自治体DXをリードする渋谷区、クラウドサービスのセキュリティ評価標準化で属人化解消と業務効率化を実現

松井様：
渋谷区では庁内のDX推進に伴い、各部各課から「クラウドサービスを利用したい」「導入したい」といった相談や依頼が近年増えておりました。ICTセンターでは庁内のセキュリティチェックを担当しているのですが、クラウドサービス導入に伴う利用申請対応やセキュリティチェックの負荷が年々増えている状況でした。

特に、セキュリティチェックに関しては、クラウドサービスを提供する事業者に対して個別に調査依頼を行っていましたが、回答内容の確認や追加質問、また所管課への確認などにも時間がかかったりと、確認作業の負荷が増えていたことが課題のひとつとしてありました。

また、確認の度合いも担当者の知識や経験に依存しており、さらにICTセンター内の複数チームで異なるチェックシートを用いていたりと、属人的な確認とセキュリティチェックの判断基準のばらつきも課題としてありました。
そのため、仮に同じクラウドサービスのセキュリティチェックを行ったとしても、担当チームや担当者によって確認項目や確認レベルに差が生じてしまいかねない状況でした。

そこで、渋谷区として目指した姿が、誰が担当しても一定水準で確認できる仕組みでした。チェック項目を共通化し、セキュリティチェックの確認判断をひとつのセキュリティ担当チームに集約することで、業務改善を図っていこうというのが、Assuredクラウド評価導入のキッカケでした。

渋谷区 ICTセンター
松井様

松井様：
2024年頃より、クラウドサービスのセキュリティチェック方法について見直しを進めていた中で、Assuredクラウド評価が候補に挙がり、情報収集を進めていきました。そして、Assured社との打ち合わせを進めていき、セキュリティチェックを標準化する手段として導入の可能性を検討していました。

導入決定の後押しとなった要因のひとつが、GovTech東京が東京都や都内区市町村と連携し、業務等で利用するデジタルツール等の調達を実施する共同調達事業において、Assured社のソリューションが共同調達の対象となったことでした。

もちろん、共同調達だから安全性が保証されるというわけではありませんが、東京都の一定の管理プロセスを経たサービスとして庁内説明が行いやすく、また費用面や予算説明の観点からも導入しやすい環境が整ったため、2025年よりAssuredクラウド評価を導入するということに至りました。

坂巻様：
新規クラウドサービス導入時のセキュリティ確認にAssuredクラウド評価を活用している他、庁内利用のサービスだけではなく、小学校や中学校の教育ICT基盤で利用するクラウドサービスにおいても、Assuredクラウド評価を用いてセキュリティ評価を行っています。

流れとしては、所管課の方からクラウドサービスの利用申請や変更管理の申請を受け、
ICTセンターで内容を確認した上でAssuredクラウド評価へ調査依頼を出す形です。
そして、Assuredクラウド評価からの調査レポートをもとに、ICTセンターの
セキュリティ担当チームにて最終的な導入可否の判断・対応を行っています。

Assuredクラウド評価のレポートは、事業者側からの回答をそのまままとめるのではなく、回答の矛盾点や質問の意図と違う回答に関して再度Assured側で事業者に対して追加確認を行い、回答内容を適切な状態に整理した上でレポートとしてお戻しいただけるため、
工数削減はもちろん、最終的な評価のための意思決定が行いやすく、大変助かっております。

渋谷区 ICTセンター
坂巻様

坂巻様：
従来とはクラウド評価のフローが変わるということで、たとえば所管課から事前にどんな情報をもらうべきか、また事業者に対する説明は誰がいつやるのかといった役割分担の見直しが必要でした。

また、渋谷区に限らず、各自治体ごとに決められた業務プロセスがあると思うのですが、その業務プロセスにいかにAssuredクラウド評価を組み込むか、またひとつのセキュリティ担当チームに集約する形にどう落とし込むかなど、細かな運用フローの整理が必要でした。

しかし、Assured社によるオンボーディング支援があり、審査基準をどうすべきかといったことまで伴走して支援いただけたため、運用開始まで比較的スムーズに進められたと感じています。
そして、運用を円滑に開始するために所管課に対して事前に共有を行い、また所管課の方から事業者側へAssuredクラウド評価による調査を行うことを伝えてもらうなど、事前周知も運用開始のポイントであったと感じています。

坂巻様：
導入以前はチームごとに独自のチェックシートがある状況でしたが、現在はAssuredクラウド評価によってチェック項目が統一化されたことが大きな変化です。

そして、以前までは事業者への質問や追加確認等も担当者の知識や経験に依存していましたが、最新のセキュリティ動向に対応した第三者機関による客観的な調査・評価により、属人性が解消され、セキュリティチェックのレベルが向上したことも変化のひとつ。
個人の経験やノウハウに依存しない運用になったことで、セキュリティ評価の標準化が実現でき、担当者の異動や引き継ぎがあった場合でも、一貫性のあるセキュリティ評価が可能になりました。

また、導入以前はチェックシートの送付から回答内容の確認、さらに内容に応じて追加質問を行うなど、事業者側とのコミュニケーションを繰り返し行う必要がありました。
しかし、そうした事業者に対する一次調査をAssuredクラウド評価に一任できるようになったことで、ICTセンターとしては事業者とのコミュニケーションコストを大幅に削減できたことも大きな変化です。評価業務に伴う負荷が軽減できたことで、最終的な導入可否の判断など本来注力すべき部分に時間を割きやすくなり、ICTセンターの生産性向上に寄与していると実感しています。

坂巻様：
DX化を推進していく上で、クラウドサービスの利用は必要不可欠と言えるでしょう。今後も増え続けるクラウドサービスの利用拡大に対応する上で、Assuredクラウド評価によって効率的で標準化されたチェック体制を構築できたことは、とてもありがたく思っています。

また、私たちが抱えていた課題のように、担当者の経験に依存したり、人事異動に左右されやすいといったことは、比較的どの自治体でも共通して抱えている課題のひとつではないかと思っています。
一方で、すべてを一度に整備しようとするのは負荷が大きいと思うので、まずは現状のクラウド評価がどう行われているのかを整理し、担当者ごとに判断を委ねている部分を少しずつ減らしていき、チェック項目や審査基準の標準化を進めていくのがよいだろうと感じています。

渋谷区においても運用は始まっているものの、まだまだ今後も改善が必要な段階。しかし、こうしたプロジェクトはまずは小さく始めて、運用しながら改善をしていくことで前に進めていけると思っています。
今後も改善を積み重ねていき、より効率的で一貫したクラウド評価の実現を目指していきたいと考えております。