取組紹介・コラム

相次ぐサイバー攻撃、今こそ自治体が見直したいセキュリティ対策

  • 公開日：

2026年9月以降、国内では不正アクセスによる情報漏えい事案が相次いで発生しています。
こうした状況を受けて、総務省をはじめとする関係機関はサイバーセキュリティ対策の再確認を呼び掛けています。

2026年10月21日時点で、自治体に関しても、サイト運営やアプリ提供を担う事業者へのサイバー攻撃により、行政サービスの停止や情報漏洩の被害が発生しています。

いつ、どのサービスやWebサイトが攻撃を受けてもおかしくない状況だからこそ、自自治体のシステムや委託先のセキュリティ対策を改めて確認することが重要です。

サイバーセキュリティは全ての人に関わる問題

攻撃者は自治体の規模で対象を選んでいるわけではありません。
自治体の規模に関わらず、ホームページや電子申請システム、住民向けサービス、業務システムなど、自治体が運用するさまざまなシステムが攻撃の対象になり得ます。

また、セキュリティ対策は情報政策部門やシステム担当者だけの課題ではありません。

例えば、

  • メールに添付されたファイルを開く
  • 業務システムのIDとパスワードを管理する
  • 委託事業者とデータを受け渡しする

といった日常業務の一つひとつが、サイバー攻撃の入口になる可能性があります。

システムを直接管理していなくても、個人情報を扱う担当者でなくても、何らかの形でデジタルサービスを利用している現在では、サイバーセキュリティは情報政策部門だけでなく、すべての職員に関わる問題です。

必要なのは特別な対策ではなく、基本の徹底

サイバー攻撃の手法は日々変化しています。
次々と新しい手法が話題になる中で、「何から対応すればよいのか」「すべてに対応するのは難しいのではないか」と感じる方もいるかもしれません。

しかし、どのような攻撃であっても、その入口となるのは脆弱性や認証管理の不備など、セキュリティ対策が十分でない箇所です。

今回の国の注意喚起で示されているのも、

  • 脆弱性を放置しない
  • アカウントを適切に管理する
  • 攻撃された際の対応力を高める
  • 委託先の状況を把握する

といった、基本的な対策の徹底です。

自治体が今確認したい4つのポイント

自治体の情報システムを安全に運用するためには、日頃からセキュリティ対策の状況を確認し、必要に応じて見直していくことが重要です。
総務省によるサイバーセキュリティに関する注意喚起の内容も踏まえながら、自治体が特に確認しておきたい4つのポイントを紹介します。

１. 脆弱性を放置しない

自治体の場合、確認対象は自治体ホームページ、業務システム、電子申請システム、住民向けアプリなど、多岐に渡ります。
システム改修やセキュリティ更新が適切に実施されているかについて、委託先も含めて把握できている状態が重要です。

例えば、

  • 利用しているシステムにセキュリティ更新プログラムが適用されているか
  • パソコンやソフトウェアなどで、メーカーのサポートが終了した製品を使い続けていないか
  • 現在は利用していないシステムや機能が残っていないか
  • 各サイトやシステムの脆弱性診断やセキュリティ点検を実施しているか

といった点は、この機会に確認しておきたいポイントです。

２. アカウントを適切に管理する

サイバー攻撃では、脆弱性だけでなく、IDやパスワードの管理不備が侵入のきっかけになることがあります。
自治体では人事異動や組織改編が頻繁に行われるため、アカウント管理が複雑になりがちです。

例えば、

  • 業務システムやクラウドサービスで多要素認証を利用しているか
  • 推測されやすいパスワードや使い回しをしていないか
  • 管理者権限を持つアカウントを必要最小限にしているか
  • 異動者や退職者など、利用されていないアカウントが残っていないか

といった点は、この機会に確認しておきたいポイントです。

３. 攻撃された際のレジリエンスを高める

脆弱性管理やアカウント管理などの基本的な対策は、サイバー攻撃のリスクを下げるうえで非常に重要です。
一方で、サイバー攻撃の手法が高度化・巧妙化する中、すべての攻撃を完全に防ぐことは容易ではありません。
だからこそ重要なのが、攻撃を受けた際に被害を早く発見し、影響を最小限に抑えるための備えです。

そのため、

  • 誰がいつシステムにアクセスしたかといった、利用記録（ログ）を取得・保管しているか
  • 大量のアクセスや不自然なログイン試行を検知できる仕組みがあるか
  • セキュリティ対策機器やサービスを最新の状態に保っているか
  • 業務継続計画の中でサイバー攻撃への対応を整理しているか
  • インシデント発生時の連絡体制や対応手順が決まっているか

といった点は、この機会に確認しておきたいポイントです。

４. 委託先の状況を把握する

自治体では、多くのシステムやサービスを委託事業者と連携しながら運用しています。
そのため、委託先や再委託先を含めて、どのようなセキュリティ対策が講じられているかや、万が一インシデントが起きた際の連携の流れを把握しておくことも重要です。

例えば、

  • 委託先のセキュリティ対策や管理体制を把握しているか
  • 再委託先を含めた運用体制を把握しているか
  • 役割分担や責任範囲が明確になっているか
  • インシデント発生時の連絡体制や報告方法が決まっているか
  • 契約締結時だけでなく、定期的に状況を確認しているか

といった点は、この機会に確認しておきたいポイントです。

現状把握の手段として脆弱性診断を活用する

ここまで見てきた4つのポイントは、どれも特別なものではありません。
しかし実際には、自治体ホームページに脆弱性はないか、公開しているシステムに設定不備はないかといった状況を正確に確認することは、簡単ではありません。
そのため、自組織の状況を客観的に把握する手段の一つとして、第三者による脆弱性診断を活用する方法があります。

脆弱性診断を実施することで、システム管理者だけでは気付きにくいリスクや設定不備を把握できるだけでなく、委託先との役割分担や改善事項の整理にもつながります。

スパイラルグループでは、自治体システムの棚卸し、Webサイトやアプリケーションの脆弱性診断、その後の改善対応の管理までを一貫して支援しています。

また、当社グループ会社のスパイラルアイギス株式会社では、期間限定（2026年11月お申込み受付分まで）で、セキュリティ対策を支援する「緊急エシカルハック（脆弱性診断サービス）」の専用診断プランを提供します。
このプランでは、重大な脆弱性が発見された際に迅速な通知と対応支援を行うほか、診断結果の説明会を複数回実施し、円滑にセキュリティ対策を進められる体制を提供します。

頻発するサイバー攻撃を受けて、「自自治体では十分な対策ができているだろうか」「どこから見直したらよいのかわからない」と感じている方は、お気軽にご相談ください。

お問い合わせフォーム

まとめ

今回の国の注意喚起で示された対策の多くは、特別なものではありません。
脆弱性やアカウントの適切な把握と管理、インシデントへの備え、委託先の状況把握など、以前から重要とされてきた取り組みが中心です。

相次ぐ事案が示しているように、サイバー攻撃はいつ、どのサービスやシステムが影響を受けてもおかしくありません。
今回の注意喚起をきっかけに、自自治体のシステムや委託先の状況を改めて確認し、住民サービスを支える基盤の安全性について、見直してみてはいかがでしょうか。

関連リンク
参考資料