三層分離

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。原課から、このクラウドサービスを使いたいんだけど、できますか、と聞かれる。

あるいは、職員から、どうして自分のパソコンでは、ネットが自由に見られないのか、と聞かれる。セキュリティポリシーの改定や、監査のときにも、必ず出てくる話です。

その答えの土台にあるのが、三層分離です。私も最初は、言葉は聞くけれど、何がどう分かれているのか、説明できませんでした。

今日は、三層分離の、成り立ちと、いまの形の違いをお話しします。

一言で言うと

先に、一言でまとめておきます。三層分離とは、庁内のネットワークを、扱う情報の重さによって、3つに分けて、守る仕組みです。

そして、形は一つではありません。仕事の端末を、どの層に置くかで、αやβといった、モデルの違いが生まれます。

地図のどこか

第0回の全体地図でいうと、今日は、庁舎の中の、3つの層そのものの話です。

マイナンバー利用事務系、LGWAN接続系、インターネット接続系。そして、その間にある、無害化や画面転送という関所も、今日の話に入ります。

なぜ三層に分かれたのか

きっかけは、2015年の、日本年金機構の個人情報流出事案です。

これを受けて、総務省が、自治体向けの検討チームを作りました。2015年11月に報告をまとめ、12月25日には、総務大臣の通知で、各自治体に対策を求めています。

自治体は、情報システムを3つに分け、インターネットの出口は、原則、都道府県ごとに集約しました。これが、自治体情報セキュリティクラウドです。

この対応は、2017年7月に、全国の自治体で完了しています。いま庁内にある三層は、この時に作られたものです。

3つの層の役割

3つの層は、守る強さが違います。いちばん固いのが、マイナンバー利用事務系です。住民記録や税など、住民の情報を扱うので、ほかの層から切り離されています。

二つ目の、LGWAN接続系は、財務会計や文書管理、庁内のメールなど、ふだんの事務をする場所です。インターネットには直接つながっていません。

三つ目の、インターネット接続系は、ホームページを見たり、外とメールをやり取りしたりする場所です。外とつながる分、いちばん攻撃を受けやすい層です。

考え方はシンプルです。外から入られても、大事な情報にたどり着けないように、あらかじめ、部屋を分けておく。そういう発想です。

層の間の関所

ただ、完全に分けてしまうと、仕事になりません。そこで、層の間には、関所があります。

外から届いたファイルを、LGWAN接続系で使うときは、無害化を通します。ファイルの危ない部分を取り除いて、安全な形にして渡す仕組みです。

LGWAN接続系の端末から、ホームページを見るときは、画面転送を使います。インターネット側で開いた画面の、絵だけを、手元に送ってもらう仕組みです。

手元の端末に、ファイルそのものは届きません。だから、ウイルスも入りにくい。そのかわり、操作が少し重くなったり、ファイルを保存しにくかったりします。

モデルの違い：αとβ

では、モデルの違いです。ここで大事なのは、見えるかどうかではなく、仕事の端末が、どの層に置かれているか、で考えることです。

まず、αモデルは従来の形で、仕事の端末を、LGWAN接続系に置きます。ホームページを見たいときは、画面転送を使います。手元の画面に見えていても、端末は、LGWAN接続系の側です。

次に、βモデル。仕事の端末を、インターネット接続系に置きます。財務会計など、LGWAN接続系の業務システムは、そのまま残して、画面転送で使うのが基本です。

βモデルのうち、入札情報や職員の情報といった、重要な情報資産まで、インターネット接続系に置く場合を、β'モデルと呼びます。

ただし、βもβ'も、条件があります。端末の監視や、何かあったときにすぐ動ける体制など、高度なセキュリティ対策を、確実にやることが、採用の条件です。

α'モデル

もう一つ、α'モデルがあります。αモデルの形のまま、LGWAN接続系から、特定のクラウドサービスに、直接つなぐ形です。

想定されているのは、ウェブ会議や、ファイルの共有など、特定のサービスです。端末は、LGWAN接続系に置いたままで、必要な通信だけを、クラウドに出します。

つまり、端末の置き場所で整理すると、αとα'は、LGWAN接続系。βとβ'は、インターネット接続系です。この見方で、覚えておいてください。

なお、マイナンバー利用事務系は、どのモデルでも、専用の端末を別に置くのが基本です。αでもβでも、マイナンバーを扱う仕事は、その専用の端末で行います。

見直しの流れ

三層の対策は、何度も見直されてきました。2020年5月の検討会のとりまとめで、見直しの方向が示され、2020年12月のガイドライン改定で、βモデルが示されました。

2023年には、総務省が、三層の対策を、自治体の意見も聞きながら、抜本的に見直すことと、ゼロトラストを検討することを示しています。

そして、2024年10月の改定で、α'モデルが加わりました。2025年3月にも、改定されています。

とはいえ、2023年10月の総務省の資料では、市町村の多くは、従来型のαモデルでした。βやβ'に移るのは、まだ一部の団体です。自分の団体がどれかは、確かめてください。

2026年4月からの義務

もう一つ、大事なことがあります。2026年4月から、地方自治法の改正で、自治体は、サイバーセキュリティを確保するための方針を、定めて、公表することが、義務になりました。

三層の形をどうするのか、クラウドをどう使うのかは、この方針とつながる話です。情シスの担当者が、説明を求められる場面は、増えるはずです。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。ホームページが見えるから、この端末は、インターネット接続系だ、という誤解。画面転送なら、見えていても、端末はLGWAN接続系の側です。

二つ目。三層分離は、ネットワークが完全に切れている、という誤解。実際には、無害化と画面転送という関所を通して、必要なものは、行き来しています。

三つ目。βは危なくて、αは安全、という単純な見方です。どちらも、置き場所が違うだけで、それぞれに、必要な対策があります。

クラウドを使いたい、という相談が来たら、まず、どの層の端末から使うのかを聞く。それだけで、話がかなり整理されます。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。自分の団体が、αかα'かβかβ'か、どの形なのか。そして、職員の仕事の端末が、どの層に置かれているのかです。

二つ目は、層の間の関所が、何で作られているのかです。無害化は何で行っているのか、画面転送は、どんな製品や方式なのか。委託先の資料で確かめます。

三つ目。セキュリティポリシーが、いつ、どの版のガイドラインに合わせて作られたかです。2024年10月と2025年3月に改定されているので、見直しの予定も、聞いておきます。

そして四つ目。2026年4月から求められている、セキュリティの方針が、公表されているかどうかです。誰が作って、どこで見られるのか、確かめておきましょう。