自治体インシデント対応のリアル｜被害を最小化する「最初の5分」とその前に知るべき3つのNG行動

正直、そう思いながら今日も業務をこなしている方、いませんか？

私もSEとしていろんな自治体の現場を見てきましたが、セキュリティ意識が低い職場なんて、ほとんど見たことがありません。みなさん、ちゃんとわかってるんです。ただ、日々の業務が忙しくて、どうしても後回しになってしまう。それが現実だと思います。

でも、一つだけ聞かせてください。

「うちの職場は大丈夫」「自分は引っかからない」、心のどこかでそう思っていませんか？

実はこの「思い込み」が、インシデントの入り口になっていることが多いんです。ベテランの職員さんが巧妙なメールに騙されたケース、「ちょっとだけ」と使った私物USBが原因で庁内に被害が広がったケース。どれも、決して他人事ではない話です。

この記事では、実際のインシデント事例をもとに、現場を見てきたSEの立場から「じゃあ、具体的に何をすればいいの？」という部分だけをお伝えします。

高価なシステムの話はしません。明日からの「習慣」と、いざというときの「最初の5分」、その二つだけです。

自治体インシデント対応のリアルな失敗

「うちは大丈夫」という“思い込み”が危ない

「セキュリティインシデント」と聞くと、どこか大きな都市や有名な企業で起こる、自分たちとは少し遠い出来事のように感じていませんか？

実は、その「うちは大丈夫」という思い込みこそが、セキュリティの一番の落とし穴になっているのかもしれないんです。

これは、心理学でいう「正常性バイアス」という心の働きが関係しています。
「自分だけは大丈夫」「まさか自分のところで」と、無意識に危険を自分ごととして捉えられなくなってしまうんですね。

しかし、現実はもっとシビアです。

地方公共団体を標的としたサイバー攻撃は、もはや日常的な脅威となっています。
J-LIS（地方公共団体情報システム機構）の報告によると、自治体システムへの不審なアクセス等は日常的に検知されており、その脅威は常に身近にあるのです。

攻撃者は、組織の大小や場所を選びません。
むしろ、「このくらいの規模なら対策が手薄かもしれない」と考えて、私たちのほんの少しの油断や心の隙を虎視眈々と狙っています。

だからこそ、まず「自分たちの職場も常に標的にされている」と認識すること。
これが、本当のセキュリティ対策のスタートラインになります。

参考：総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」等

ベテランも騙される標的型メールの手口

次に、具体的なインシデントとして最も身近なのが「標的型メール」です。

もしかしたら、「自分はITに詳しいし、怪しいメールくらい見分けられる」と思っている方もいらっしゃるかもしれません。

ただ、近年の手口は本当に巧妙になっていて、経験豊富なベテラン職員の方でさえ騙されてしまうケースが後を絶たないのが現実なんです。

その理由は、攻撃者が私たちの心理を巧みに利用してくるからです。
例えば、こんな件名のメールが届いたら、つい開いてしまいませんか？

• 「【総務課】〇月〇日付け通達の件（要返信）」
• 「住民税の算定誤りに関するお詫びと訂正」
• 「〇〇システムのパスワードがまもなく失効します」

このように、実在する部署名や、いかにもありそうな業務内容を装って送られてきます。
すると、私たちは「早く対応しなきゃ」「確認しないとまずい」という気持ちから、冷静な判断力を失い、つい添付ファイルを開いたり、リンクをクリックしてしまったりするのです。

これは、情報処理推進機構（IPA）が発表した最新の「情報セキュリティ10大脅威 2025」において、私たちのような『組織』向けの脅威として「機密情報等を狙った標的型攻撃」が第5位に挙げられており、依然として非常に深刻な脅威であることがわかります。

日々の業務に紛れ込んでくる巧妙なメールは、私たちの判断力を鈍らせる、本当に厄介な存在なのですね。

参考：情報処理推進機構（IPA）「情報セキュリティ10大脅威 2025」

「少しだけ」のUSB利用が招く最悪の事態

外部からの攻撃だけでなく、私たちの「ちょっとした行動」が、重大なインシデントにつながることもあります。

その代表例が、ルールで禁止されているUSBメモリの利用です。
「データを持ち帰って家で少し作業したい」「他の部署にデータを渡すのに便利だから」…そんな風に、悪意なくルールを少しだけ破ってしまった経験はありませんか？

この「今回だけなら大丈夫」という気持ちが、実は2つの大きなリスクを招きます。

1つ目は、ウイルス感染のリスクです。
もし自宅のパソコンがウイルスに感染していたら、そのUSBメモリはウイルスを職場に運ぶ「運び屋」になってしまいます。たった1本のUSBメモリから、庁内全体のシステムが停止する大惨事につながる可能性もゼロではありません。

2つ目は、紛失・盗難による情報漏えいのリスクです。
記憶に新しいのは、2022年に尼崎市で発生した、全市民約46万人分の個人情報が入ったUSBメモリを委託先従業員が一時紛失した事案です。幸いUSBメモリは見つかりましたが、日本中を震撼させる大きなニュースになりました。

「ルール違反はダメ」と頭ではわかっていても、「でも今回は仕方ない」と自分の行動を正当化してしまう…。
こうした心の動きを「認知的不協和」と呼ぶことがあります。

しかし、そのたった一度の「今回だけ」が、住民からの信頼を根底から揺るがし、取り返しのつかない事態を招くのです。

【あわせて読みたい】
USBや持ち出し制限の“背景”をもう少し踏み込んで整理したい方は、三層分離やLGWANの成り立ちと課題を現場目線で解説したこちらもどうぞ。

防げない？委託先からの情報漏洩リスク

ここまで、外部からの攻撃や内部のヒューマンエラーについてお話ししてきました。

でも実はもう一つ、自分たちの努力だけでは完全に防ぎきれない、見落としがちなリスクがあるんです。
それは、システム開発や給付金業務などを委託している、外部の事業者から情報が漏れてしまうリスクです。

この脅威は年々深刻化しています。
最新の「情報セキュリティ10大脅威 2025（組織向け）」では、「サプライチェーンや委託先を狙った攻撃」が、なんと第2位にまで順位を上げました。
これは、攻撃者がセキュリティの堅い自治体本体ではなく、比較的対策が手薄になりがちな関連事業者を狙うケースが増えていることを示しています。

そして、ここで絶対に忘れてはならないのが、法律上の責任です。

個人情報保護法では、個人データの取り扱いを委託した場合、その委託先が安全管理をしっかり行うよう、委託元である自治体が監督する責任があると定められています。

つまり、「委託先がやったことだから、うちは関係ない」とは、決して言えないのです。

自分たちが直接コントロールできない範囲だからこそ、契約時にセキュリティ要件を厳しく確認したり、定期的に監査を行ったりするなど、これまで以上に厳格な管理が求められます。

参考：個人情報保護委員会「個人情報の保護に関する法律」

明日からできる自治体のインシデント対策

高価なシステムより「日常の習慣」が重要

ここまでリアルなインシデントの話が続くと、「もっと高性能なセキュリティシステムを導入しないとダメなのでは？」と不安になる方もいらっしゃるかもしれませんね。

もちろん、最新の技術で組織を守ることは大切です。
ただ、それだけでは十分ではないのが現実なんです。

なぜなら、どんなに頑丈な金庫を用意しても、誰かが鍵をかけ忘れてしまったら全く意味がないからです。
実際、IBMが発表した「データ侵害のコストに関する調査2024年版」によると、調査対象のデータ侵害のうち74%で人的要因が関わっていたと報告されています。

つまり、セキュリティの問題の多くは、システムの性能ではなく、私たち「人」の行動に起因しているのです。

だからこそ私は、高価なシステムに頼り切るのではなく、職員の皆さん一人ひとりの「日常のちょっとした習慣」こそが、最も効果的で重要な対策だと考えています。

これは、労働災害に関する「ハインリッヒの法則」にも通じます。
1件の重大事故の背後には、29件の軽微な事故と、300件の「ヒヤリ・ハット（ヒヤリとしたりハッとする出来事）」が隠れている、という法則です。

私たちの職場で言えば、「宛先を間違えそうになったけど、送る直前に気づいた」といった出来事が300の「ヒヤリ・ハット」にあたります。

この小さな「ヒヤリ」を見過ごさず、日々の習慣でカバーしていくことこそが、大きな事故を防ぐ一番の近道になるのですね。

ヒューマンエラーを防ぐ「指差し確認」

それでは、具体的にどんな習慣を始めれば良いのでしょうか。

まず一つ、私がSEとして強くおすすめしたいのが、メールを送る前の「指差し確認」です。
一見すると、とてもアナログな方法に思えるかもしれません。

しかし、その効果は科学的にも証明されているんです。

毎日繰り返すメールの送信作業は、私たちの脳が「慣れた作業」として、つい無意識に処理してしまいがちです。
そこで、あえて意識的な行動を挟むことで、脳を「お休みモード」から「確認モード」に切り替えるのです。

確認する行動	働きかける感覚
目で見る	視覚
腕を伸ばし指をさす	身体感覚
「ヨシ！」と声を出す	聴覚

このように、複数の感覚を同時に使うことで、脳が活性化し、注意力が格段にアップします。

実際、旧国鉄の調査では、この「指差し確認」を行うことで、何もしない場合と比べて作業ミスが約6分の1にまで減少したという驚きの結果も出ています。

鉄道や建設といった、一つのミスが命に関わる現場で長年採用されているのも納得ですよね。

お金もかからず、今日からすぐに始められるこの習慣が、個人情報の誤送信といった重大なインシデントを防ぐ、本当に有効な一手になりますよ。

「？」を放置しない組織文化の作り方

個人の習慣とあわせて、組織全体で取り組みたいのが、「相談しやすい文化」づくりです。

「あれ？このメール、いつもと少し違うかも…」

このような些細な違和感を、決して放置せずにすぐに声に出せる環境こそが、インシデントを未然に防ぐ、または早期に発見するための鍵となります。

ただ、現実には「自分の勘違いだったら恥ずかしい」「忙しい担当者の手を煩わせるのは申し訳ない」といった心理的なハードルが、報告をためらわせてしまうことが多いですよね。

このハードルを下げるために必要なのが、専門用語でいう「心理的安全性」です。
つまり、「こんなことを報告しても、誰も怒ったり馬鹿にしたりしない」と誰もが信じられる職場のこと。

その文化を作るために、明日からできる具体的なアクションは3つあります。

1. 報告は「減点」ではなく「加点」評価に
   インシデントを報告した人を決して責めず、むしろ「よく気づいてくれた、ありがとう！」と、まずは感謝を伝える。特に管理職のこの一言が、職場の空気を作ります。
2. 相談窓口を明確にする
   「誰に言えばいいんだろう…」と迷わせないよう、「セキュリティで困ったら、まずは内線〇〇番の△△さんへ」と窓口を一本化し、常に周知しておくことが大切です。
3. 小さな成功体験を共有する
   「この前の〇〇さんの小さな気づきのおかげで、被害を防げました」といったポジティブな事例を朝礼などで共有し、「報告＝良いこと」というイメージを定着させます。

総務省のガイドラインでも、こうした報告体制の整備は自治体の責務として示されています。

IT担当者への小さな相談一本が、組織全体を救うファインプレーになるのです。

参考：総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」

被害を最小化する「最初の5分」の鉄則

どれだけ気をつけていても、残念ながらインシデントの発生を100%防ぐことはできません。

だからこそ重要になるのが、万が一インシデントが起きてしまった後の対応です。
特に、発生に気づいてからの「最初の5分」の行動が、その後の被害を天国と地獄ほどに大きく左右します。

ここで最も大切な鉄則は、たった一つ。

「何よりも優先して、定められた窓口（上司や情報システム部門）へ正直に報告する」

これに尽きます。

パニックになると、「怒られたらどうしよう」「自分で何とかできないか」と考えてしまいがちですが、その躊躇が被害を広げてしまうのです。
初動対応はスピードと正確性が命。まずは以下の内容を落ち着いて伝えることに集中してください。

報告する項目	伝える内容の例
いつ（When）	〇月〇日 〇時〇分ごろ
どこで（Where）	自分の席のパソコンで、〇〇課の共有フォルダで
誰が（Who）	私が
何を（What）	△△という件名のメールの添付ファイルを開いた
どうなった（How）	PCの画面に英語のメッセージが表示された

これは、まさに火事や救急の際に119番へ通報するのと同じです。

内閣サイバーセキュリティセンター（NISC）も、インシデント発生時は速やかな連絡・報告を第一に挙げています。

あなたからの正確な初期情報が、専門部署が動くための唯一の頼りであり、被害を最小限に食い止めるための最も重要な一歩になるのです。

絶対にやってはいけないNG行動と初動対応

「まず報告」が鉄則である一方、パニック状態で良かれと思ってやった行動が、実は原因究明の邪魔をしてしまうケースもあります。

ここでは、絶対にやってはいけない代表的なNG行動をご紹介しますね。

やりがちなNG行動	なぜNGなの？
PCを再起動・シャットダウンする	PCのメモリ上にあるウイルスの活動記録など、犯人の「足跡」が消えてしまうから。
自分でウイルス対策ソフトをかける	ウイルスを駆除すると、どんな悪さをしたかの「証拠品」がなくなり、詳細な調査ができなくなるから。
LANケーブルを抜く・Wi-Fiを切る	被害拡大を防ぐ場合もありますが、専門家が遠隔で調査する「命綱」を切ってしまうことになるため、指示があるまで触らないのが基本です。

そして、技術的なNG行動以上に、絶対にやってはいけないのが「隠蔽」です。

報告が1時間遅れるだけで、被害が庁内全体に広がってしまうこともあります。

JPCERT/CCのような専門機関も、インシデント対応では証拠の保全と迅速な情報共有を最も重視しています。

自分の判断で動く前に、まずは専門家を信じて指示を仰ぐこと。
それが、結果的にあなたと組織全体を守る最善の行動になるのです。

参考：JPCERTコーディネーションセンター (JPCERT/CC)

まとめ：最強の対策は「自分ごと」意識

ここまで、リアルなインシデント事例から、明日からできる具体的な対策までお話ししてきました。

高価なシステムを導入することも、分厚いルールブックを作ることも、もちろん大切です。
しかし、それらが本当に機能するかどうか、その最後の砦となるのは、私たち職員一人ひとりの心構えです。

セキュリティ対策は、決して情報システム部門だけの仕事ではありません。
住民の方々の暮らしや財産、時には人生そのものが記録された大切な情報を預かる、全職員の責務です。

「これは自分の仕事であり、自分の責任だ」と捉える『自分ごと』という当事者意識こそが、どんな高価なシステムにも勝る最強のセキュリティ対策なのです。

今日お話しした「指差し確認」や「些細なことでも相談する」といった小さな習慣は、決して面倒な作業ではありません。
それは、あなた自身と大切な同僚、そして何より自治体への信頼を守るための、プロフェッショナルとしての誇りある行動です。

この記事が、あなたの職場のセキュリティを「ルールだから守る」から、「信頼のために守る」へと意識を変える、小さなきっかけになれたら、これほど嬉しいことはありません。

【総まとめ】自治体のインシデント対応｜失敗のリアルと明日からできる対策