2006年度から情報セキュリティ内部監査をスタート[1]長野県伊那市

2004年度に外部監査、合併を機に内部監査をスタート

　伊那市が情報セキュリティ内部監査をスタートさせたきっかけについて、内部監査チームのリーダーである丸山敦・伊那市教育委員会高遠教育振興課長は、「旧伊那市では2004年度に情報セキュリティ外部監査を行いましたが、その後2006年3月末に旧伊那市、旧高遠町、旧長谷村の合併により新しい伊那市が誕生しました。合併前の自治体の管理体制の違いもあり、職員によってパソコンなど情報機器の扱いにはばらつきがありました。それと同時に、企業などで情報セキュリティ上の事故が多発していたことで危機感がありました」と語る。
　2006年度に情報セキュリティ内部監査に取り組むことになったが、監査チームメンバーは4人で、「まったくの素人」（丸山リーダー）だったことから、事務局を務める担当課の情報統計課から情報機器に関する知識を習得することに加え、LASDECのeラーニングによるセキュリティ研修なども行い、監査項目のチェックリストを作成しながら監査チームメンバーが独自に勉強して取り組んできたのだという。もちろん内部監査チームのメンバーは、本来業務があり内部監査はそれと並行して行わなければならなかった。

　2006年度の最初の情報セキュリティ内部監査は、高遠町総合支所総務課と市民生活部健康推進課の2課を対象に行った。その結果を振り返って丸山リーダーは、「監査の実施が年度末に近くなり、フォローアップまで2か月という短い時間でした。監査を実施してみるとプリンタに出力された書類を取りに行かない、そのプリンタも外部の人の手の届く範囲に設置されている、画面をカウンター越しに見られるような位置にPCを置いている、席を離れるときにPCを使ったまま、画面表示された状態で放置しているなど、いくつも改善点が見つかりました」と語り、苦い表情を見せる。
　何気ない行動が情報セキュリティを危うくしているということに、職員の意識が回らないというわけだ。監査では実地検査とともに、情報セキュリティ管理者である課長に対するヒアリングも行うが、課員の行動を一つひとつチェックできないという事情もあった。

2007年度は13課で監査を実施、監査チームも2倍の8人に

　こうした監査結果から、丸山リーダーをはじめとした監査チームのメンバーをはじめ、事務局である情報統計課も危機感を持った。そこで折に触れてペーパーで「セキュリティニュース」を発行し、職員に対してセキュリティ意識改革を促してきた。

　2007年度の内部監査は13課が対象となった。対象が増えたこともあり、内部監査チームも2007年10月に4人増員して8人体制に。また、「セキュリティニュース」だけではなく、事前に情報セキュリティに関するアンケート調査も行い、職員のセキュリティ意識の向上に努めた。2007年度の監査は8月にスタートしており2月末までに終了し、フォローアップ監査は3月上旬まで行った。その結果をまとめて3月19日に、酒井茂副市長に対する内部監査報告を行っている。

　2007年度の内部監査の結果は「良好」が7課、「おおむね良好」が4課、「継続して改善に取り組むべき課題がある」が2課となった。2007年度の監査について丸山リーダーは、「セキュリティニュースの発行や対象課の職員に対するアンケート調査などを行い、情報セキュリティ対策については周知徹底してきたつもりでした。しかし、実際に監査を行ってみると、これまで問題としてきたことが、一部の課では改善されていない状況がありました。一番問題なのは書類の関係で、個人情報が記載された書類がカギのかからない場所に保管されているなど、早急な改善が必要なことも見つかりました」と、職員のセキュリティ意識が浸透していない面がまだ残る。
　報告会では酒井副市長からも、「この問題に対する対策は？」という厳しい質問が飛ぶ。「庁舎内のスペースの問題もあり、指摘を受けた課では、書類の多さに比べて安全な保管場所が少ないという状況でした。庁舎のレイアウト変更などで対処していくしかありません」（丸山リーダー）と、内部監査で指摘された問題を確実に改善していく方針である。