【令和8年最新解説】改正地方自治法と新ガイドラインが求める「自治体セキュリティ」の実務

1. 改正地方自治法と総務大臣指針で何が変わったのか

令和7年4月に通知された「総務大臣指針」は、令和8年4月1日に施行された改正地方自治法において、自治体が守るべき情報セキュリティの規範です。地方自治法改正により、地方公共団体はサイバーセキュリティの確保など、情報システムの適正な利用を図るために必要な措置を講じる義務を負うこととなりました。これに伴い、地方公共団体は大臣指針に沿って情報セキュリティポリシー（基本方針）を策定する必要があります。  

総務省「地方公共団体における情報セキュリティポリシーに関するガイドラインの改定等に係る検討会(第17回)」資料３より抜粋ⁱⁱ

2. 新ガイドラインで求められる具体的な実務対応

令和8年3月27日に改定された総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」（以下、地方公共団体ポリシーガイドライン）では、近年の脅威動向を踏まえた具体的な対策が追加・更新されました。特に、実務上は次の２点が重要です。

(1) データ消去証明の確認プロセスの明確化

機器のリユースやコスト等の課題を踏まえ、物理破壊以外の手法である高度な論理消去等の許容範囲が拡大されました。一方で、その場合には消去証明の妥当性確認プロセスを適切に実施する必要があります。

(2) インフラ基盤防御の高度化

DNS（Domain Name System）ⁱⁱⁱへの攻撃対策の強化や、USBメモリ等の外部記録媒体利用に関する管理方法の厳格化など、「政府機関等の対策基準策定のためのガイドライン」との整合を図る形で対策が追記されています。

3. 実効性を担保する鍵は情報セキュリティ監査にある

総務大臣指針では、サイバーセキュリティ方針の実効性を確保するには、PDCAサイクルを繰り返すとともに、PDCAサイクルの有効性の確認のために監査・自己点検を活用し、情報セキュリティ対策を不断に強化し続けることが不可欠であることが記載されています。中でも外部監査は、独立的な立場にあり、かつ専門知識を有する専門家が検証することから、内部監査や自己点検に比べて客観性、専門性等の点で優れています。 

総務省「地方公共団体における情報セキュリティ監査に関するガイドライン（令和８年３月27日改定）」（以下、地方公共団体監査ガイドライン）において、「都道府県においては 44 団体（93.6%）、 市区町村では 745 団体（42.8%）」^ivが情報セキュリティ監査を実施していることが記載され、今後さらに情報セキュリティ監査を推進していく必要性に触れられています。

4. 外部監査人を調達する際のポイント

外部監査を実施する場合、監査の品質を担保できる委託事業者を選定することが重要です。監査の成果は、監査人の能力と経験への依存度が高く、また、委託事業者が有する実績やノウハウも重要です。監査が、単なる形式的な手続で終わるか、セキュリティ上の脅威やリスクを踏まえた手続がなされ有用な改善提案が得られるか。その分水嶺は、以下の３つの視点をもって監査人を見極められるかにかかっています。

視点1　自治体・公共分野の制度、業務、システム特性への理解があること

外部監査人には、一般的な情報セキュリティ知識だけでなく、自治体特有の制度・業務・システム構成（自治体特有のネットワーク分離・接続モデルなど）を理解していることが求められます。また、「地方公共団体ポリシーガイドライン」は国の動向も踏まえて改定がされるため、国の情報セキュリティ対策の動向にも理解がある監査人だとなおよいでしょう。それを見極めるためには、自治体の情報セキュリティ監査や情報セキュリティマネジメント支援、政府機関等の情報セキュリティ監査の実績を確認することが有用です。

視点2　クラウド、AI等の新しい技術・リスクに対応できること

公共分野でのクラウド活用においては、ISMAP制度の理解は重要であり、ISMAP制度における情報セキュリティ監査や取得支援等の実績なども、クラウド活用が進む自治体にとっては有用と考えます。さらに昨今ではAI活用も進められており、AIの活用度に応じて、AIガバナンス、AIセキュリティの知見を有する監査人を選定することが有用な場合もあるでしょう。さらに、デジタル庁が実施する政策の1つである「国・地方ネットワーク」^vでは、地方ネットワークの将来像についても検討がなされており、将来的にはゼロ・トラストセキュリティの知見を有する監査人が必要となる可能性も考えられます。

視点3　監査品質を担保する体制・登録・報告能力があること

監査の品質を確保するには、「地方公共団体監査ガイドライン」の（2.3 外部監査人の調達）を参考に、以下のような要素を検討することとなります。

• 経済産業省の「情報セキュリティサービス基準」に適合した情報セキュリティ監査サービスとして登録・掲載されているか
• 監査責任者・監査担当者の資格、経験、専門性が明確か
• 監査計画、監査手続、品質レビュー、報告書レビューの体制があるか
• 利益相反や独立性に問題がないか

また、監査においては発見された事実、リスクおよび改善提案が正しく被監査組織に伝わり、改善のアクションを起こせることが重要であり、その際には、官民問わず多くの監査実績・ノウハウを組織として有する委託先を選定することも有用です。

さらに、価格だけでなく品質面を重視した選定をする際、総合評価入札方式等の技術的要素も評価しやすい調達方法とすることも有用です。

各自治体の状況に応じて上記視点を考慮し適切な外部監査人を調達することが、法的義務となった情報セキュリティ方針の実効性を確保し、組織の情報セキュリティ水準の継続的な維持、向上につながります。

5. デロイトトーマツの情報セキュリティ関連サービス

トーマツは官公庁・金融機開・社会インフラ等に対するセキュリティ監査等の多くの実績を有しています。また、ISMAP制度における監査機関でもあり、クラウドサービスのセキュリティ監査実績も多数有しています。

トーマツは地方公共団体の情報セキュリティマネジメントをより強固なものにするためのサービスとして次のような情報セキュリティ関連サービスを提供しています。

(1) 監査・評価支援

• 情報セキュリティ監査
• 内部監査支援

「地方公共団体監査ガイドライン」に準拠した外部監査や内部監査の支援、また情報セキュリティポリシーに対する「地方公共団体ポリシーガイドライン」への準拠性監査を実施し、専門家の視点から課題を評価したうえで、実効性のある改善策を提言します。

(2) 構築・改善支援

• 監査対応実施後の改善対応アドバイザリー業務
• 規程類の見直し支援
• セキュリティマネジメント体制の構築支援

多数の地方公共団体案件に関わってきた経験を活用し、監査に対する発見事項の改善対応に対するアドバイザリー業務や、規程類の見直しの支援を行います。

(3) 研修支援

• 管理者向け研修
• 担当者向け研修

組織全体で情報セキュリティ強化に取り組む体制を構築するため、階層別の教育プログラムを提供します。管理者向けには改正地方自治法に基づく法的義務と求められるガバナンスのあり方を、実務者向けには最新のガイドラインに基づく研修資料の作成や研修実施を支援します。

i 地方自治法第２４４条の６第２項及び地方独立行政法人法第２４条の２の規定に基づきます。地方独立行政法人にも同様の法的義務があります。

ii 地方公共団体における情報セキュリティポリシーに関するガイドラインの改定等に係る検討会(第17回)資料３「サイバーセキュリティを確保するための方針の策定等に関する総務大臣指針について（令和７年３月４日 総務省自治行政局 デジタル基盤推進室）」より抜粋(令和8年6月19日アクセス)
https://www.soumu.go.jp/main_content/001001257.pdf

iii DNS（Domain Name System）とは、インターネット等のIPネットワーク上において、利用者がドメイン名やホスト名を用いてWebサイトや各種システムにアクセスできるよう、これらの名称をIPアドレス等の接続先情報に対応付けて管理する仕組みです。

iv 「地方公共団体における 情報セキュリティ監査に関する ガイドライン(令和 8 年 3 月改定)　総務省」より抜粋(令和8年6月19日アクセス)
https://www.soumu.go.jp/main_content/001064411.pdf

v デジタル庁 国・地方ネットワーク
https://www.digital.go.jp/policies/national-and-local-networks