自治体向けペネトレーションテスト実証事業

事業の目的

地方公共団体が保有する情報システムに対して、情報システム内部への侵入可否及び侵入後の被害想定を把握すべく、攻撃者が実際に行う最新の攻撃手法を用いて客観的に検証するペネトレーションテスト（実際の攻撃者を想定した「侵入シナリオ」を作成した上で庁内ネットワークへの侵入（疑似攻撃）を行い、サイバーセキュリティ対策の水準を検証するテスト）を実施し、サイバーセキュリティ対策上の問題点について評価及び助言等を行い、地方公共団体全体のサイバーセキュリティ対策の強化を図る。

現状・課題

地方公共団体が保有する情報システムにおけるセキュリティ対策について、情報システム内部への侵入可否及び侵入後の被害想定を把握まで対応できないケースがあるほか、地方公共団体におけるペネトレーションテストの実施はまだ浸透していないため、ペネトレーションテストの結果や手法等を地方公共団体全体に横展開する必要がある。

行政事業レビュー推進チームの所見

・長期アウトカムは抽象的な定性的アウトカムであり、当該事業の効果を計ることができないので、本事業の目的である地方公共団体のセキュリティ対策のレベルの底上げを計る定量的指標について、例えば地方公共団体に対するサイバー攻撃を防御した数をはあくすることや、セキュリティ水準をテストすること等、引き続き適切な指標の設定について検討すること。・外部有識者の所見を踏まえ、修正や見直しの検討を行い、今年度修正できる部分は修正し、引き続き検討を要する場合は、来年度のシートにて反映できるよう検討を進めること。

事業所管部局による点検・改善

地方公共団体が保有する情報システムに対して、情報システム内部への侵入可否及び侵入後の被害想定を把握すべく、攻撃者が実際に行う最新の攻撃手法を用いて客観的に検証するペネトレーションテストを実施することで、セキュリティ対策上の問題点について評価及び助言等を行い、地方公共団体全体の情報セキュリティ水準を向上させることが可能となっている。

改善の方向性

引き続き、地方公共団体全体のサイバーセキュリティ対策の強化につながる施策を講じる。

外部有識者による点検

・財政規律/単年度予算の観点から、補正予算での対応になった理由の記載があるとよい。・短期アウトカム、1,788団体への横展開のため、どのような取組を国は講じるのか、具体の説明がほしい。