自治体DXの推進とセキュリティの両立｜デジタル化で増える新たなリスク

「行政手続きのオンライン化や業務効率化を推進したいが、セキュリティ対策が追いつくか不安だ」

「自治体DX（デジタルトランスフォーメーション）を進める中で、具体的にどのような新しいサイバーリスクを想定すべきだろうか」

このように、地方公共団体（地方自治体）や公的機関において、利便性の向上と住民データの保護という「攻めと守りの両立」に頭を悩ませている情報政策・DX推進・情報セキュリティ担当者の方は少なくありません。

政府が主導するデジタル社会の実現に向けて、各自治体でも、基幹業務システムの統一・標準化、オンライン申請の導入、AIやRPAを活用した業務効率化、テレワークの推進など、DXへの取り組みが急速に進んでいます。

デジタル化は、住民の利便性向上や職員の業務負担軽減に大きく貢献する一方で、従来の「ネットワークを閉じた安全な空間（庁内）」から「インターネットを介した開かれた空間」への移行を意味するため、新たなセキュリティリスクを生み出す側面も持ち合わせています。

本記事では、自治体DXの推進に伴って発生する新たなセキュリティリスクと、それらをコントロールしながらDXを安全に加速させるための実務的な対策について解説します。

1. 自治体DXの推進によって顕在化する「3つの新たなリスク」
2. DXとセキュリティを両立させるための「実務的アプローチ」
3. デジタル変革を支える「職員のリテラシー教育」
よくある質問（FAQ）
1. Q. DX推進のためにクラウドサービスを選定する際、セキュリティの信頼性を担保するには何を基準にすればよいですか？
2. Q. 「セキュリティを厳しくしすぎると、DXが進まない（利便性が損なわれる）」という現場の不満にはどう対応すべきですか？
まとめ
1. 情報セキュリティ研修をご検討中の方へ

1. 自治体DXの推進によって顕在化する「3つの新たなリスク」

従来の自治体セキュリティは、庁内ネットワーク（LGWANなど）とインターネットを厳格に分離する「境界防御」によって、安全性を担保する手法が主流でした。

しかし、DXの推進はこの前提を大きく変え、以下のような新しいリスクを顕在化させています。

リスク①：オンライン窓口の開設に伴う「外部接点の増加」

住民票の写しの申請や子育て関連の手続きなど、住民がスマートフォンやPCからいつでも申請できる「オンライン窓口（電子申請システム）」の導入が進んでいます。

これは、システムが常にインターネットに公開されることを意味するため、悪意ある第三者からの不正アクセスや、Webサイトの脆弱性を突いた攻撃、大量のアクセスを送りつけてシステムを停止させるDDoS攻撃などの標的になるリスクが想定されます。

リスク②：クラウドサービス（SaaS/IaaS）利用に伴う「設定不備」

業務効率化やデータ共有のために、民間企業が提供する各種クラウドサービスを導入するケースが増加しています。

クラウドサービスは非常に便利である反面、アクセス権限や公開範囲の設定を「1箇所誤る」だけで、住民の個人情報や内部の機密文書がインターネット上に誰でも閲覧できる状態で放置されてしまうといった、人為的な設定ミスによる情報漏洩リスクが指摘されています。

💡あわせて読みたい

クラウド設定ミスによる情報漏洩｜SaaSのアクセス権限に潜む盲点

「自社で利用しているGoogleドライブやSharePointの共有設定は本当に安全だろうか」「『リンクを知っている全員が閲覧可能』という設定のまま、社外に放置されている機密データはないか」このような危機感を抱く総務・人事・情報システム部...

リスク③：業務効率化ツール（生成AI等）の「シャドーIT化」

職員が日々の業務を効率化するために、自治体が正式に利用を許可していない外部の無料生成AIサービスや翻訳ツール、オンラインストレージなどを、個人の判断で利用してしまう「シャドーIT」のリスクです。

入力した行政データや相談内容が、意図せずAIの学習データとして取り込まれ、外部に漏洩してしまう危険性が想定されます。

2. DXとセキュリティを両立させるための「実務的アプローチ」

デジタル化の波を止めることなく、高まるリスクを適切にコントロールするための具体的な対策です。

アプローチ1：総務省ガイドラインに準拠した「三層の対策」の見直しと適応

実務的対策：総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」改定に基づき、αモデル（従来型の境界防御）から、効率性と安全性を両立させたβモデル（インターネット接続系に主要な業務システムを配置するモデル）などへの移行を検討する自治体が増えています。単に利便性を優先するのではなく、認証強化（多要素認証）やデバイスの健全性チェックを組み合わせた「ゼロトラスト」の考え方を段階的に取り入れることが重要と考えられています。

アプローチ2：外部のシステム開発・運用委託先に対する「ガバナンス強化」

実務的対策：電子申請システムやクラウドの構築を民間のIT事業者に委託する場合、システムそのものの脆弱性対策だけでなく、委託先（およびその再委託先）のセキュリティ体制を厳格に審査・監督する必要があります。契約書や仕様書において、パッチ（修正プログラム）の適用頻度や、インシデント発生時の報告ルートを明確にしておく運用が推奨されます。

💡あわせて読みたい

地方自治体の委託先管理ガイドライン｜業務委託時のセキュリティチェック項目

「民間企業へ業務を委託する際、相手方のセキュリティ体制をどこまで確認すればよいのだろうか」「自治体向けの委託先管理ガイドラインを整備したいが、どのようなチェック項目を設けるべきか迷っている」このように、地方公共団体（地方自治体）や公的機関に...

アプローチ3：未知のサイバー攻撃を想定した「インシデント初動の仕組み化」

実務的対策：どれほど強固なシステムを構築しても、「100%安全」なデジタル環境は存在しません。万が一、オンラインシステムが不正アクセスを受けたり、ウイルス感染が疑われたりした場合に、どのシステムを即座に遮断し、どこへ連絡を上げるべきかという「初動対応（CSIRT等の体制）」を平時から整備しておくことが、被害を最小限に抑える命綱となります。

💡あわせて読みたい

インシデント発生時の初動対応｜最初の1時間で情シスが絶対にやるべきこと

「社内のパソコンがランサムウェアらしき画面に切り替わったと連絡があった」「機密データが入ったサーバーに、海外から不自然なアクセスがあった形跡を見つけた」このような緊急事態（セキュリティインシデント）に直面した際、情報システム部門（情シス）...

3. デジタル変革を支える「職員のリテラシー教育」

自治体DXを成功させるための最大の鍵は、最先端のITツールを導入することではなく、それらを取り扱う「職員（正規職員・会計年度任用職員を含む）の意識改革」にあります。

要点を凝縮した「DXセキュリティ動画」による底上げ：新しいシステムやクラウドを導入する際、操作マニュアルの研修だけを実施し、セキュリティの注意点を後回しにすると、現場でのルール無視や設定ミスによるインシデントが発生しやすくなります。「クラウドサービスにおける設定ミスの恐ろしさ」「生成AIへ入力してはいけないデータの実例」などを、視覚的にわかりやすく解説した動画教材を、システムの運用開始前に職員へ受講させます。業務の合間に効率よく学べるオンデマンド動画を活用し、全庁的なリテラシーを底上げしておくことが、デジタル化の恩恵を安全に享受するための最も確実な土台となります。