自治体セキュリティクラウドとは？設置背景と民間企業の関わりを解説

個人情報やマイナンバーを扱う自治体のネットワーク環境には高度なセキュリティ対策が制度的に求められており、専用の仕組みが設けられています。

民間企業がこの分野に参入するためには、一般的な自治体IT案件とは異なる制度的背景と調達要件を正確に理解することが前提となります。

そこで本記事では、自治体セキュリティクラウドの概要・調達の仕組み・関連業務の内容と、参入する際のポイントを解説します。

自治体セキュリティクラウドとは？

自治体のセキュリティクラウドとは、都道府県が中心となって整備・運用する、自治体向けの共同セキュリティ基盤です。

国が示す要件に基づき都道府県が主体となって調達し、都道府県と管内市区町村がサーバ等を集約し、監視・不正検知などのセキュリティ対策を行います。従来、自治体が個別に行っていたセキュリティ対策を都道府県単位に一元化し、セキュリティ水準の確保を図ろうとする取組みです。

ここでは、自治体セキュリティクラウドについて、以下の３つに整理して解説します。

• 自治体セキュリティクラウドが整備された背景
• 3層分離モデルとは
• 自治体セキュリティクラウドの主な機能

自治体セキュリティクラウドが整備された背景

自治体セキュリティクラウドが整備された背景には、自治体ごとに情報セキュリティ対策の水準や運用体制に差があったことがあります。

従来は各自治体が個別にセキュリティ対策を実施していましたが、専門人材の不足や監視体制のばらつきが課題となっていました。また、高度化するサイバー攻撃に対応するためにはセキュリティ監視やログ分析など専門的な知識・体制が必要であり、各自治体が個別に対応することは難しい状況にありました。

さらに、2015年の日本年金機構における情報漏えい事案を受け、総務省は自治体に対して「三層の対策」と呼ばれる情報セキュリティ強化策を要請しました。この対策では、マイナンバー利用事務系、LGWAN接続系、インターネット接続系を分離し、住民情報の流出リスクを低減する仕組みが導入されました。

こうした課題への対応策として整備されたのが自治体情報セキュリティクラウドです。都道府県と市区町村が共同で利用することで、高度なセキュリティ監視やインシデント対応を実現するとともに、サーバやセキュリティ機能の共同利用によるコスト削減、専門人材によるログ分析や脅威監視などを可能にしています。

３層分離モデルとは

自治体セキュリティクラウドを理解する上で欠かせない概念が「三層分離」です。三層分離とは、自治体のネットワーク環境を以下の3層に分離する考え方を指します。

第1層は「マイナンバー利用事務系」で、マイナンバーを含む個人情報を扱う最もセキュリティレベルの高いネットワークです。

第2層は「LGWAN（エルジーワン）接続系」で、自治体間・国との通信に用いる行政専用ネットワークです。

第3層は「インターネット接続系」で、Web閲覧・メールなどインターネットに接続する環境を指します。

各層は原則として物理的または論理的に分離されており、層をまたいだデータのやり取りには「無害化処理」等の操作が必要となります。

自治体では、業務によって用いるネットワークが異なるため、１人の職員が複数台のパソコンを使い分ける様子も珍しくありません。

自治体セキュリティクラウドの主な機能

自治体セキュリティクラウドの主な機能としては、インターネット接続口の集約と不正アクセス防御（ファイアウォール・IDS/IPS等）、通信の監視とセキュリティログの集中管理、メール・Webの無害化処理、マルウェア感染の検知・遮断などが挙げられます。

都道府県が整備する共同基盤に市区町村が接続する形が一般的であり、市区町村は自前でセキュリティ基盤を整備するコストを削減しながら、高水準のセキュリティ対策を享受できる仕組みとなっています。

参考：総務省HP「自治体情報セキュリティクラウド機能要件一覧」（https://www.soumu.go.jp/main_content/000702974.pdf）

自治体セキュリティクラウドの運営・調達の仕組み

自治体セキュリティクラウドがどのように調達・導入、運用されるのか、以下の3つに整理した解説します。

• 都道府県単位の共同調達の仕組み
• 長期運用を前提とした構築・保守調達の特徴
• ISMAPをはじめとする高いセキュリティ認証要件

都道府県単位の共同調達

自治体セキュリティクラウドの調達は、都道府県が主体となって行うことが基本となっています。都道府県が中心となってシステムを調達・整備し、管内の市区町村がこれを共同利用する形で運営されています。

都道府県全体のシステム基盤となるため、数億円規模の大型案件も珍しくありません。受注できる事業者は大規模なインフラ・セキュリティ対応能力を持つITベンダーが中心となっており、参入を検討する際にはこうした調達の規模感と主体を正確に把握しておくことが重要です。

長期運用を前提とした構築・保守調達

自治体セキュリティクラウドは、一度整備されれば長期間にわたって運用・保守が継続する性質を持っています。初期構築と運用保守を含む複数年（5年前後）の長期契約として発注されるケースが多く見られます。

長期運用を前提とした案件では、構築フェーズへの参入だけでなく、保守・運用フェーズの継続受注が収益面では重要となります。

また、一度受注した事業者は、運用保守の過程で業務ノウハウを蓄積できることから、次期更新時の入札・公募においても、有利になりやすいと言えます。

反対に、リプレイス・新規参入を企図する企業にとっては、更新サイクルの把握や情報交換・課題のヒアリング等により勝機の見極めが重要となります。

ISMAPをはじめとする高いセキュリティ認証要件

自治体セキュリティクラウドの調達では、高度なセキュリティ認証の取得が参入要件として求められる場合が多いです。

代表的な認証として、政府情報システムのためのセキュリティ評価制度（ISMAP）があります。ISMAPは、クラウドサービスが政府の求めるセキュリティ要求基準を満たしているかを評価・登録する制度であり、政府・自治体向けのクラウドサービス提供において実質的な前提条件となってきています。

そのほか、ISMS（ISO27001）の認証取得やプライバシーマーク（Pマーク）の取得も、参加資格要件として設定されることがあります。調達仕様書で求められる認証の種類を事前に確認することが出発点として重要です。

自治体セキュリティクラウド関連業務の内容

自治体セキュリティクラウド案件の具体的な業務内容について、以下の3つ整理して解説します。

• 環境構築系業務
• セキュリティ監視・SOC運用
• 自治体システム標準化・クラウド移行への対応と今後の流れ

環境構築系業務の具体的な内容

自治体セキュリティクラウドの環境構築に関連する業務としては、ネットワーク基盤の設計・構築（LAN・WAN・インターネット接続回線）、クラウド基盤の構築（仮想化環境・ストレージ・サーバ等）、三層分離への対応（LGWAN接続とインターネット接続の分離構成）、無害化機能の導入（ファイル・メール無害化システムの整備）、仮想デスクトップ環境（VDI）の整備などが挙げられます。

これらの業務は技術的な専門性が高く、大規模案件への対応能力のある事業者が中心的な受注者となっています。

セキュリティ監視・SOC運用の内容

セキュリティ監視・SOC（セキュリティオペレーションセンター）運用は、自治体セキュリティクラウドの重要な業務領域の一つです。

具体的な業務内容としては、通信ログ・イベントの常時監視（24時間365日体制が標準）、マルウェア感染・不正アクセス等のインシデント検知と初動対応、アラートの分析・報告・エスカレーション対応などが挙げられます。

セキュリティ監視の専門的なオペレーション能力と自治体のセキュリティポリシーへの精通が求められる業務領域といえます。

自治体システム標準化・クラウド移行への対応と今後の流れ

近年の自治体セキュリティクラウド関連業務には、自治体システムの標準化・ガバメントクラウドへの移行に対応する業務が加わっています。

デジタル庁が主導する自治体システム標準化に伴い、基幹系業務システムが順次ガバメントクラウド（政府クラウド）上に移行していますが、この過程ではセキュリティクラウドとの接続要件・通信経路の再設計が必要となる場合があります。

今後は標準化移行の進展に伴い、セキュリティクラウドとガバメントクラウドの接続設計・運用に関わる業務ニーズがさらに高まると考えられます。

自治体セキュリティクラウド分野で知っておきたいポイント

自治体セキュリティクラウドに関する案件に参加する際に知っておきたいポイントとして、以下の4つが挙げられます。

• 制度的な理解が参入の前提となること
• 一般的な自治体IT案件との違い
• 長期運用前提の事業構造への対応
• 既存ベンダーの影響と新規参入の現実

制度理解が参入の前提になる

自治体セキュリティクラウドは、総務省のガイドライン・通知体系と密接に連動しています。

参入を検討する企業には、「自治体情報セキュリティポリシーに関するガイドライン」「三層の対策に係る見直し方針」など、総務省が定めるセキュリティ関連ガイドラインの基本的な内容を理解していることが実質的に求められます。

調達の仕様書はこうしたガイドラインを前提として記述されていることが多く、制度を知らない状態で仕様書を読んでも参加要件の意図が正確に把握できません。制度理解の深さが提案の質に直結する分野といえます。

一般的な自治体IT案件とは異なる調達構造

一般的な自治体のIT案件（業務システム開発・保守等）と比較して、自治体セキュリティクラウドに関連する案件は、調達の主体（都道府県が中心）、案件規模（数億〜数十億円）、要求される認証・実績要件の水準が大きく異なります。

市区町村単位で発注されるIT案件への参入実績があっても、都道府県単位のセキュリティ基盤案件への参入には、人員リソースの確保など別途の対応準備が必要となります。

長期運用前提の事業構造への対応

自治体セキュリティクラウドの案件は数年の長期契約が前提となるため、受注後の安定した運用体制の維持が事業継続の条件となります。

24時間365日の監視体制、障害発生時の即時対応、定期的なセキュリティパッチ適用・脆弱性対応など、高い運用品質を継続的に維持することが重要です。

既存ベンダーの影響と新規参入の現実

自治体セキュリティクラウド案件への参入を考える場合、長期契約が終わるタイミングが実質的な新規参入の機会となります。

しかし、既存ベンダーには「業務ノウハウの蓄積」「システムの内部仕様を熟知している」という優位性が存在していることに留意が必要です。

新規参入でリプレイスをかけようとする場合は、更改の数年前から担当者との関係構築・情報交換を始め、次回の入札・プロポーザルで既存ベンダーを上回る提案をするための取組みが必要となります。

まとめ

自治体のセキュリティクラウドは、マイナンバー制度の導入と相次ぐセキュリティ事案を背景に整備された、自治体専用のセキュリティ基盤です。三層分離モデルに基づく構造とISMAPをはじめとする高い認証要件を理解した上で参入を検討することが必要となります。

一般的な自治体IT案件とは調達規模・体制・要件の水準が大きく異なる分野であるため、新規参入においては既存業者の優位性と更改サイクルを見極めた長期的な戦略が求められます。また、自治体システム標準化の進展に伴うガバメントクラウドとの接続対応が今後の新たな参入機会として注目されています。まず周辺業務での実績積み上げと担当者との関係構築から参入を検討することが現実的な選択肢といえます。

株式会社LGブレイクスルーでは、BtoG市場への参入や展開を検討する企業に対し、伴走型コンサルティングを提供しています。個別相談も受け付けておりますので、自治体向け事業の検討にあたってお困りの点がある場合は、お気軽にお問い合わせください。