セキュリティが置き去りにされた「デジタル・ガバメント実行計画」について考える

明けましておめでとうございます。今年は新年早々「半沢直樹エピソードゼロ」の、あまりに酷いシステム開発現場にツッコミ疲れをしてしまった方が多数出たのではないでしょうか。ドラマを作った制作会社や、放送したテレビ局のセキュリティ体制を心配された方も多いことでしょう。でも、それが今の日本の現実なのでしょう。

さて、あまり報道では取扱われませんでしたが、2019年末ついに政府の「デジタル・ガバメント実行計画」が正式に閣議決定されました。今回はこれについて触れたいと思います。

参照行政手続き9割電子化へ　政府が新実行計画/日本経済新聞

「デジタル・ガバメント実行計画(骨子案)」について考える

2017.12.12

12月11日、国のIT総合戦略本部から、行政のIT化「デジタル・ガバメント実行計画」の骨子案の意見募集が始まりました。今回はこの件に触れて行きたいと思います。〈参照〉

行政のIT化「デジタル・ガバメント実行計画」について考える

2018.1.19

2017年のコラムで骨子案について触れました「デジタル・ガバメント実行計画」が、2018年1月16日発表されました。骨子段階に比べかなり文章量が増えています。今回はこの内容についてコメントして行きたいと思います。 [getpost i

この記事の目次

1 デジタル・ガバメント実行計画の穴
2 実際に誰が作っていくのか、人材不足問題は解決せず…
3 最後に

デジタル・ガバメント実行計画の穴

「デジタルガバメント実行計画」とは、行政の在り方そのものをデジタル前提で見直すことを目的としています。この目的自体は、行政の効率化として大変意義のあるものだと思います。ところが、この計画を読んでみると、”具体的にどうすればできるのか”、”そもそも安全にできるのか”が今一つ見えて来ないのです。

セキュリティが置き去りにされた「サービス設計12か条」

その根本原因が、実行計画のベースとされた「サービス設計12か条」だと思っています。

この「サービス設計12か条」にはセキュリティの項目が入っていません。基にしたと思われるアメリカの「Digital Services Playbook」にはセキュリティの項目が入っています。民間のサービスには「セキュリティ・バイ・デザイン」を要求しているのに、デジタルガバメントにはそれを要求していないということです。

セキュアバイデザインの考え方：初期設計から始める安全なシステム構築

2018.12.26

近年、サイバー攻撃の高度化や個人情報保護法などの法規制強化を背景に、システム開発におけるセキュリティ対策の重要性が高まっています。そこで注目されているのが、設計段階からセキュリティを組み込む「セキュアバイデザイン」です。本記事では、セキュア

案が公開された際、意見募集に私も指摘させていただいたんですが、それに対しての返答は下記の通りでした。

本計画は利便性の向上という側面に焦点を当てているため深く書き込めておりませんが、セキュリティの確保やリスク管理についてはNISCと連携し一体となって取り組みを進めております。

いや、セキュリティの確保もリスク管理も利便性向上の必須条件でしょう。安心して使えなければ、誰もそのサービスを利用しようと思わないでしょう。

「サービス設計12か条」の第1条は『利用者のニーズから出発する』なんですが、”安全に使えること”は利用者のニーズの最たるものでしょう。なぜセキュリティの項目を外したのか、理解に苦しみます。

セキュリティ意識の低さが露呈する計画

一応、付け加えておきますが、条文の解説事項には”セキュリティ”の言葉は一つだけ出てきます。第6条『デジタル技術を活用し、サービスの価値を高める』の部分で下記のように表現されています。

情報セキュリティ対策とプライバシーの確保はサービスの価値を向上させるための手段

政府提供のサービスなのに、セキュリティやプライバシーは”価値向上の手段”でしかないとは！と突っ込みたくなりますよね。このような発想だから、いまだにマイナンバーカードを推進しているのでしょう。セキュリティやプライバシーの確保は”価値向上の手段”としか考えていないのですから。

実際に誰が作っていくのか、人材不足問題は解決せず…

最大の問題はこれです。人材不足。本文だけで100ページ近い中、１ページちょっとのスペースでこれが触れられています。要約すると、「人材の育成と確保に取り組んでいるが、依然として不足」です。それでも開発現場と決裁権限者の間を取り持つ「橋渡し人材」は160人になった、とは書いてあります。

増えるのは良いことですが、個人的には彼らには同情してしまいます。私も民間で「橋渡し人材」的な仕事をよくやりますが、それでも経営層はメールを使えますし、インターネットもやります。こちらの説明も理解していただけます。ですが、PCを使ったこともない決裁権限者にデジタルガバメントの在り方や、セキュリティの確保について理解させろ、と言われたら自信がありません。

それをできる人たちや、現場でデジタルガバメントのシステムを作る人たちを大量に確保する必要があるのです。それなくしてデジタルガバメントは進みません。実行計画の最重要課題だと思うのですが。