自治体サイトの安全確認｜住民向けWeb機能の診断範囲とタイミング

「うちの自治体は小さいから、公開しているサイトまで狙われないだろう」

そう考えていても、申請フォームや予約機能はインターネットから誰でもアクセスできる入口です。

住民情報を扱う機能に問題があれば、情報漏洩や手続きの停止につながる不安があります。

この記事では、自治体サイトや住民向けWeb機能で想定される被害、診断する範囲とタイミングをご紹介します。

診断結果を委託先へ渡し、修正、再確認、記録、報告へつなげる流れも確認していきましょう。

セキュリティー診断さん

えっ、うちみたいな地方の小さな役場も狙われるの？ 正直、他人事だと思ってたけど…。

小さな自治体にも関係する公開Webのリスク

自治体の規模にかかわらず、外部公開しているWebサイトや申請機能は、攻撃や設定ミスの影響を受ける可能性があります。

とくに注意したいのは、住民が名前、住所、連絡先などを入力する機能です。

問題のある状態を放置すると、入力された情報を第三者に見られたり、申請や予約を受け付けられなくなったりするおそれがあります。

制作や運用を委託している場合も、自治体側から画面を見るだけでは、設定やプログラムに問題がないかを判断するのは困難です。

だからこそ、公開している範囲を整理し、専門家によるWeb診断で確かめる必要があります。

自治体で想定される被害とWeb診断の関係

自治体を取り巻く脅威はさまざまですが、必要な確認方法は同じではありません。

被害の例と、Web診断との関係を整理すると次のようになります。

医療機関のランサムウェア被害事例と対策は、職員端末や業務データを守る体制を考える際の参考になります。

一方、自治体サイトのサーバー設定や申請機能の問題は、公開Webの診断と関係する可能性があります。

端末が暗号化された場合の復旧体制を整える際も、ランサムウェア被害後の対応例を確認できます。

何が心配なのかを切り分けると、Web診断へ任せる範囲と、庁内で別に整える対策が分かりやすくなります。

セキュリティー診断さん

え、同じサイバー攻撃でも、確認する場所や対策が違うんだ！ まずは公開している機能を整理すると分かりやすそう。

Web診断で安全を確認する対象

Web診断の対象は、インターネットからアクセスできる自治体のサイトや機能です。

住民が見る案内ページだけでなく、情報の入力や外部サービスとの通信がある機能も確認します。

• 自治体の公式Webサイト
• 電子申請や問い合わせのフォーム
• 施設予約やイベント申込などの住民向け機能
• ブラウザで操作するWebアプリ
• 外部サービスと情報をやり取りする公開API

対象を決める際は、URLだけでなく、住民が入力する情報、ログインの有無、委託先が管理する範囲も伝えることが大切です。

詳しい仕組みが分からなくても、分かる範囲を専門家へ共有すれば、確認すべき対象を相談できます。

具体的な診断範囲は、公開Webの診断サービスで確認してみてください。

Web診断を行うタイミング

公開前だけでなく、サイトや機能に変更があった後も安全性を確かめる場面です。

診断の候補となるタイミングをあらかじめ決めておくと、確認漏れを防ぎやすくなります。

• 新しいサイトや機能を公開する前
• サイトをリニューアルした後
• 申請フォームや予約機能を変更した後
• サーバーやCMSを変更した後
• 制作・運用の委託先を変更するとき
• 定期点検を行うとき

小さな表示変更だけに見えても、裏側の設定やプログラムが変わる場合があります。

変更内容を自治体だけで見極めにくいときは、委託先へ確認したうえで診断の要否を専門家へ相談しましょう。

公開Webの安全確認を専門家へ任せる

自治体の担当者が、脆弱性や設定の問題を画面だけで見つけるのは簡単ではありません。

診断方法を自分たちで選び、結果の重要度まで判断するには専門知識も必要です。

診断を内製・外注で比較する判断基準を参考に、庁内で行う確認と専門家へ任せる確認を整理できます。

『セキュリティー診断さん』へ公開Webの診断を任せれば、専門知識がなくても問題が見つかった場所と注意度を結果として受け取れます。

担当者は、その結果をもとに委託先へ修正を依頼し、直ったことを再確認する流れへ進めます。

利用を検討する際は、自治体サイト、申請フォーム、Webアプリ、外部公開APIのうち、確認したい範囲を相談してください。

診断で見つかった「弱点」をどう修正するか

診断結果は、危険度の確認だけで終わらせず、修正と再確認まで一つの業務として管理します。

自治体では、情報政策部門、システム担当課、委託先の役割を決め、次の順に進めましょう。

1. 影響度を判断する

まずは、見つかった弱点が自治体の業務にどれくらい影響するのかを確認します。

情報政策部門や、セキュリティ事故への対応を担当するCSIRTなどが、診断結果を受け取った当日から翌営業日までを目安に判断しましょう。

確認したいのは、弱点の危険度だけではありません。

外部から悪用される可能性や、影響を受けるシステム、扱っている住民情報、窓口業務が止まる可能性なども見ていきます。

住民サービスの停止につながりそうな問題が見つかった場合は、DDoS攻撃時の可用性対策も確認しましょう。

通信を制限する必要があるか、別の方法で業務を続けられるかを考える際に役立ちます。

不正アクセスや情報漏洩が疑われる場合は、通常の修正作業を始める前に、被害が広がらないよう対応する必要があります。

セキュリティインシデントの初動手順に沿って、問題のある機器やシステムを切り離し、記録を保存したうえで、関係者への連絡を始めましょう。

判断した内容は、対応状況を管理する表などに残します。

対象となるシステム、危険度、業務への影響、今後の対応、判断した担当者を記録しておくと、その後の作業が進めやすくなります。

2. 修正を依頼する

影響の大きさを判断したら、次に修正する担当者と期限を決めます。

システム担当課から、庁内の開発担当者や外部の委託先へ修正を依頼しましょう。

依頼する際は、どこを直すのかが相手に正しく伝わるよう、必要な情報をそろえることが大切です。

対象となるURLや機能、診断結果に付けられた番号、問題が起きる条件、考えられる影響、修正期限などを記載します。

委託先へ依頼する場合は、外部委託のセキュリティ管理も参考になります。

誰が原因を調べるのか、誰が修正するのか、修正後の確認は誰が行うのか、事故が起きた際は誰へ連絡するのかを決めておきましょう。

修正期限は、診断結果に書かれた危険度だけで決める必要はありません。

インターネット上へ公開されているシステムか、修正までの間に別の方法で危険を抑えられるかも考慮します。

期限までに修正できない場合は、アクセスできる人を制限したり、監視を強めたりする一時的な対策を取りましょう。

その対応を誰が承認したのかも記録しておくと安心です。

3. 修正後に再確認する

修正が終わったら、本当に弱点が解消されたかをもう一度確認します。

できれば、修正を行った担当者とは別の人や、診断を担当した事業者が確認しましょう。

指摘された問題が直っているかだけでなく、修正によって別の不具合が起きていないかも見ておく必要があります。

ログインできなくなっていないか、画面が正しく表示されるか、ほかの機能が動くかなども確かめましょう。

問題が解消していなかった場合は、直せなかった理由と次の期限を記録します。

4. 記録と証跡を保存する

診断から修正、再確認までの記録は、後から流れを追える形で保存します。

診断報告書、影響の判断、修正の依頼内容、作業記録、再診断の結果、承認記録には、同じ管理番号を付けておくと分かりやすいでしょう。

あわせて、どこへ保存するのか、誰が見られるのか、いつまで残すのかも決めます。

記録がそろっていれば、監査を受ける際や、同じような問題が起きた際にも、過去の判断を確認できます。

委託先とのメールだけに記録を残すのは避けましょう。

庁内で使っている課題管理表や文書管理システムにも保存し、必要な担当者が確認できる状態にしておくことが大切です。

5. 幹部へ報告する

重大な弱点が見つかった場合や、期限までに修正できない場合は、情報政策部門の責任者から幹部へ状況を報告します。

報告では、見つかった問題の数だけを伝えても、現在の状況が十分に伝わりません。

すでに対応が終わったもの、現在対応しているもの、事情を理解したうえですぐには修正しないものを分けて示しましょう。

修正後の確認結果や、追加の予算が必要な事項、幹部の判断を求めたい事項もあわせて伝えます。

定期的に診断を行う場合は、前回から残っている問題や、期限内に修正できた割合、再び見つかった弱点を比べてみましょう。

数字の変化を見ることで、自治体のセキュリティ対策が前に進んでいるかを判断しやすくなります。

『セキュリティー診断さん』を利用する場合も、誰が診断結果を受け取るのか、その後の手順を誰が進めるのかを先に決めておくことが大切です。

自治体サイトの安全確認を修正と報告までつなげよう

自治体が公開するWebサイトや住民向け機能に問題があると、情報漏洩やサービス停止につながるおそれがあります。

公式サイト、申請フォーム、予約機能、Webアプリ、外部公開APIを整理し、公開前や変更後、定期点検の際に安全性を確認しましょう。

自分たちだけで診断範囲や問題の重要度を判断しにくいときは、専門家へ確認そのものを任せられます。

『セキュリティー診断さん』で受け取った診断結果は、委託先への修正依頼、修正後の再確認、記録、幹部への報告に活用できます。

まずは、住民が利用する公開Webの範囲を伝え、安全確認を相談するところから始めてみませんか？

セキュリティー診断さん

ヨシ！ まずはサイトが安全か、診断するところから始めてみよう(๑•̀ㅂ•́)و✧