自治体の情報セキュリティ対策はどう変わる？ガイドライン改定とゼロトラスト移行の勘所

総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」が改定され、自治体ネットワークはゼロトラストへの移行が方針として示されています。「何から着手すればよいのか」「予算はどう確保するのか」と悩む担当者に向けて、最新動向とあわせて対策の考え方を解説します。

自治体の情報セキュリティの基本

まず、自治体のネットワークに高いセキュリティ水準が求められる理由と、これまでの対策の基本、現在の方針転換を整理します。

これまで自治体で採られてきた対策の基本

自治体のネットワークは、住民の個人情報や税・福祉に関する機微な情報を扱うため、一般企業以上に高いセキュリティ水準が求められます。従来は、マイナンバー利用事務系・ LGWAN 接続系・インターネット接続系の三層に分離する「三層分離」によって外部からの侵入経路を限定する対策がとられてきました。
三層分離は2015年の情報漏えい事故を受けて総務省が求めた対策で、長年にわたり自治体の情報セキュリティの基本モデル（αモデル）として運用されています。

自治体ならではの要件

対象となるのは住民情報を扱う基幹系システムだけでなく、庁内の業務端末やメール環境、各課で利用するクラウドサービスなど多岐にわたり、どこまでを対象範囲とするかは情報セキュリティポリシーの見直しにあわせて整理する必要があります。

セキュリティを強化しようとするあまり、職員の利便性や住民サービスのオンライン化が滞っては本末転倒です。制約を増やすことだけが対策ではなく、必要な安全性を保ちながら柔軟な働き方やサービス提供を実現する視点が重要であり、窓口業務のデジタル化やテレワークの推進が進むほど、セキュリティ対策のあり方も同時に見直していく必要があります。

現在とこれからの動向

一方で、三層分離はテレワークやクラウドサービスの活用を阻む要因にもなっていました。
サイバー攻撃の高度化で境界防御だけでは侵入を防ぎきれなくなっていること、庁外からのアクセス増加、住民サービスDXでのクラウド活用の前提化などを背景に、2024年5月にはデジタル大臣が三層分離の廃止を表明し、2030年ごろを目途にゼロトラストアーキテクチャへ移行していく方針が示されています。

参考：国・地方ネットワークの将来像及び実現シナリオに関する検討会｜デジタル庁

この転換の拠り所となるのが、総務省の情報セキュリティポリシーガイドラインです。
次の章では、この改定内容を詳しく見ていきます。

情報セキュリティポリシーガイドラインの改定でおさえるべきポイント

ここからは、総務省のガイドラインがそもそも何のためにあるのか、2025年・2026年の改定で何が変わったのか、その背景にある法制度とあわせて解説します。

ガイドラインとは何のためにあるのか

総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」は、各自治体が情報セキュリティポリシーを策定・運用するうえでの拠り所となる指針で、国が示す標準的な考え方に沿ってポリシーを整備できるよう、毎年のように見直しが重ねられています。
2024年には、改正地方自治法により各自治体に情報セキュリティポリシーの策定・公表が法的に義務付けられました。公表期限は今年4月までとされており、多くの自治体がこの期限までに策定・公表を終えています。

参考：総務省｜地方公共団体における情報セキュリティポリシーに関するガイドラインの改定等に係る検討会｜地方公共団体における情報セキュリティポリシーに関するガイドラインの改定等に係る検討会

2025年・2026年改定で何が変わったのか

総務省は本ガイドラインを2025年3月に改定したのに続き、2026年3月27日にも改定を行いました。今回の一連の改定では、次のような実務レベルの論点が盛り込まれています。

• 記録媒体を廃棄・返却する際の暗号消去など、データ消去の方法に関する規定の明確化
• USBメモリなど可搬記録媒体を利用する際のリスクと管理方法の見直し
• 無線LANを利用する際に、クライアント証明書による認証や多要素認証の導入を求める内容
• ゼロトラストアーキテクチャへの移行を見据えた新しいデータ連携モデル（α’モデルなど）のあり方についての検討

これらは、テレワークやモバイル端末の利用拡大に伴う実務的なリスクや、ゼロトラストを見据えた今後の方向性を踏まえたものといえます。

ガイドラインを実効性あるものにするために

ガイドラインの改定内容を確認したうえで、自団体のポリシーや実施手順書との差分を洗い出し、優先度をつけて改定していくことが現実的な進め方です。
文書を改定するだけでなく、職員一人ひとりの業務に落とし込むことが欠かせません。記録媒体の利用実態を洗い出して廃棄・返却のルールを見直すこと、現場が無理なく使える認証システムを検討すること、改定内容を庁内研修に反映し定期的な点検で運用状況を確認する仕組みをつくることなどが具体的な取り組みとして挙げられます。書式を整えるだけで終わらせず、実際の運用への落とし込みを継続的に点検する体制こそが、ガイドライン対応の実効性を左右します。

ゼロトラストへの移行をどう考えるか

自治体の情報セキュリティ対策は、短期的な施策（前章のガイドライン対応）と中長期的な施策（ゼロトラストへの移行）の2つの視点で考えることができます。ここでは、その中長期施策であるゼロトラストへの移行について考え方を整理します。

自治体ネットワークのモデルと移行の現在地

自治体ネットワークのモデルには、従来型の「αモデル」に加え、LGWAN接続系から安全にクラウドサービスへ直接接続できる「α’モデル」、三層分離によらずゼロトラストの考え方を取り入れた「β’モデル」があります。

総務省の調査（2023年10月時点）によれば、αモデルの自治体は全体の9割程度を占める一方、β’モデルの採用は都道府県で3割程度、政令指定都市で4割程度にとどまり、規模や体制によって移行の進み方に差があるのが実情です。もっとも移行を進める自治体は徐々に増えており、今後クラウド活用が進むにつれて広がっていくとみられています。
自庁がどのモデルに位置しているかを把握することが、検討の出発点になります。

参考：総務省　地方公共団体のセキュリティ対策に係る国の動きと地方公共団体の状況について＜PDF＞

移行を検討する際の考え方と留意点

ゼロトラストへの移行は、一度にすべてを切り替える必要はありません。まずはクラウドサービスの利用が多い業務から ローカルブレイクアウト を許可するなど、部分的な移行から始める自治体も多く見られます。端末認証・利用者認証・通信の可視化といった要素を一つずつ整備しながら、段階的に信頼の境界を見直していく進め方が現実的です。

既存のLGWAN接続系システムとの整合性や業務への影響など、コスト・業務両面の制約をあらかじめ把握しておくことが欠かせません。庁内だけで判断が難しい場合は、ネットワーク事業者等の知見の活用も有効です。2030年ごろを見据え、ゼロトラストの考え方が行政ネットワークの前提になっていくと見込まれています。

移行を支える技術要素

デジタル活用推進事業債の対象拡充を活用した予算確保

ゼロトラストへの移行を進めるうえでは、国も財政面からの支援制度を用意しています。ここでは、令和8年度から対象が拡充された「デジタル活用推進事業債」の活用について解説します。

デジタル活用推進事業債とは

デジタル活用推進事業債は、自治体が行政運営の効率化や住民の利便性向上、地域課題の解決につながるデジタル活用を進めるための初期経費を対象とした地方債です。
令和7年度に創設され、「デジタル活用推進計画」に位置づけたうえで情報システムの導入や情報通信機器の整備などに活用できます。令和8年度からは対象がサイバーセキュリティ対策強化のためのシステム導入にも拡充され、自治体情報セキュリティクラウドの更新やEDR・SOCなどの常時監視体制の構築も対象に位置づけられました。これにより、ガイドライン改定対応やゼロトラスト移行に伴うネットワーク機器・認証基盤の整備にも活用できる可能性が広がっています。

充当率は事業費の90%、交付税措置は元利償還金の50%とされ、自治体にとって活用しやすい制度設計になっています。

参考：総務省　デジタル活用推進事業債等の取扱いについて＜PDF＞

活用に向けた検討の進め方

• 自団体のデジタル活用推進計画に、セキュリティ対策関連の事業を位置づけられるか確認すること
• ガイドライン改定対応やゼロトラスト移行の投資計画を、単年度ではなく複数年度の計画として整理すること
• 財政部門と早い段階から連携し、起債の活用可能性について協議しておくこと

セキュリティ対策は「守りの投資」として後回しにされがちですが、こうした財源を活用することで、計画的な整備につなげやすくなります。

他の補助制度との組み合わせ

デジタル活用推進事業債は、他の補助制度と組み合わせて活用できる場合もあります。例えば都道府県独自のサイバーセキュリティ対策関連の助成金や、国の補助メニューなど、自団体の所在地域や事業内容によって活用できる制度は異なります。
どの制度を組み合わせるのが最適か、財政部門やシステムベンダーと相談しながら検討することが望まれます。

首長・財政部門への説明のポイント

セキュリティ投資は効果が見えにくく、庁内での予算獲得において後回しにされがちです。有利な財源があること、対策を怠った場合のリスクを具体的に示すことで、首長や財政部門の理解を得やすくなります。数字や制度を根拠にした説明材料をそろえておくことが、予算確保の近道になります。

自治体の情報セキュリティ対策の課題と進め方

自治体の情報セキュリティ対策を進めるうえでは、いくつかの課題が想定されます。ここでは代表的な課題と、それぞれの解決策の考え方を整理します。

予算・人材面の課題と解決策

セキュリティ対策には継続的な予算と専門人材が必要ですが、多くの自治体で情報システム部門の人員は限られ、専任のセキュリティ担当者を置けていないケースも少なくありません。単独での確保が難しい場合、近隣自治体との広域連携やシステムの共同利用で負担を分散させる取り組みも進んでおり、ガイドライン対応やゼロトラスト移行の検討を圏域単位で進める動きも見られます。
すべてを庁内の職員だけで対応しようとすると対応が後手に回りがちなため、ネットワーク事業者やセキュリティ専門事業者に相談し、自団体に応じた優先順位づけや無理のない移行計画を立案することも、長期的な負担軽減につながります。

既存システムとの整合性という課題

長年運用してきた基幹系システムは、ゼロトラストを前提とした設計になっていない場合が多く、新しい認証方式やネットワーク構成への切り替えには既存システムとの整合性確認が欠かせません。具体的には、次のような取り組みが挙げられます。

• 既存システムの利用実態や制約、脆弱性の有無を洗い出すこと
• そのうえで、システムそのものを刷新する必要があるかどうかを見極めること
• システムを刷新せずに対応する場合は、画面転送方式の活用など既存環境を大きく変えずにリスクを抑える方法を検討すること

段階的な対策の進め方

• まずはガイドライン改定への対応など、期限が明確な事項から優先的に着手すること
• 中長期の投資計画のなかにゼロトラストへの移行を位置づけ、単年度予算に振り回されない体制をつくること
• 庁内での対応が難しい部分は、ネットワーク事業者やセキュリティ専門事業者の支援を受けること
• 近隣自治体や都道府県との情報交換を通じて、他庁の取り組み状況を把握しておくこと

制度・技術の両面で変化が続く分野だからこそ、外部の知見を取り入れながら無理のない範囲で対策を積み重ねていく姿勢が重要です。一度に完璧を目指すのではなく、優先度の高いところから着実に手を打ち、数年単位で全体の底上げを図っていく進め方が、多くの自治体にとって現実的な選択肢となります。

まとめ

自治体の情報セキュリティをめぐっては、ガイドラインの改定と、三層分離からゼロトラストへの移行という2つの大きな流れが同時に進んでいます。実務対応が求められるガイドライン改定への対応を優先しつつ、中長期的にはゼロトラストへの移行を見据えた計画を立てることが望まれます。あわせて、令和8年度から対象が拡充されたデジタル活用推進事業債など、活用できる財源も確認しながら、無理のない範囲で段階的に対策を進めていきましょう。