行政手続きや企業活動のデジタル化が進み、私たちの生活は以前より便利になっています。
行政サービスでは、オンライン申請や電子通知が普及し、企業ではクラウドサービスや人工知能を活用した業務効率化が進んでいます。
しかし、デジタル化によって利便性が高まる一方で、情報漏洩やサイバー攻撃による被害が広範囲に及ぶ危険性も高まっています。
2026年10月、防災情報配信サービスを提供するアルカディアへの不正アクセスによって、全国の自治体で防災メールの配信停止などが発生しました。
同社のサービスは800を超える自治体で利用されており、少なくとも195の自治体や団体でサービス停止や情報漏洩などの影響が確認されました。
また、タイムズカーへの不正アクセスでは、運転免許証画像などの個人情報が流出し、本人確認書類の管理が社会的な問題となりました。
こうした問題が示しているのは、デジタル化を進めるだけでは、安全で信頼できる社会を実現できないということです。
重要なのは、情報システムの利便性と安全性を両立させるための内部統制を整備することです。
今回は、10回シリーズの最終回として、行政と企業に必要なデジタル時代の内部統制について考えます。
デジタル化は業務効率化だけでは評価できない
行政や企業がデジタル化を進める主な目的は、業務の効率化や利便性の向上です。
例えば、行政手続きをオンライン化すれば、住民は窓口に出向かずに申請できるようになります。
企業では、クラウドサービスを利用することで、システムの維持管理に必要な負担を軽減できます。
また、人工知能を活用すれば、従来は人手で行っていた作業を自動化できる場合があります。
こうした取り組みは、人手不足が深刻化する日本社会にとって重要です。
しかし、業務効率化だけを優先すると、情報セキュリティーや事業継続への対応が不十分になる危険性があります。
例えば、一つの外部サービスに重要な業務を集中させれば、管理費用を削減できる可能性があります。
一方、そのサービスが停止した場合には、複数の業務が同時に影響を受けることも考えられます。
デジタル化の成果は、処理時間の短縮や費用削減だけで評価するべきではありません。
安全性、継続性、復旧能力まで含めて評価することが重要です。
内部統制はデジタル社会の安全装置になる
内部統制とは、組織が業務を適切に運営し、目標を達成するために整備する仕組みです。
企業の財務報告に関する内部統制では、財務報告の信頼性を確保するための管理体制が重視されます。
また、企業全体の内部統制では、業務の有効性や効率性、法令遵守、資産の保全などが重要になります。
デジタル社会では、これらの目的を達成するために情報システムの管理が欠かせません。
例えば、会計システムへのアクセス権限が適切に管理されていなければ、不正な会計処理や情報の改ざんが発生する危険性があります。
また、顧客情報の管理が不十分であれば、個人情報漏洩によって企業の信用が損なわれる可能性があります。
内部統制は、単に規程を整備することではありません。
業務上のリスクを把握し、そのリスクを合理的な水準に抑えるための仕組みを継続的に運用することです。
デジタル化が進むほど、内部統制の重要性は高まると考えられます。
委託先管理は内部統制の重要な課題
デジタル化の進展によって、行政や企業が外部の専門事業者に業務を委託する機会が増えています。
クラウドサービス、給与計算、顧客管理、情報配信など、外部委託の対象は多岐にわたります。
しかし、業務を外部委託したからといって、委託元の管理責任がなくなるわけではありません。
個人情報保護法では、個人データの取扱いを委託する場合、委託元に必要かつ適切な監督が求められています。
また、行政機関においても、委託先の安全管理状況を確認することが重要です。
2025年度の調査では、個人情報保護に関する契約上の措置を講じている自治体が多い一方、委託先への指導や監査を実施している割合は、都道府県で64%、市区町村で49%にとどまっていました。
この数字は、契約上の管理と実際の監督の間に隔たりがあることを示しています。
重要なのは、委託契約書に安全管理義務を記載することだけではありません。
委託先が実際にどのような管理体制を整備し、どのような対策を実施しているかを確認する必要があります。
外部委託が拡大するほど、委託先管理は内部統制の中心的な課題になっていくでしょう。
一つのシステムに依存する危険性
デジタル化では、複数の業務を一つのシステムに集約することで、効率化を図る場合があります。
例えば、複数の自治体が同じ情報配信サービスを利用すれば、システムの開発や運用に必要な費用を抑えられる可能性があります。
また、専門事業者の技術力を共同で利用できるというメリットもあります。
しかし、一つのシステムに多くの利用者が依存すると、そのシステムが停止した場合の影響も大きくなります。
アルカディアへの不正アクセスによる問題は、こうした集中リスクを考えるうえで重要な事例です。
特に防災情報の配信は、住民の安全に関わる重要な行政サービスです。
一つの配信手段が停止した場合でも、別の方法で必要な情報を届けられる仕組みが求められます。
例えば、防災行政無線、自治体のホームページ、緊急速報メールなど、複数の情報伝達手段を組み合わせることが考えられます。
ただし、複数の手段を用意していても、同じシステムや通信基盤に依存していれば、同時に利用できなくなる可能性があります。
重要なのは、代替手段が実際に機能するかを確認し、定期的に訓練することです。
情報を持ちすぎない管理も必要になる
情報漏洩による被害を小さくするためには、情報を適切に保護することに加え、必要以上に保有しないことも重要です。
企業や行政機関では、本人確認やサービス提供のために、さまざまな個人情報を取得しています。
しかし、利用目的を達成した後も不要な情報を長期間保存していれば、漏洩した場合の被害が拡大する可能性があります。
例えば、本人確認のために取得した運転免許証画像を、必要性を確認しないまま保存し続けることにはリスクがあります。
もっとも、法令によって一定期間の保存が求められる情報については、その義務を遵守する必要があります。
重要なのは、情報ごとに取得目的や保存期間を明確にし、必要な管理を実施することです。
また、情報にアクセスできる担当者を限定することも重要です。
すべての従業員がすべての情報にアクセスできる状態では、不正利用や情報漏洩の危険性が高まります。
必要な人が、必要な情報に、必要な範囲でアクセスできる仕組みを整えることが基本になります。
事故発生を前提とした事業継続計画
サイバー攻撃への対策では、事故を防止することが重要です。
しかし、どれほど高度な対策を講じても、すべての攻撃を完全に防止することは困難です。
そのため、事故が発生した場合でも、重要な業務を継続できる体制が必要になります。
これが事業継続計画の考え方です。
例えば、企業の会計システムが停止した場合、決算業務をどのように継続するのかを事前に検討しておく必要があります。
また、顧客管理システムが停止した場合には、問い合わせ対応や受注業務をどのように継続するのかが問題になります。
行政機関では、防災情報や住民サービスを停止させないための代替手段が重要です。
事業継続計画では、重要業務の優先順位、復旧目標、代替手段、責任者、連絡体制などを明確にすることが考えられます。
さらに、計画を作成するだけでなく、実際に訓練を行う必要があります。
事故が発生して初めて対応方法を考えるのではなく、平常時から備えることが重要なのです。
経営陣が情報セキュリティーを監督する
デジタル時代の内部統制では、経営陣の関与が欠かせません。
情報セキュリティーを情報システム部門だけに任せていると、経営上の重要なリスクが十分に共有されない可能性があります。
例えば、重大なシステムの脆弱性が発見された場合、改善に必要な予算や人員の確保は経営判断になります。
また、外部委託先の管理体制を強化する場合にも、契約条件の見直しや監査費用の負担などが必要になることがあります。
取締役会には、企業の重要なリスクを把握し、必要な管理体制が機能しているかを監督する役割が求められます。
ただし、取締役全員が情報技術の専門家になる必要はありません。
重要なのは、専門部署から適切な報告を受け、重大なリスクに対して合理的な判断を行うことです。
また、内部監査部門が情報セキュリティー管理の実効性を確認することも重要です。
経営陣、専門部署、内部監査部門が連携することで、組織全体の管理体制を強化できます。
中小企業と自治体には共同対応も必要になる
情報セキュリティー対策では、専門人材の不足が大きな課題になっています。
特に中小企業や小規模自治体では、高度な専門知識を持つ職員を十分に確保することが難しい場合があります。
そのため、すべての組織が独自に高度な管理体制を整備することは現実的ではありません。
重要なのは、外部の専門家や共同の管理体制を適切に活用することです。
例えば、複数の自治体が共同で委託先の安全管理状況を確認する仕組みが考えられます。
また、中小企業では、専門事業者によるセキュリティー診断や監視サービスを活用することも有効です。
ただし、外部の専門家に業務を任せたからといって、組織の管理責任がなくなるわけではありません。
専門家からの報告を理解し、必要な改善を判断する役割は、委託元に残ります。
専門人材が不足する組織ほど、限られた資源を重要なリスクに集中させることが必要です。
個人にも求められる情報管理の意識
デジタル社会の安全性を高めるためには、行政や企業の内部統制だけでなく、利用者自身の対策も重要です。
例えば、複数のサービスで同じパスワードを使い回していれば、一つのサービスから認証情報が流出した際に、別のサービスにも被害が広がる可能性があります。
また、金融機関を装った偽サイトに認証情報を入力してしまえば、不正な金融取引につながる危険性があります。
そのため、サービスごとに異なるパスワードを設定し、多要素認証を利用することが重要です。
さらに、銀行や証券会社の取引履歴を定期的に確認し、不審な取引がないかを把握することも必要です。
ただし、個人の注意だけで、すべての情報漏洩を防止することはできません。
行政や企業には、利用者が安全にサービスを利用できる仕組みを整備する責任があります。
組織の内部統制と個人の自己防衛を組み合わせることが、デジタル社会の安全性を高めるために重要なのです。
デジタル時代の内部統制に必要な視点
これからの内部統制では、従来の業務管理に加えて、デジタル技術に伴うリスクを組織全体で把握することが必要になります。
特に重要なのは、情報資産の管理、アクセス権限の管理、委託先の監督、事業継続計画、事故発生時の対応です。
また、情報システムの導入段階から、安全性や復旧能力を考慮することも重要です。
システムを導入した後に問題が発見されてから対策を講じるよりも、設計段階からリスクを把握する方が合理的な場合があります。
さらに、情報セキュリティー対策の実施状況を定期的に確認し、必要に応じて改善する仕組みも欠かせません。
内部統制は、一度整備すれば完成するものではありません。
技術の進歩や新たな攻撃手法に応じて、継続的に見直す必要があります。
デジタル化を進める組織には、利便性の向上と同時に、管理体制を進化させる姿勢が求められます。
結論
行政や企業のデジタル化は、業務効率化や利便性の向上に大きく貢献しています。
しかし、情報システムへの依存が高まるほど、サイバー攻撃や情報漏洩による影響も大きくなる可能性があります。
今回のアルカディアへの不正アクセスは、一つのサービスに多くの自治体が依存することの危険性を示しました。
また、タイムズカーへの不正アクセスは、本人確認書類などの重要な個人情報を適切に管理することの必要性を改めて示しました。
こうした問題への対応では、技術的なセキュリティー対策だけでなく、組織全体の内部統制が重要になります。
委託先の監督、アクセス権限の管理、情報の保存期間の見直し、事業継続計画の整備など、取り組むべき課題は多岐にわたります。
また、経営陣には、情報セキュリティーを重要な経営リスクとして把握し、必要な管理体制を整備することが求められます。
一方、個人もパスワード管理や多要素認証の利用など、基本的な自己防衛を継続する必要があります。
デジタル社会では、便利なサービスを導入することだけが目的ではありません。
そのサービスを安全に利用し続けられることが重要です。
効率化によって得られる利益と、事故が発生した場合の損失を総合的に考え、合理的な管理体制を整備する必要があります。
デジタル化の真の成果は、処理時間の短縮や費用削減だけでは測れません。
安全性、信頼性、継続性を備えた仕組みを構築できるかどうかが重要です。
便利さを支える内部統制こそ、これからの行政と企業に欠かせない経営基盤になるのです。
参考
日本経済新聞 2026年10月 自治体DX、半数が委託先監査せず 不正アクセス問題で管理に重み
日本経済新聞 2026年10月22日 個人情報漏洩したら…パスワード変更や多要素認証を 警視庁が対策公表
個人情報保護委員会 個人情報の保護に関する法律についてのガイドライン
経済産業省 サイバーセキュリティ経営ガイドライン
金融庁 財務報告に係る内部統制の評価及び監査の基準並びに実施基準