行政サービスのデジタル化が進むなかで、特定の民間企業が提供する情報システムを多数の自治体が共同利用するケースが増えています。
システムの共同利用には、開発費用や運用費用を削減できるほか、専門人材が不足する自治体でも高度な行政サービスを提供できるというメリットがあります。
しかし、その一方で、特定のシステムに障害が発生すると、全国の自治体に影響が広がる危険性があります。
2026年10月、防災情報配信サービスを提供するアルカディアへの不正アクセスによって、全国の自治体で防災メールの配信停止などの問題が発生しました。
総務省によると、サービス停止や個人情報漏洩の報告があった自治体などは少なくとも195団体にのぼりました。
今回の問題は、行政サービスのデジタル化が進むほど、システムの集中リスクへの対応が重要になることを示しています。
防災情報サービスへの不正アクセスで全国に影響
アルカディアが提供する防災情報配信サービスは、800以上の自治体で利用されていました。
同社のサービスは、防災メールの配信だけでなく、ダムの放流通知や自治体職員の参集システムなどにも活用されています。
こうしたシステムは、平常時には住民への情報提供や行政事務の効率化に役立ちます。
しかし、災害が発生した際には、住民の避難行動や自治体の初動対応を支える重要な役割を担います。
今回の不正アクセスでは、複数の自治体で防災メールの配信が停止しました。
岡山市でも防災メールが停止し、ホームページや防災行政無線などの代替手段による情報提供が必要になりました。
仮に大規模な災害が発生している最中に同様の障害が起きれば、住民への避難情報の伝達が遅れる可能性があります。
防災情報の配信停止は、一般的なインターネットサービスの障害とは異なり、住民の生命や安全に直接影響するおそれがあるのです。
行政システムの共同利用が進む理由
多数の自治体が同じ情報システムを利用する背景には、行政サービスの効率化という課題があります。
日本には1,700を超える市区町村が存在します。
それぞれの自治体が独自の情報システムを開発し、維持管理することは、費用面でも人材面でも大きな負担になります。
特に人口規模の小さい自治体では、情報システムの専門職員を十分に配置することが難しい状況です。
そこで、民間企業が開発した共通サービスを利用すれば、個別にシステムを構築する必要がなくなります。
また、同じシステムを多数の自治体が利用することで、開発費用や保守費用を分担できるというメリットもあります。
システムの更新やセキュリティー対策についても、専門事業者が一元的に対応できるため、自治体の負担を軽減できます。
こうした理由から、行政サービスのクラウド化や共同利用は今後も進むと考えられます。
問題は、共同利用そのものではありません。
共同利用によって生じる新たなリスクを、十分に把握し管理できているかどうかなのです。
集中リスクとは何か
集中リスクとは、特定の企業やシステムに業務が集中することで、その企業やシステムに問題が発生した場合に、影響が広範囲に及ぶ危険性をいいます。
例えば、100の自治体がそれぞれ独立したシステムを利用している場合、ある自治体のシステムに障害が発生しても、通常は他の自治体に直接影響しません。
一方、100の自治体が同じクラウドサービスを利用している場合、そのサービスの共通基盤に障害が発生すれば、100の自治体が同時に影響を受ける可能性があります。
これは金融機関のシステムにも共通する問題です。
銀行や証券会社が特定のクラウド事業者やシステム提供会社に依存している場合、その事業者の障害が複数の金融機関に波及するおそれがあります。
行政サービスでも、同様の集中リスクが高まっています。
特に防災、医療、福祉、税務など、住民生活に不可欠なサービスでは、障害の影響が大きくなります。
システムを共同利用する際には、費用削減効果だけでなく、障害発生時の影響範囲も評価する必要があります。
デジタル庁の推奨サービスでも安全性は保証されない
今回、不正アクセスを受けたアルカディアのサービスは、防災分野での実績があり、デジタル庁も自治体向けに推奨していました。
防災分野で総務大臣賞を受賞した経歴もあります。
こうした実績は、自治体がサービスを選定する際の重要な判断材料になります。
しかし、過去の実績や公的機関による推奨があるからといって、将来にわたる安全性が保証されるわけではありません。
サイバー攻撃の手法は日々変化しています。
新たな脆弱性が発見されることもあれば、従来は想定していなかった方法で不正アクセスが行われることもあります。
そのため、サービスの導入時点で安全性を確認するだけでは不十分です。
導入後も継続的に安全管理状況を確認し、必要に応じて対策を見直すことが重要になります。
行政サービスの委託先選定では、実績や価格に加えて、セキュリティー管理体制や障害発生時の復旧能力を重視する必要があります。
防災情報の伝達手段を多重化する必要性
今回の問題を踏まえると、特に重要になるのが防災情報の伝達手段の多重化です。
多重化とは、特定のシステムが利用できなくなった場合でも、別の手段でサービスを継続できるようにすることです。
例えば、防災メールが停止した場合でも、防災行政無線、緊急速報メール、自治体の公式ホームページなどを通じて情報を提供できる体制が考えられます。
ただし、複数の情報伝達手段を用意しているだけでは十分ではありません。
それぞれの手段が同じシステムや通信基盤に依存している場合、共通部分に障害が発生すると、複数の手段が同時に利用できなくなる可能性があります。
したがって、情報伝達手段の多重化では、システムや通信経路の独立性も重要になります。
また、災害時に代替手段へ切り替える手順を事前に定めておく必要があります。
担当職員が不在の場合でも対応できるよう、複数の職員が操作方法を理解しておくことも大切です。
平常時から訓練を実施し、実際に代替手段が機能することを確認しておく必要があります。
システム障害を想定した事業継続計画
行政サービスの安定的な提供には、事業継続計画の整備が欠かせません。
事業継続計画は、災害やシステム障害などによって通常の業務が継続できなくなった場合に、重要な業務を維持し、早期に復旧するための計画です。
一般にBCPと呼ばれています。
例えば、防災メールが停止した場合、どの部署が障害を確認し、誰が代替手段への切り替えを判断するのかを明確にしておく必要があります。
また、委託先のシステムが長期間復旧しない場合に、別の事業者のサービスへ切り替えられるかどうかも検討すべきでしょう。
ただし、代替システムの導入には費用がかかります。
すべての行政サービスについて完全な二重化を実施することは、現実的ではありません。
そのため、住民の生命や安全に関わる業務を優先し、重要度に応じた対策を講じることが必要です。
限られた予算の中で、どのサービスに重点的な投資を行うかという判断も重要になります。
委託先の復旧能力をどう評価するか
自治体が情報システムを委託する際には、通常時のサービス内容だけでなく、障害発生時の対応能力も確認する必要があります。
例えば、システム障害が発生した場合、どの程度の時間で復旧できるのかという目標を設定する方法があります。
また、障害によって失われるデータをどの程度まで許容できるのかという基準も重要です。
こうした基準は、一般に復旧時間目標や復旧時点目標と呼ばれています。
さらに、委託先がサイバー攻撃を受けた場合、自治体に対してどのような情報を、どの程度の時間内に報告するのかも明確にしておく必要があります。
事故発生後の初動対応が遅れると、被害の拡大につながる可能性があります。
自治体と委託先の間で、連絡体制、役割分担、復旧手順を事前に確認しておくことが重要です。
契約書にサービスの稼働率を定めるだけでなく、実際に障害が発生した場合の対応まで確認する必要があります。
住民自身も複数の情報源を確保する
防災情報の安定的な提供は、基本的には行政の責任です。
しかし、住民自身も特定の情報配信手段だけに依存しないことが重要になります。
例えば、自治体の防災メールに登録している場合でも、気象庁の防災情報や自治体の公式ホームページなど、複数の情報源を確認できるようにしておくことが考えられます。
スマートフォンが利用できない場合に備えて、防災行政無線やテレビ、ラジオなどの情報源も把握しておくと安心です。
特に高齢者世帯では、スマートフォンの操作に不慣れな場合もあります。
家族や地域住民が協力して、必要な情報を伝える仕組みも重要になります。
デジタル技術は防災情報の伝達を便利にしますが、すべての住民が同じ方法で情報を受け取れるわけではありません。
行政には、デジタル化と同時に、情報格差への配慮も求められます。
結論
自治体DXの進展によって、行政サービスの効率化や住民の利便性向上が期待されています。
一方で、多数の自治体が同じ情報システムを利用することで、特定の事業者に障害が発生した場合の影響が全国に広がるという集中リスクが生じています。
今回のアルカディアへの不正アクセスは、その危険性を具体的に示しました。
特に防災情報のように住民の生命や安全に関わるサービスでは、システムの停止を前提とした備えが必要です。
重要なのは、サイバー攻撃を完全に防止できると考えることではありません。
どれほど高度な対策を講じても、システム障害や不正アクセスの可能性をゼロにすることは困難です。
だからこそ、障害が発生しても重要な行政サービスを継続できる仕組みを整備する必要があります。
防災情報の伝達手段の多重化、委託先の復旧能力の確認、事業継続計画の整備などを総合的に進めることが求められます。
行政DXの成果は、システム導入による費用削減や業務効率化だけでは測れません。
住民が必要とする行政サービスを、非常時にも安定して提供できることが重要です。
デジタル社会が進展するほど、効率性と安全性を両立させる行政運営が求められるのです。
参考
日本経済新聞 2026年10月 自治体DX、半数が委託先監査せず 不正アクセス問題で管理に重み
日本経済新聞 2026年10月22日 個人情報漏洩したら…パスワード変更や多要素認証を 警視庁が対策公表