「レベル中だから、あとで直す」の落とし穴｜デジタル庁の漏洩から考える、発注する側に必要なITの見識

「レベルは中だから、あとで直そう」。その判断が国のシステムに穴をあけたかもしれません。

今年9月にデジタル庁が運用する政府の共通システムへの不正アクセスが公表され、最大で約24.6万件の個人情報が漏れた可能性があるとされました。今日はこのニュースをきっかけに、マンチーが前から思っていたことを書かせてください。

(2026年10月26日時点の、報道されている情報をもとにしています)

何が起きたの？

報道によると事案の内容は次のとおりです。

• 対象はデジタル庁が運用する政府の共通基盤「ガバメントソリューションサービス(GSS)」です

• 漏れた可能性があるのは氏名・メールアドレス・電話番号などで、マイナンバーや口座の情報は含まれていないと説明されています

• 件数は最大で約24.6万件で、内訳はシステムを使う機関の職員などが約18.9万件、業務に関わった事業者や個人が約5.7万件です

• 原因は外部からの保守運用に使うVPN機器のすでに知られていた脆弱性でした

VPNとは外から社内のシステムに安全に入るための通り道のことです。保守のために用意していた「出入り口」の鍵が古いままだったことになります。

いちばん引っかかったこと

マンチーが引っかかったのは次の点です。

• この脆弱性は事件の前からデジタル庁が把握していたと、デジタル大臣が説明したと報じられています

• ただし脆弱性には危険度のレベル(低・中・高・緊急など)があり、これは「中」とされていたため、緊急度の高いほかの脆弱性から先に直している途中だったとのことです

• 異常は6月25日に検知されましたが公表は9月11日で、約2.5カ月かかっています

ある解説記事は「レベルは中だから後で」という判断を「人間の速度の判断」と書いていました。攻撃する側は機械の速度で動いているというのです。PHPの記事にも書きましたが、今の攻撃はとにかく速く「そのうち直そう」では間に合いません。

なおデジタル大臣が穴があった可能性を認めた点は、隠さず説明したと評価する声もあります。ここは公平に書いておきます。

それでもマンチーは正直に言って情けないと思いました。デジタル庁は国のデジタル化を引っぱるいわば司令塔です。各省庁のITの手本になるはずの場所で、すでに知られていた脆弱性が後回しになっていたのですから、ほかの省庁はどうなのかと考えてしまいます。

もう一件、10月22日に

デジタル庁は10月22日に、公式サイトで、もう一件の情報漏えいの可能性を発表しました。公式サイトの問い合わせフォームに入力された情報が、最大で13,323件漏れた可能性があるというものです。

• デジタル庁は、ウェブサイトを作る外部のクラウドサービスを、サイトの一部で使っていました

• そのサービスのクラウド環境に不正アクセスがあり、暗号化されたフォームの回答を開くための鍵も読み出されたと、サービスの事業者が説明しています

• 漏れた可能性があるのは、2021年5月から2023年3月に入力された氏名・メールアドレス・問い合わせ内容などです

• 事業者が不正アクセスを確認したのは9月30日から10月1日で、デジタル庁への報告は10月16日でした

こちらは、デジタル庁のシステムそのものではなく、外部のサービスのほうが破られた事案です。報道には「委託企業」と書くところもありますが、契約の内容も、会社の規模も、報じられていません。

マンチーが気になったのは、3年以上前に入力されたものまで、取り出せる状態だったことです。不要になった個人データは消すように、個人情報保護委員会が10月7日に求めたばかりでした。

国も動き始めてはいる

国も手をこまねいているわけではありません。

• 10月9日には国家サイバー統括室などが事業者に向けて対策を急ぐよう呼びかけ、委託先やその先の再委託先の管理を契約時だけでなく継続的に確認することを求めたと報じられています

• 経済産業省は委託先の対策を共通の基準で評価する仕組みを、2027年3月に始める準備を進めているとされています

• 経産省が「ホワイトハッカー」のチームを11月に編成し、守りにもAIを活用する方針だと報じられています

大事な動きですが、マンチーはここで立ち止まってしまいます。ルールやチームを作っても発注する側に中身を判断できる人がいなければ、守られているかどうかを確認できないからです。

なお今回の件で保守を担当した会社に責任があったのかどうかは報道では分かっていません。マンチーはそこを断定しません。

マンチーが最下流の現場で見てきたこと

マンチーはIT業界で上流工程(要件を決めて設計する仕事)を長くやってきて、官公庁のお仕事にも最下流の立ち位置で関わることがあります。

パートナーとして入ると間に会社が入るので、現場で気づいたことがあっても言うべきことが言えない場面がしょっちゅうあります。発注する側の担当者は入って年数の浅い若い方で、ITにあまり詳しくないこともあります。そういう方は組織の中での発言力もほとんどありません。そのうえ仕組みを「変える」には大変な手順と長い時間がかかるので、変えたがらない人がほとんどです。

もう一つ大変なのが、説明のための資料づくりです。ITが得意でない職員の方に説明する資料は、普段の何倍も手間がかかり、分かってもらえるまで何度も作り直すことになります。その分の時間と費用は、本来は対策そのものに使えたはずのものです。

(これはマンチーが見聞きした一般的な話で、特定の組織や個人のことではありません)

若い担当者が悪いのではなく、知識も権限もないまま責任だけを負わされていることがいちばんの問題だと思っています。だからこそ司令塔であるデジタル庁には手本になってほしいのです。手本がこの状態では下流の現場は変わりようがありません。

「大企業だから大丈夫」は、もう昭和の話

もう一つ言わせてください。官公庁には「名の通った大企業に任せれば安心」という意識が、まだ根強く残っているように見えます。

けれども、これはマンチーの見聞ですが、大手のSIerやコンサルティングファームの現場でも、実際に手を動かしているのはその会社の社員ではない外部のパートナーということが珍しくありません。看板は大手でも、作る人も守る人も、別の会社の人なのです。

とはいえ、これは「大企業はだめで、中小企業なら良い」という話ではありません。規模の大小にかかわらず、外部のサービスや会社は破られることがあると、今回の二件が示しています。

「すでに対策はしている」と言われるかもしれません。大事なのは対策をしたかどうかではなく、その対策が効いているかを、発注する側が自分で確かめられるかです。大企業か中小企業かではなく、確かめる力があるかどうかです。

お役所の皆さん、「大手だから大丈夫」は昭和の話です。実際に作業するのは誰で、その人にどんな経験があるかを、自分の目で確かめてください。

税金で払っているのだから

もう一つ、どうしても言いたいことがあります。国や自治体がシステムに払うお金は私たちの税金です。

高い金額を払うなら「この金額はなぜ必要なのか」「この対策は何を守っているのか」を発注する側が国民に説明できなければなりません。「大手だから」「いつもの会社だから」は説明になりません。

外部の専門家を信じるなと言いたいのではなく、外部の力は必要です。ただし言いなりになることと、任せたうえで確認できることはまったく別のことです。

職員の方にお願いしたいこと

職員の方を責めたいのではなく、現場の方々は忙しい中でがんばっていると思います。そのうえでお願いしたいのです。専門家になる必要はありません。ITの基本的な見識を持って次の質問ができるようになってください。

• この脆弱性の深刻度は誰が何を根拠に判断したのですか

• いつまでに直しますか。直せない場合は代わりに何をしますか

• 保守のための接続口はどこにいくつありますか

• ログ(記録)は誰がいつ見ていますか

• 委託先のその先の会社はどこですか

• 実際に作業する人は誰で、どんな経験がありますか

• 使っている外部のサービスは何で、そこにどんなデータが、いつの分まで残っていますか

この7つが聞けるだけで「分かる発注者」にぐっと近づきますし、聞かれた側も答えを用意するようになるので緊張感が変わります。

仕組みとして、国にお願いしたいこと

職員の方の心がけだけに頼っていては変わりません。

ここで、最近の数字を紹介します。IPA(情報処理推進機構)が2025年に公開した「DX動向2025」によると、日本企業の85.1%がDXを進める人材が不足していると答えていて、これはアメリカやドイツと比べて著しく高い割合です。

これは官公庁ではなく民間企業の調査です。それでも、日本は使う側に、ITの見識を持つ人が足りないことを示しています。官公庁だけを比べた国際調査は見つけられませんでしたが、同じ傾向があるとしても不思議ではありません。

ですから仕組みとして、国に二つお願いしたいのです。

一つ目は、国家公務員試験と地方公務員試験を変えてください。

国家公務員試験には、2022年度から「デジタル」区分ができました。これは情報系の専門的な素養を持つ人を採る入口で、良い動きだと思います。ただ、マンチーが見てきたのは、専門家として入った人ではなく、ITに詳しくないまま発注や管理を担当する職員です。そうした職員にも、ITの基礎とセキュリティの基本を、試験や採用後の必須研修で求めてほしいのです。

二つ目は、幹部にも3年に1回のIT試験を課してください。

運転免許には更新があり、資格にも更新があるものがあります。今回のようなことが政府の関係者の間で実際に起きているのですから、決裁をする立場の幹部こそ、ITの知識を定期的に確かめる仕組みがあって当然です。難しい試験でなくてかまいません。たとえばIPAが実施しているITパスポートや情報セキュリティマネジメント試験のような、既存の試験を基準にすることもできるはずです。

これはあくまでマンチー個人の提案です。試験を受けさせることが目的ではなく、発注する側が中身を確かめられるようになることが目的です。

民間の私たちにも同じことが言える

これは国だけの話ではありません。会社でも「詳しい人に任せているから大丈夫」と思っていませんか。前の記事に「ふさいだはずの穴は直しても戻る」と書いたとおり穴は完全にはなくなりません。だからこそ任せたあとも見る人が必要です。

まとめ

• デジタル庁の共通システムで最大約24.6万件の個人情報が漏れた可能性があります

• 原因はすでに知られていたVPNの脆弱性で、危険度のレベルが「中」とされて後回しになっていたと説明されています

• 10月22日にはデジタル庁が利用していた外部サービスが破られ、最大13,323件の問い合わせ情報が漏れた可能性も発表されました

• 国も委託先管理の強化やホワイトハッカーのチームなど動き始めています

• ただし発注する側が中身を判断できなければルールもチームも生かせません

• 国には、公務員試験へのITの導入と、幹部も3年に1回IT試験を受ける仕組みをお願いしたいです

• 「大手だから大丈夫」は昭和の話で、会社の名前ではなく実際に作業する人を確かめることが大切です

• 高いお金は税金です。言いなりにならず確認できる発注者になってください

読んでくださってありがとうございました。

(この記事は報道されている情報とマンチー個人の見聞・意見にもとづいています。事実関係は各機関の公式発表をご確認ください)

関連記事もどうぞ：
＜おすすめ記事①＞
攻撃は機械の速度で来る。「そのうち直そう」では間に合わない理由を知りたい方はこちら。

＜おすすめ記事②＞
ふさいだはずの穴は、なぜ直しても戻るのか。AIは攻撃の道具か、守りの味方かを考えたい方はこちら。

＜おすすめ記事③＞
公開された情報を、興味本位で見に行ってはいけない3つの理由を知りたい方はこちら。

#デジタル庁 #情報漏洩 #サイバー攻撃 #セキュリティ対策 #脆弱性 #行政 #税金 #公務員 #ITシステム #munchie