高村まさとし近年、自治体を取り巻くサイバー脅威は、強固な庁内ネットワークへの直接攻撃から、比較的防御が手薄な、業務委託先を踏み台にする「サプライチェーン攻撃」へと高度化しています。
LINEヤフーにおける約51万件にも及ぶ、情報流出事案が示すように、現在の最大の脅威は、委託先やその再委託先の、脆弱性を突く攻撃です。
本市は既存の「情報セキュリティポリシー」を改定し、法定の「サイバーセキュリティを確保するための方針」に位置づけたと公表しています。
しかし、その改定された業務委託の項目を見ると「必要なセキュリティ対策が確保されていることを確認する」という、従来通りの抽象的な記載にとどまっています。
単なるルールの「看板の架け替え」や、事業者からの自己申告レベルの確認では、今日の巧妙な攻撃は到底防ぐことはできません。
こうした事態を受け、国は2026年度末より、企業のセキュリティ対策水準を第三者評価等で可視化する「SCS評価制度」の運用を開始し、将来的にこれを政府調達の要件とする方針です。
地方自治体の入札においても、実質的な必須要件となっていくことを見据え、以下伺います。
Q1-1 層別化とギャップ分析
高村まさとしSCS評価制度の開始が迫る中、現在契約中の委託先に対するリスクの層別化と、SCS基準に基づいた委託先とのギャップ分析を早急に実施すべきと考えます。
先行して、今年度中にこの分析を実施し、次期入札への要件化に向けたロードマップを策定することを求めますが、見解をお聞かせ願います。
担当部長行政経営部長
本市におきましては、システムや機器等の調達時のみならず、稼働前においても、取り扱う情報資産の重要性に基づくリスクの層別化を行った上で、リスクに応じたセキュリティー要件や管理体制など、多角的な観点から審査を実施しております。
これらの運用を効果的に機能させることで、サプライチェーン上の脅威から情報資産を保護できるよう努めております。
現状として、サプライチェーン強化に向けたセキュリティー対策評価制度を活用した調達要件の確立を直ちに目指す状況にはございませんが、それらを検討する際には、ギャップ分析も含め、サプライチェーンにおけるセキュリティーリスクのさらなる低減に努めてまいります。
Q1-2 第三者評価の取得を入札要件に
高村まさとし大手ベンダーであっても、情報流出を起こす時代において、従来の書面上の誓約や自己申告は何の担保にもなりません。
国が2026年度末から運用を開始する「SCS評価制度」を見据え、国の基礎自治体への義務化を待つまでもなく、「SCS等の第三者評価の取得」を今後の入札要件へと組み込み、本市のセキュリティに対する意識を示すために、調達の実務そのものを書き換えていくことが望ましいと考えますが、見解を求めます。
担当部長行政経営部長
国が推進するＳＣＳ評価制度につきましては、事業者の規模を問わず、サプライチェーン全体のセキュリティー強化に有効な制度であると期待しているところでございます。
一方で、当該制度への対応には、事業者側にも一定の準備期間が必要となるため、調達時の要件化等につきましては、国の動向や社会状況を注視しながら検討してまいりたいと考えております。
