森林クラウドシステム標準化事業
森林クラウド実証システム開発事業

1

合同成果報告会

森林クラウドシステム標準化事業

成果報告

セキュリティガイドラインの概要と活用事例
2018年3月5日

住友林業株式会社
一般財団法人 日本情報経済社会推進協会

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

報告内容

2

Ⅰ．平成29年度事業の進捗
セキュリティガイドラインの改定状況

Ⅱ．5年間の成果の振り返り
事業の目的・概要
事業の実施内容・成果

Ⅲ．事例の紹介
事務局に寄せられた質問など

Ⅳ．今後について
セキュリティガイドラインの改訂

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

3

Ⅰ．平成29年度の進捗

セキュリティガイドラインの改訂状況

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reservedコラムの追加

4

読みやすさや現場での課題にマッチしたコラムを追加
ボリュームは半ページ～1ページ程度
コラムのテーマは、過去の説明会やヒアリング等から抽出

テーマ案：
SLA（Service Level Agreement）を明確にするためのヒント
適切なセキュリティ対策を実施するためのヒント
個人情報保護に過剰反応しないためのヒント等
2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

5
コラムテーマ案：
SLA（Service Level Agreement）を明確にするためのヒント

テーマ選択の背景：
事業者向け説明会やヒアリングにて、「システムの仕様が明確になっていない」ことに起因する質問が散見
おそらく、SLAやシステム要件が整理できていないことが原因

コラムの内容：導入事業者向け：
利用者のニーズに基づいた提案ができているか
そのシステム構成や機能は要求を満たすために十分か/過剰か
セキュリティ対策は十分か/過剰か

利用者（自治体）向け：
SLAを実施することの意味
導入予定のシステムが実現する機能の妥当性
取り扱う情報の重要度とセキュリティ対策のバランス実現する機能と導入コスト・運用コストのバランス

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reservedコラムテーマ案：
適切なセキュリティ対策を実施するためのヒント

6

テーマ選択の背景：
事業者向け説明会やヒアリングにて、「セキュリティ対策として何をして良いかわからない」という質問が散見
おそらく、セキュリティ対策を実施すべき対象（データ）と、対象に対するリスクへの認識が十分ではないことに起因コラムの内容：導入事業者向け：
利用者のニーズに基づいた提案ができているか
そのシステム構成や機能は要求を満たすために十分か/過剰か
セキュリティ対策は十分か/過剰か

利用者（自治体）向け：
セキュリティ対策の対象の具体化と方法の選択
導入予定のシステムが備えるセキュリティ対策の妥当性
取り扱う情報の重要度とセキュリティ対策のバランス

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reservedコラムテーマ案：
個人情報保護に過剰反応しないためのヒント

7

テーマ選択の背景：
森林クラウド導入を実施中の自治体より、「個人情報の取扱い」についての質問があり、対応
質問内容をよく分析すると、個人情報保護法に過剰反応するあまり、誤った解釈のもとで個人情報を取り扱うおそれがあることが判明

コラムの内容：導入事業者向け：事業者として対応すべき個人情報保護
コンプライアンスを実現するために守るべき法や条例利用者（自治体）向け：
業務委託を行う場合、外部に個人情報を渡す必要があるかそうとは認識せずに、個人情報を外部に渡しているケースはあるか
個人情報保護条例や情報セキュリティ規程には何が書かれているか

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

8

Ⅱ．5年間の成果の振り返り

1) 事業の目的・概要
2) 事業の実施内容と成果

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

1) 事業の目的・概要

9（森林クラウドシステムの普及）
森林情報のシステム化が進んでいない市町村及び森林所有者を含む林業事業体への導入を期待
森林クラウドシステムを安全で効果的に利用するために講ずべき情報セキュリティ対策のガイド
SLA契約の締結
セキュリティ対策の必要性や内容への理解（ガイドラインの位置づけ）

概要
新たに森林クラウドシステムの導入・構築・運用をする際に考慮すべき点・参照すべき情報を把握するとともに、森林クラウドシステムを含めた森林情報を利活用する際に必要となる手続き及びセキュリティ対策について取りまとめ

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

2) 事業の実施内容・成果

10

1. クラウドシステムのセキュリティ要件の検討（H25、H26）
クラウドシステム導入・利用時のセキュリティ要件
クラウド事業者のセキュリティ要件

2. ID管理の検討（H26、H27）
IDトラストフレームワークの導入検討

3. 個人情報の取扱いに関する検討（H26、H27）
地籍情報・地番図・税務情報などの事例

4. 森林情報の公開・共有の検討（H27）
森林オープンデータ、森林情報公開の調査・検討

5. セキュリティガイドラインの作成・改訂（H25～H29）
H26年度までは標準仕様書として作成、H27以降セキュリティガイドラインとして分冊化
理解度を高めるためのコンテンツ（コラム）の追加

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

1. クラウドシステムのセキュリティ要件の検討

11

クラウド環境で森林情報を取り扱う上で以下を検討（平成25年～26年）
クラウド環境におけるセキュリティ対策
クラウド利用者のセキュリティ対策
個人情報の保護と利活用

情報セキュリティガイドライン骨子
クラウド環境におけるセキュリティ対策

不正アクセス等の安全策

森林クラウドシステム事業者が講ずべき措置
森林クラウドシステム利用者が講ずべき措置

アクセス権限・制御範囲の報告
業務ごとのアクセス権限者情報の通知

業務責任者

アクセス認証許可情報の報告

SLA契約と評価基準
個人情報（森林簿）の保護と利活用

アクセス監視ログの報告

森林クラウド実証システム開発からの提案・課題
森林クラウドシステム事業者

アクセス認証許可
サービス利用開始

業務担当者
（利用者）

市町村・林業事業体等のヒアリングからの課題

業務責任者は人事異動・退職等による利用者の追加、又は権限の喪失が発生した場合は速やかに事業者へ通知しなければならない。

アクセス制御・権限／更新・閲覧／関係者・一般
モバイル化における安全対策
行政・民間の個人情報利活用

明らかになった課題：
・利用者、特に市町村・林業事業体・森林組合でのリテラシーと運用コスト
・既存の手続き・情報共有との違いによる負担増
・マイナンバー制度に伴うセキュリティ対策の強化（総務省 自治体情報セキュリティ対策の検討結果の反映）
2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

12

2. ID管理の検討
森林クラウドのID連携基盤について以下を検討
複数の森林クラウド利用を想定したID管理体制
一つのIDで複数のクラウドサービスを利用できるIDトラストフレームワーク

クラウド事業者・ID管理者（IDプロバイダ）の要件
それぞれの信頼性・安全性要件

ユーザーごとの権限を設定した情報共有
認証機関
ＩＤプロバイダ
ＩＤプロバイダ

ルール化・認証・監査

信頼性・安全性の認定事業者又は本人確認とＩＤの交付

ＩＤ連携

ＩＤ連携
森林クラウドＢ

森林クラウドＡ

森林クラウドＡ

森林クラウド
Ｂ

ＩＤ

ＩＤ
林業事業体

都道府県

森林クラウド・トラストフレームワーク
2018/3/5

市町村

林業事業体

木材需要者

森林所有者

明らかになった課題：
・ID連携技術の導入コスト
・認証機関などの運営体制・運営コスト
Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

3. 個人情報の取扱いに関する検討

13

所有者情報を取り扱う際の制度・手続き検討
林地所有者台帳等を管理する際の制度・手続き
林地所有者変更届に伴い市町村が税務等の情報を扱うケース

自治体での地籍情報の利用状況の調査
浦安市 地籍情報の反映・更新方法の調査

情報公開の際の調査検討・サポート
地番情報を公開する際の制度・手続き検討
室蘭市 地番図オープンデータ化
人吉市 地番情報の実証利用

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

3. 個人情報の取扱いに関する検討

14

・林地所有者台帳の管理・公開の際の手続き
森林所有者届等の林地所有者情報を林地所有者台帳等で管理

市町村内の他部署への情報提供が必要な場合

実施機関
個人情報の取扱案件

地籍調査結果その他所有者情報
地籍調査担当等林地所有者台帳等取扱い要領の作成

林務担当

個人情報取扱事務登録
簿の作成

土地所有者届

森林所有者等林地所有者
台帳

実施機関の承認

個人情報保護審査会
意見聴収

個人情報取扱事務登録簿の公表

登録簿をホームページ等で公表

明らかになった課題：
・実務では必ずしも検討したガイドライン通りの手続きが取られなかった・自治体ごとの判断で情報の取扱い・公開が行われる事例
・林地台帳制度の対応
2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

4. 森林情報の公開・共有の検討

15

森林情報利活用状況調査
47都道府県の森林情報公開状況
森林簿・森林基本図・森林計画図・WebGISなど

自治体独自の情報整備・公開
秋田県、大分県など

オープンデータ事例調査
オープンデータ全般の事例調査・検討
先進自治体の取組み調査
オープンデータに関するマニュアル整備

森林情報のオープンデータ化事例調査・サポート
福井県、静岡県、北海道
明らかになった課題：
・情報整備・更新・公開のコスト
・森林情報のオープンデータ化は進んでいない
・公開された森林情報の利活用事例の不足
・公開される情報の項目・フォーマットが統一されていない

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

5. セキュリティガイドラインの作成・改訂

16

平成27年度版のセキュリティガイドラインでは、セキュリティ要件だけでなく、事業の検討結果・事例も併せて記載されており、各章の位置付けが分かりづらい印象があった
セキュリティガイドラインを、「森林クラウドの構築・利用のセキュリティ要件」と「実証・検討を行った利活用事例」で明確に構成を分け、読み手に対する読みやすさを考慮した改訂を実施
旧ガイドラインを目的に合わせた二つの編に分けて取りまとめる
3．～5．：セキュリティ要件編
6．～7．：利活用事例編

理解度を高めるためのコンテンツ（コラム）を追加
ヒアリングや説明会での質問等を参考にし、現場の課題解決のヒントになる内容を追加

1.
2.

ガイドラインの概要と目的
用語の定義

3.
4.
5.

森林クラウドシステム事業者が講ずべき措置
森林クラウドシステム利用者が講ずべき措置
森林クラウドシステム利用におけるセキュリ
ティ対策

6.

森林情報の公開・提供事例
森林情報の第三者提供
オープンデータ化の調査検討と事例調査

7.
8.

森林クラウド・トラストフレームワーク
森林所有者のための分かり易い表示・通知

2018/3/5

セキュリティ要件編
利活用事例編
コラムの追加Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved17

Ⅲ．事例の紹介

事務局に寄せられた質問など

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

行政内部と外部（委託先）での個人情報の扱い

18【問い合わせ内容】
森林クラウドには森林経営計画の作成・認定の機能があるのですが、インターネッ
ト接続系に個人情報を載せていいのかという議論があり、事業体がクラウド上で森林経営計画を作ろうとする際には、森林所有者の情報はコード化され、別途、コード・所有者名の対応表で確認しなければならないという煩雑な運用が予定されています。
【確認】
森林経営計画を作成する事業体は、行政からの委託に基づく業務として森林経営計画を作成するか？
Yes （委託の場合）：
以下の条件を満たせば、事業体が個人情報をそのまま取り扱っても問題はないはず。
事業体が個人情報を適切に扱えるということを、委託元である行政が確認できること
個人情報の取扱に対し、委託元である行政が、委託先の事業体に対する監督責任を負うことができること
その他、各自治体の個人情報保護条例に、上記の原則と齟齬のあるような規程が存在していないこと

No （委託ではない場合）：事業者が個人情報を取り扱うには、個人情報の収集元に対して、行政が収集した個人情報を事業者が扱うことに対する同意（再同意）が必要になるはず。

【確認】
コード・所有者名の対応表で確認しなければならないか？
対応表がある＝事業体が個人情報を確認できるということは、事業体は個人情報を取り扱っているのと同じことになるので、個人情報を事業体に渡していることと同じ。
コード化と復号化を行うのは、インターネット接続系で個人情報をLGWAN外部に送信する際のセキュリティ措置（純粋に技術的な対応）と考えられる。

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reservedインターネット接続系での個人情報の管理

19【問い合わせ内容】
インターネット接続系で個人情報が表示されない場合は、事業体が境界明確化の情報をクラウドで管理する場合も、上記のような煩雑さが生じる恐れがあります。
【確認】
事業体は、個人情報が表示できないと作業ができない？
個人情報が表示されないと境界明確化の作業ができない、森林経営計画が作成できない、ということであれば、「事業体が個人情報を扱う」ということを明確にし、既存のルール下において、事業体が個人情報を取り扱うことに問題がないことをクリアにすべき。
前項の通り、行政からの委託により事業体が個人情報を取り扱うこと自体は、各自治体の個人情報保護条例等で制限が加えられていない限り、問題はないはず。

【確認】
コード化と復号化の「煩雑さ」？
前項での解釈のとおり、コード化と復号化という手順は純粋に技術的なセキュリティ対策と考えられ、必要なのであれば実施すべき。
これらの対策を実施すべきかどうかは、実際には各自治体が定めている個人情報保護条例や情報セキュリティ基準等の内容に依存する。

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

対応策の考え方20【問い合わせ内容】
そこで、インターネット接続系で個人情報を表示させることについて、対応策や、業界における検討状況等をご存じでしたら、ご教授頂けないでしょうか。
【確認】
インターネット接続系で個人情報を表示させること（インターネット回線上を、個人情報が送受信される、という意味と解釈）
ルール上の対応（確認すべきこと）
各自治体が定めている個人情報保護条例では、どのように規程されているか？
同 情報セキュリティ基準等では、どのように規程されているか？

技術的な対応上記の規程等に基づき、必要と思われる技術的対策を打つ。

考え方：
インターネット回線を通じて個人情報を送受信する必要があるのであれば、既存ルールに基づく対策を講じる必要がある。
情報漏えいなどの事故は主に人的要因で起こることが多いため、これをやれば十分である、などという技術的な対策は存在しない。
したがって、少なくとも規程が存在するものはそれに従った技術的対策を行う、という対応となる。

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reservedまとめ（判断する際のポイント）

21

事業体は行政からの委託により個人情報を扱うか？
行政からの委託に基づくのであれば、行政業務の一部を代行していると考えられる。
したがって、委託先である事業体には、行政の個人情報保護ルール（各自治体が定める個人情報保護規程等）の遵守が要求される。
かつ、委託元である行政には、委託先である事業体の監督責任が生じる。
上記を満たせる場合は、事業体が個人情報を取り扱うことに対して問題はないと考えられる。

事業体は、個人情報を取り扱わなければ業務を行うことができないか？
事業体に委託する行政業務の一部（森林経営計画の作成等）が、個人情報を取り扱う必要があるのであれば、事業体に個人情報を渡さなければ仕事が成立しない。
コードとして送信し、別途対応表で事業体が個人情報を確認できるのであれば、個人情報を渡していることになる。

対応として、何をすべきか？
個人情報を渡す（LGWANからインターネット接続系に個人情報を送信する）際は、LGWANの規程や各自治体が定める個人情報保護条例、情報セキュリティ規程等に基づく措置を行うべき。
データ送信時にコード化を行う等の措置は純粋に技術的対応であり、上記のルールに規程があるのであればそれに従う。

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved

22Ⅳ．今後について

セキュリティガイドラインの改訂

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reservedセキュリティガイドラインの改訂

23

改訂の意味や方針
森林クラウドシステム導入の普及促進
制度的な変更への対応
技術的な進歩への対応（セキュリティ技術、ITの進歩）
自治体業務の電子化推進とのバランス想定される改訂内容
法改正、条例の改訂等制度的な環境変化に対応した内容の改訂
セキュリティ技術や脅威の変化、新技術の台頭などの技術的な環境変化に対応した内容の改訂

改訂のタイミング
年度ごとの改訂を想定
その他、法政令等の改訂・施行タイミングに同期

改訂の母体
森林GISフォーラムに移管することで調整中

2018/3/5

Copyright Ⓒ 2017 SUMITOMO FORESTRY , JIPDEC All Rights Reserved