行政サービスのデジタル化が急速に進んでいます。住民票の取得、税金の納付、各種行政手続き、防災情報の配信など、私たちの生活に関わる多くのサービスがデジタル技術によって支えられるようになりました。
しかし、その利便性の裏側で、深刻な問題が浮かび上がっています。
総務省の調査によると、2025年度に業務委託先への指導や監査を実施している市区町村は49%にとどまりました。都道府県でも64%です。
つまり、市区町村の約半数では、委託先に対する契約後の指導や監査が実施されていないことになります。
2026年10月には、防災情報配信サービスを提供するアルカディアへの不正アクセスによって、全国の自治体で防災メールの停止や個人情報漏洩などの問題が発生しました。
行政のデジタル化が進む一方で、その安全性を誰が、どのように確認するのかという重要な課題が浮き彫りになっています。
自治体DXの進展と民間企業への依存
自治体DXとは、デジタル技術を活用して行政サービスの利便性を高め、行政事務の効率化を進める取り組みです。
人口減少や少子高齢化が進む日本では、自治体職員の確保が難しくなることが予想されています。
限られた人員で行政サービスを維持するためには、デジタル技術の活用が欠かせません。
例えば、従来は窓口で受け付けていた申請をオンライン化すれば、住民は役所に出向く必要がなくなります。
自治体側も、申請書類の入力や確認に必要な作業を削減できます。
しかし、こうした情報システムを自治体が独自に開発し、運用することは容易ではありません。
高度な専門知識を持つ人材の確保や、継続的なシステム更新には多額の費用が必要だからです。
その結果、民間企業が提供するクラウドサービスや情報システムへの依存が強まっています。
外部委託そのものが問題なのではありません。
重要なのは、委託した業務について、自治体が適切な管理責任を果たしているかどうかです。
防災情報サービスへの不正アクセスが示した問題
2026年10月、防災情報配信サービスを提供するアルカディアが不正アクセスを受けました。
同社のサービスは800以上の自治体で利用されており、今回の問題では少なくとも195団体でサービス停止や個人情報漏洩などの影響が報告されました。
防災メールの配信停止だけでなく、ダムの放流通知や自治体職員の参集システムなどにも影響が及びました。
防災情報は、住民の生命や安全を守るための重要な行政サービスです。
大雨や地震などの災害時に避難情報が届かなければ、住民の避難行動が遅れる可能性があります。
今回の問題では、同じ民間サービスを多数の自治体が利用していたことが、影響の広域化につながりました。
共通サービスの利用には、費用削減や運用効率化というメリットがあります。
一方で、特定の事業者に障害が発生すると、多数の自治体が同時に影響を受けるという集中リスクもあります。
行政DXを進める際には、効率性だけでなく、障害発生時の影響範囲についても検討する必要があります。
契約時の義務付けと契約後の監査には大きな差
今回の問題で特に注目したいのは、自治体による委託先管理の実態です。
総務省の2025年度調査では、委託事業者に対して個人情報の漏洩防止策を契約などで義務付けている自治体は、都道府県で96%、市区町村で92%でした。
この数字だけを見ると、多くの自治体が情報セキュリティー対策を講じているように見えます。
ところが、契約後に委託先への指導や監査を実施している割合は、都道府県で64%、市区町村では49%にとどまっています。
契約時に安全管理を約束させることと、その約束が実際に守られているかを確認することは、まったく別の問題です。
例えば、委託契約書に不正アクセス防止措置を講じることが記載されていても、実際にアクセス制限が適切に設定されているとは限りません。
システムの脆弱性を修正するための更新作業が遅れている可能性もあります。
また、委託先がさらに別の企業へ業務を再委託している場合、情報管理の実態を把握することが一層難しくなります。
契約書の整備は必要ですが、それだけで安全性が確保されるわけではありません。
委託先管理は内部統制の重要な要素
この問題は、企業の内部統制と共通する部分があります。
企業では、会計処理、給与計算、人事管理、顧客情報の管理などを外部の専門事業者に委託することがあります。
しかし、業務を外部委託したからといって、企業自身の管理責任がなくなるわけではありません。
例えば、給与計算を外部委託している企業で、委託先から従業員の個人情報が漏洩した場合を考えてみます。
直接的な原因が委託先のシステム管理にあったとしても、委託元企業が必要な監督を行っていたかどうかが問題となります。
個人情報保護法では、個人データの取扱いを委託する場合、委託元には委託先に対する必要かつ適切な監督が求められています。
自治体についても、行政サービスを外部委託する以上、適切な安全管理体制を確保する必要があります。
内部統制の基本は、業務を適切に実施するための仕組みを整備し、その仕組みが実際に機能しているかを確認することです。
委託先の管理についても、契約締結、業務実施、監査、改善という継続的な管理が求められます。
小規模自治体ほど監査が難しい
委託先監査の実施率が低い背景には、自治体の人材不足があります。
特に小規模自治体では、情報システムの専門知識を持つ職員を十分に配置することが難しい状況です。
サイバーセキュリティーの監査には、ネットワーク構成、アクセス管理、脆弱性対策、ログ管理などに関する専門知識が必要です。
通常の行政事務を担当する職員だけで、こうした技術的な問題を評価することには限界があります。
また、監査を外部の専門家に依頼すれば、追加的な費用も発生します。
自治体ごとに独立して監査を実施する方法では、費用と人材の両面で負担が大きくなります。
そこで考えられるのが、都道府県単位での共同監査です。
同じサービスを複数の市区町村が利用している場合、共同で委託先の安全管理状況を確認すれば、監査費用を分担できます。
専門人材を共同で確保することも可能になります。
ただし、共同監査を実施しても、それぞれの自治体が自らの業務に関する管理責任を果たす必要があることに変わりはありません。
監査では何を確認すべきなのか
委託先監査では、単に情報セキュリティー対策を実施しているかどうかを質問するだけでは不十分です。
重要なのは、具体的な管理状況を証拠に基づいて確認することです。
例えば、システムへのアクセス権限が必要な担当者に限定されているかを確認します。
退職者や異動した担当者のアクセス権限が適切に削除されているかも重要です。
また、システムの脆弱性が発見された場合に、どの程度の期間で修正する仕組みになっているかを確認する必要があります。
不正アクセスの兆候を検知するためのログ管理や監視体制も欠かせません。
さらに、実際にサイバー攻撃を受けた場合、委託元自治体への報告が迅速に行われるかどうかも重要な監査項目です。
防災情報などの重要なサービスでは、システム停止時の代替手段や復旧計画も確認する必要があります。
監査の目的は、形式的に問題がないことを確認することではありません。
潜在的な危険を早期に発見し、事故が発生する前に改善することにあります。
監査結果を改善につなげる仕組みが必要
監査を実施していても、その結果が改善につながらなければ意味がありません。
例えば、委託先のアクセス管理に問題が見つかった場合、改善期限を設定し、期限までに是正されたことを確認する必要があります。
重大な問題が放置されている場合には、追加的な監査や契約内容の見直しも検討すべきでしょう。
また、監査結果を担当部署だけで管理するのではなく、自治体の情報セキュリティー責任者や経営層に相当する幹部が把握することも重要です。
行政サービスの停止や個人情報漏洩は、住民の生活に直接影響します。
そのため、情報セキュリティーは情報システム担当者だけに任せる問題ではありません。
自治体全体のリスク管理として位置づける必要があります。
DXの成果を費用削減だけで評価してはいけない
自治体DXでは、業務時間の短縮、職員の負担軽減、システム運用費用の削減などが成果として注目されます。
しかし、こうした指標だけでは、行政サービスの安全性を十分に評価できません。
例えば、年間のシステム運用費用を削減できたとしても、サイバー攻撃によって長期間サービスが停止すれば、住民への影響は大きくなります。
事故対応やシステム復旧に多額の費用が発生する可能性もあります。
したがって、DXの費用対効果を考える際には、通常時の運用費用だけでなく、障害発生時の損失や復旧費用も考慮する必要があります。
さらに、防災情報のように住民の生命に関わるサービスでは、金銭的な損失だけで評価できないリスクも存在します。
行政DXの本来の目的は、単なる費用削減ではなく、住民に対して質の高い行政サービスを安定的に提供することです。
安全性と継続性を確保してこそ、デジタル化の効果が発揮されるのです。
結論
自治体DXは、人口減少社会において行政サービスを維持するための重要な取り組みです。
しかし、外部委託の拡大によって、行政サービスの安全性が民間事業者の管理体制に左右される場面が増えています。
今回のアルカディアへの不正アクセスは、特定の事業者に障害が発生すると、その影響が全国の自治体に広がる可能性を示しました。
また、市区町村の委託先監査実施率が49%にとどまる現状は、契約後の管理体制に改善の余地があることを示しています。
今後は、委託先の選定や契約締結だけでなく、継続的な監査、改善状況の確認、事故発生時の対応体制まで含めた管理が必要です。
特に小規模自治体では、都道府県による共同監査や専門人材の共同活用など、広域的な取り組みが重要になるでしょう。
企業の内部統制と同様に、行政においても、業務を外部に委託することと管理責任を外部に移すことは同じではありません。
これからの自治体DXに求められるのは、デジタル技術を導入する能力だけではありません。
導入したシステムを安全に管理し、万一の障害が発生しても住民サービスを継続できる能力です。
デジタル化の成功は、効率化の数字だけでなく、住民の信頼と安全をどこまで守れるかによって判断されるべきなのです。
参考
日本経済新聞 2026年10月 自治体DX、半数が委託先監査せず 不正アクセス問題で管理に重み
日本経済新聞 2026年10月22日 個人情報漏洩したら…パスワード変更や多要素認証を 警視庁が対策公表
総務省 2025年度 地方公共団体における情報セキュリティー対策に関する調査