今年3月、私は吹田市議会において、情報セキュリティの強化とゼロトラストの導入、市民のサイバーリテラシー向上に向けた一連の質問と提案を行いました。
そして４月１日、国（総務省）から、すべての地方自治体に「サイバーセキュリティ方針の策定を義務付ける」新たな通知が発出されました。
あの時の質問は、突拍子もないものではなく、国の方向性を見据えた、必要不可欠な提起だったことが、改めて裏付けられた形となりました。
サイバー空間のリスクは「災害レベル」
デジタル社会が進むなか、サイバー攻撃はもはや「特殊な犯罪」ではなく「日常的に発生する災害」です。
とくに、高齢者を狙ったスマホ決済詐欺や、生成AIを悪用したフィッシング詐欺など、市民生活を脅かす手口は日々進化しています。
私はこうしたリスクに対して、「待ちの姿勢ではなく、攻めの対策が必要」と訴えてきました。
国の通知で「方針策定」が義務に
令和7年4月1日付で、総務省から全国の自治体に通知されたのが
「サイバーセキュリティを確保するための方針の策定又は変更に関する指針（案）」です。
この通知では、
- すべての自治体がサイバーセキュリティの「基本方針」を定めることを義務化
- 方針のもとで継続的な見直し（PDCAサイクル）を実施
- 市民への広報啓発や委託業者への監督体制の強化も求める
など、まさに私が3月議会で取り上げた問題意識と完全に一致する内容でした。
◆ 3月議会での主な提案と、その後の通知との一致
| 私の提案内容 | 国の指針との一致点 |
|---|---|
| ゼロトラストの導入と演習型研修の推進 | 「実効性のある対策」「人的・技術的対策の両立」が指針に明記 |
| 市民向けのサイバー防災ガイドブック | 「地域全体のセキュリティ基盤の強化」「住民への啓発」 |
| サイバー危機対策課の設置と市民リーダー制度 | 「地方公共団体が地域の情報セキュリティに積極的に貢献」 |
| 委託業者へのアクセス監査・契約条項の明記 | 「委託先への監督義務」「契約にセキュリティ要件明記」 |
| 教育現場での演習型セキュリティ研修 | 「人的対策」「全職員の遵守義務」「教育啓発の必要性」 |
吹田市としての今後の対応が問われる
この通知は、単なる“努力義務”ではなく、令和8年4月1日施行の法改正に基づいた実施義務となる予定です。
つまり、市は遅くとも1年以内に明確なセキュリティ方針を策定し、体制を整備しなければならないということです。
このタイミングだからこそ、私はあらためて以下の点を市に強く求めたいと考えています：
- セキュリティ方針の早期策定と、市民にもわかりやすい説明
- 各部署への横断的な研修と理解度テストの強化
- サイバーセキュリティ課（仮称）の設置による一元化されたリスク管理
- 委託先を含めたセキュリティ監査体制の確立
- 地域のセキュリティリーダー育成と、官民協働による防災型ネットワークの構築
自治体のサイバーセキュリティ対策は、もはや「システム担当だけの話」ではありません。
市民、職員、外部委託業者、地域全体が共に守り合う体制こそが、これからの「自治体の強さ」です。
私たち地方議員には、制度が整う前に声を上げ、方向性を先導する責任があります。
今後も国の動向を注視しながら、吹田市のセキュリティ体制が全国の模範となるよう、引き続き提案・監視を続けてまいります。
「地方公共団体におけるサイバーセキュリティの方針策定」に関する総務省からの通知（令和7年4月1日付）
📌 通知の背景
- デジタル社会の進展により、地方自治体に対するサイバー攻撃のリスクが急速に高まっている。
- 他自治体や国の機関とネットワークを共有している以上、一つの自治体の脆弱性が全体に影響を及ぼす恐れがある。
- これを受けて、地方自治法が改正され、すべての地方公共団体にサイバーセキュリティに関する「方針」の策定が義務化されることとなった。
🏛 法改正のポイント（令和6年法律第65号）
- 令和8年4月1日より施行
- 地方公共団体および地方独立行政法人等は、以下が義務化される：
- サイバーセキュリティを確保する「方針」の策定
- その方針に基づいた実効的な対策の実施
🧭 指針（案）の主な内容
① 基本方針の策定が必要
- 「情報セキュリティポリシー（基本方針＋対策基準＋実施手順）」のうち、少なくとも基本方針の策定が必須。
- すでにポリシーを定めている団体は、必要に応じて見直しを行えば良い。
② 方針に盛り込むべき項目（例）
- 方針の目的
- 対象となる脅威（例：サイバー攻撃、内部不正等）
- 組織体制の確立（セキュリティ委員会など）
- 職員・委託業者等の遵守義務
- 情報セキュリティ監査や自己点検の実施
- 公表と住民への説明責任
③ PDCAサイクルの導入
- 方針の策定（Plan）→運用（Do）→評価（Check）→見直し（Action）の継続が求められる。
④ 委託事業者や指定管理者への監督責任
- 業務委託先にも同等のセキュリティ対策を義務付け。
- 契約書でセキュリティ要件を明示し、監査・指導を徹底する必要あり。
⑤ 市民や地域に対する広報・啓発の重要性
- 自治体自身の対策だけでなく、地域全体のサイバーリテラシー向上に貢献することも期待される。
📅 今後のスケジュール
- 法改正は 令和8年4月1日 に施行
- それまでに「方針（基本方針）」の策定が求められる
- 国は今後、「指針案」を正式な「指針」として提示予定
