みなさん、こんにちは。ぷらっとホーム事業推進グループの清水です。
今年3月、総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」が改定されました。
「改定」と聞くと、「また新しいセキュリティ製品が必要になるのか」と思ってしまいますが、今回の改定は、ネットワーク構成の見直しを迫るものではありません。機器の廃棄・データ消去、USBメモリ等の可搬媒体、DNS設定情報を悪用する攻撃への対応といった、個別の対策項目の精緻化が中心です。
そして、そこに共通しているのは「その対策を実施した記録が残っているか」という点だと、考えられます。
今回は、制度や方針として何が変わったのか、そして実際のネットワーク運用で何を優先して整えるべきなのかを整理します。
ガイドライン改定で押さえておくべき3つの変化
結論からお伝えすると、三層分離の枠組み自体が廃止されたわけではなく、今回の改定でも構成モデルの変更はありません。多くの自治体では当面、現在の構成をベースにした運用が続きます。
それでも今、内部の記録を整える必要があるのは、法改正によってセキュリティ対策が法律上の義務になり、「対策をしている」ことを説明できる状態が求められるようになったからです。
そこでまずは、制度や運用方針の面で把握しておきたい3つのポイントをご紹介します。
①セキュリティ対策が法律上の義務に
令和6年の地方自治法改正により、地方公共団体は「サイバーセキュリティを確保するための方針」を定め、必要な措置を講ずることが法律上の義務となりました。
ここではさらに、2つのポイントを挙げることができます。
- これまで情報セキュリティポリシーの策定・運用が総務省ガイドラインという「技術的助言」に基づくものだったのに対し、今後は法律上の根拠を持つ義務に。
- 方針の策定主体が議会および各執行機関であること。首長部局だけでなく、教育委員会をはじめとする執行機関もそれぞれ対象に。
②三層分離は今回の改定でも変更なし
「ゼロトラストへ全面的に移行する」となると、ネットワークの大規模な再構築が必要になり、検討や手続きが長期化しがちです。
今回の改定は、三層分離の構成モデルに関する変更は含まれていません。
そのため、「既存の構成を活かしたまま、内部のログ（証跡）を残す仕組みを追加する」という段階的なアプローチが、無理のない進め方になります。
③庁内と学校ネットワークに共通する課題
学校ネットワークについては、総務省ガイドラインとは別に、文部科学省の「教育情報セキュリティポリシーに関するガイドライン」が適用されます。所管も文書も別建てである点は押さえておく必要があります。
一方で、次世代の校務DXの流れの中で校務系のクラウド化とネットワークの再編が進んでおり、「内部の可視化・ログ保持」という課題は庁内と共通です。
同じ自治体の中で、庁内側で整えた仕組みを学校ネットワーク側にも横展開できれば、二重投資を避けることができます。
境界の内側で不足しがちな「3つの記録」
ガイドライン対応では、境界防御だけでなく、何か起きたときに「誰が・いつ・どこへアクセスしたのか」を追える状態にしておくことが重要です。
ただ、実際のネットワークでは、次のような“記録の穴”が生まれがちです。
不足①：「どの端末が、いつ、どのドメインへアクセスしたのか」が追えない
DNSの問い合わせ履歴を残していないと、インシデント発生後に不審な通信先が判明しても、
「どの端末がそのドメインへアクセスしていたのか」を遡って確認できません。
EasyBlocks DDN1なら、DNSキャッシュサーバーとして利用しながら、DNS問い合わせのログを取得できます。普段の名前解決を行うだけでなく、何か起きた際に
「いつ・どの端末から・どこへの名前解決が行われたか」を確認できる環境をつくれます。
- DNS：庁内DNSを集約し、名前解決の記録を残せる状態にする
- DHCP：払い出し履歴を保存し、IPアドレスと端末の結びつきを証明する
- NTP：庁内機器の時刻を統一し、ログの時系列を担保する
不足②：IPアドレスから端末を特定できない
インシデント調査では、ファイアウォールや各種サーバーのログからIPアドレスまでは確認できても、
DHCP環境ではIPアドレスが変動するため、その時点でどの端末が使っていたのか特定できないケースがあります。
EasyBlocks DHCPなら、「この日時、このIPアドレスを使っていた端末はどれか」まで遡って確認できます。
各機器のログと組み合わせることで、単なるIPアドレスの記録から、実際の端末を特定できるログに変えることも可能です。
不足③：時刻のズレでログを突き合わせられない
FW、スイッチ、サーバー、端末の時刻が数秒から数分ずれている環境は珍しくありません。
それぞれにログが残っていても、機器ごとに時刻がズレていると、「このアクセスの直後にこの通信が発生した」といった時系列での分析が難しくなります。
EasyBlocks DDN1とEasyBlocks Syslogを組み合わせ、各機器の時刻をNTPで同期したうえでログを集約。
これにより、「同じ時間軸でログを見る」＋「複数機器のログを1か所で確認する」という調査環境を構築できます。
インシデント発生時にも、各機器を1台ずつ確認するのではなく、横断的にログを追いやすくなります。
まとめ
2026年3月の改定で重要なのは、大がかりに構成を変えることではなく、「何か起きたときに、誰が・いつ・どこへアクセスしたのかを後から追える状態」を整えることです。
そのためには、DNS・DHCP・NTP・Syslogなどを活用し、必要な記録を確実に残せる環境づくりがポイントになります。
EasyBlocksシリーズを活用すれば、既存の構成を大きく変えずに、必要な部分からログ基盤を整備できます。
制度面では法的義務化を踏まえた全体最適を考え、技術・運用面では「対策していることを、記録で示せる状態」をつくることが重要です。
具体的な構成や製品選定でお悩みがあれば、お気軽にご相談ください。