──内閣サイバーセキュリティセンター（National center of Incident readiness and Strategy for Cybersecurity 、以降NISC）から、「政府機関等のサイバーセキュリティ対策のための統一基準群」の令和5年度版が発表されました。
この統一基準群は、政府機関の情報セキュリティ水準を向上させるための統一的な枠組みであり、行政機関のシステム開発を進める上でも大切な資料となります。まずは改めて統一基準群の目的を教えていただけますでしょうか？

瀬良

統一基準群とは、政府機関及び独立行政法人の情報セキュリティのベースラインを示したものです。この統一基準群によって示されたベースラインを守った上で、さらに各政府機関や独立行政法人等が独自の基準を設けることによって、情報セキュリティ水準を向上させることを目的としています。また、ただ定めるだけでは無く「PDCAサイクルを適切に回し、常に最適化されていくにはどうすれば良いか？」等の運用面のアドバイスも示されています。

──統一基準群は複数の文書から構成されていますが、各文書の関連性や、注目すべき記載箇所について教えてください。

瀬良

統一基準群は3つの文書によって構成されています。

サイバーセキュリティ基本法を根拠とした、政府機関等でとるべき対策の統一的な枠組みを定めた文章で、一般企業でいうところのセキュリティ用語集に近いものです。

情報セキュリティの対策ごとに機関等が遵守すべき事項を規定した文書で、一般企業でいうところの要件定義書に近いものになります。政府機関や独立行政法人の方が、こちらを見た上で委託先等に公示する提案依頼書を作成しています。

遵守事項に対応した対策事項を例示して、実施の際の考え方を解説した文書になります。
前述のとおり、機関等は例示された対策か、それと同等以上の対策を行う必要がある点がポイントです。その為、統一基準群に記載されている内容だけを守るだけではなく、ガイドラインを確認することが必須です。

──統一基準群の目的と構成を把握した上で、今回の令和5年度版の改定について教えてください。また、今回の令和5年度版の改定ポイントはどこにあるのでしょうか？

瀬良

今回の改訂ポイントは、以下の4点です。

ポイントとしてはクラウドサービス利用の推進や、前回（令和3年度版）と比べて要件が具体化されています。特に、3つ目の「ソフトウェア利用時の対策の強化」が、目次レベルで細分化や具体化が行われています。このような背景には、一般的にランサムウェアの被害が増えている事が原因かと思われます。

──１つ目の情報セキュリティに関するサプライチェーン対策の強化について、どういった点が改定されているのでしょうか？

瀬良

サプライチェーンといっても様々ありますが、今回の改訂の中では特にクラウドサービスの利用や機器を調達する場合など、機関外の方が情報システムの開発・運用・保守等を行う場合にどうすれば良いのか、「第4部　外部委託（改定のポイント）」で定められています。

この背景として、委託先からの情報漏洩といったインシデントが多いことが挙げられるでしょう。実際に、IPA（独立行政法人 情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威 2023」の組織部門に「サプライチェーンの弱点を悪用した攻撃」が第2位としてランクインしており、対策の重要性が増しています。

今回の改定では、委託元の機関等が実施すべき事項として「何故、この委託先を選んだのか」という基準をきちんと明示して、契約に基づいて委託先に情報セキュリティ対策を実施させ、履行状況も常に確認することを求めています。その上で委託先は、情報セキュリティのインシデントが発生した際に、契約に基づいた対処・要求を受けた場合はしっかり遂行する必要がある旨が明記されています。

──2つ目のクラウドサービスの利用拡大を踏まえた対策の強化について、どういった点が改定されているのか教えていただけますでしょうか？

瀬良

まず、これまでクラウドは「外部サービス」と記載がされていましたが、今回からは「クラウドサービス」と記載されています。その中でも特に大きな改訂のポイントなのは、今後は「ISMAP等クラウドサービスリスト」から製品選定をすることとされている点です。

これまではISMAP管理基準がもとめる対策と同等の水準となっていましたが、ISMAPのリストから選定することへと変更されています。そのため、ベンダも含めて、お客様自身も実現したい要件がISMAPに登録されているサービスで実現できるかという点を事前に確認することが必要です。

出典：政府機関等の対策基準策定のためのガイドライン （令和３年度版）

出典：政府機関等の対策基準策定のためのガイドライン （令和５年度版）

──3つ目のソフトウェア利用時の対策の強化について、どういった点が改定されているのか教えていただけますでしょうか？

瀬良

文書構成の中の「情報システムの構成要素」が細分化されています。具体的には、「6.5ソフトウェア」「6.6アプリケーション・コンテンツ」が新設されました。

この中でソフトウェアやアプリケーションにおいて、必要なセキュリティ対策が明記され、具体的には「第7部」に記載の内容を遵守するように記載がされています。

このような改定の背景として、前述の通りソフトウェアの脆弱性を狙ったランサムウェア等のサイバー攻撃が増えていることが考えられます。今後は依頼先に任せる場合でも、ソフトウェアのライフサイクルをどう考えるかという視点が求められていくでしょう。

──最後に、4つ目のサイバーレジリエンスの強化や脅威・技術動向を踏まえての対策の強化について、どういった点が改定されているのか教えていただけますでしょうか？

瀬良

昨今ではランサムウェアによる被害が後を絶ちません。しかし、もし万が一被害を受けてしまった場合、それまでの業務データをきちんと保存しておくことが復旧に向けて大事になります。このような背景を踏まえ、今回の改訂ではバックアップをいかに取るか、保管場所はどうあるべきかといったことが、基本的対策事項として明示されるようになりました。

今後の公共領域でのシステム開発とNECの提供価値

──今回の改定ポイントを踏まえて、今後の公共領域でのシステム開発において、より留意すべきことはどんな点でしょうか？

瀬良

クラウドサービスの利用推進が政府においても進むなか、「どうすればうまく利活用していけるのか」と言う点に尽きると思います。

クラウドサービスの活用により利便性は上がりますが、ひとつの懸念事項としてクラウドサービスはバージョンアップが自動で行われるため、予期せぬ設定変更が加わってしまう場合があります。これまでは、オンプレミスにサービスのシステムを構築して、ある程度の期間はサービスのバージョンアップをしないで固定化する事ができていましたが、これからはそういうわけにはいきません。

例えば、ある企業が設定を間違えて非公開の情報が全世界に公開されてしまい、一般ユーザーがその情報を閲覧できる状態になっていたというケースが過去にありました。このようなインシデントは政府機関では絶対に起こしてはならず、総務省からクラウドサービスの利用提供におけるテキストの設定のためのガイドラインが公開されました。このような流れも受けて、クラウドサービスの利用における設定管理は留意すべき点です。

また、民間企業ですでに浸透しているゼロトラストという考え方が、公共領域においても適用されていくことになるかと思います。ゼロトラストの実現を考える際には、「どこから始めたら良いのか？」「どこまでやれば良いのか？」といった検討や、実現した後に「どこを守っていけば良いのか？」という継続的な対策を考えながらシステム構築することが重要です。

──最後に、NECではクラウドサービスの利活用を踏まえてどのようなソリューションを提供しているのでしょうか？

瀬良

NECでは、官公庁や自治体のお客様向けに「クラウド統制運用プラットフォームサービス」を提供しています。本サービスは、長年NECが官公庁や自治体のお客様向けのシステム案件に携わってきた経験を活かし、お客様の要件に応じたクラウド基盤を迅速に構築・提供して、その後の運用までサポートするサービスです。

さらにセキュリティに関して、一般的には開発者によって意識の基準が異なる場合があり、セキュリティを担保できていないケースが見受けられました。それを防ぐため、本サービスはAWSのセキュリティテンプレートである BLEAを利用しセキュリティのベースラインを確保しています。これにより、お客様は本サービスを利用いただくことで、NECが持っているクラウド構築や運用ノウハウにプラスして、セキュリティが担保された基盤を構築でき、運用基盤を安定した状態でご利用いただけます。

他にもNECでは、「NEC サプライチェーンセキュリティマネジメント for ネットワーク」というサービスを提供しています。こちらはネットワーク機器を調達する際に、出荷時に加えて構築時および運用時といったライフサイクル全体を通してお客様が機器の真正性を確認でき、脆弱性情報の収集等により不正変更を防ぎ一元管理を可能にするサービスで、これにより効率的でセキュアな運用を実現します。

以上の2点のソリューションを挙げましたが、NECはこれまで多くの官公庁や自治体のお客様にシステム納品した実績から、お客様の課題に合わせたソリューション提案が可能です。課題解決のパートナーとして、NECにお気軽にお問い合わせください。