No.206

2016年度 ISS Squareシンポジウム (2017/2/24)

基礎自治体の情報セキュリティ－達成度評価と向上策－Information security of the Japanese municipalities- An achievement degree evaluation methodology and improvement measures -須藤

俊明・ネットワーク分科会・情報セキュリティ大学院大学

Abstract: "An achievement degree evaluation methodology" that the current information security levelcan be evaluated based on "Local Autonomy Information Management Overview" announced annuallyby the Ministry of Internal Affairs and Communications is proposed.
The evaluation method has been applied to all the basic municipalities and analyzed, and the validity ofthis method is confirmed.
In addition, "An achievement degree growth model" and "An achievement degree growth navigation"
are proposed. As a result of them, the person in charge can image each level concretely, and grasp themeasures that need to be taken next easily.

１．研究の概要

２．「達成度評価」と妥当性①本研究では、基礎自治体（全国の1,741市区町村）の組織規「地方自治情報管理概要」から、情報セキュリティ対策の評価
模と情報セキュリティの現状を調査し、情報セキュリティ向上項目（２０項目）を抽出。 評価項目の「達成率」から、達成は、喫緊の取り組み課題であることを明らかにした。
率が低い順に５点～０点を配点「達成度基準」とする。
②次に、先行研究から、情報セキュリティの向上には、現状レ達成度基準を評価項目にベルが評価でき、成長のレベルが示せ、次のレベルに進む道筋適用し「評価基準」としを明らかにする必要があるが、担当者が容易に利用できるツー上位の10団体には、達成率達成度た。
ルはないことが分かった。
～50％未満5
ISMS認証取得団体が50％～69％
4③そこで、総務省が毎年公表する「地方自治情報管理概要」70％～79％
34団体含まれている。
80％～89％2
90％～1
をベースに、現状の情報セキュリティのレベルを評価できる未実施
0「達成度評価」を提案し、全基礎自治体に適用・分析して、インシデント発生件数とその妥当性を確認した。
相関係数
項
目
総達成度には④また、「達成度評価」や「難易度」を用いた官民比較により、
人口規模：
0.3966負の相関がある。
情報セキュリティ向上の要因を探った。
経常一般財源：0.3745相関係数＝-0.6147⑤次に、「達成度成長モデル」や「達成度成長ナビ」を提2015年1月1日現在 住民基本台帳人口

2013年度 市町村決算カード

財政力指数： 2014年度 全国市区町村主要財政指標案した。これにより、担当者は各レベルを具体的にイメージでき、次に取り組むべき対策も容易に把握できる。
⑥これら3つのツールは、担当者のスキルが不要で、簡単に操作でき、揺らぎがなく、すぐに使えるツールとなっている。
また、基準の陳腐化を防ぐことができ、更新の際の煩雑性や恣意性も排除され、客観性も担保される。

組織別の平均達成度計
平均達成度計組織数

備 考

C ISO任命 かつISMS認証取得組織

99

C ISO任命企業

130

44.30 除く公務、 大学

ISMS認証取得
企業

172

42.80

C ISO任命
組織

225

40.50

民間企業95組織、 基礎自治体2組織、 他

47.28 の公務2組織（基礎自治体＠50.0）

組織数

難易度
平均

ISMS認証取得
企業

172

2.85

CISO任命
企業

130

2.85

中小企業

333

2.86

中堅・大企業2940.52

CISO任命かつISMS認証取得組織

C ISO任命
基礎自治体

57

36.51

民間企業

362

2.87

民間企業

362

35.00Pマーク取得
企業（除くISMS）

186

2.89

全組織

544

3.04

中小企業

333

34.51

基礎自治体

76

34.37

全調査組織

544

32.78

Pマーク取得企業（除くISMS）

186

大学＜参考：表23より＞
H27年度基礎自治
体の達成度計

66
1,741

99

2.87

29

3.04

27.54

大学

66

3.43

17.31

CISO任命
基礎自治体
基礎自治体

同上

57
76

0.4262

IT職員数（含む常勤委託要員）：

0.3245同上
2015年4月1日現在、人口10万人当たりのIT職員数

組織規模との相関が確認できる。

４．「達成度成長モデル」「達成度成長ナビ」
達成度成長モデル

備考

成長段階

定義要

件 （達成項目）

ISMSの認証取得、PDCAサイクルの実施
情報セキュリティに対 内部監査及び外部監査の実施、リスク分析の実施
5 する検証・見直しが適 ICT-BCP（業務継続計画）の策定、ポリシーの定期的見直し
切に行われている段階 緊急時や業務継続の訓練の実施
情報システム台帳の整備、重要データの暗号化の実施

総達成
度の目安

特記事項

・ISMSの認証を取得すること

65以上 ・PDCAサイクルを確実に実施すること・着実に見直しを実施すること

自己点検の実施

情報セキュリティに対外部委託先の指導の実施、内部監査の実施
4 する自己点検や改善の実施手順書の策定、障害時マニュアルの策定
ルール化の段階

55以上 ・監査や自己点検など、評価を着実に実施すること

緊急時対応計画の整備

情報セキュリティに対CISOの任命
3 する規程整備や緊急時クラウドサービスやデータセンターの活用の対策を行う段階
運用管理規程の整備と利用者研修の実施

・CISOを任命し、担当部署が補佐すること・情報セキュリティ委員会等、庁内の管理者を集めた組40以上 織を設置すること

・緊急時を想定した計画を整備し、訓練を実施すること

情報セキュリティ研修の実施

情報セキュリティに対 アクセスログの保存・検証、紙媒体の適切管理の実施
USBメモリなどの持ち出し制限の実施
2 する組織体制整備の段
未許可ソフトウエアの導入禁止
階システム管理者の任命

・情報セキュリティの担当部署、責任者等を任命すること
・J-LIS（地方公共団体情報システム機構）が実施するｅ25以上 ラーニングを利用すること自己評価するための「達成度評価シート」に評価項目の達成の有無を入力するだけで「達成度成長ナビ」が自動作成される。

・「ヒヤリハット」など人的対策を実施すること

情報セキュリティ責任者や管理者、担当者の任命

3.49
3.52

-0.3496

2010年10月1日 住民基本台帳人口

情報システム経費： 地方自治情報管理概要
2015年4月1日現在、予算額、人口1,000人当たりの情報システム経費

SPF（送信ドメイン認証）の実施

中堅・大企業

平成27年度の基礎自治体を、 表21の13
24.85 評価項目の評価基準で評価した平均達成度計-0.3150

住民平均年齢：

組織別の難易度平均
アンケート調査組織

0.3640人口当たり職員数：
人口1万人当たりの職員数

３．「達成度評価」「難易度」による官民比較
アンケート調査組織

0.3725

職員数： 2015年4月1日現在 地方公共団体定員管理調査

情報セキュリティに対1する基盤整備の段階

情報資産の無断持ち出しやメール送付の禁止
アクセス制限の実施、機器廃棄時のデータ抹消の実施
サーバ室等の入出制限、停電対策の実施
情報セキュリティポリシーの策定
ファイヤーウォール、ウイルス対策の実施
重要データのバックアップ取得の実施
委託事業者に情報漏えい防止を契約等で義務付けの実施
不正プログラム対策ソフトや定義ファイルのアップデートの実施

達成度評価シート--

平均達成度計と難易度平均
情報セキュリティに対-基礎自治体は、ISMS認証取得 との相関は確認できなかった。 する対策がない段階
情報セキュリティの自己評価
やCISO任命、「評価」や「見情報セキュリティ対策の実による総達成度をもとに、直し」に努めることが、情報セ 施は、情報セキュリティのレ成長段階を把握する、キュリティ向上につながると認 ベルにかかわらず困難性を目安とすることができる。
識する必要がある。
伴っていると考えられる。

※平均達成度計：調査組織の各評価項目の平均達成度の合計。

0

評価
基準表
項番

・サーバー室の入退出を制限すること・パソコンの利用制限を実施すること

1
2

対策なし

成長段階
評価項目

自己評価
達成 達成率度 達成の達成度 備考
有無

情報セキュリティの責任者や管理者、担当者を任命
情報セキュリティポリシーを策
定

95.6

197.9

1

達成度成長ナビ
評価
基準表
項番 評価項目成長段階

11 業務継続訓練 全庁で実地演習
11

自己評価

成長段階

業務継続訓練 関係者を含めた大規模な実施演習

5432

1

達成 達成率度 達成の 達成度
有無

40.0%

2.9%

1.4%

0.3%

0.0%

0.7

5

40.0%

8.7%

0.5%

0.0%

0.0%

0.7

5