2021-05-14

政府機関等の情報セキュリティ対策のための統一基準群」について

https://togetter.com/li/1714221

高木浩光氏による「デジタル庁によるnote発信における問題点の指摘」が話題になっているが、この焦点となっている

政府機関等の情報セキュリティ対策のための統一基準群」(通称統一基準群)について、誤解を前提としたブコメがあまりに多いので簡単概要説明

あくまで「統一基準群って何?」という大前提についての話で、高木氏の指摘内容自体説明しない。


原本はここ

https://www.nisc.go.jp/active/general/kijun30.html

現在令和3年度版策定中なのでこれが現行。全文が公開されている。

「群」と言われている通り、規範-指針-基準及び基準策定ガイドライン、という階層構造文書群。

専門家でなくても判るよう噛み砕いた文章にはなっているが、規定である以上正確性を担保した文章で、読み飛ばせないゆえに、全体理解には相当負荷のかかる文書群ではある。


●本文書性格

法律でも政令でもない。

但し無論根拠法存在する。法律サイバーセキュリティ基本法)において「国の行政機関等はサイバーセキュリティに関する対策基準作成しなければならない」と定められていて、「だったら個別に各機関で作るより統一基準を作ろう」という事で、内閣サイバーセキュリティ センター(NISC)が作成しているのがこの文書群。

中央省庁全てと国立行政法人の大半はこのセキュリティ基準採用していて、ITシステムの導入/運用にあたっては、この基準を守らなければならないというルール

一種公にされた内規的なものと思えばいい。

なお法令ではない以上、破っても罰則があるわけではない。(法律上の義務も「基準策定」であって「基準の遵守」ではない)

統一基準群は「基準策定ガイドライン」という文書が含まれているとおり、わりと大枠の基準。それなりの自由度が設定されていて、「これをベースラインとして現実的対策はこの基準範囲内で、各省庁(独法)で細部を定めてね」という主旨。

今回の件は(デジタル独自基準がどうなっていようと/例え実際のセキュリティ上の問題が無かろうとも)、そもそもこのベースラインの内容に反しているかダメなんじゃね?というのが高木氏の指摘。


統一基準群の実運用面(本項は私見

膨大な文書であり、かつ行政文書にしてはしばしば改定される(セキュリティ対策なので当然の話)ので内容をきっちり把握している省庁の担当者は正直あまり多くない印象。

IT専門の部署でない部局が行うITシステム調達では「セキュリティについては統一基準群に則ること」と仕様書に1行記載してすませるケースも多い。

統一基準群に基づき独自基準をきっちり策定し、基準を順守した設計となっているか目を光らせている省庁部局となると非常に限られる。(もちろん厳しい所は厳しい)

セキュリティ基準必要性は当然なのだが、ITシステムにおいて、何も言われなくても仕様書の一行に対し数百項目の対策リストを出してくるような、統一基準群と標準ガイドライン群(注)に代表される中央省庁独自規則精通した技術者を抱える特定ベンダに(入札自体オープンで公平であっても)発注が集中してしまう実状を生んでいる一因でもある。

近年は統一基準群も標準ガイドライン群も「クラウドバイデフォルト」を原則として、外部SaaS等の利用を積極的に推奨する方向の規定にしているのだが、そもそも統一基準群を把握している担当者が少ない現状では、方針がそうなっていてもなかなか浸透しないのが実態かと思われる。

把握できてない以上意図してなくても本件のようなやらかしを踏み抜く可能性がつきまとうわけで(SaaS事業者統一基準群を守れているか、なんて回答してくれない)、そこを恐れる実務者の気持ちは分からないでもない。


(注) 標準ガイドライン

https://cio.go.jp/guides

 正式名称デジタルガバメント推進標準ガイドライン」。セキュリティ面以外のIT利活用の指針文書群。こちらも膨大な文書群で、中央省庁IT関連ルールにおいて把握が大変な点で統一基準群と双璧。

  • 素人なのでよく分からないのだけど、 国家のシステムにSaaS、つまりAWSとか?外部サービスが推奨されるというのは問題ないの? AWSやAzure、GCPが停止したら国家のシステムが停止するって...

    • まあ防衛副大臣が俺たちはイスラエルの味方です、ってTweetするような政権だからな。 まともなことできるわけないだろ。

    • ITはこれから頑張るんだから最初から中国みたいな立派なことできるわけないだろが 見守ってやれ

    • 機関銃一つまともに国産できない国でシステムを国産するほうが一億光年倍こわい

      • ライセンス生産じゃダメですかね

        • 国産機銃は廃止すべきだ(上)――製品不良で多くの自衛隊員が死傷する 2014年01月28日 https://webronza.asahi.com/politics/articles/2014012700004.html ↓ スクープ!住友重機械が機関銃生産から撤退へ...

記事への反応(ブックマークコメント)

ログイン ユーザー登録
ようこそ ゲスト さん