北海道 伊達市様

αモデル時の業務の不便さと
コロナ禍でのリモートワークの必要性から
他市に先駆けβ´モデルに移行

伊達市様は全国の他市の中でも早い時期からβ´モデルに移行されています。その背景についてお聞かせください。

竹内氏 β´モデルの構築は令和4年（2022年）度から行っておりました。もともと運用していたαモデルの時は、SBC方式を採用しており、LGWAN接続系の物理端末から、リモートデスクトップによる画面転送を通じてインターネット接続系における業務を行っていました。

しかし、リモートデスクトップに接続するのに時間がかかる上、「ログインして、パスワードを入力して…」と手間がかかっていたことが、日常的にインターネットを利用する業務を行ううえで課題に感じておりました。

さらにはコロナ禍となり、リモートワークの早期実装が求められるようになると、クラウドサービスを活用できる環境の整備が必要になってきます。そこで、クラウドサービスの導入と同時に、常日頃から感じていたαモデルの不便を解消するために、「β´モデルへの移行」を決断しました。

インターネット接続系で業務を行う際に
必用不可欠だった強固な出口対策
Microsoft 365も確実に対策できるSePを決断

β´モデル採用を決断された当初の懸念などについてお聞かせください。また、その懸念がある中でSePを採用されたのはどのような理由からなのでしょうか？

竹内氏 決断当初は周りにβ´モデルを採用している自治体はありませんでした。しかしαモデルで運用している現状の業務効率などを含めた課題を解消すべきという私も含めた職員一同の強い使命感がβ´モデルの導入につながりました。

ただ、β´モデルは未知の領域だからこそ、「しっかりとした運用ができるのか」「強固なセキュリティを確保できるのか」といった懸念が根底にありました。前例のないことに挑戦することはリスクがありますので。

そこで、情報が漏洩するあらゆる「穴」を塞ぐなど、強度の高い「出口対策」となるセキュリティ製品として、業務効率を下げることなく、1製品で網羅的な情報漏洩対策ができるSePの導入を決断しました。当時、導入・活用を検討していたMicrosoft 365を網羅的にコントロールでき、かつ操作・通信履歴も取得できる、というのも採用した理由の1つです。

SePをご利用いただいて、便利だと感じられていることや魅力的だと思われている点についてお話ください。

竹内氏 「インターネット」のみならずUSBなどの外部媒体など、情報漏洩に関するあらゆる経路を塞げることが「有用な出口対策」として、とても役に立っています。SePは設定により、庁内のネットワークやクラウドサービスを信頼領域・非信頼領域に分けることができます。例えば、信頼領域である庁内のファイルを非信頼領域であるWeb上へアップロードするときに自動で暗号化され、外部に情報が漏洩するのを確実に防いでいます。

伊達市では、業者とのやり取りや口座振替などには、USBやCDなどの外部媒体を使用する機会がまだまだあります。SePはこうした外部媒体についても、自動暗号化や接続の制限、ファイルの書き込み制限などによる、多彩な出口対策ができます。必要に応じて、それらの機能を駆使していきたいと考えています。

特にβ´モデルを採用してインターネットを軸に置いて仕事をするとなると、仕事の自由度がとても高くなります。個人情報が入ったメールなども簡単に送ることができるため、管理する側の視点としては、「外部に送る」ということを職員に意識してもらいたいわけです。そのため、SePの機能によりリリースフォルダにファイルを入れなければ、メールで送ることができない運用にしています。当庁では課ごとにアクセス権を振り分けたリリースフォルダ（形式選択）をインターネット上のファイルサーバーに配置して利用しています。導入して職員に最初に説明した際には「外に持ち出す度に、リリースフォルダというワンクッションを挟んでから送信することを面倒に思う職員もいるだろう」と予想していました。実際に、導入当初こそは、そのようだったようです。

しかし、後に職員へ市役所内のシステム利用感に関するアンケート行ったところ、特に面倒に感じていない職員が多数でした。これまでと比較すれば単にワンクッションが増えるシステムでも、時間が経つにつれてそのシステムが当たり前になり、無理なく定着したことがわかります。

また、当庁ではブラウザはMicrosoft EdgeやGoogle Chromeを使用しています。これらのブラウザはほぼ毎月のように頻繁に更新しています。最新のマルウェア対策を行うには常に最新版にしておく必要があるのですが、SePはこれらブラウザの頻度の高いバージョンアップにも逐一対応し、強固なセキュリティを築いてくれるため、とても助かっています。

職員のYouTube閲覧管理に
SePの網羅的な履歴を活用
庁内にあるプリンターの統廃合にも一役

SePの特長として、インターネットの操作でも、詳細な履歴をとることができるのですが、そちらについてはご利用されていかがでしょうか？

竹内氏 今まさに、そのSePの詳細な履歴が大活躍しているところです。伊達市では最近になって職員に、YouTubeの閲覧許可を出しました。

というのも、職員が業務上、閲覧する必要があるWebのセミナーや、ソフトウェアの資料などがYouTubeに掲載されていることが、現在は圧倒的に多いからです。そのため、いつまでもこうした動画の閲覧を禁止にすれば、逆に業務効率が下がってしまいます。

しかしYouTubeの利用を無制限に許可すれば、業務とは関係ない動画も見ることができます。その点、SePはYouTubeで閲覧した動画についても、精緻な履歴を取れるため、きっちりとした管理も問題なく遂行できます。

また、伊達市では庁内に、職員数に比してはかなり多い100台近いプリンターがあります。しかし、それを統廃合するためには、むやみに減らすわけにもいきません。「誰が」「どういうタイミングで」「どれだけの枚数を印刷するのか」など根拠のあるデータを集め、それに基づいた削減を行う必要があります。

そういった場面でもSePの履歴が役立っています。SePの履歴を見れば、実際にプリンターを職員が利用した数値が1枚単位でわかるため、年間のプリント枚数や、今後、何％削減すればよいかなどの資料を作る際にも、スムーズに計画が立てられます。SePを導入した当時は、セキュリティの向上が主目的で、履歴の活用は想定していなかったため、思わぬ産物となっています。

クラウドサービス全盛でも
内からの脅威は健在
SePをセキュリティの軸に

β´モデルの業務の感触と今後、そこに出口対策として、SePをどのように活用しようとお考えでしょうか？

竹内氏 β´モデル移行によるデメリットは今のところ全く感じていません。むしろ、民間で使っている、クラウドサービス、アプリケーションなど、良いものをどんどん実装することができ、職員の業務に活かせるのは大変効果的と考えています。

一方で、αモデルの時代はLGWAN接続系が閉域網だったので、安全面を考える必要はなかった分、β´モデルでは出口対策を確実にしていかなければなりません。そのため、今後もSePを「セキュリティの軸」にしていこうと考えています。「データもシステムもクラウドにある」という流れはこれからも加速していくでしょう。そのなかでより高度なセキュリティを築くうえではSeP本来の機能である、インターネットもメールも外部媒体も、あらゆる「セキュリティの穴」を網羅的に防ぐという出口対策が必要不可欠です。当庁ではMicrosoft社のDefenderも使用しているのですが、そのDefenderによって外からの脅威はまだ防げます。しかし内からの脅威、つまり人の問題は、利用者が悪いことをした場合、重大なインシデントに発展しかねないため、SePのように利用者の悪意など関係なく、自動的にセキュリティを発揮するソフトウェアは非常に重宝しています。

また将来的には、セパレートオプションの導入を視野に入れています。ファイルの保存先や通信の接続先が完全に分離された複数のポリシーをつくり、それを切り替えて使えるため、3系統の端末を一台に統合できると伺っています。伊達市ではマイナンバー接続系の端末が120台あります。仮に統合によりこれらの端末購入が今後不要となれば、コスト削減効果は絶大なものになるので検討していければなと考えています。

そしてテレワークに関する履歴のさらなる活用を視野に入れていきます。テレワークについては今、実証実験の段階なのですが、本格運用になった場合は、上司の監視下ではないところに職員がいることになるため、より一層管理の目が必要になります。そのため、SePの詳細な履歴を活用することで、職員に対して目の行き届いた「きめの細やかな管理」を目指していきたいと考えています。