4 セキュリティ対策

　オリンピック・パラリンピック前に総務省及び地方公共団体情報システム機構より以下の対策を実施するよう注意喚起が発出されています。これらはイベント等がない平常時から取り組むべき活動ですが、今大会を契機にいま一度、実施状況を確認してください。

（1）ソフトウェアに関する脆弱性対策の実施３）
　情報システムで利用するソフトウェアの脆弱性対策の状況を確認し、脆弱性が存在するバージョンを利用している場合は、直ちにセキュリティパッチの適用やソフトウェアのバージョンアップを行うとともに、直ちに実施することが困難な場合はリスク緩和策を講ずるなどの対策を実施すること。

（2）不正プログラム対策の実施３）
　使用しているアンチウイルスソフトウェア等を常に最新の状態に保ち、リアルタイムスキャンを有効にし、定期的に全てのファイルを対象としたスキャンを実施すること。併せて、ウイルスの検知があった場合に直ちにCSIRTに連絡を行えるよう体制を整備すること。

（3）サービス不能攻撃等への対策の実施３）
　各地方公共団体におけるインターネット接続口について洗い出し（予期せぬインターネット接続口が存在していないかの確認を含む。）を行った上で、全てのインターネット接続口について、設定内容に誤りや改ざんが生じていないか、不要な通信ポートが開いていないか等の点検を行うこと。

　また、インターネットに接続しうる環境にある情報システムは、外部等からの攻撃の標的となる可能性があるため、パケットフィルタリング機能を有効とする等の必要なサービス不能攻撃対策を実施しておくこと。

（4）監視の強化３）
　東京2020大会に乗じてサイバー攻撃の標的になるおそれが指摘されていることを踏まえ、各都道府県の自治体情報セキュリティクラウド等によるセキュリティ監視を強化すること。

（5）外部委託先における情報セキュリティ対策の確認３）
　サイバー攻撃は、地方公共団体の情報システムに対して直接なされるのみならず、地方公共団体が業務を委託した民間事業者等も標的となる可能性があり、これに類する攻撃等も継続的に発生しているため、契約に基づき当該事業者における情報セキュリティ対策の水準が維持されているか確認しておくこと。

（6）情報セキュリティインシデントに備えた体制強化・BCPの確認３）
　緊急時に迅速かつ円滑に対応することができるよう、各地方公共団体の情報セキュリティポリシー等に基づき策定されている緊急時の対応要領の内容を確認するとともに、必要に応じて、大会期間中は特別の体制を整備する等の検討を行うこと。

（7）インターネット接続点における接続機器の点検４）
　組織内の全てのインターネット接続（本庁、出張所等の出先を含む。）に関して、ファイアウォール、ルータ等の接続機器について脆弱性の有無を確認するとともに、必要に応じてセキュリティパッチを適用すること。特に、本庁、出張所間等の拠点間接続、遠隔保守においてインターネットVPNを使用している場合は、VPN装置等に脆弱性がないかを点検すること。

（8）LGWAN接続系及びマイナンバー利用事務系を含めた接続機器の点検４）
　インターネット接続系ネットワークにおけるファイアウォール、ルータ等の接続機器にとどまらず、LGWAN接続系及びマイナンバー利用事務系のネットワークのファイアウォール、ルータ等の接続機器についても、脆弱性の有無を確認するとともに、通信許可設定及びログの取得設定等が適切に行われているかを確認すること。

（9）外部接続やネットワーク間の接続状況の点検４）
　庁内のあらゆるネットワークに関して、外部接続の有無や各ネットワーク間の通信許可設定を確認し、通常使用しない外部接続やネットワーク間の接続等に係る不要な設定が確認された場合には、当該接続の切断や設定の削除をすること。

（10）無害化通信の徹底４）
　インターネット接続系ネットワークにおいて取得したファイル等をLGWAN接続系ネットワークに持ち込む際は、「地方公共団体における情報セキュリティポリシーに関するガイドライン（令和２年12月版）」に記載された無害化通信の実施を徹底すること。

（11）庁内ネットワークに接続する端末等の安全確認の徹底４）
　庁内のネットワークに、外部で利用していた端末やUSBメモリ等の外部記憶媒体を接続する場合には、当該端末や記憶媒体に不正プログラム等が含まれていないかを確認すること。

３）総行デ第26号「東京2020大会開催に先立つ地方公共団体の情報セキュリティ対策の徹底について（注意喚起）」

４）地情機第1141号「東京2020大会開催に先立つ当機構のシステムに関連した地方公共団体の情報セキュリティ対策の徹底について」

5 おわりに

　オリンピック・パラリンピック開催におけるセキュリティ対策について解説いたしました。いずれも特別な対策ではなく常日頃から行うべき注意・対策となっています。攻撃者はセキュリティの脆弱点をついてきます。各団体におかれましては、セキュリティ対策を継続的に講じていただきますようお願いいたします。