高市改造内閣が発足しました。

国会審議形骸化、情報非公開、選挙制度の改悪など民主的統制が骨抜きになる恐れがあります。旧姓使用の法制化も強行するようです。こうした時だからこそ、野党の力が必要ですが、野党が分断化し、対抗できる勢力になっていないことに大きな無念さを感じます。

1）デジタル庁の危機管理

国のデジタル庁が運用する、政府共通のデジタル基盤「ガバメントソリューションサービス（GSS）」が外部から不正アクセスを受け、政府職員らの個人情報約24万6千件が流出した可能性があることが明らかになりました。

GSSとは、政府職員が仕事で使うパソコンやネットワークなどを、各省庁でばらばらに整備するのではなく、政府共通の仕組みにしたものです。いわば、政府の日々の仕事を支えるデジタルの土台です。

各府省庁が順次この仕組みに移っており、政府の情報を守るうえでも重要な役割を担っています。

そのGSSが不正アクセスを受けたのですから、単なる一つのシステムの事故ではありません。

国のデジタル政策を進める「司令塔」であるデジタル庁の情報管理や危機対応が問われる重大な事態です。

自治体の情報システムを全国で共通化する取り組みでも、移行の遅れや自治体の負担など、さまざまな問題が指摘されてきました。今回の問題によって、デジタル庁の組織としての責任や危機管理のあり方が、改めて問われています。デジタル庁の存在意義にかかわる問題だと指摘する専門家もいます。

今回のポイントは以下です。

第1は、すでに分かっていた弱点を突かれたことです。

今回、攻撃の入口となったのはVPN機器でした。

VPNとは、インターネットを通じて政府内部のシステムに安全に接続するための、いわば「専用の入口」です。（VPNは、Virtual Private Networkの略。「仮想専用通信網」などと訳されます。）

この入口に弱点があることは、デジタル庁も事前に把握していました。しかし、その弱点を直すための修正プログラムを適用する前に侵入されました。

この弱点の危険度は、当初「中」と評価されていました。しかし、政府の重要なシステムです。機器そのものの危険度だけではなく、もしそこから侵入されたら、どれほど大きな被害につながるのかまで考えて、より早く対応すべきだったのではないでしょうか。

第2は、侵入された後、大量の情報へのアクセスを許したことです。

攻撃者は、システムを保守・運用する担当者のアカウントを使って、大量のファイルにアクセスしました。

その結果、氏名やメールアドレス、電話番号、住所など、約24万6千件の個人情報が外部に漏れた可能性があります。

一般の国民の個人情報や、マイナンバー、銀行口座、年金番号などは含まれていないとされています。しかし、それでも約24万6千件という規模は重大です。

第三は、異常をもっと早く発見し、被害を食い止めることができなかったのかという問題です。

デジタル庁が大量のファイルへの不審なアクセスを見つけたのは6月25日です。その後調査を進め、VPN機器の弱点を利用して外部から侵入されていたことが分かったのは7月9日でした。

そして、この問題が公表されたのは9月11日です。

デジタル庁は、どこから侵入されたのか、どこまで被害が広がったのか、誰の情報が対象になったのかなどを調べるのに時間がかかったと説明しています。

しかし、異常を見つけるまでの対応、侵入経路の特定、被害を広げないための対応、そして公表までの時間が適切だったのか。しっかり検証する必要があります。

さらに重要なのは、問題となったVPN機器について、デジタル庁自身が、GSSの一部として「デジタル庁が責任を持って管理」していたと明らかにしていることです。

しかもGSSは、「ゼロトラスト」という考え方を取り入れていました。

難しい言葉ですが、考え方は単純です。

「一度ネットワークの中に入ったからといって、その人や端末を無条件に信用しない」というものです。

誰がアクセスしているのか。その人にその情報を見る権限があるのか。使っている端末は安全なのか。不審な動きはないのか。こうしたことをその都度確認し、たとえ外部から侵入されても、被害が広がらないようにする考え方です。

ところが今回は、侵入後に保守・運用担当者のアカウントを使われ、大量のファイルへのアクセスを許しました。

なぜ防ぐことができなかったのでしょうか。

「ゼロトラスト」の仕組みは実際にどこまで機能していたのか。システムの弱点への対応だけではなく、誰がどの情報を見ることができるのかという権限の管理や、不審な動きを素早く見つける仕組みまで、徹底して検証する必要があります。

デジタル庁は今回の問題を「重く受け止めている」とし、システムの弱点への対応方法や、外部から接続する仕組みを見直すとしています。

政府のデジタル基盤を、国民が安心して信頼できるのかという問題です。

政府は今回の事態をどこまで深刻に受け止めているのでしょうか。なぜ起きたのか。誰がどのような責任を負うのか。そして、同じような問題がほかの政府システムにないのか、政府全体を点検する必要があります。

現時点の政府の対応からは、この問題の重大さに見合った危機感が十分に伝わってきません。

私は、そのこと自体が今回の最大の問題ではないかと、強い危機感を抱いています。

さあ今日も、ブレずに曲げずに、確実に前進します。

【26年9月18日 その6962『逢坂誠二の徒然日記』8659回】

#逢坂誠二 #歩く歩く聞く聞く

#函館