令和9年7月施行の地方自治法施行規則改正が求める「自治体セキュリティ」の実務

1. 地方公共団体が講ずべき情報セキュリティ対策はなぜ細目化されるのか

令和8年4月施行の改正地方自治法により、地方公共団体が情報システムの適正な利用を図るために必要な措置を講ずることが、地方自治法上、明示的に義務付けられました。具体的な対策例は「地方公共団体における情報セキュリティポリシーに関するガイドライン」（以下、地方公共団体ポリシーガイドライン）に示されていますが、記載されている情報セキュリティ対策の中には、重要であるにもかかわらず、実施率が低い項⽬があると総務省から指摘されています。^ⅰ

こうした状況を踏まえ、令和9年7月に施行される地方自治法施行規則改正^ⅱでは、情報システムの適正な利用を図るために必要な措置が、8つの区分に整理され、具体化されます。施行規則への明記により、地方公共団体には、従来以上に組織的かつ継続的に情報セキュリティ対策を整備・運用していくことが求められます。

2. 令和9年7月施行までに自治体が点検・整備すべき情報セキュリティ対策

令和9年7月に施行される地方自治法施行規則改正では、地方公共団体が講ずべき情報セキュリティ対策として次の8つの措置が掲げられています。

1. 組織体制の整備
   
2. 適切な情報資産の分類及び管理の実施
   
3. 物理的なサイバーセキュリティに関する対策の適切な実施
   
4. 人的なサイバーセキュリティに関する対策の適切な実施
   
5. 技術的なサイバーセキュリティに関する対策の適切な実施
   
6. サイバーセキュリティに関する対策の適切な運用の実施
   
7. 適切な業務委託の実施及び外部サービス（クラウドサービス）の適切な利用
   
8. サイバーセキュリティに関する対策の適切な評価及び見直しの実施

地方公共団体はこれらの項目を理解するだけにとどまらず、以下のように自庁の規程、体制、運用が改正後の要求事項に対応できているかを確認し、不足している項目を施行前に整備することが求められます。ただし、施行時に現に存在する情報システム等及び現に実施されている業務委託については、経過措置が設けられています。

（1） 現行の規程・体制・運用の棚卸と不足項目の特定

まず必要となるのは、現行の情報セキュリティポリシー、関連規程、実施手順、組織体制、所管部署の役割分担、委託先管理の方法、監査・自己点検の実施状況などを整理し、8項目との対応関係を可視化することです。既に規程が整備されていても、規則改正で求められる基準に照らすと、記載が不十分であったり、規程はあるものの実際の運用が伴っていなかったりする場合があります。

そのため、まずは現状の棚卸を行い、対応済みの項目と、未整備または運用不足の項目を整理することが出発点となります。例として、以下のような観点から確認することが重要です。

なお、新規則には、国・他の地方公共団体の重要な情報等に影響を及ぼし得るネットワークに接続されておらず、かつ、個人情報を多量に保有していない普通地方公共団体及び公安委員会について、適用除外が設けられています。

1. 組織体制の整備：責任者や報告系統が明確になっているか
   
2. 情報資産の分類及び管理：取り扱う情報区分に応じてシステムが分類され管理されているか
   
3. 物理的セキュリティ対策：サーバやネットワーク機器等の管理が適切に行われているか
   
4. 人的セキュリティ対策：定期的な研修や訓練が実施されているか
   
5. 技術的セキュリティ対策：アクセス制御、不正アクセス・不正プログラム対策、脆弱性情報の収集、情報システム等の開発・導入・保守が適切に行われているか
   
6. セキュリティ対策の適切な運用：監視の仕組みやインシデント発生時の報告・対応フローが整備されているか、セキュリティ関係規程の遵守状況の確認がされているか
   
7. 委託先・クラウド管理：委託先に対する管理が適切に行われているか
   
8. 監査・自己点検・見直し：定期的な評価と見直しの仕組みが機能しているか

（2） 規程類や様式の見直し

不足項目を整理した後は、必要に応じて規程類や関連文書の改定を進めます。

見直しの対象としては、情報セキュリティポリシー、各種作業手順書、インシデント対応手順書、監査・自己点検項目、委託仕様書、契約条項、クラウドサービス利用時の確認事項等が考えられます。抽象的な方針を追記するのではなく、誰が、いつ、何を確認し、どのように記録し、問題があった場合にどう是正するのかまで具体化することが重要です。

特に、監視・インシデント対応や委託先・クラウド管理、監査・自己点検・見直しの領域は、規程の整備だけでなく、実際に使われる様式や手順まで含めて整備しなければ、運用に定着しにくい点に留意が必要です。

（3） 情報セキュリティ対策の運用整備

規則改正への対応は、規程改定だけで完結するものではなく、物理的・人的・技術的な情報セキュリティ対策が、日常の運用で機能していることが重要です。例えば、入退室管理、研修や訓練の実施、アクセス権限の設定や見直し、不正プログラム対策、ログの確認等は、継続的に実施されているかが問われます。

このため、規則改正の施行までに対応計画を策定する際には、規程改定と並行して、技術的対策の実装状況、運用の記録方法、確認頻度等を整理し、実施可能な運用に落とし込むことが重要です。

（4） 監査・自己点検の実施

規則改正では、施行日までに規程を整えるだけでなく、施行後に監査・自己点検及び見直しを適切に実施できるよう、施行前から試行的な監査や自己点検を行い、課題を把握しておくことが望まれます。

（5） サプライチェーン・リスク対策や脆弱性診断の活用検討

上記に加えて、地方自治法施行規則改正省令の公布通知^ⅲでは、情報システム等のサプライチェーン・リスク対策の実施と、すべての地方公共団体が利用可能な脆弱性診断システムの活用検討が別紙に記載されています。情報システムの開発・導入・保守、機器・ソフトウェアの調達、業務委託、再委託及びクラウドサービスの利用を通じて生じるサプライチェーン・リスクを確認する必要があります。^ⅳ省令公布通知の別紙2では、サイバーセキュリティに関する情報収集及び技術的対策を支援する観点から、地方公共団体が利用可能な脆弱性診断システムが示されています。

3. デロイト トーマツが提供する地方公共団体向け支援

私たちは、この地方自治法施行規則改正を地方公共団体が情報セキュリティを強化する好機と捉え、地方公共団体特有のガイドラインを踏まえた支援を提供します。支援内容は、以下の3つです。現状評価から規程整備・改善対応支援、職員への定着までを一貫して支援します。

（1）現状評価：監査・評価支援

• 情報セキュリティ監査
  
• 内部監査支援
  
• 情報セキュリティポリシー準拠性監査

「地方公共団体における情報セキュリティ監査に関するガイドライン」に準拠した外部監査や内部監査の支援、また情報セキュリティポリシーに対する「地方公共団体における情報セキュリティポリシーに関するガイドライン」及び令和9年7月施行の改正地方自治法施行規則への準拠性監査を実施し、専門家の視点から課題を評価したうえで、実効性のある改善策を提言します。

（2）改善対応支援

• 監査実施後の改善対応アドバイザリー業務
  
• 規程類の見直し支援

多数の地方公共団体案件に関わってきた経験を活用し、監査における発見事項の改善対応に関するアドバイザリー業務や、規程類の見直しの支援を行います。

（3）職員への定着：研修支援

• 管理者向け研修
  
• 実務者向け研修

組織全体で情報セキュリティ強化に取り組む体制を構築するため、階層別の教育プログラムを提供します。管理者向けには改正地方自治法に基づく法的義務と求められるガバナンスのあり方を、実務者向けには最新のガイドラインに基づく研修資料の作成や研修実施を支援します。

ⅰ地方公共団体における情報セキュリティポリシーに関するガイドラインの改定等に係る検討会(第22回)資料6「地方公共団体が講ずべき サイバーセキュリティ対策の細目化について（令和８年６月８日 総務省⾃治⾏政局住⺠制度課 サイバーセキュリティ対策室）」https://www.soumu.go.jp/main_content/001080818.pdf
ⅱ「地方自治法施行規則の一部を改正する省令（令和８年総務省令第八十号）（令和８年６月２６日　総務省）」
https://www.soumu.go.jp/main_content/001080829.pdf
ⅲ「地方自治法施行規則の一部を改正する省令の公布等について（通知）（令和８年６月２６日 総務省自治行政局長）」
https://www.soumu.go.jp/main_content/001080538.pdf
ⅳサプライチェーン・リスク対策に関しては、令和８年７月に選定基準及び仕様書等の詳細について、下記の手引書に策定されました。
「「地方公共団体の機器等の調達におけるサプライチェーン・リスク対策のための 選定基準及び仕様書策定手引書」について（通知）（令和８年６月２６日 総務省自治行政局住民制度課）」
https://www.soumu.go.jp/main_content/001086609.pdf
「地方公共団体の機器等の調達におけるサプライチェーン・リスク対策のための選定基準及び仕様書策定手引書（令和８年７月 総務省）」
https://www.soumu.go.jp/main_content/001086610.pdf