【座談会】検証事業参加自治体に聞く“ゼロトラストを実現する道のり”

三層分離で生じた課題から、ゼロトラスト検証事業に至るまで

―― 令和8年3月、デジタル庁から「令和7年度 国・地方ネットワークの将来像の実現に向けた検証事業の最終報告書」が公表されました。この事業について解説をお願いします。

髙橋：令和5年に、デジタル庁が事務局となって「国・地方ネットワークの将来像及び実現シナリオに関する検討会」が立ち上げられ、私もメンバーになりました。検討会からは令和6年5月に報告書が出て、その内容を受けて同検証事業が始まったのです。

そもそも三層分離は、マイナンバー制度の開始にあたって、インターネット上の脅威から大切な情報を守ることが目的。日本年金機構の情報流出事案もあったため、ネットワークを分離して三層にしました。しかし、働き方改革が求められる中で、テレワークがやりづらいとか、クラウドのメリットを活かしにくいという課題が浮上。また、三層分離は一見強固に見えますが、ひとたび侵入されると非常に弱いという検証結果も出ています。そこで、ゼロトラストを使って、自治体のネットワークを境界型防御からゼロトラスト型に変えられないか検証してみよう、ということになったのです。

一方で、自治体と国とのネットワーク連携をどうするかという課題もありました。この点については、ネットワーク基盤の構築で解決できそうだという見込みのもと、国が構築しているガバメントソリューションサービス（GSS※）と自治体のネットワークを結ぼうという考えがありました。これが「GSS試用型検証方式」と呼ばれているものです。

また、自治体側でもゼロトラスト実現に向けたさまざまな動きがあるので、そちらを「自治体提案型検証方式」と設定。GSS試用型が3グループ、自治体提案型が4グループの合計7グループが参加して、令和7年度に検証を行いました。本日参加いただいている宮城県名取市はGSS試用型、岐阜県坂祝町は自治体提案型で検証を行い、報告書も出していただいたという流れです。

髙橋：令和5年に、デジタル庁が事務局となって「国・地方ネットワークの将来像及び実現シナリオに関する検討会」が立ち上げられ、私もメンバーになりました。検討会からは令和6年5月に報告書が出て、その内容を受けて同検証事業が始まったのです。

そもそも三層分離は、マイナンバー制度の開始にあたって、インターネット上の脅威から大切な情報を守ることが目的。日本年金機構の情報流出事案もあったため、ネットワークを分離して三層にしました。しかし、働き方改革が求められる中で、テレワークがやりづらいとか、クラウドのメリットを活かしにくいという課題が浮上。また、三層分離は一見強固に見えますが、ひとたび侵入されると非常に弱いという検証結果も出ています。そこで、ゼロトラストを使って、自治体のネットワークを境界型防御からゼロトラスト型に変えられないか検証してみよう、ということになったのです。

一方で、自治体と国とのネットワーク連携をどうするかという課題もありました。この点については、ネットワーク基盤の構築で解決できそうだという見込みのもと、国が構築しているガバメントソリューションサービス（GSS※）と自治体のネットワークを結ぼうという考えがありました。これが「GSS試用型検証方式」と呼ばれているものです。

また、自治体側でもゼロトラスト実現に向けたさまざまな動きがあるので、そちらを「自治体提案型検証方式」と設定。GSS試用型が3グループ、自治体提案型が4グループの合計7グループが参加して、令和7年度に検証を行いました。本日参加いただいている宮城県名取市はGSS試用型、岐阜県坂祝町は自治体提案型で検証を行い、報告書も出していただいたという流れです。

※ GSS＝Government Solution Service（デジタル庁が提供する、政府職員向けの共通システム環境。業務用パソコンやネットワーク環境などを一括して標準提供するサービス）

名取市と坂祝町が進めた“型の違う”検証内容とは

―― 検証事業へ応募した経緯と検証概要をお聞かせください。

大宮（名取市）：当市が委託しているネットワーク事業者が、宮城県のネットワークも管理しており、“合同で参加してみては”と提案されたのがきっかけです。ネットワークの将来像を検討する意味でメリットを感じ、情報収集を目的に参加することにしたのです。 

検証では、GSSの実機を借りて実際に操作しています。他にも、現在使っているLGWAN-ASPのサービスがGSSで利用できるかの確認や、机上での調査項目に答えていく作業を進めました。また、我々は東日本大震災の被災自治体でもあるので、その経験をもとに電源喪失や通信の途絶などを想定した検証を行い、意見も提出しています。

大宮（名取市）：当市が委託しているネットワーク事業者が、宮城県のネットワークも管理しており、“合同で参加してみては”と提案されたのがきっかけです。ネットワークの将来像を検討する意味でメリットを感じ、情報収集を目的に参加することにしたのです。 

検証では、GSSの実機を借りて実際に操作しています。他にも、現在使っているLGWAN-ASPのサービスがGSSで利用できるかの確認や、机上での調査項目に答えていく作業を進めました。また、我々は東日本大震災の被災自治体でもあるので、その経験をもとに電源喪失や通信の途絶などを想定した検証を行い、意見も提出しています。

  蒲（坂祝町）：当町は、令和3年にパジェロ（三菱自動車）の生産工場が閉鎖し、法人町民税収の約34%を失うという大打撃を受け、財政的に厳しい状況に置かれています。それでも支出は増えていくので、この現実に対処するにはデジタル技術を積極的に導入するしかないと考えており、活動の一環として本事業に参加しました。

検証のテーマは、一般的なシステムを使ってゼロトラストを構築できるか、というものです。グループは愛知県名古屋市、愛知県長久手市との協働で、当町が代表を務めています。いわゆる“ひとり情シス”の自治体にゼロトラスト移行ができるのか、という点が検証のポイントになると考えました。

  蒲（坂祝町）：当町は、令和3年にパジェロ（三菱自動車）の生産工場が閉鎖し、法人町民税収の約34%を失うという大打撃を受け、財政的に厳しい状況に置かれています。それでも支出は増えていくので、この現実に対処するにはデジタル技術を積極的に導入するしかないと考えており、活動の一環として本事業に参加しました。

検証のテーマは、一般的なシステムを使ってゼロトラストを構築できるか、というものです。グループは愛知県名古屋市、愛知県長久手市との協働で、当町が代表を務めています。いわゆる“ひとり情シス”の自治体にゼロトラスト移行ができるのか、という点が検証のポイントになると考えました。

後藤：そこは重要ですよね。これまでの三層分離から、真の意味において利便性とセキュリティの両立へと向かうには、ゼロトラストが外せませんから。その点を踏まえ、今回は2つの方式を検証できたことに価値があると思いました。自治体の環境に合わせ、GSSか自治体提案方式かを選べる可能性が開けたのは大きな収穫だといえます。 

将来的には、ゼロトラストの実現によって、職員の皆さんが境界型防御を維持し続ける負担から解放され、より効率的な運用につなげられることを期待しています。一方で、現時点ではコストや運用面の課題が残っています。これらの課題を解決していくことが、ゼロトラストの普及につながると考えています。

後藤：そこは重要ですよね。これまでの三層分離から、真の意味において利便性とセキュリティの両立へと向かうには、ゼロトラストが外せませんから。その点を踏まえ、今回は2つの方式を検証できたことに価値があると思いました。自治体の環境に合わせ、GSSか自治体提案方式かを選べる可能性が開けたのは大きな収穫だといえます。 

将来的には、ゼロトラストの実現によって、職員の皆さんが境界型防御を維持し続ける負担から解放され、より効率的な運用につなげられることを期待しています。一方で、現時点ではコストや運用面の課題が残っています。これらの課題を解決していくことが、ゼロトラストの普及につながると考えています。

ゼロトラスト構築に立ちはだかる、コストや運用の壁

―― 検証で得られた成果と、取り組みの中で感じた課題はどのようなものでしょうか。

蒲（坂祝町）：私たちのグループでは、最少構成でもゼロトラスト構築が実現できると分かりました。これ自体は成果ですが、ゼロトラスト環境では24時間、365日の常時監視を行わなくてはなりません。SOCやNOC（※）の設置が必須です。しかし、当町のような小規模自治体が、そのような体制を構築するのは現実的とはいえません。従って、複数自治体がゼロトラスト環境を共同運用しつつ、協力して24時間監視体制を構築することが前提になります。

そして、コストと人材の問題です。財政的に厳しい中、新しいものを取り入れるのは難しい。専門知識も必要になる。やはり国の費用負担軽減措置や専門人材の派遣など、全国のひとり情シスに対する支援が必要だということを強く感じました。

大宮（名取市）：私たちはGSSを使ったので、新しいテクノロジーを体験できたのが何より学びになり、とても有意義でした。また、当市では端末の仮想化やテレワーク用のツールなどを取り入れているのですが、導入が大変だったという経験があります。それがワンパッケージで可能になるというのは、自治体にとってメリットだと感じました。

課題は“1人1台”の部分です。保育所や消防など、現場勤務が中心のところではあまりメリットがありません。この点は官公庁での働き方とズレを感じたので、提言として出しています。あとはコストの問題です。ゼロトラストは必要ですが、そこにかける適正なコストの見極めが難しい。システムを利用しつつ負担をどこまで抑えられるのか、そのバランスが今後の課題になると感じました。

髙橋：お二人の話は示唆に富んでいます。大宮さんが感じたとおり、官公庁でのGSSを使った働き方と自治体の働き方には違いがあります。特にマイナンバー系を使う部署では、端末の運用方法も現場によってさまざまです。そこにGSSを当てはめるには、一考の余地があるでしょう。

自治体提案型についても全グループの報告書を読みましたが、それぞれにメリット・デメリットがあります。万能薬のような手法はないので、まずは国が主導し、自治体はそれに追随していく。ただし、独自路線でいきたい自治体は自治体提案型を選択する、という流れが自然なのかなと考えています。

※SOC＝Security Operation Center（外部からの脅威に対する常時監視や報告などを行う組織・部署）
　NOC＝Network Operation Center（ネットワークの運用を監視し通信途絶を予防するための組織・部署）

総務省令を読み解くと、自治体の将来像が浮かび上がる

―― この検証事業に関連し、令和8年6月、総務省によって公布された「地方自治法施行規則の一部を改正する省令」も大きなトピックです。経緯と概要を教えてください。

髙橋：令和7年度、全国の自治体に向けた総務大臣指針が出て、全ての自治体はセキュリティポリシーをつくりなさいという方向性が示されました。総務大臣指針はあくまで基本方針でしたが、この度の総務省令は“もっと細目まで定めて対策基準に落とし込みなさい”という内容です。

  ポイントは、サプライチェーン問題の通知が出たことにあります。USBメモリのインシデントが発覚したこともあり、国がこの点を注視。このことが直接関連しているのかは不明ですが、各自治体にさまざまな調査要請が届いている。自治体も国の重要インフラの一つなので当然といえば当然なのですが、情報システム部局、特に、ひとり情シスの職員にとっては大きな負担だと思います。

ただし、単に調査に回答するだけではなく、その真意を理解していただきたい。なぜシステムにパッチを当てないといけないのか、サプライチェーンに気を配る意味は……？といった点を理解して、そこに留意してほしいというのが本当の狙いですから。

  ポイントは、サプライチェーン問題の通知が出たことにあります。USBメモリのインシデントが発覚したこともあり、国がこの点を注視。このことが直接関連しているのかは不明ですが、各自治体にさまざまな調査要請が届いている。自治体も国の重要インフラの一つなので当然といえば当然なのですが、情報システム部局、特に、ひとり情シスの職員にとっては大きな負担だと思います。

ただし、単に調査に回答するだけではなく、その真意を理解していただきたい。なぜシステムにパッチを当てないといけないのか、サプライチェーンに気を配る意味は……？といった点を理解して、そこに留意してほしいというのが本当の狙いですから。

後藤：総務省令では8つの措置が発せられていますが、昨今のサイバーセキュリティ対策を考えると自然な対応だといえます。とはいえ、自治体職員の視点で考えると、その8措置に適合させるため、施行まで1年を切った状況で準備を進めるのは大変だろうと思います。

自治体では、ネットワークやシステムの事業者とも相談しながら進めていくことになるでしょう。当社も含め、ベンダー各社は8措置に関連した情報を積極的に発信して、自治体をサポートしていく必要があると思っています。いずれにしても重要な取り組みになるといえるでしょう。

大宮（名取市）：確かに、照会についてもボリュームのあるものが来ていますが、必要なことが書かれていますし、他の自治体も前向きに捉えていると感じます。

また、USBメモリについては当市でも市長に状況報告を求められました。我々の部署が管理しているのですが、懸念点は各課が個別に調達している製品や、メンテナンス時に業者が持ち込むケース。それらを全て把握し、コントロールしているわけではないので、職員には注意喚起を進めたいと考えています。

蒲（坂祝町）：当町は140人ほどの組織なので、ICT機器は調達を含めて全て私が判断しています。USBメモリもウイルス対策機能やパスワード付きのものを用意して各課に渡しており、幸い紛失事故も起きていません。ただ、いつかインシデントが起きるかも、という不安はあります。

結局使うのは人で、そこから事故が起きるので、職員のITリテラシーは向上させたい。しかし研修などをしたくても、職員は日常業務に追われている。とても悩ましい部分です。そうした悩みを抱えつつ、現在は調査への回答を進めています。

1人で抱え込まず、国や事業者の力も借りて進んでいこう

―― 最後に、全国の自治体職員に向けてメッセージを。

蒲（坂祝町）：入庁して5年間、ひとり情シスとして情報システムの運用・管理と、DXの推進をしてきました。困ったときに相談できる相手は業者しかおらず、孤独を感じたことも多々あります。また、DXについても“専門知識を持つ蒲さんが言うのならそれでいい”と、意見が通りやすい。信頼されるのは嬉しいのですが、町政に関わる決断もあるので、プレッシャーを感じます。今回のゼロトラスト検証事業への応募には、そうした状況を打開するために勉強したいという思いもありました。

国からは、デジタル実装定着支援事業や地域活性化起業人制度など、ひとり情シス向けの支援がすでに用意されています。悩みを抱えている方は、ぜひ活用してみてください。ひとりから“ひとりプラスα”になれると思います。加えて、今後ゼロトラスト導入が進んでいく中でも、国からの伴走支援型施策があれば……と期待しています。

大宮（名取市）：同感です。私も、入庁当時、ネットワーク管理や機器保守についてはひとり情シスに近い状態でした。そんな状態では、把握しきれない部分が多くあります。今回のように調査票を記入する際にも、庁内のシステムやネットワークを把握していないと難しい面がある。また、実際にソリューションを導入する場面でも、業務のどこでどのように動いているのかを把握できないと、対応するのは困難です。

一度情シスを長く離れてから戻ってきたので、今も100%は把握できておらず、日々学びながら対応しているのは他自治体と同じ。皆さんと情報交換しつつ、勉強させていただきたいと思っています。

後藤：私たちネットワーク事業者も、全国の情シス担当者を支援したいと常々考えています。庁内ネットワークというものは、どんな機器やサービスを使うようになっても、端末につながる部分が必ず残ります。そのあり方や運用を、今後はできるだけメンテナンスレスにしていきたいと考えています。ゼロトラストも含め、現場の負担を少しでも軽くできるような支援活動を続けていきます。

参考までに、当社は一般社団法人と協力し、「自治体DX推進担当職員のためのパブリッククラウド活用研究会」を開催しています。パブリッククラウド活用に関する意見交換や情報収集、職員間での交流ができる場となっており、現在144団体が参加中です（※1）。こうした場も、ぜひご利用いただければと思います。

また、IoT製品等のセキュリティ要件への適合状況を可視化するJC-STAR（※2）の運用開始で、調達制度も大きく変化しました。安全を保つための対策が、機器やサービスのレベルまで下りてきているのです。当社もJC-STARの星を取得し、安全な機器の提供ができるよう取り組んでいます。同時に、全国43カ所の拠点を活かし、地域に根差した伴走支援をしていきたいと考えています。

髙橋：JC-STARについては、今年のガイドライン改定で文言が追加されるかもしれません。自治体にとって安心材料となる基準が、もっと増えたらいいと思っています。

そして、ゼロトラストですが、まだまだ課題があります。しかし、もう後戻りはできません。国は2030年をめどに何かしら方針を出すでしょうし、いつまでも三層分離というわけにもいきません。もちろん一足飛びに進めるのは難しいのが現実なので、まず二層にまとめるのがよいのでは、と以前から考えていました。これを今後、国にも提言していきます。

こうした取り組みにおいて大事なことは、“何を守るか”ということ。まずは持っている機器や情報資産の棚卸しをして、守るべきものを明確にし、それを守るために何をすべきかを考えた上で、自治体の将来に向けて取り組んでいただきたいと思います。

※1 令和8年9月時点 アライドテレシス調べ
※2 JC-STAR＝Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements（IoT製品のセキュリティ水準を共通の基準で評価し、二次元バーコード付きのラベルで可視化する日本の任意制度）