政令市 中核句 特別区 CIOフォーラム

いかに職員のストレスフリーを実現できるか?
庁内外セキュアな業務環境への挑戦

自治体のIT利活用が進む一方、最重要課題になるのが情報セキュリティ対策だ。公的機関だけに強固なセキュリティが必要になるが、一方で柔軟性のないシステム環境に悲鳴の声もあがる。その解決として多くの自治体で導入が進むのがハミングヘッズの情報漏洩防止対策セキュリティソフト「セキュリティプラットフォーム」と端末内にデータを残さない「Zero Drive」。これまでの暗号製品と異なり、職員は特別な操作を意識することなく自動的にデータ暗号化などが行え、ストレスフリーでセキュアな業務を支援する。

自治体では「自治体情報システム強靭性向上モデル」に基づくネットワーク分割を行うとともに、ゲートウエイからエンドポイントまで各種セキュリティ製品・サービスを導入し、情報保護の徹底に努めてきた。だが、「導入ソフトの利用手順が煩雑だったり職員まかせのルールといった理由から、せっかくのセキュリティ機能が十分に使われていないケースもあるようです」と指摘するのは自治体のセキュリティ事情に詳しいハミングヘッズの石津広也氏だ。

職員は暗号化を意識せずにストレスフリーの漏洩対策

ハミングヘッズ株式会社 顧問 石津 広也 氏
ハミングヘッズ株式会社
顧問
石津 広也 氏

セキュリティ機能が十分に使われていないツールの1つにデータ暗号化がある。データ暗号化はメールの送信をはじめ、パソコンのディスクやUSBメモリーなどの記録媒体に保存して庁外にデータを持ち出す際に必須の機能だ。だが、データ暗号化/復号処理の操作手順が複雑なツールもあり、せっかく導入したものの十分に使われていないケースも少なくないようだ。

USBメモリーなど外部記憶媒体の使用は禁止しているという自治体もあるが、職員がルールを守らなかったことによる情報漏洩は現在もしばしば発生し報道されている。今必要なのは、データ暗号化やUSBメモリーなどの取り扱いを含め、職員の負担なく、意識しなくても技術的に情報セキュリティが確実に守られる仕組みだ。

その仕組みとして自治体に注目されるのがハミングヘッズの情報漏洩防止対策セキュリティソフト「セキュリティプラットフォーム」(SeP)だ。SePの特徴は、庁外へデータを持ち出す操作をすべて検知し、自動的にデータを暗号化、データが庁内に戻る際に自動的に復号処理をすることだ。外部に出たデータだけが暗号化されるので庁内の業務に一切の影響がない。庁内のデータは一切暗号化しないので、既存のシステム環境や業務プロセスを変更することなくセキュリティを強化できる。

「職員は暗号化を意識せずにストレスフリーのセキュリティ対策が行え、確実に情報を守ることができます」と石津氏はSePの優位性を説明する。もちろん、市民に提供するデータは規定の持ち出し手順を行うことで渡すことが可能だ。持ち出しに当たっては承認機能を利用することもできる。

自治体では新しいソフトの導入時に業務手順の変更などで職員の負担は大きくなりがちだが、SePは特別なユーザー教育などを行わず、短期間に運用開始できる。すでにSePを導入している自治体では、導入後、職員からの問い合わせもなく、スムーズに業務で利用しているという。

日本語表示のログ管理でIT管理者の負担を軽減

SePはWindows内のプログラム動作を監視制御することで、ファイルのコピー、印刷、保存、コピー&ペースト、メール添付など、情報漏洩につながるあらゆる操作を防止できる。また、これらの操作を網羅的に記録する履歴機能を搭載。ユーザーの操作に対し、マシン名・ファイル名・フォルダ名・アプリケーション名・操作名・ユーザー名・アクセス日時などを純国産製品だけにIT管理者に分かりやすい日本語の書式で表示する。

ログ管理用に別途データベースやミドルウエアなどが必要だったり、外部の専門家に分析を任せる必要があったり製品外コストがかかるケースもあるが、SePはデータベースなどが不要なことに加え、ログの表示も分かりやすく、運用の手間や維持のための余計なコストがかからない。このため「SePは職員だけでなく、IT管理者も低コストでストレスフリーの運用が行えます」と石津氏は強調する。

ログ管理分析は情報セキュリティのインシデント発生時に原因究明などで欠かせない。総務省は「地方公共団体における情報セキュリティポリシーに関するガイドライン」(平成30年9月版)でログの取得等について記載。「統括情報セキュリティ責任者及び情報システム管理者は、取得したログを定期的に点検または分析する機能を設け、必要に応じて不正侵入、不正操作などの有無について点検または分析を実施しなければならない」としている。

ハミングヘッズでは、SePを用いて月次など定期的にログを集計できる仕組みを提供しており、自治体のログの点検・分析を支援する。

データを端末内に残させずモバイルワークでも庁内ストレージに データを集約

自治体では総務省がテレワーク推進を打ち出していることから、庁内に加え、庁外の業務でいかにセキュアに情報を取り扱えるかが今後大きな課題となってくる。情報漏洩に対する懸念から端末の持ち出しを制限している自治体も多いが、例えば紙の資料を持って現地調査を行い、庁内に戻ってからパソコンに入力するなど、業務の効率化や働き方改革に逆行するような例は少なくない。

SePは庁外でのセキュアなモバイルワークやテレワークのニーズに対応。VPNや閉域SIMなどのセキュアな通信網を活用して庁外の端末と庁内を結ぶことで外部でも庁内同様に安全に業務が行える。さらに端末にデータを保存させない「Zero Drive」を組み合わせることで、モバイルワークでもデータは常に庁内のストレージに集約できる。

「セキュリティプラットフォーム(SeP)」の自動暗号化により故意の持ち出しや操作ミスによる情報漏洩を防止。モバイルやテレワークにも柔軟に対応できる
[画像のクリックで拡大表示]

Zero Driveは端末内に情報を書き込ませず個人のログイン設定情報や書類を強制的にオンラインストレージ側で一元管理するため、個人のIDでログインすればどの端末からでも同じ環境で利用できる。端末内に情報がないため、異動時や端末故障時の作業軽減が可能になる。「既存の端末をそのまま使うことができ、ユーザー利便性だけでなく、端末を管理するIT部門の端末運用を簡素化できます」と石津氏は述べる。高性能なサーバーや専用端末、高速ネットワークなどの設備が必要な仮想デスクトップ環境に比べ、大幅なコスト抑制ができ、自治体のモバイルワークを支援する。

総務省は将来に向けてクラウドサービスの利用やテレワークの推進などに舵を切りつつある。庁内のLGWAN接続系からパブリッククラウドに接続できるLGWAN-ASPサービスもあるが、インターネット接続系から安全な方法でクラウドサービスを利用する方が運用面でもコスト面でも理にかなっていると言える。また、自治体の業務効率化や働き方改革が求められる中、「この先、数年でモバイルワークやテレワーク環境の整備が求められ、SePのような新しいセキュリティの在り方が必要になっていくはずです」と石津氏は見ている。

「自治体情報システム強靭性向上モデル」の初の更改、まだ詳細が出ていないが、情報セキュリティに関しても、先を見据えた対策を気にかける必要があるだろう。

お問い合わせ
ハミングヘッズ株式会社
TEL:03-6808-1300