役所がサイバー攻撃で止まる日――住民票・税・福祉を守る自治体防衛の現実
自治体へのサイバー攻撃で最も警戒すべきなのは、個人情報の流出だけではありません。住民票や税証明を発行できない、給付や福祉の審査が遅れる、被災者への情報発信が止まる――という行政サービスの停止です。
対策の核心は、侵入を完全に防ぐことではなく、攻撃を受けても重要業務を切り離し、代替手段へ切り替え、必要な順番で復旧できる体制をつくることにあります。
この記事で押さえたい点は次の4つです。
- 自治体の被害は「情報漏えい」と「行政停止」が同時に起こり得る
- 委託先やクラウドを使っても、自治体の責任がなくなるわけではない
- システム標準化は防御力を高める可能性がある一方、共通部分への依存も生む
- 住民を守るには、製品導入だけでなく手作業への切替訓練と復旧順位の公開が必要になる
自治体への攻撃で、暮らしのどこが止まるのか
影響は窓口の混雑にとどまらず、家計、医療、介護、子育て、事業活動へ連鎖します。 自治体は住民の生活を支える複数の基幹業務を、同じ庁内ネットワークや共通の委託先につないで運用しているためです。
証明書と届け出
住民記録や戸籍、印鑑登録に関わるシステムが使えなくなると、次の手続きに遅れが出ます。
- 住民票や印鑑登録証明書の発行
- 転入・転出、出生、死亡などの届け出処理
- マイナンバーカード関連の一部手続き
- 就職、住宅契約、相続などで必要な証明書の取得
停止が数時間なら不便で済む場合もあります。しかし、復旧が数日以上に及べば、住宅ローンの契約日や会社への提出期限に間に合わない人が出てきます。オンライン申請とコンビニ交付が同じ障害の影響を受ければ、「窓口以外で取得する」という逃げ道も失われます。
税、給付、福祉
税務、国民健康保険、介護、児童手当、生活保護などの業務では、所得、世帯構成、年齢、住所といった複数の情報を照合します。そのどれかを確認できなければ、職員は審査や金額計算を進めにくくなります。
影響が重くなりやすいのは、手元資金に余裕のない世帯です。
- 給付や還付を待っている世帯
- 介護・障害福祉サービスの認定更新が必要な人
- 保育所の入所判定を控える家庭
- 納税証明書が必要な個人事業主や中小企業
行政サービスには、後から処理すれば済むものと、期日を逃すと生活や事業に直接損失が出るものがあります。自治体の事業継続計画では、この違いを復旧順位へ反映しなければなりません。
災害時の情報発信
自治体サイトやメール配信がDDoS攻撃などで利用できなくなると、避難所、道路規制、断水、支援物資といった情報を届けられないおそれがあります。平時のサイト停止と、台風や地震の最中の停止は、同じ1時間でも重みが違います。
J-LIS（地方公共団体情報システム機構）は、自治体ホームページへのDoS攻撃やアクセス集中を常時観測し、緊急情報を自治体へ一斉通知する役割を担っています。これは自治体の情報発信が、すでに重要な社会基盤として扱われていることを示します。
住民情報は庁舎の中だけにあるとは限らない
自治体の防御範囲は、役所の端末から委託先、保守会社、クラウド環境まで広がっています。 攻撃者にとっては、最も強固な入口ではなく、管理が弱い接続先を探す方が合理的だからです。
東京都は2026年3月、委託業務の受託者がランサムウェア被害を受け、住民基本台帳から抽出した住所、氏名、年齢、性別の計1万8,000件について漏えいの可能性があると公表しました。自治体本体へ直接侵入しなくても、業務のためにデータを渡した委託先が攻撃されれば、住民は影響を受けます。
ここで問われるのは、契約書に「適切に管理する」と書くことだけではありません。
- 委託先が扱えるデータを必要最小限に絞っているか
- 作業後のデータ削除を確認できるか
- 多要素認証やアクセス記録を義務付けているか
- 再委託先まで同じ管理水準を求めているか
- 事故発生時の第一報、調査協力、費用負担を定めているか
- 契約期間中に自治体が監査できるか
価格を優先して委託し、セキュリティ要件を曖昧にすれば、その差額は事故後の調査、通知、窓口対応、復旧費用として返ってきます。
ここがポイント: 自治体のサイバー対策は「庁内ネットワークを守る仕事」ではありません。住民情報に触れるすべての組織と接続経路を把握し、攻撃を受けた後も行政を続ける仕事です。
漏えいが疑われたとき、自治体には何が求められるのか
「流出した証拠がまだない」段階でも、漏えいのおそれがあれば調査や報告が必要になる場合があります。 暗号化された端末を復旧するだけでは、対応は終わりません。
個人情報保護委員会の行政機関等向けガイドラインでは、不正アクセスによる保有個人情報の漏えいなど、個人の権利利益を害するおそれが大きい事態について、委員会への報告と本人への通知を求めています。行政機関等には地方公共団体の機関も含まれます。
報告対象となる事態には、たとえば次のものがあります。
- 要配慮個人情報を含む漏えい等
- 不正な目的による行為で発生した漏えい等
- 100人を超える保有個人情報の漏えい等
- 条例要配慮個人情報を含む漏えい等
個人情報保護委員会の案内では、速報は発覚からおおむね3～5日以内、確報は原則30日以内、不正な目的で行われたおそれがある場合は60日以内とされています。
ただし、住民が本当に知りたいのは法定報告を済ませたかどうかだけではありません。
- 自分のどの情報が対象なのか
- 情報が外部へ持ち出された可能性はあるのか
- 不審な電話やメールにどう備えるべきか
- 使えない行政サービスは何か
- 代替窓口と復旧見込みはどうなっているか
攻撃直後にすべてを確定することは困難です。それでも自治体は、「確認済みの事実」「調査中の事項」「住民に今してほしい行動」を分けて伝える必要があります。情報が少ないことより、更新時刻も次回公表予定も分からない状態の方が、不安と偽情報を広げます。
システム標準化とクラウド移行は安全性を高めるのか
標準化とクラウド移行には安全性を高める余地がありますが、それだけで自治体の責任や障害リスクが消えるわけではありません。 守る対象と責任分担が変わる、と捉えるべきです。
デジタル庁が進める自治体情報システムの標準化は、住民基本台帳、地方税、国民健康保険、介護保険、児童手当など20事務を対象としています。約1,800の地方公共団体が個別にシステムを開発・保有する負担を減らし、標準準拠システムへの移行を進める政策です。
期待できる効果
共同化や標準化には、次の利点があります。
- 専門人材と高度な監視機能を共通基盤へ集約しやすい
- 古い独自システムを更新する契機になる
- セキュリティ設定や更新手順を一定水準へそろえやすい
- データ形式がそろい、他事業者への移行可能性が高まる
- 遠隔地へのバックアップや冗長化を組み込みやすい
小規模自治体が単独で24時間監視や高度なログ分析を行うのは容易ではありません。共通基盤の活用には、自治体間の財政力や人材の差を埋める意味があります。
新しく生じる注意点
一方、共通化すれば一つの設定ミスや委託先への攻撃が複数自治体へ波及する可能性もあります。クラウド事業者が基盤を守っていても、自治体や運用管理補助者が担当するアカウント、権限、アプリケーション、接続端末の設定が弱ければ侵入は起こり得ます。
デジタル庁の資料でも、地方公共団体や運用管理補助者が、システム管理上の責任範囲に応じてセキュリティ対策を担う考え方が示されています。
したがって、移行時に確認すべきなのは「クラウドか庁内設置か」という二択ではありません。
- 障害が起きた場合、どの自治体まで影響する設計なのか
- 自治体ごとにデータと権限が適切に分離されているか
- 管理者アカウントの乗っ取りをどう防ぐか
- バックアップが本番環境と切り離されているか
- 別環境への復元に何時間または何日かかるか
- 通信障害時にも最低限の窓口業務を続けられるか
標準化は「同じ仕組みに乗せる」政策です。だからこそ、共通障害を局所化する設計と、自治体ごとの事業継続手順がセットで必要になります。
財源は製品購入より、継続運用へ配分すべきだ
不足しやすいのは高価な防御製品そのものより、それを運用し、訓練し、更新し続ける人と予算です。 導入年度だけの補助金では、数年後の安全性を保証できません。
自治体のサイバー防衛には、目立ちにくい費用が継続して発生します。
- ソフトウェアと機器の更新
- 監視、ログ保管、脆弱性診断
- 委託先の監査と契約管理
- 職員研修と標的型メール訓練
- バックアップからの復元試験
- 紙やオフライン端末を使う代替業務の整備
- 事故時の外部専門家、住民通知、相談窓口
人口規模の小さい自治体ほど、専門職を常勤で確保する負担が重くなります。国や都道府県には、共同監視、専門人材の派遣、共通調達、初動支援チームなど、規模の利益を生かした支援が求められます。
ただし、共同化を進めても首長や幹部の判断は代替できません。どの業務を何時間以内に戻すのか、限られた職員をどこへ配置するのか、住民へ何を公表するのかは、行政運営そのものだからです。
現実的な防御は「侵入後」を設計する
ゼロリスクを掲げるより、被害を狭くし、住民サービスを早く戻す方が現実的です。 攻撃手法や脆弱性が変化する以上、侵入を一度も許さない前提では事業継続計画になりません。
優先順位は次のように整理できます。
1. データと接続先を把握する
住民情報がどのシステム、端末、委託先、再委託先にあるかを一覧化します。保存場所を把握していなければ、攻撃後に影響範囲を特定できません。
2. 権限を小さく分ける
一つの管理者アカウントで多くのシステムを操作できる状態は、攻撃者にも同じ力を与えます。多要素認証、用途別アカウント、不要権限の定期削除が必要です。
3. バックアップを本番環境から切り離す
バックアップが同じネットワークにつながったままなら、ランサムウェアに同時に暗号化されるおそれがあります。保存するだけでなく、実際に復元できるかを定期的に試すことが重要です。
4. 手作業への切替を訓練する
紙の申請書を用意していても、受付後の保管、本人確認、後日の入力、二重処理の防止まで決めていなければ使えません。窓口、福祉、税務、広報など複数部署が参加する訓練が必要です。
5. 住民への連絡経路を複線化する
公式サイトが止まったときのために、防災無線、登録メール、SNS、電話案内、地域放送、庁舎掲示などを組み合わせます。特定の民間サービスだけに依存すれば、そのサービスの障害時に再び連絡手段を失います。
「公表しすぎると攻撃者を利する」という反論をどう考えるか
技術的な弱点を無制限に公開する必要はありませんが、住民生活に関わる情報まで伏せる理由にはなりません。 公表範囲は、攻撃者への情報提供と住民の自己防衛を分けて判断すべきです。
公開を抑える側には、調査途中の誤情報を避けたい、侵入口を明かしたくない、捜査を妨げたくないという合理的な事情があります。一方で、対象となる情報や停止中のサービスを知らせなければ、住民は詐欺への警戒も、手続き期限への対応もできません。
現実的な線引きは次の通りです。
- 脆弱性の詳細、未修正の構成、捜査情報は慎重に扱う
- 影響を受けるサービス、代替手段、対象データ、相談先は早く示す
- 未確定事項には「未確認」と明記し、次回更新時刻を予告する
- 復旧後は原因、影響範囲、再発防止策、費用を検証可能な形で公表する
また、「厳重な分離を続ければ安全だ」という見方にも限界があります。ネットワーク分離は被害拡大を抑える有力な方法ですが、職員の作業負担を増やし、例外的なデータ受け渡しが新しい弱点になることがあります。安全性と業務効率は、単純な二者択一ではありません。例外運用まで監査できる設計が必要です。
今後、国と自治体が確認すべき5つの指標
対策の実効性は、導入した製品の数ではなく、止まる範囲と復旧時間で測るべきです。 住民にも理解できる指標へ置き換えることで、予算の優先順位が見えやすくなります。
今後の注目点は次の5つです。
- 基幹業務ごとの目標復旧時間が設定され、訓練で検証されているか
- 委託先・再委託先を含むデータ所在を把握できているか
- オフラインまたは分離されたバックアップから復元できるか
- 小規模自治体への共同監視と初動支援が常時利用できるか
- 標準化・クラウド移行後の障害範囲と責任分担が住民に説明されているか
自治体へのサイバー攻撃は、遠い世界の情報戦ではありません。証明書を受け取る、福祉を申請する、税を納める、災害情報を確認するという日常の入口を狙う攻撃です。
国と自治体が次に示すべきなのは、「対策を強化した」という抽象的な説明ではなく、どの業務を、何時間以内に、どの代替手段で再開できるのかです。住民が確認すべきなのも、その具体性です。