行政サービスのデジタル化が進むなかで、自治体のサイバーセキュリティー対策が重要な課題となっています。
住民情報の管理、税務、福祉、防災情報の配信など、行政サービスの多くが情報システムに依存するようになりました。
しかし、こうしたシステムを安全に運用するための専門人材は、必ずしも十分に確保されていません。
特に小規模自治体では、情報システムの管理を少人数の職員が担当しているケースもあり、高度化するサイバー攻撃への対応が難しくなっています。
総務省の2025年度調査によると、委託事業者に対して契約後の指導や監査を実施している市区町村は49%にとどまっています。
2026年10月には、防災情報配信サービスを提供するアルカディアへの不正アクセスによって、全国の自治体で防災メールの配信停止などの問題が発生しました。
今回の問題は、自治体DXを進めるうえで、情報システムの導入だけでなく、それを管理する人材と組織体制の整備が不可欠であることを示しています。
自治体DXの進展で専門人材の重要性が高まる
自治体DXは、行政サービスの効率化や住民の利便性向上を目的とする取り組みです。
オンライン申請、電子納付、行政情報の共有、防災情報の配信など、さまざまな分野でデジタル技術が活用されています。
こうした取り組みは、人口減少によって自治体職員の確保が難しくなるなかで、行政サービスを維持するための重要な手段です。
しかし、デジタル化を進めるほど、情報システムを適切に管理する能力が求められます。
例えば、クラウドサービスを導入する場合には、利用者のアクセス権限、個人情報の保存方法、通信の暗号化、システム障害への対応などを確認する必要があります。
また、サイバー攻撃の手法は絶えず変化しています。
新たな脆弱性が発見されれば、速やかに対策を講じる必要があります。
情報システムを導入するだけでなく、安全に運用し続けるための専門知識が欠かせないのです。
小規模自治体が抱える人材不足の問題
自治体の情報システム管理には、民間企業とは異なる難しさがあります。
大規模な企業であれば、情報システム部門や情報セキュリティー部門に専門人材を配置することができます。
しかし、人口規模の小さい自治体では、専門職員を十分に確保することが難しい場合があります。
情報システム担当者が、通常の行政事務と兼務していることも考えられます。
さらに、自治体では職員の定期的な人事異動が行われます。
情報システムの管理経験を積んだ職員が異動すると、専門知識や業務上のノウハウが十分に引き継がれない可能性があります。
一方、サイバーセキュリティーの分野では、高度な専門知識を持つ人材への需要が高まっています。
民間企業との人材獲得競争もあり、自治体が必要な人材を確保することは容易ではありません。
このような状況では、自治体ごとに専門人材を十分に配置するという方法だけでは限界があります。
委託先の監査には専門知識が必要
自治体が情報システムを民間企業に委託する場合、委託先の安全管理状況を確認する必要があります。
しかし、サイバーセキュリティーの監査には専門的な知識が求められます。
例えば、システムへのアクセス権限が適切に管理されているかを確認する場合、単に管理規程が存在するかどうかを見るだけでは不十分です。
実際に権限がどのように設定されているのか、不要な権限が残っていないか、操作履歴が保存されているかなどを確認する必要があります。
また、システムの脆弱性対策についても、更新作業の実施状況や対応期限を確認する必要があります。
さらに、委託先がクラウドサービスを利用している場合には、クラウド事業者と委託先の責任分担についても理解しておく必要があります。
こうした内容を適切に評価するには、一定の専門知識が欠かせません。
一般の行政職員が短期間の研修だけで、すべての技術的な問題を判断することは難しいでしょう。
そのため、自治体の監査体制を強化するには、専門人材の活用方法を見直す必要があります。
都道府県による共同監査という選択肢
小規模自治体の人材不足を補う方法として考えられるのが、都道府県による共同監査です。
例えば、同じ防災情報配信サービスを複数の市区町村が利用している場合、それぞれが独立して委託先を監査すると、同じような確認作業が繰り返されます。
自治体ごとに専門家を確保する必要があり、費用も増加します。
そこで、都道府県が中心となって共同監査を実施すれば、専門人材や監査費用を共有できます。
また、同じ事業者に対する監査結果を複数の自治体で共有することで、問題点の早期発見につながる可能性があります。
ただし、共同監査によって、各自治体の管理責任がなくなるわけではありません。
自治体ごとに取り扱う個人情報や利用方法が異なる場合には、それぞれの事情に応じた確認が必要です。
共同監査では、共通する安全管理項目を効率的に確認し、個別のリスクについては各自治体が対応するという役割分担が考えられます。
外部専門家の活用とその限界
自治体のサイバーセキュリティー対策では、外部専門家の活用も重要になります。
情報セキュリティーの専門企業や監査法人などに委託すれば、技術的な評価や改善提案を受けることができます。
例えば、システムの脆弱性診断、不正アクセスへの対応体制の評価、情報セキュリティー管理規程の整備などが考えられます。
ただし、外部専門家にすべてを任せればよいというわけではありません。
専門家による報告書が提出されても、自治体側がその内容を理解し、必要な改善を判断できなければ、実効性は高まりません。
また、外部専門家の選定においても、専門性や独立性、業務実績などを確認する必要があります。
重要なのは、専門的な評価を外部に委託しながらも、最終的な管理判断は自治体が行うという仕組みです。
これは企業の内部監査や外部監査にも共通する考え方です。
職員全員に求められる情報セキュリティー意識
サイバーセキュリティー対策は、専門職員だけが取り組めばよいものではありません。
実際のサイバー攻撃では、職員に送られた不審なメールや、偽のログイン画面などが侵入のきっかけになることがあります。
そのため、一般の行政職員にも基本的な情報セキュリティー知識が必要です。
例えば、不審なメールの添付ファイルを開かないことや、業務用のパスワードを使い回さないことなどが挙げられます。
また、多要素認証を利用することや、個人情報を含むファイルを適切に管理することも重要です。
こうした対策は、特別に高度な技術を必要とするものではありません。
しかし、日常業務の中で継続して実践する必要があります。
自治体では、定期的な研修や訓練を通じて、職員全体の情報セキュリティー意識を高めることが求められます。
特に、実際の攻撃を想定した訓練は、問題が発生した際の初動対応を確認するうえでも有効です。
情報システム部門だけでは対応できない
自治体のサイバーセキュリティー対策を強化するには、組織全体で取り組む必要があります。
情報システム部門が技術的な対策を講じていても、各部署が個人情報を不適切に管理していれば、情報漏洩の危険性は残ります。
また、システム障害が発生した場合には、情報システム部門だけでなく、防災、福祉、税務などの担当部署が連携する必要があります。
例えば、防災メールが停止した場合、システムの復旧作業を担当する部署と、住民への代替情報提供を担当する部署では役割が異なります。
こうした役割分担を事前に明確にしておかなければ、緊急時の対応が遅れる可能性があります。
したがって、自治体のサイバーセキュリティー対策は、技術的な問題であると同時に、組織管理の問題でもあります。
首長や幹部職員が重要性を理解し、必要な予算や人材を確保することが求められます。
企業の内部統制から学べること
自治体の情報セキュリティー対策には、企業の内部統制から学べる点があります。
企業では、重要な業務について責任者を明確にし、業務手順を整備し、実施状況を確認する仕組みが設けられています。
また、内部監査部門が業務の適切性を評価し、問題が見つかった場合には改善を求めることがあります。
自治体でも、同様の考え方を情報セキュリティー管理に取り入れることが重要です。
例えば、委託先の安全管理状況について、担当部署による日常的な確認と、独立した立場からの定期的な評価を組み合わせる方法が考えられます。
また、監査で指摘された問題について、改善期限と責任者を明確にすることも必要です。
改善が完了したかどうかを確認し、その結果を幹部職員に報告する仕組みも重要になります。
情報セキュリティー対策は、一度実施すれば終わるものではありません。
継続的に確認し、改善する仕組みを整えることが求められます。
人材不足を前提とした制度設計が必要
今後の自治体DXでは、すべての自治体が高度な専門人材を十分に確保できるという前提で制度を設計することは現実的ではありません。
人口減少が進むなかで、自治体職員の確保は一層難しくなる可能性があります。
そのため、専門人材が不足していても、一定水準の情報セキュリティーを確保できる仕組みが必要です。
具体的には、都道府県による共同監査、専門人材の共同活用、監査項目の標準化、委託先からの定期報告などが考えられます。
また、重要な情報システムについては、第三者による安全性評価の活用も有効でしょう。
ただし、認証や評価を受けていることだけで安全性が保証されるわけではありません。
システムの利用状況やリスクの変化に応じて、継続的に管理する必要があります。
重要なのは、限られた人材を効率的に活用しながら、安全性を確保する仕組みを整えることです。
結論
自治体DXは、人口減少社会において行政サービスを維持するために欠かせない取り組みです。
しかし、デジタル化が進むほど、情報システムの安全性を管理する専門人材の重要性が高まります。
特に小規模自治体では、人材や予算の制約から、委託先の監査や高度なサイバーセキュリティー対策を単独で実施することが難しい場合があります。
今回のアルカディアへの不正アクセスは、こうした自治体の管理体制を見直す契機となりました。
今後は、都道府県による共同監査や専門人材の共同活用など、自治体間の連携を強化する必要があります。
また、外部専門家を活用する場合でも、自治体自身が管理責任を果たすことが重要です。
情報セキュリティーは、情報システム担当者だけの問題ではありません。
首長や幹部職員を含めた組織全体で取り組むべき経営管理上の課題です。
これからの自治体DXに求められるのは、高度なデジタル技術を導入することだけではありません。
専門人材が不足する状況でも、安全な行政サービスを継続して提供できる管理体制を整えることです。
人材不足を理由に安全管理を後回しにするのではなく、人材不足を前提として機能する仕組みを構築することが、デジタル社会における行政の重要な責務といえるでしょう。
参考
日本経済新聞 2026年10月 自治体DX、半数が委託先監査せず 不正アクセス問題で管理に重み
日本経済新聞 2026年10月22日 個人情報漏洩したら…パスワード変更や多要素認証を 警視庁が対策公表