自治体情報セキュリティポリシーの新ガイドライン（令和3年版）のポイント

2016年度（平成28年度）に導入された全国自治体システムの強靭化のためのシステムの更改が2021年度（令和3年度）から行われます。それに先立ち、ガイドラインの更新版が2020年12月28日に公開されました。

新ガイドラインで特に注目されていたポイントは下記ではないでしょうか。

この3点について新たなガイドラインはどう書かれていたのか、さらに新たなセキュリティ要件に対応した具体的な実現方法を示します。

新たなガイドラインでは、前回の強靭化実施で職員の利便性が大きく損なわれたことを鑑みて、「強靭化システムの根幹である三層分離は継続しつつ、業務の効率性・利便性の観点を踏まえる必要ある。」という一文が含まれています。

利便性を最も下げた要因は、インターネット側からLGWAN端末にファイルを取り込む際に無害化処理を必須としたことです。

無害化処理を施すことでデータファイルから脅威になりえる要素をほぼ確実に取り除くことができますが、ユーザーが無害化処理のために特定の操作をしたり、処理完了までに待たされるといった非効率が発生しました。

また、ファイルの画像化やCDR（Content Disarm & Reconstruction）といった無害化の手法は、マルウェアでなくてもファイル自体が編集できなくなったり、マクロやハイパーリンクの機能が失われてしまうという問題も生じました。

新たなガイドラインでは、外部から取得したデータをLGWAN端末に取り込む際の無害化方式について、下記の4例を上げています。

人が危険因子の有無の確認をするのは非常に高度な技術と検証環境と時間を要するため、現実的には不可能です。危険因子の確認を短時間で高い制度で行えるのはAIを利用したNGAV（次世代型のアンチウィルスソリューション）しかありません。
AIタイプのNGAVは、世の中の無数のマルウェアからマルウェアの特徴を学習し、機械学習モデルを作り、そのモデルに検査するファイルを当てはめて計算し、マルウェアらしい特徴を持っているかを判定します。そのため、既知・未知に関わらずマルウェアの検知が可能となります。

BlackBerry ProtectをLGWAN端末に入れておけば、メール添付ファイルも、インターネット側から取り込んだファイルも、ファイルを実行する前に既知・未知を問わずマルウェアを検知できます。

殆どの自治体がLGWANに業務端末をおいています（αモデル）。そのため、クラウドの利用や外部とのコミュニケーションが取りづらいという課題がありました。さらに、国の方針としてクラウドバイデフォルトが掲げられ、自治体においてもクラウドの積極的な活用が推奨されているため、業務端末やグループウェアなどの一部のアプリケーションをインターネット系に移すβモデルが認められました。

インターネット接続系はサイバー攻撃のリスクにさらされやすくなるため、αモデルでは求められなかった追加のセキュリティ対策が必要です。下記に必要なセキュリティ対策とソリューションについて示します。

自治体のテレワーク導入率は民間企業と比べて非常に低いことが課題となっています。また、テレワーク用のモバイル端末も必要数を用意することが困難な自治体が多く、BYOD端末の活用可否についてガイドラインでどのように記されるかに注目が集まっていました。庁内ネットワークに接続してテレワークを行う際に必要なセキュリティ対策について、支給端末を利用する場合と、BYOD端末を利用する場合の2つに分けて説明します。