認証取得までの経緯

>>詳細

そうでなくとも自治体は、条例や議会といった「縛り」があり、この点だけでも民間企業とは全く異なる。さらに縦割り組織の弊害なども、一般的にはよく叫ばれている。

そのような中、どうやって、これだけのハイペースで認証取得に至ることができたのかを、埼玉県総合政策部市町村課住基ネット担当の佐々木卓氏、平井毅氏、総務部IT企画課セキュリティ担当の小室武晴氏の3氏からうかがった。

新知事の就任がすべての始まり

内閣官房セキュリティ対策推進室では平成12年から16年にわたる約4年間にわたって2つの施策を進めてきた。1つが政府自身の情報セキュリティをいかに確保するか、という課題に対する取り組みである。これについては、平成12年7月に政府機関向けの「情報セキュリティポリシーに関するガイドライン」の策定、平成13年10月の「電子政府の情報セキュリティ確保のためのアクションプラン」の公表と、矢継ぎ早にe-Japan施策を支える文書整備を行っている。さらにそれだけではなく、平成14年4月の緊急対応チーム（NIRT）の設置、平成14年11月に行われた各省庁における情報セキュリティポリシーの実施状況の評価（事実上の情報セキュリティ監査的活動）、平成15年8月からは各省庁等の情報システムに対する脆弱性検査の実施まで行い、国家の情報セキュリティ確保に大きな役割を果たしてきた。 もう1つの施策が重要インフラ防護のためのサイバーテロ対策だ。情報通信、金融、鉄道、航空、電力、ガス、政府・行政サービスの7分野を、サイバーテロにより狙われた場合被害が甚大となる重要インフラ分野と定め、平成12年12月には早くも7分野に対する特別行動計画が策定されている。さらに平成13年10月、官民連絡・連携体制についての報告書もまとめられており、平成14年11月にはさらなる取り組みの推進がなされてきた。

e-Japan戦略II加速化パッケージが潮目に

埼玉県では2003年8月の知事選により、上田・新知事が誕生した。上田知事は選挙時のマニフェストで、住基ネットに関し「廃止を含め、徹底的な見直しを行う」としていた。が、法律を含めた制度として成り立っている住基ネットを廃止するのは、県の対応として適当ではないとのことで、それならば一層のセキュリティ向上を図ることにした。それは2003年11月に発表された、「あらゆる行政分野に安心・安全を貫く」という知事マニフェストを具現化するための県行政の取り組みを示す「新生埼玉計画」に明記されている。

「やるからにはきちんと県民に説明できるものにしたい」との知事の意向に沿うものとして提案されたのが、第三者である専門の審査登録機関によって審査されるISMS適合性評価制度だった。知事はこの提案を早速受け、そして、冒頭に書いた2004年5月、認証取得に向けての取り組みが開始されることとなった。

予算的には、住基ネットのセキュリティ強化のために、1,100万円が2004年度の予算特別枠の中で計上された。知事の方針という理由で、県の財政当局もすんなりとそれを通したのである。多くの自治体では、予算確保が最初の大きな難関となるのだが、埼玉県ではこうしたいきさつによって、あっさりクリアされた。これは、非常に重要なポイントである。

範囲を狭めて取得しやす

ISMS適合性評価制度は、プライバシーマーク制度と大きく異なる点がある。後者は事業者、つまり組織全体に対して付与されるが、前者は、取得希望者側から範囲を限定できることだ。「ある部分に限って」の認証取得が可能なわけである。埼玉県では、県が管理する住基ネットの部分に限定した。実際に認証された範囲を見ても、決して埼玉県全体ではなく、

• 部門名称：市町村課住民基本台帳ネットワークシステム担当
• 登録範囲：埼玉県住民基本台帳ネットワークシステム業務

でしかない。当部門は管理部門であり、その範囲に含まれる人員は10名ほどしかいない。相当に限定された部分である。

人数だけを見れば、どの組織でも「あわや自分たちにも」という淡い期待を抱かせることになるのではないか。これだけ範囲が絞り込まれれば、認証取得の可能性がより現実性を帯びてくる。住基ネットという押さえるべき範囲をきちんと押さえつつも、最初の段階であまり無理をしなかった点は、埼玉県の作戦勝ちと言えよう。何事も最初は小さく始めるという、誠に良い見本である。

「壁」のなかった組織どうしで意気投合

新しいことをやろうとする時、特に組織内を変えていく時にぶつかるのが、セクショナリズムという壁。しかし埼玉県では、住基ネットを取り扱う総合政策部市町村課と、情報セキュリティを推進する総務部情報政策課（現IT企画課）とが十分にコミュニケーションのとれる環境にあり、ISMS認証取得に向けて、一体となって動けた。

しかもそれは、偶然の産物では決してなかった。以前から人の配置がきちんとなされるという人事上の配慮があってのことだ。つまり、互いの部署間を異動する人事が行われていたため、普段から両部署で交流があり、それが今回の原動力となったわけである。

「土壌」が培われているかどうか

漠然とISMS認証取得できれば、と考えている自治体は多い。中には、一歩進んで具体的に動き出しては見たものの、早い段階で立ち往生し、そのままになっているという所もあるだろう。

今回の記事ではで、埼玉県の成功の秘策として、

1. トップの強力なリーダーシップと理解
2. 認証取得しようとする範囲の絞り込み
3. 部署間の協力体制

という3点をあげた。埼玉県は推進すべき土壌が培われていたと言っていいだろう。その培われ度合いが、認証取得を達成できるか否かの最初の分かれ道となる。幸運にも埼玉県はこれらが全部揃っていたわけだが、実際の取得に向けては、まだまだ多くの課題や問題が今後降ってくることになる。

次回は、スケジュールを強力に押し進めることができた、あらたな理由に着目してみる。