GMOサイバーセキュリティ byイエラエ、地方公共団体向けペネトレーションテスト・パッケージを提供開始

　GMOサイバーセキュリティ byイエラエは、「地方公共団体向けペネトレーションテスト・パッケージ」の提供を開始した。自治体の複雑なネットワーク構成（三層分離モデルなど）を熟知し、『地方公共団体における情報セキュリティポリシーに関するガイドライン』を理解したホワイトハッカーが、実際の攻撃者と同じ手法で侵入を試み検証を行うという。

　近年、地方公共団体においては、従来の強固な「三層分離モデル（αモデル）」から、クラウドサービスなどを活用する新たなモデル（α'モデルやβ/β'モデルなど）への移行が進んでいる。しかし、ネットワーク構成の変更やクラウドとの連携は、システムを複雑化させ、設定不備や運用上の死角を生む要因にもなるという。

　これらの死角は、従来の自動化された脆弱性診断ツールだけでは発見が難しく、「もし攻撃者に狙われた場合、本当に境界防御を突破されないか」「重要な情報まで到達されないか」といった現実的なリスクを測ることが不可能だとしている。

　GMOサイバーセキュリティ byイエラエは、今後、各地方公共団体が独自の予算で自律的にセキュリティ対策を講じていくフェーズへと移行する中、これまでの調査実績で培ったノウハウをパッケージ化し、実効性の高い検証メニューとして提供すると述べている。また、『地方公共団体における情報セキュリティポリシーに関するガイドライン』が改訂・高度化された際の準拠も支援することで、地方公共団体の情報セキュリティ行政へ貢献するとのことだ。

「地方公共団体向けペネトレーションテスト・パッケージ」概要

　地方公共団体運営に不可欠なシステム群に対し、実際の攻撃者目線で侵入テストなどの疑似攻撃を行う実践的なセキュリティ評価サービス。表面的な脆弱性だけでなく、「侵入・横展開・情報漏えい」につながる現実的なリスクをあぶり出すという。

同サービスが解決する地方公共団体の課題

• 波及（横展開）リスクの遮断：三層分離（α'/βモデルなど）の境界防御が突破され、インターネット接続層から総合行政ネットワーク（LGWAN）層などへ侵害される可能性がないかを検証
• 総務省ガイドライン準拠と改善：単なるリスクや課題の指摘にとどまらず、総務省『地方公共団体における情報セキュリティポリシーに関するガイドライン』や各団体の優先度を踏まえた具体的な改善策まで提示
• 設定・運用上の「人為的リスク」の特定：システムの技術的な脆弱性だけでなく、Active Directoryなどの認証基盤の運用や、導入しているSaaS・外部サービスの設定不備など、運用設計に潜むリスクを特定

選択可能な検証メニュー（一例）

　地方公共団体のシステム環境や予算に合わせて、以下のメニューなどから柔軟に組み合わせて実施可能だという。

• 三層分離モデルの適切性調査：α'モデルでのローカルブレイクアウト、β/β'モデルの侵害調査
• 認証基盤セキュリティ調査：Active Directoryなどの権限奪取・内部侵入リスク評価
• 外部侵入可能性調査：公開情報調査（OSINT）調査、VPN・ネットワーク端点などの調査
• 外部サービス・サプライチェーン調査：LGWAN-ASPや利用中SaaSやセキュリティソリューションの設定調査
• 住民サービス窓口調査：団体公式Webサイト、行政手続き、電子申請、施設予約等、「ぴったりサービス」連携などの脆弱性調査
• インフラ・閉域網調査：交通・水道などの閉域網ネットワークに対する侵入可能性の調査

【関連記事】
・香川県三豊市、アライドテレシスのSASEサービスを採用　三層分離のままクラウド活用環境を実現
・沖縄市教育委員会、ネットワーク・セキュリティをA10で刷新　総コストを3分の1に、ログイン渋滞も解決
・愛媛県新居浜市、独自の設計思想による「四層分離・分割モデル」の庁内ネットワークを構築