はじめに

日本では2021年にデジタル庁が発足し、行政のデジタル化（いわゆるデジタルトランスフォーメーション＝DX）を司令塔として牽引している。デジタル庁は「誰一人取り残されないデジタル社会」の実現を目標とし、利便性向上と安全性確保を両立させる政策を推進している。サイバー攻撃の高度化を背景に、デジタル庁は便利なサービスを迅速に提供しつつも、国民の信頼を失わないよう強固なサイバーセキュリティ基盤と個人情報保護策を整備する必要がある。

この記事では、デジタル庁の最新政策とセキュリティ施策を整理し、マイナンバー制度やマイナポータル、ガバメントクラウドの安全性、標準ガイドラインに基づく「セキュリティ・バイ・デザイン」の考え方、そして今後の課題を解説する。

1. デジタル庁のサイバーセキュリティ戦略

デジタル庁のサイバーセキュリティ施策は、国民目線の利便性向上と安定的な行政サービス提供を両立させるために策定されている。具体的には、政府全体のサイバーセキュリティ戦略（2021年決定）を踏まえ、国家サイバー統括室（NCO）と連携しながら、次のような取り組みを進めている：

  • 基本方針の策定と実装
    • 「政府情報システムの管理等に係るサイバーセキュリティについての基本方針」を示し、政府情報システム整備におけるセキュリティ要件を統一した。この方針に基づき、各府省のシステム設計・調達段階からセキュリティを意識させる。
  • 専門チームによる検証・監査
    • デジタル庁にサイバーセキュリティ専門チームを置き、庁内で整備・運用するシステムの検証や監査を行う。これにより、設計段階から運用まで継続的にセキュリティを確保する体制を整えている。
  • 規程群の整備と常時診断アーキテクチャ
    • セキュリティ規程群の整備・運用、サイバーセキュリティの専門チームによる構築支援に加え、常時診断・対応型のセキュリティアーキテクチャを実装するなど、サイバーレジリエンスを向上させた対応態勢を構築している。この常時診断・対応型アーキテクチャは、CRSA（Continuous Risk Scanning & Adaptation）として知られ、システムのログやメトリクスを常時収集・分析してリスクを早期に検知・対処するものだ。
  • ISMAP-LIU登録促進
    • 政府機関が安全なSaaSを利用できるよう、ISMAP-LIU（低インパクト用途向けISMAP）の登録促進措置を設け、クラウドサービスを政府調達の前提条件とした。ISMAP（政府によるクラウドセキュリティ評価制度）に登録されたサービスは第三者監査を受けており、利用することでセキュリティレベルを担保できる。
  • 各種技術ドキュメントの公開
    • デジタル庁は「政府情報システムにおけるセキュリティリスク分析ガイドライン」「ゼロトラストアーキテクチャ適用方針」「脆弱性診断導入ガイドライン」など複数の技術レポートを公開し、政府情報システムの標準的なセキュリティ対応を具体的に示している。特にゼロトラスト方針は、従来の境界防御に依存せず全てのアクセスを検証する設計を提唱する。

これらの取り組みは、サイバー攻撃の高度化や外部クラウドサービス利用の拡大に対応するため、設計段階からセキュリティを組み込む「セキュリティ・バイ・デザイン」原則を実践するものである。

2. セキュリティ・バイ・デザイン：標準ガイドラインの位置づけ

デジタル社会推進標準ガイドライン群は、政府情報システムの企画・開発・運用に関する共通ルールや手順をまとめた体系であり、セキュリティ編としてDS‑200「政府情報システムにおけるセキュリティ・バイ・デザインガイドライン」がある。このガイドラインでは、効率的にセキュリティを確保するため、システムライフサイクル全体で一貫した対策を実施する必要性を強調し、各工程で実施すべき活動を示している。

セキュリティ・バイ・デザインの概要は次のとおり：

  1. リスク分析から運用までの一貫した対策
    • 企画時にセキュリティリスクを分析し、要件定義・設計・実装・テスト・運用準備・運用の各フェーズで適切な対策を講じる。第二版では、各工程の実施内容を見直して品質を強化し、実用的なセキュリティ対策のポイントを拡充した。
  2. 役割と責任の明確化
    • セキュリティ・バイ・デザインの実用性を確保するため、システム利用者や開発者、運用者など関係者の役割と責任を定義する。
  3. リスク管理体制の整備
    • 第二版ではリスク管理体制の重要性を強調し、CISA（米国のサイバーセキュリティ・インフラストラクチャ・セキュリティ庁）の「セキュア・バイ・デザイン」「セキュア・バイ・デフォルト」原則を踏まえた更新が行われた。また、クラウド利用を前提とした「クラウド・バイ・デフォルト」を採用し、クラウドサービスの安全な活用を推進している。
  4. 参考資料の整備
    • 別紙では各工程で参照可能なセキュリティ標準や一般的な脆弱性事例、リスクランクに応じた評価例などを提供しており、実務者が具体的な対応を理解しやすいように工夫されている。

このガイドラインの策定により、政府情報システムの開発・運用に携わるベンダや行政担当者は共通のフレームワークに沿ってセキュリティを考慮できるようになり、サプライチェーン全体の安全性確保にもつながる。なお、デジタル庁はDS‑203として「サプライチェーン・リスクの課題整理と対策のグッドプラクティス集」も公開しており、SBOMの活用やライフサイクル管理など、ソフトウェア供給網全体でのリスク低減を推奨している。

3. マイナンバー制度とマイナポータルの安全対策

マイナンバー制度は行政手続の効率化と公平性向上を目的に導入されたが、国民の不安を払拭するために厳格な安全対策が制度面・システム面の両方で講じられている。代表的な対策は以下の通りである。

3.1 制度面の安全対策

  • 利用制限と罰則
    • 法律に規定がある場合を除き、マイナンバーを含む個人情報の収集・保管を禁止し、違反には重い罰則を設けている。
  • 監視体制
    • 個人情報保護委員会という独立した第三者機関が特定個人情報の管理状況を監視・監督する。また、マイナンバーの提供時には番号確認と身元確認が義務付けられており、本人になりすまして手続きを行うことを困難にしている。
  • 履歴確認機能
    • マイナポータルでは、行政機関同士がやり取りした個人情報の履歴を本人が確認できる。利用履歴を可視化することで、不正利用や漏えいを早期に発見できるようにしている。

3.2 システム面の安全対策

  • 分散管理
    • 個人情報を一元管理せず、年金や税などの情報は従来どおり各行政機関が分散管理している。これにより、万一一つのシステムが侵害されても他の情報が一気に漏えいするリスクを減らす。
  • 符号化による連携
    • 行政機関間の情報連携ではマイナンバーそのものを使用せず、専用の符号（符号化されたID）を用いる。この符号はシステムごとに異なるため、データを突合しても元の番号を推定しにくい。
  • アクセス制限と暗号化
    • システムへのアクセス権限を厳格に制限し、通信やデータ保存時に暗号化を行う。この暗号化にはTLS/SSLや共通鍵暗号が用いられており、傍受や改ざんを防ぐ。

3.3 マイナポータルの安全な利用

デジタル庁のマイナポータル紹介ページは、利用者が安心して利用できるよう「安全な利用のご案内」を用意し、以下の三つのポイントを提示している。

  1. マイナンバーカードによる本人確認
    • マイナポータルへのログインはマイナンバーカードと暗証番号（または対応スマートフォンによる電子署名）で本人確認を行うため、不正ログインを防げる。
  2. データの分散管理
    • 個人情報は複数の行政機関に分散して管理され、ポータルには必要な情報のみが連携される。
  3. 通信の暗号化
    • マイナポータルと利用者端末間の通信はTLS等で暗号化されており、盗聴や改ざんを防ぐ。

なお、マイナポータルでは一定回数パスワードを間違えるとロックがかかる機能も実装されている。このような複合的対策により、マイナンバーの漏えいリスクを抑えている。

4. ガバメントクラウド：安全性と利便性の両立

「ガバメントクラウド」とは、デジタル庁が整備する政府共通のクラウド利用環境である。政府や地方自治体が同一プラットフォーム上でアプリケーションを開発・運用できるようにすることで、迅速かつ柔軟な開発を可能にし、最新技術による高いセキュリティを享受することを目指している。主な特徴は以下の通り。

  • 高いセキュリティと可用性
    • ガバメントクラウドは、ISMAP登録済みのクラウドサービスを前提に採用し、サードパーティ監査に基づく高いセキュリティ基準と可用性、スケーラビリティを提供する。政府共通のテンプレートやガバナンス機能によりネットワーク構成やログ管理が標準化され、ベストプラクティスを共有することで品質の底上げと標準化を図っている。
  • 運用効率とコスト削減
    • テンプレートに沿ってインフラ構築や運用を自動化することで、開発者はアプリケーション開発に専念でき、インフラコストの可視化と削減が可能になる。また、利用実態に応じてコストを適切に評価できるようになる。
  • 地方自治体への展開
    • デジタル庁は地方自治体でも同様の利点を享受できるよう検討を進めており、ガバメントクラウドを通じて地方自治体の基盤システムの共通化とセキュリティ向上を目指している。

ガバメントクラウド整備では、2025年度末までに全要件を満たす計画で、開発計画の進捗状況を定期的に公表している。これにより、透明性の高いプロジェクト管理とステークホルダーへの説明責任が果たされている。

5. 個人情報保護とプライバシー影響評価

デジタル庁は個人情報保護法に基づき、保有する個人情報の適正な管理を行うための規程や審査基準を公開している。また、マイナンバー制度関連事務では「特定個人情報保護評価」の実施が義務付けられており、システム導入前にプライバシー影響を評価してその結果を公表する。特定個人情報保護評価は個人情報保護委員会が策定した指針に沿って実施され、個人情報の漏えいや不正利用のリスクを未然に防ぐことを目的としている。

デジタル庁の個人情報保護ページでは、個人情報の開示・訂正・利用停止請求手続きや、特定個人情報に関する基本方針を公開している。利用者は自身の情報を確認し、誤りがあれば訂正を請求できる仕組みが整備されている。

6. 今後の課題と展望

デジタル庁の政策は、オンライン申請やマイナポータル利用者の拡大、ガバメントクラウド整備、AI活用による行政サービスの効率化など、デジタル社会の基盤を整えることに重点を置いている。その一方で、以下のような課題が存在する。

  1. サプライチェーンリスクとSBOMの普及
    • クラウドサービスやソフトウェアを調達する際、サプライチェーン上の脆弱性が国家規模のインシデントにつながる可能性がある。デジタル庁が推進するDS‑203ではSBOM（ソフトウェア部品表）の活用や供給網全体のリスク管理を推奨しているが、民間企業・自治体への浸透はまだ途上である。
  2. ゼロトラストの実践
    • ゼロトラストアーキテクチャ適用方針は公開されたが、既存システムからの移行にはコストや運用負荷が伴う。ID管理・ネットワーク分離・マルチファクター認証などゼロトラストの要素技術を段階的に適用する計画が求められる。
  3. 人材不足への対応
    • セキュリティ専門人材の採用や育成が追いついておらず、中途採用や民間連携の強化が課題となっている。デジタル庁ではプロフェッショナル人材の募集を行っているが、地方自治体や民間企業の人材確保も不可欠である。
  4. 利用者目線の安心感向上
    • マイナンバー制度やマイナポータルに対する国民の不安は根強い。制度面と技術面の対策を周知し、不正利用に対する相談窓口を整備するとともに、利用者が自身のデータを管理・確認できる機能（利用履歴の確認やアクセス権限のコントロール）を充実させることが重要である。

結論

デジタル庁は、「便利さ」と「安全性」という両立が難しい課題に対して、国家サイバー統括室と連携しつつ、サイバーセキュリティ規程の整備や常時リスク診断アーキテクチャの導入、ISMAPによるクラウド認証制度の活用など多方面から取り組んでいる。標準ガイドライン（DS‑200）で示されるセキュリティ・バイ・デザインの考え方は、企画から運用までの全工程でセキュリティを考慮する文化を根付かせるものであり、ソフトウェア供給網全体のリスク低減にもつながる。

また、マイナンバー制度では、法律による利用制限、個人情報保護委員会の監視、重い罰則など制度面の対策と、分散管理・符号化・暗号化など技術的対策を組み合わせて個人情報の漏えいリスクを抑えている。マイナポータルは本人確認・分散管理・通信の暗号化など複数の安全機能を備えており、利用者が自身の情報の流れを確認できる仕組みも整えられている。

ガバメントクラウドにより政府共通の安全なクラウド基盤が整備され、地方自治体を含めたサービス提供が効率化される。一方で、サプライチェーンリスクやゼロトラスト移行、セキュリティ人材不足といった課題も残されている。今後は標準ガイドラインのさらなる普及、民間企業・自治体との連携強化、教育・啓発活動を通じ、国民が安心してデジタルサービスを利用できる環境づくりが求められる。