「自治体の情報セキュリティ対策と情報の共有について」
重要インフラ情報セキュリティフォーラム2008
Ｈ２０．２．２０(水)秋葉原コンベンションホール

石川家継 (ishikawa@lasdec.or.jp)(財)地方自治情報センター
http://www.lasdec.nippon-net.ne.jp/
ＬＡＳＤＥＣ(Local Authorities Systems Development Center)

自治体セキュリティ支援室（ＬＡＳＣ：ラスク）Local Authorities Security Support Center

1

本日の説明項目


自治体における情報セキュリティ対策の現状
情報セキュリティ対策の実施状況
 情報セキュリティ関連事故(上半期)

セキュリティ支援事業の概要


情報セキュリティ遠隔診断
ウェブアプリケーション脆弱性診断
情報セキュリティ内部監査を支援するアドバイザーの派遣
LGWAN-ASPを活用した情報セキュリティ支援事業 (IDSによる庁内～インターネット監視)



事例紹介


人材育成 等
事故事例、優良事例

セキュリティ情報の共有
2

自治体における情報セキュリティ対策の現状

3

情報セキュリティ対策の実施状況(都道府県)
情報セキュリティ対策の実施状況(都道府県)
120.0

個人情報保護条例制定率

100.0

情報セキュリティポリシーの整備率
情報セキュリティ研修の実施率
80.0

整備率(％)

情報セキュリティ監査の実施率
緊急時対応計画の整備率
60.0

個人情報保護に関する管理体制の整備(団体を統轄する責任者の指定)
個人情報保護に関する管理体制の整備(各部署ごとの責任者の指定)
住民等への個人情報保護制度の周知(ホームページ・パンフレットによる周知)
住民等への個人情報保護制度の周知(説明会等開催による周知)
住民等への個人情報保護制度の周知(「過剰反応」に関する周知)

40.0

20.0

0.0
平成１５

平成１６

平成１７

(H19.4.1現在 総務省調査)

平成１８4

平成１９4

情報セキュリティ対策の実施状況 (市区町村)
情報セキュリティ対策の実施状況(市区町村)
120.0

個人情報保護条例制定率

100.0

情報セキュリティポリシーの整備率
情報セキュリティ研修の実施率
80.0

整備率(％)

情報セキュリティ監査の実施率
緊急時対応計画の整備率
60.0

個人情報保護に関する管理体制の整備(団体を統轄する責任者の指定)
個人情報保護に関する管理体制の整備(各部署ごとの責任者の指定)
住民等への個人情報保護制度の周知(ホームページ・パンフレットによる周知)
住民等への個人情報保護制度の周知(説明会等開催による周知)
住民等への個人情報保護制度の周知(「過剰反応」に関する周知)

40.0

20.0

0.0
平成１５

平成１６

平成１７

(H19.4.1現在 総務省調査)

平成１８5

平成１９5

情報セキュリティ関連事故等障害
3%(19年度上半期)

その他
8%

19.4.1から9.30までの上半期に起きた情報
セキュリティ事故(公共部門)

不正アクセス2%

合計は93件(自治体セキュリティ支援室調)
金融
1%
消防
2%

事故の団体
事故の種類

漏洩
87%

公社
2%

郵便
2%

その他
6%

警察
4%

大学
12%

独立行政法人
1%

医療
12%

行政
48%

国
17%

自治体
68%

教育
25%

事故の種別
6

6

セキュリティ支援事業の概要

7情報セキュリティ遠隔診断
 対象：Webサーバ、メールサーバ及びネットワー

ク機器等 インターネットから対象機器を遠隔診断
 わかりやすい診断結果レポートの提供 セキュリティホールの発見と是正策の提供
 遠隔診断結果レポート説明会の開催(試行)8遠隔診断利用イメージ
データセンター

診断装置

遠隔診断ポータル③診断結果閲覧、レポートダウンロード②診断

Internet①遠隔診断ポータルへアクセスし、診断を予約登録(IPアドレス、 実施予定日時等)

診断対象
ファイアウォール

各地方公共団体

ルータ等ネットワーク機器
庁内LAN

各地方公共団体公開サーバ

担当職員④各団体で対策

9・Webサーバ
・メールサーバ・DNSサーバなど

ウェブアプリケーション脆弱性診断







ウェブアプリケーション全般の診断項目
クロスサイト・リクエスト・フォージェリー
バックドア、デバックオプション

エラー処理状況
エラーメッセージによるロジックの流出
クライアント側コメント

ファイルアップロード

ファイルダウンロード
通信に関する診断項目

リファラ情報セッション管理に関する診断項目

セッションID利用状況セッションフィクセイションCookieの濫用
ログアウト機能
認証に関する診断項目

ユーザ認証処理アカウントロック機能





10

アクセスコントロールに関する診断項目

利用者が割り当てられている権限を超えた機能実行可否
パラメータ操作に関する診断項目
HTTPヘッダ・インジェクションクロスサイト・スクリプティング
SQLインジェクション
OSコマンド・インジェクション

パス・トラバーサル

SSIコマンド・インジェクション

メールヘッダ・インジェクション
Webサーバに関する診断項目
バナーチェック

ディレクトリ・リスティング
強制ブラウジング・不要なファイルの公開

ウェブアプリケーション脆弱性診断実施イメージ概要
ウェブアプリケーション脆弱性診断
委託業者

LASDECLASCが行う支援事業は、⑤までの一連のサービスです。

③作業委託⑥診断報告書提示

診断作業者⑤診断結果レポート提出④診断実施

INTERNET

LASC
事務局

②
実施
可否
連
絡

郵送

①
診
断申込

LGWAN経由のメールによる申込み

地方公共団体手動による診断、若しくはツールによる診断システム管理責任者

診断後の対策は各団体でご検討ください
ウェブサーバ

11⑦対策
システム管理担当者

情報セキュリティ内部監査を支援する
アドバイザーの派遣 情報セキュリティ内部監査を支援
 監査計画作りから実施、改善報告でサポート
 JASA公認情報セキュリティ監査人同等のレベル
 自治体の業務及びシステムに精通
 パイロット団体８団体で試行中 来年度制度化予定(監査未実施市町村を優先)12

派遣のイメージ

内部監査の準備・
今までに監査を実施したことがない不安

13

・
監査の専門知識が不足

まとめ
・自治体に制度等を理解してもらい募集へ・
セキュリティ関係の人材不足

・派遣の有効性等を広報

・監査の必要性を理解している（派遣に係る費用はセンター負担）

・
公認情報セキュリティ監査人資格

・パイロット自治体にアドバイザーを派遣

内 部 監 査 の 流 れ監査の実施・ヒヤリング

内部監査の各段階で同じ専門家をアドバイザーとして派遣

監査計画の策定
・
自治体の業務システム等に精通

報告書作成・改善計画策定
派遣事業実施の手順

派 遣 市 町 村
地方自治情報センター

LGWAN-ASPを活用した情報セキュリティ支援
事業 (IDSによる庁内～インターネット監視) インターネット～庁内LAN間 不正アクセスやウイルス等8項目
 ＩＤＳ(侵入検知装置)で常時モニター
 重要度(高)のイベントは即通知(電話) 今年度は6ヶ月監視(19年8月～20年1月)
運用妨害コンピュータウィルスの活動
Ｐ２Ｐファイル共有ソフト(Winny等)の利用
WebMailやメッセンジャーソフトの利用
Spyware等のインストールや活動

不正アクセスの試み
不正アクセスのための各種スキャン行為
攻撃コードの実行
バックドア通信

14

LGWAN-ASPを活用した情報セキュリティ支援
事業 接続図インターネット
自治体ＩＳＡＣとの情報共有

地方公共団体ＦＷ

LGWAN-ASP
情報セキュリティ
サービス提供事業者のセキュリティオペ
レーションセンターＳＷ

外部公開サーバ
ホームページ等

ＩＤＳ（侵入検知装置）
インターネットＧＷセグ
メントを監視ＦＷ
ＬＧＷＡＮ

LGWANサービス提供設備

15

庁内ＬＡＮ

人材育成（研究開発部、教育研修部との共催）
ｅ－ラーニング(インターネットを利用)
基礎コース、応用コース、上級コース
 基礎コースを5回に増加


高度情報セキュリティ研修
管理研修、基礎技術研修、応用技術研修、内部監査研修
 13会場(東京、名古屋、高松、札幌、広島、仙台、横浜、鳥取、静岡、鹿児島、さいたま、大阪、福岡)

Ｈ20年度の方向性
内容の精査を図っている
 動画を取り入れたｅ－ラーニング学習へ

16

ＬＡＳＣ(自治体セキュリティ支援室)ポータルサイト

17

事例紹介

18

Ａ市ホームページへの不正侵入(市ホームページの発表より)
概要

1.




経過（１１月２７日）

2.



17:35 頃 ・市が利用している通信事業者より、市ホームページの不正利用の可能性があるとの連絡を受ける。
状況を調査し、不正使用の状況を確認
18:30 頃 ・市ホームページを緊急閉鎖する

これまで確認できた被害状況

3.



教育ポータル内への不正ページ（フィッシング行為に使用されたと思われる）の書込み
上記のほか、数箇所に不正ファイルの書込みが確認された。
※このため、サイト公開は当面不可能と判断

個人情報等への影響

4.


１１月２８日現在、個人情報流出の可能性は低い状況

今後の対応

5.




6.

平成１９年１１月２７日、市ホームページ内の「教育ポータルサイト」に、アメリカのオークション等を業務とする会社の擬似ページ（英語）が作成され、利用者情報を不正取得するフィッシン
グ行為」の踏み台とされる被害が確認された
同日１８：３０頃に市ホームページを緊急閉鎖し、現在のところ再開の目途が立たない状況

侵入原因の調査
代替市ホームページの臨時開設
市ホームページの再構築（セキュリティチェックを徹底）

1/31 ホームページ全復旧
19

市(ホームページの発表より )20

職務に関係ないサイト閲覧し、サーバをダウンさせた職員を処分 – 〇〇市
 〇〇市は、職務と無関係なサイトを閲覧し、サーバをダウンさせた環境局の課長級職員に対し減給2カ月の懲戒処分を行った
 7月5日午後4時37分から54分の間、業務用パソコンを使って職務とは無関係のサイトにアクセス その結果、同サイトから大量のアクセスが同市サーバに対して発生。
 その負荷で同市のインターネット接続用サーバが7分間ダウン
 庁舎内でインターネットが使用できなくなった
21

21

職務に関係ないサイト閲覧し、ウイルス感染未遂 –△△市
 ある管理職によるアダルトサイトの閲覧 ウイルス侵入をＦｉｒｅwａｌｌで撃退
 職務専念義務違反で減給1/10、1ヶ月

2222

△△市が課長を懲戒処分
個人情報ネット流出でファイル交換ソフト「ウィニー」を介し業務で扱った個人情報などをインターネット上に流出。
 男性課長（５１）を減給６カ月（１０分の１）の懲戒処分。
 監督責任で同部部長を訓告、副市長を口頭での厳重注意とした。
 無許可で業務上の情報を自宅のパソコンで扱う。
 業務上のデータを持ち出す場合、所属長の許可が必要。
 課長はウイルス対策ソフトなどを導入していなかった。
 ウィニーなどのファイル交換ソフトの導入禁止。
 データの持ち出しを原則禁止。


23

23

外部監査から内部監査へ

大阪府吹田市
日経ガバメントテクノロジー(web版)「情報セキュリティ監査の基本とトレンド第４回」参照
 外部監査を先に実行
 監査人から監査のノウハウを学ぶ
 内部監査は相互監査方式


岡山県津山市

ＬＡＳＤＥＣの住基ネット外部監査を積極的に活用

埼玉県小鹿野町
セキュリティポリシーを条例化 教育委員会などの機関もシステムを一体整備24

ＩＴによる市民との協働
 神奈川県藤沢市：情報セキュリティの日表彰
内部・外部監査の実施
国際規格の情報セキュリティマネジメントシステム(ＩＳＭＳ)の認証を先行的に取得
庁内情報ネットワークへのシンクライアント及び生体認証の導入
事業の継続的な計画(ＩＴ-ＢＣＰ)の策定
全職員を対象としたセキュリティ研修や訓練の実施

インターネット安全教室


ボランティアが講師

25

セキュリティ情報の共有

26

重大なＩＴ障害情報

緊急度(高)で72時間以内の対応
ＮＩＳＣ発足後、幸いにも今まで該当なし
具体例




情報共有レベル

セキュリティホール等を発見した場合や、プログラム・バグを発見した場合等であって、他のインフラ事業者等に同じ問題が生じるおそれがあると認められる場合
サイバー攻撃の発生又は攻撃の予告がある場合、災害による被害が予測される場合等、他の重要インフラ事業者等の重要システムが危険にさらされていると認められる場合
Ａの場合・・・関係する業務担当ラインの職員及び関係するシステムの保守業者等で、かつ業務の関係者のみ
Ｗの場合・・・公共向けの情報で、ホームページ等での公表可

２／１２ 訓練

自治体へは事前通告なし

27

その他のセキュリティ情報



総務省から提供されるセキュリティに関する情報
有限責任中間法人 JPCERT コーディネーションセンターからの脅威・注意喚起情報
独立行政法人情報処理推進機構（ＩＰＡ）等、情報セキュリ
ティ関係機関から収集した情報
地方公共団体から収集したセキュリティに関する各種情報
ＡＳＰ監視事業者から入手したセキュリティ監視に関する情報(匿名の統計データを分析、活用)
遠隔監視やウェブアプリ診断データ(匿名の統計データを分析、活用)
その他これらに付随する情報28

緊急時のセキュリティ情報の流れ
個別の情報漏洩事故等→←個別の情報漏洩事故等←個別の情報漏洩事故等←重大なＩＴ障害・個人情報の漏洩など重大なＩＴ障害←重大なＩＴ障害・個人情報の漏洩など

自治体ＣＥＰＴＯＡＲ

市区町村

都道府県

総務省

内閣官房情報セキュリティセンター Ｎ(ＩＳＣ )個別の情報漏洩事故等→

重大なＩＴ障害
LGWANメール

重大なＩＴ障害

総行情第２７号 平成１９年３月２０日 総務省通知
自治体ＩＳＡＣ（仮称）実証実験の実施結果及び「自治体ＣＥＰＴＯＡＲ」の創設について

29

ご清聴ありがとうございました。

(財)地方自治情報センター
自治体セキュリティ支援室長
石川家継 ishikawa@lasdec.or.jp