は後を絶ちません。国のガイドラインでも、技術対策と並んで「職員のリテラシー向上」が不可欠と明記されており、まずは職員教育の充実こそが町のセキュリティ基盤を支える最重要要素であると考えます。
近年求められる実践的な内容がどの程度取り入れられているのか、また、その研修の結果として職員の意識がどのように向上していると評価しているのかお聞きします。
本町におきましては、職員一人ひとりのセキュリティ意識の向上が重要であるとの認識のもと、情報セキュリティ研修を継続的に実施しております。
行政課電算グループ職員は、総務省が主催する「実践的サイバー防御演習（CYDER）」もしくは地方公共団体情報システム機構が主催するセキュリティ関連の研修に年1回以上参加しており、最新のサイバー脅威に対する実践的な対応方法等の習得に努めています。
また、一般事務職員向けには、セキュリティ対策の基礎知識やインシデント発生時の対応方法などを習得することを目的としてeラーニング形式の研修を実施するなど、組織全体として情報セキュリティ対策の徹底を図っています。
令和8年度から、国は全ての自治体に対して「サイバーセキュリティを確保するための方針」の策定・公表を義務化しました。これは、自治体を取り巻く脅威が高度化し、住民サービスの停止や個人情報漏えいが全国で相次いでいる現状を踏まえ、自治体の責任と体制を明確化するためのものです。
扶桑町においても、行政手続のデジタル化が進む中で、町が保有する膨大な個人情報や行政データを守ることは、住民の信頼を維持する上で不可欠です。国が義務化に踏み切った背景には、自治体のセキュリティ対策にばらつきがあり、最低限の基準を全国で確保する必要があるという問題意識があると理解しています。
扶桑町として、この義務化の趣旨と重要性をどのように認識しているのか。また、単なる形式的な対応ではなく、実質的なセキュリティ強化につなげる意識をどのように持っているのかお聞きします。
令和8年度から義務化されたサイバーセキュリティ方針につきましては、行政サービスのデジタル化が進展する中、住民情報等の重要な情報資産を適切に保護し、安定した行政運営を継続するため、最新の脅威や国の動向を踏まえ、情報セキュリティ対策の統一的・体系的な推進を目的としております。
本町は、この義務化の趣旨を次のように認識しております。第一に住民サービスの継続性確保。サイバー攻撃による基幹系システムの停止は住民生活に直結する深刻な影響をもたらします。第二に個人情報保護の強化。住民の個人情報を適切に保護することは自治体の基本的責務です。第三に信頼性の維持。セキュリティ対策の強化は町民の行政に対する信頼を維持する上で不可欠です。
本町におきましても、こうした方針の趣旨を十分踏まえ、適切な情報セキュリティ対策を進めてまいります。
扶桑町では、既存の「扶桑町情報セキュリティポリシー」の基本方針を、国が求める「サイバーセキュリティを確保するための方針」として位置づけると説明しています。
まず、この基本方針において町が守るべき情報資産をどのように定義しているのか。住民の個人情報、行政内部の業務データ、災害・防災情報、財務情報など多岐にわたる情報資産の重要度や取扱基準をどのように整理しているのかお聞きします。
また、それらの情報資産を脅かすリスクについて、町はどのように認識しているのか。外部からのサイバー攻撃だけでなく、内部の誤操作や委託業者の管理不備など複合的なリスクをどのように評価しているのかお聞きします。
扶桑町では、既存の「扶桑町情報セキュリティ基本方針」をサイバーセキュリティ方針として位置付けております。この方針は、情報セキュリティの基本的な考え方、情報資産の分類と管理方法、セキュリティ対策の実施体制を規定しております。
この基本方針の中で、町が守るべき情報資産はネットワークや情報システム、その関連設備に加え、取り扱う情報やシステム関連文書としています。
また、この情報資産に対する脅威としては、サイバー攻撃や不正アクセス等による情報漏えい・改ざんなどの意図的な脅威に加え、職員の操作ミスや管理不備、機器故障等による非意図的な脅威が想定されています。このほか、地震や火災などの自然災害、大規模な感染症による要員不足、電力・通信等の社会インフラ停止による業務継続への影響についても、情報資産の脅威として規定しています。
サイバーセキュリティは専門性が高く、町民にとっては「なぜ必要なのか」が見えにくい分野です。しかし、役場のシステムが攻撃を受ければ、住民票の発行停止、税務処理の遅延、福祉サービスの支給遅れなど、町民生活に直接的な影響が生じます。
扶桑町として、役場のサイバーセキュリティの現状をどのように町民に説明しているのか。また、町民生活を守るために必要な理由をどのようにわかりやすく伝えているのかお聞きします。
国は「住民に対する説明責任」を自治体に求めていますが、単に専門用語を並べるだけでは理解は進みません。町民向け広報やホームページ、災害時の情報発信などと関連づけながら、サイバーセキュリティの重要性をどのように伝えていくのか、現状と今後の方針をお聞きします。
近年、サイバー攻撃は高度化・巧妙化しており、行政機関においても情報漏えいやシステム障害等のリスクが高まっております。住民の個人情報といった重要な情報資産を保有しているため、サイバー攻撃の標的となることが懸念され、対策が必要となります。
本町の現状としては、外部からの不正な通信を遮断するファイアウォールやウイルス対策ソフトの適用など、多層的なセキュリティ対策により攻撃を防止・検知・対応しています。あわせて定期的な職員研修を実施し、人的ミスの削減に努めております。
今後におきましても、社会情勢やサイバー攻撃の動向を注視しつつ、職員の意識向上やシステム面での対策を継続的に実施し、情報セキュリティの確保に努めてまいります。
国は毎年、自治体向けに最新の脅威動向を示しており、ランサムウェア攻撃、標的型メール、委託業者経由の侵害など、自治体が直面するリスクは多様化しています。
扶桑町として、国が示す脅威動向をどのように把握しているのか。総務省や内閣サイバーセキュリティセンター（NISC）の情報、県からの通知、外部専門家の知見など、どのような情報源を活用しているのかお聞きします。
また、それらの脅威を町の業務や情報資産に照らし合わせ、どのようにリスク評価を行っているのか。住民情報システム、財務会計、庁内ネットワーク、委託業務など重要度の高い領域について、どのような評価基準を用いているのかお聞きします。
本町では、国が示す脅威動向について、総務省からの情報セキュリティ関連通知、国立研究開発法人情報通信研究機構が実施する実践的サイバー防御演習（CYDER）への参加を通じた最新の脅威情報の習得、独立行政法人情報処理推進機構（IPA）からの脅威レポートにより把握しております。
リスク評価の方法については、こうした脅威情報と町が保有する情報資産を照合して脅威の可能性を評価し、評価結果に基づいて優先順位をつけたセキュリティ対策を実施しております。
令和8年3月版の総務省ガイドラインでは、自治体の実務面で特に事故が多い領域について、具体的な見直しが求められています。USBメモリ利用の厳格化、データ消去方法の明確化、委託業者管理の強化、リスク評価の高度化など、いずれも自治体で実際に事故が発生してきた分野です。
扶桑町では、これらの実務面の見直しをどのように進めていくのか。USBメモリの利用申請の厳格化や暗号化の徹底、データ消去における「暗号消去」等の技術の取り入れ、委託業者管理における契約書・仕様書へのセキュリティ要件の明記や監査の実施など、どのような強化策を考えているのかお聞きします。
地方公共団体における情報セキュリティポリシーに関するガイドライン（令和8年3月版）で求められている実務面の見直しについて、ご質問のあった4点についての本町の対応状況をご説明いたします。
いずれにしましても、情報セキュリティを取り巻く環境が変化する中、実務面においても継続的な見直しや改善が求められていることから、運用体制や対応手順について適宜検証を行い、必要な対策を講じてまいります。
ゼロトラスト型セキュリティと多要素認証（MFA）は、国が自治体に強く求める「現代のサイバー防御の基本」です。町民にわかりやすく言えば、ゼロトラストは「信用しすぎない仕組み」、多要素認証は「二重ロック」です。これらを導入することで、役場の停止や住民サービスの中断を防ぐことができます。
扶桑町における多要素認証の導入状況はどうか。職員端末、クラウドサービス、庁内システムなど、どの範囲で導入が進んでいるのか。また、ゼロトラストについてはネットワーク分離、アクセス制御、ログ監視など、どのような要素をどの段階で導入していく計画なのかお聞きします。
本町では、住民情報システムにおいて指紋認証とパスワードを併用する多要素認証を取り入れており、住民情報システム以外の業務端末ではUSBキーとパスワードによる多要素認証を採用しております。パスワードが漏えいしても、追加の認証要素により不正アクセスを防止し、重要な情報資産を多層的に保護しています。
ゼロトラスト型セキュリティは単一の方策では実現できず、多角的な要素の組み合わせが必要です。本町では今年度、資産管理ソフトを更新し、端末の利用状況のログ監視、不正な操作やアクセスの検知などを行えるようにします。導入済みの多要素認証は継続して活用し、最新の脅威や動向に注視するなど、必要な方策を実施してまいります。
ここまでお聞きしてきた通り、近年、自治体を狙ったサイバー攻撃は高度化し、国は令和8年度から「サイバーセキュリティ方針」の策定を義務化しました。しかし、国の基準を満たすだけでは十分とは言えず、扶桑町として独自の強化策を講じることが、住民サービスの継続性を守る上で不可欠だと考えます。とりわけ、自治体内部だけで完結しない対策が求められており、外部の知見や町民との協働が重要になると考えます。
サイバー攻撃の手法は日々進化しており、自治体単独で最新動向を把握し続けることは困難です。
外部専門家による脆弱性診断、研修、インシデント対応支援など、専門的知見をどのように取り入れていくか、その考えについてお聞きします。また、国の義務化に対応するだけでなく、扶桑町として独自に強化すべきサイバーセキュリティ対策をどのように考えているのか、総合的な見解をお聞きします。
現時点におきましては、既存の体制において国・県や独立行政法人情報処理推進機構からの情報提供等を活用しながらサイバーセキュリティ対策に取り組んでいるところであり、直ちに外部専門家を活用した取組みを実施する予定はございません。
一方で、サイバー攻撃の高度化・巧妙化が進んでいることを踏まえ、今後の状況や他自治体の事例等も注視しながら、必要に応じて外部専門家の活用についても検討してまいります。
これまでの質問を通じ、扶桑町のサイバーセキュリティ対策は、国の義務化に対応しつつ、職員研修・情報資産の管理・リスク評価・実務面の見直し・多要素認証やゼロトラストの導入など、多層的に取り組まれていることを確認しました。
一方で、サイバー攻撃の高度化を踏まえると、国の基準を満たすだけでは十分とは言えず、外部専門家の知見の活用や町民向けの啓発など、町独自の強化策も今後重要になると考えます。
扶桑町として、住民サービスの継続性と個人情報保護を確実に守るため、引き続き実効性ある対策の検討と改善を求めてまいります。
