GMOサイバーセキュリティ byイエラエが地方公共団体向けサイバー侵入テストを提供開始：複雑化するネットワークの現実的リスクを可視化

地方公共団体向けサイバー侵入テストで現実的なリスクを可視化

GMOサイバーセキュリティ byイエラエ株式会社は、地方公共団体特有の複雑なネットワーク構成に対応した「地方公共団体向けペネトレーションテスト・パッケージ」の提供を開始しました。

このサービスは、総務省の全国調査を受託した実績を持つ同社が、自治体のシステム環境を熟知したホワイトハッカー（高度な情報セキュリティ技術を持ち、その知識やスキルを善良な目的のために活用する専門家）により、実際の攻撃者と同じ手法で侵入を試みるものです。これにより、表面的な脆弱性だけでなく、実際の攻撃で発生しうる「侵入・横展開・情報漏えい」といった現実的なリスクを特定し、各地方公共団体の自律的かつ継続的なセキュリティ強化を支援します。

変化する地方公共団体のネットワーク環境と高まるセキュリティリスク

近年、地方公共団体では、業務効率化や住民サービス向上のため、従来の強固な「三層分離モデル」（インターネット接続系、LGWAN接続系、マイナンバー利用系といったネットワークを物理的または論理的に分離し、セキュリティを高めるためのモデル）から、クラウドサービス等を活用する新たなモデルへの移行が進んでいます。しかし、このネットワーク構成の変更やクラウドとの連携はシステムを複雑化させ、設定不備や運用上の死角を生む要因ともなっています。

これらの死角は、従来の自動化された脆弱性診断ツールだけでは発見が難しく、「もし攻撃者に狙われた場合、本当に境界防御を突破されないか」「重要な情報まで到達されないか」といった現実的なリスクを測ることができません。このような状況において、実践的なリスクの可視化が求められています。

「地方公共団体向けペネトレーションテスト・パッケージ」が解決する課題

このパッケージは、地方公共団体が直面する以下の具体的な課題解決に貢献します。

波及（横展開）リスクの遮断:
三層分離モデル（α’モデルやβ/β’モデル等）の境界防御が突破され、インターネット接続層から総合行政ネットワーク（LGWAN：地方公共団体間の情報共有や共同利用を目的とした行政専用ネットワーク）層等へ侵害される可能性がないかを検証します。
総務省ガイドライン準拠と改善支援:
単なるリスクや課題の指摘に留まらず、総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」や各団体の優先度を踏まえた具体的な改善策まで提示します。
設定・運用上の「人為的リスク」の特定:
システムの技術的な脆弱性だけでなく、Active Directory（Windowsネットワークにおけるユーザーアカウント、コンピュータ、その他のリソースを一元的に管理するためのディレクトリサービス）等の認証基盤の運用や、導入しているSaaS・外部サービスの設定不備など、運用設計に潜むリスクを特定します。

提供サービス内容と活用シーン

地方公共団体のシステム環境や予算に合わせて、以下のメニュー等から柔軟に組み合わせて実施可能です。

三層分離モデルの適切性調査: α’モデルでのローカルブレイクアウト（各支社や拠点から特定の通信を本社のデータセンターを経由させず、直接インターネットへ接続するネットワーク方式）やβ/β’モデルの侵害調査
認証基盤セキュリティ調査: Active Directory等の権限奪取・内部侵入リスク評価
外部侵入可能性調査: 公開情報調査（OSINT：公開情報源から情報を収集・分析する活動）調査、VPN・ネットワーク端点等の調査
外部サービス・サプライチェーン調査: LGWAN-ASPや利用中SaaS、セキュリティソリューションの設定調査
住民サービス窓口調査: 団体公式Webサイト、行政手続き、電子申請、施設予約等、「ぴったりサービス」連携等の脆弱性調査
インフラ・閉域網調査: 交通・水道などの閉域網ネットワークに対する侵入可能性の調査

これらの検証メニューを通じて、地方公共団体は自らの情報システムが抱える現実的なリスクを把握し、効果的なセキュリティ対策を講じることが可能になります。今後、国で整備予定のASM（アタックサーフェスマネジメント：インターネットからアクセス可能なIT資産の情報を調査し、それらに存在する脆弱性などのリスクを継続的に検出・評価する取り組み）と組み合わせることで、より強固な多層防御が実現すると期待されています。