庁内のIDを集約管理し、セキュリティ基盤を強固に

インターネットイニシアティブ
東日本事業部東北支店 兼
公共システム事業部DX推進部
日野 凌（ひの りょう）さん

IDの増加による大量で複雑な管理を担当者の頑張りで乗り切る現状。

かつて自治体職員として情報システム部門に所属していた日野さん。その当時は、庁内で使う各システムの保守・運用を2人で担当していたという。最も忙しかったのが年度末。入職や退職、異動といった人の動きに合わせて、IDの登録・変更・削除を一気に行わなければならなかったからだ。「例年3月31日は、職員の退庁後に作業を開始し、翌朝までに終わらせていました。その後も、4月2日頃までは、修正依頼などの対応に追われる状態が続いていたのを覚えています」。

近年、自治体は限られた人員で行政サービスを維持するねらいでDXを推進。各種システムやクラウドサービスの活用が進むことにより、管理すべきIDの種類や数も増加している。しかし、ID管理については、手作業が多く残っている自治体も少なくない。担当職員の負担も大きくなっているという。

「年度末は大量のID更新を短期間で実施する必要がありますが、一つでも更新漏れやミスがあると、異動先のシステムに入れなかったり前部署の情報が見えてしまったりします。情シス担当者の頑張りと工夫で、何とか乗り切っている自治体も少なくないと感じます」。

適切なID管理ができていないとリスクにつながる可能性が。

これらの課題解決を支援するのが、「IIJ IDガバナンス管理サービス」だ。日本の企業文化に合わせた国産サービスで、各種IDの一元管理のほか、職員の入職・異動・退職などと連動し、部署や役職など事前に設定した条件のもと、システムのIDや権限を自動で登録・変更・削除できるようになっている。システムごとに1件ずつ作業を行う手間が省け、登録・変更・削除の予約、日本ではよくある主務・兼務ごとの権限割り当ても可能だという。

ただ、日野さんは「本質的な問題は、こうした“作業負担”の話ではなく、誰に何の権限が付与されているか正確に分からない、つまり“ID管理が適切にできていない”状態こそが、自治体にとって大きなリスクだと考えます」とも語る。同社が自治体に実施したヒアリングでは、職員の異動・退職や委託終了の後に削除が漏れているIDや、過去に作成されたものの現在は利用者が不明なIDが残っているケースがあることが分かった。また、部署ごとに導入したサービスについて情シス部門が把握できていないという問題も発生。IDaaS（※）を導入しても、それだけではID管理の問題を解決できていない自治体も多いという。

※IDaaS=Identity as a Service（クラウド上でID認証とアクセス管理を一元的に行うサービス）

現状の棚卸しからスタートして段階的に安全性と効率の向上を。

「国は業務の効率性とセキュリティの観点からゼロトラストを推進。その前提となるのが適切なID管理です。ここが不十分だとサイバー攻撃の標的になりやすく、侵入経路や被害範囲の特定の遅れにもつながります。庁内外からの不正アクセスのルートを減らす意味でも重要です」。同サービスでは、ID情報や権限付与の状態を管理画面上で一覧できる。本来の対象者以外にIDが発行されているなどの問題があった場合には、管理画面上に違反として表示されるという。また、時系列管理機能で過去の組織・ID情報を確認でき、問題が起きた場合、その時点までさかのぼって参照できるため調査がスムーズ。管理をシステム化することで、人的ミスの抑制も期待できるそうだ。

同サービスは、デジタル庁のデジタルマーケットプレイス（DMP）に登録されており、自治体による迅速な調達にも対応。ただ、導入すればあらゆる課題が解決するわけではなく、あくまでも手段の一つだ、とも強調する。「当社には、ID管理やセキュリティに課題を感じる自治体や情シス担当者を支援する体制があります。現状を棚卸しして把握し、あるべき姿・目指すゴールを描き、予算・人員・時間などの制約を踏まえて段階的に進めていくお手伝いができたらと考えています」。

▲ワークショップについてはこちら
▲体感プログラムについてはこちら