「足立区プライベートクラウド」を支える、エントラストの公開鍵認証基盤

各業務部門が独自に構築し肥大化したシステム・ハードウェアの統合が課題

足立区は、「システム調達コスト及び総所有コスト」の削減と「見える化・統合化・標準化」をスローガンに、区政80周年を記念する情報政策「足立区スマート・シティ・クラウド」に基づいた業務改革・システム改革を進めている。

従来のシステムでは、メインフレームをオープン化したものの、各部門で業務の数だけサーバが乱立し、端末やアプリケーションソフトを個別に導入する状態だった。

「当時は各業務部門がシステムを独自に構築していたため、ベンダーもバラバラで、データベースの統合もできず、各システムの合計で100万件近いデータ量がありました。また、物理サーバが計400台あり、区内に17箇所ある区民事務所では3種類もの端末を利用する必要がありました。これらを何とか統合して経費の削減や場所の圧縮などを行いたいという考えから、足立区では2008年から区民の視点に立った情報化を推進することを目的とした電子自治体推進計画を立て、共通基盤・ハードウェアの統合をすることにしました」(政策経営部 情報システム課 課長 秦章雄氏)

共通基盤の構築にあたっては、足立区が主導的な役割を果たすことで、導入及び運用コストの削減を図った。従来のシステム構築においては、ブラックボックス化が進みSIベンダーに頼らざるをえない状況だったが、SIベンダーは自治体業務に精通していないため、システムの都合に業務をあわせる結果となっていた。

「できあがったシステムは職員が使いこなせず、5年に一度システムを更改し、機器を購入し続けていました。そのため、ノウハウの蓄積もできず、コストもかかっていました。また、システム構築の見積もりでは、SIベンダーの情報処理技術者(SE)の工数は人月制でスキルが高い人も低い人も関係なくまとめて請求されることや、設計ミスからくる構築期間の延期などにより、導入コストの高騰を招いていました。そこで、足立区では、使い勝手がよく、どのベンダーのアプリケーションでも動く共通基盤を低コストで構築するため、自治体自らがシステムを設計、詳細なシステム要件を提示して導入コストの削減を図り、業務プロセス管理を取り入れるなどの工夫をしました」と、同課 システム最適化担当係長 保志野広氏は、コスト削減の取り組みについて語る。

こうした経緯を経てクラウド型のシステム設計が始まったが、システムの利便性を高めるために、利用者がいつでもどこからでもインターネット経由でシステムにアクセスできるようにすることが求められていた。

また、足立区では約67万人という膨大な区民の個人情報を扱っており、クラウド型のシステム構築にあたってはセキュリティの堅牢性も求められている。民間では低コストの外注先を見つけて業務を外部委託することも可能だが、区民の個人情報を扱う行政では万が一のことを考えると外注することもできず、プライベートクラウドを構築することは必須だった。

PKI認証局を自前で設置

そこで、足立区では、区民生活の向上に役立つシステムを構築するため、内部業務系、学校教育系、住民情報系の3つの分野を載せる共通基盤で構成されるクラウド型共通基盤「足立区プライベートクラウド」の構築を2012年4月より開始した。構築にあたっては、クラウドによる情報セキュリティを担保するため、公開鍵暗号基盤(PKI)を利用した認証局を自前で作り、すべての行政サービスの利用において相互認証技術を取り入れた信頼できるサービス環境を確立している。PKI認証局を開設して証明書を発行し配布することで、本人以外の第三者による利用・侵入を防ぐことができる。また、証明書に含まれている鍵を利用することで通信内容を暗号化でき、情報漏えいを防止することが可能だ。

PKIを採用した経緯について、同課 CTO/CSO補佐 浦山清治氏は次のように語る。

「足立区の3つの共通基盤は様々な場所から(教)職員や区民が利用しますが、それはどこからでもアクセスできることを意味します。多数の利用者が存在するクラウドシステムにおいて権限を有している正当なアクセスのみを許可することで、様々な外部からのサイバー攻撃や内部からの情報漏えいを防ぎ、セキュリティを高めることができると考えました。それには、ログインを始めとする全てのセッションで本人とサーバ間での相互認証が求められるPKIが最適だったため、PKIを採用しました」

PKIの認証局を設置する場合には、発行する証明書の識別コードを取得する必要があるが、識別コードの取得は自治体初の試みだ。そのような認証局の開設は、手間をかけてもセキュリティを高めようとする足立区の強い意思の現れだと言える。

また、システムの利便性については、「行政サービスを受ける際の身分証明書として住民基本台帳カード(住基カード)による方法もありますが、発行には手数料500円～800円が徴収されます。また、インターネット申請ができるといっても、携帯電話やスマートフォンからは利用できず、パソコンの所有が条件となります。それでは広く区民に利用してもらうことができません。そこで、足立区では、区民に経済的負担なく利用してもらいたいという区民重視の視点からPKI認証によるシステムを構築し、自前の携帯電話やスマートフォンを使ってシステムにアクセスできるようにしました」と、浦山氏は語る。

独自の認証局による相互認証とアクセス制御機能が充実しているEntrust製品を採用

PKI部分には「Entrust Authority」を初めとするPKIソリューションを採用し、住民認証、職員認証、教職員認証、デバイス認証などの認証書を使って行い、やり取りするデータを全て暗号化している。

「区民の個人情報を扱う以上、信頼性が高く実績があるPKI製品が必要でした。エントラスト製品は海外の主要機関にも多数採用されるなど信頼性も高く、大規模公共案件の実績があります。しかも、運用を考えた作りになっており、管理機能が充実しています。他社製品も調べましたが、他社は証明書の発行サービスしかやっていないところや、対応アプリケーションが古いことや、機能が不足しているなど、検討の俎上にのらなかった。独自に認証局をたてて相互に認証したいという我々の要望を満たすのは、日本では唯一エントラスト製品のみでした」と、浦山氏はエントラスト製品を採用した理由を語る。

また、住民情報系を扱う基幹業務基盤システムでは業務担当者のみが利用できるようにして、それ以外の第三者が勝手に利用できないようにするアクセス制御が必須ですが、このアクセス制御の点でよい製品をもっているのがエントラストだったと、採用した理由を説明する。

区内の小中学校108校で教職員3,800名が利用する足立区プライベートクラウドの学校教育基盤システムについては既に2012年9月から稼働を始めており、内部業務基盤システムも一部稼働している。2015年には、マイナンバー(社会保障・税番号制度)に対応できる住民情報の基幹業務基盤システムが稼働予定だ。

他の自治体に共通基盤を提供し、共同利用を促進したい

今後、足立区では、他の自治体に共通基盤を提供して共同利用を促進するとともに、災害対策としてデータを相互に持ち合い、災害時に罹災証明書などの発行を迅速に行えるようにする予定だという。

「今後は他の自治体とお互いにバックアップを持ち合い、民間に頼らないBCP対策を進めていく計画を立てています。現在、ある政令指定都市とも協議を進めており、近い将来、現実のものになると考えています」(秦氏)

業務改革、システム改革を同時に進めてクラウド環境を構築した足立区の取り組みは、他の自治体からも注目されており、講演の依頼が相次いでいるという。「このような動きが他の自治体にも広がるように、自治体が主導的にシステムを構築する方法やPKI含めたクラウド環境に関するナレッジを広めていくつもりです。エントラストには今後もセキュアーな認証基盤を提供し続けて欲しいと思います」と、保志野氏は今後の展望とエントラストへの期待について語り、締めくくった。

足立区

東京23区の北東部に位置する足立区は、運輸業の事業所数が都内で第1位であり、その数は2,400を数え、足立トラックターミナルを中心に東京に出入りする物流の一大中継基地を形成している。江戸時代には日光街道と奥州街道の第1宿「千住宿」があり、現在もその風情が残っている。

同区は1963年から汎用コンピューターを導入するなど以前からIT投資に積極的で、現在も東京都の中では情報化はトップクラスである。総人口666,450人、総世帯数317,916であり、23区で第5位の人口となっている(ともに2010年4月1日現在)。

世界標準のEntrust! 導入事例と技術概要をご紹介

ご覧いただいたとおり、Entrustの認証技術は、各国の行政システムや銀行システムをはじめ、さまざまな地域、さまざまな分野で導入が進んでいます。

本稿ではごく一部しかご紹介できませんでした、事例の一部と技術の概要をまとめたPDFもご用意いたしました。

以下のリンクからダウンロードできますので、ぜひとも製品選びの参考資料としてお役立てください。

⇒ PDFダウンロード