上下水道局職員がセキュリティイベントで感じた見えない災害

はじめに：もし、ある日突然PCが全台沈黙したら…？

ある日突然、職場のPCが全台沈黙し、一切の業務がストップしてしまったら…？

こんにちは。普段は上下水道局で経理（財政、会計）を担当しているsoloです。ICT事務職として採用された役所の職員です。
先日年次有給休暇を利用して参加したサイバーセキュリティイベント「Security Days Fall 2025」で、改めて考えてみました。
市民の生活に不可欠な社会インフラを預かる立場として、イベントで学んだこと、そして日頃から感じている課題について、ここに書き留めておきたいと思います。

１．インシデントは「災害」。システムBCPが必要だ。

「Security Days Fall 2025」で最も衝撃的だったのが、2022年に大阪急性期・総合医療センターがランサムウェア攻撃を受け、長期間にわたり通常診療が停止した事例の報告でした。
これは、もはや単なる「事件」ではありません。業務継続に致命的な影響を及ぼす、まぎれもない「災害」です。
報告では、復旧を遅らせる要因が技術的な問題以外にも多く存在することが示されました。特に、ベンダー（保守委託業者）との契約範囲や責任の分解点が曖昧だったことが、迅速な対応を阻んだとお聞きしました。
これは、私たちの職場でも他人事ではありません。
安定稼働を優先するあまり、セキュリティパッチ（※）の適用の問い合わせに回答を数か月無視したり、適用は前提じゃないと拒否されたり、「それは契約外です」の一言で対応が滞ったりしています。そんな状況に、日々頭を悩ませています。
（※ソフトウェアの弱点を修正するプログラムのこと）

私たちの組織のBCP（事業継続計画）は、地震や水害といった物理的な災害が中心です。しかし、システムが動かなければ業務が止まることは自明なのに、サイバー攻撃による機能停止は、まだ「災害」として認識されていないため、危機管理レベルでのシステムBCPは策定されていません。サイバーセキュリティの照会回答をするたびに、もどかしかったですが、今回も同じことを思いました。

サイバー攻撃によるシステム停止も「災害」である。

この前提に立ち、具体的な復旧手順や指揮命令系統を定めたBCPを策定することが、今すぐにでも必要だと痛感しました。

２．不安しかないサプライチェーンと公開情報のリスク

先ほどのランサムウェアの事例で、攻撃の侵入経路となったのは、給食事業者のネットワークだったそうです。このように、セキュリティ対策が手薄な関連事業者（サプライチェーン）が、攻撃の入り口になるケースは後を絶ちません。

「委託先のセキュリティ意識は、本当に大丈夫だろうか？（大丈夫じゃないよね）」と私は思っています。

過去にこんな記事をも書いております。

どれくらいマズいかと言うと、「NTP（※）を設定しないリスクが、本気で伝わらないレベル」です。
（※PCやサーバーの時刻を正確に合わせる仕組み。これがズレていると、何か問題が起きた時に原因調査の記録が全く役に立たなくなります）

VPN（安全な通信路）の設定一つをとっても、本当に安全な状態が保たれているのか、常に不安がつきまといます。システムの運用・保守委託先のセキュリティレベルは、私たち自身のリスクに直結している。この認識のもと、より強い姿勢で管理していく必要があると改めて感じました。

また、「OSINT（オシント）」に関する講演も、気づきが多かったです。
OSINTとは、誰もがアクセスできる公開情報（Open Source Intelligence）を収集・分析する技術のことです。講演では、組織図や職員名簿、プレスリリース、さらにはDNS（※）といった情報が、いかに容易に収集され、攻撃のシナリオに転用されるかが実演されました。
（※インターネット上の住所録のようなもの）

私たちが良かれと思って公開している情報が、攻撃者にとっては格好の武器になる。この現実を、私たちはもっと意識しておくべきと思いました。

３．「完全防御」は幻想。「統合管理」で被害を最小化する

クラウド利用が当たり前になり、VPNの脆弱性を突かれた侵入が、ランサムウェア被害の主要因となりました。「完全に防ぐ」という発想自体が、もはや現実的ではないのかもしれません。

これからは、侵入されることを前提として、いかに被害を最小化し、いかに早く復旧するかという「サイバーレジリエンス（回復力）」の考え方が重要になります。そして、その考えは、やはり最初のテーマに繋がります。だからこそ、システム災害を想定したBCPが不可欠なのです。

また、オンプレミス（自組織で保有するサーバー）、クラウド、職員のIDなど、守るべき対象は増え続け、複雑化しています。これらをバラバラに監視・管理していては、担当者が疲弊するだけで、必ずどこかに穴が生まれます。
それぞれのセキュリティ情報を一元的に集約し、相関分析することで脅威をいち早く検知する「統合基盤」。その必要性は、もはや議論の余地がない段階に来ていると感じました。

４．まとめにかえて

今回のようなイベントに参加すると、日々の業務とは違う視点を得ることができ、思考がリフレッシュされます。
そして、最近知ったのですが、私は事務職員なのですが、一応、専門職種として採用されているそうです。障害対応だけでなく、こうした組織全体のセキュリティガバナンスを考える領域でも、一日も早くその専門性を活かせるよう、これからも学び続けていきたいと思います。長文にもかかわらず、最後までお読みいただき、ありがとうございました。