＜背景＞

自治体におけるデータ管理の重要性が高まっています。特に2019年に発覚した神奈川県のHDD不正転売事件では、納税記録を含む個人情報が適切に消去されず流出するという重大な問題が発生しました。この事件を受け、2020年12月のガイドライン改定では、自治体におけるデータの適切な消去が強く求められるようになりました。しかし、それから約4年が経過した現在、自治体のデータ管理体制はどの程度強化されたのでしょうか。ガイドライン改定によって対策が進んだ自治体がある一方で、依然として不要データの適切な消去が徹底されていないケースも考えられます。HDDのフォーマットのみで運用を続ける自治体や、データ消去に関する明確なルールが十分に整備されていない自治体も少なくないかもしれません。また、近年はサイバー攻撃対策の重要性が高まっていますが、それ以前の問題として、日々の業務で発生する不要データの適切な処理を徹底することも、情報漏えいを防ぐうえで欠かせない要素となっています。

そこで、株式会社創朋は、地方自治体のデータ管理・セキュリティ対策に携わっている職員を対象に「地方自治体におけるデータ管理に関する実態調査」を実施しました。

＜調査サマリー＞

・地方自治体でデータ管理・セキュリティ対策に携わっている職員の4割以上が、2020年12月の情報セキュリティポリシーに関するガイドライン改定の内容を知らない

・地方自治体でデータ管理・セキュリティ対策に携わっている職員の2割以上が、HDDやSSDなどの記録媒体は、フォーマットするだけでは容易にデータが復元できてしまうことを知らない

・個人情報の消去方法に関するルールが明確に定められており、全職員がそれを遵守している地方自治体の割合は約50％

・地方自治体で行われている、個人情報の消去の方法トップ3は、1位「外部業者へ委託して消去」、2位「物理破壊装置を使用して記録媒体を物理破壊」、3位「PCなどで手動で消去」

・地方自治体でデータ管理・セキュリティ対策に携わっている職員の8割以上が、勤め先である地方自治体の、現在のデータセキュリティについて、課題を感じている

・地方自治体で現在行われている主なデータセキュリティの強化策は「職員向けのデータセキュリティ研修の強化」や「HDD/SSDなどの記録媒体に対する物理破壊や上書き消去の実施」

＜調査概要＞

調査期間：2025年3月11日～3月19日

調査方法：インターネット調査

調査対象： 地方自治体のデータ管理・セキュリティ対策に携わっている職員（30代～50代の男女）

調査人数：330名

モニター提供元：RCリサーチデータ 

まず、「2020年12月の情報セキュリティポリシーに関するガイドライン改定の内容を知っているか」を尋ねる設問への回答では、1位が「知っている」で56.1％、2位が「改定があったことを知っているが、内容は知らない」で29.7％、3位が「知らない」で14.2％という結果になりました。この結果から、地方自治体でデータ管理・セキュリティ対策に携わっている職員の4割以上が、2020年12月の情報セキュリティポリシーに関するガイドライン改定の内容を知らないことが明らかになりました。

次に、「HDDやSSDなどの記録媒体は、フォーマットするだけでは容易にデータが復元できてしまうことを知っているか」を問う設問への回答では、「知っている」が78.8％、「知らなかった」が21.2%という結果になりました。この結果から、地方自治体でデータ管理・セキュリティ対策に携わっている職員の2割以上が、HDDやSSDなどの記録媒体は、フォーマットするだけでは容易にデータが復元できてしまうことを知らないことが明らかになりました。

続いて、「あなたが勤める地方自治体では、個人情報の消去方法に関するルールは明確に定められているか」を尋ねる設問への回答では、1位が「明確なルールがあり、全職員が遵守している」で49.4％、2位が「ルールはあるが、職員間で徹底されていない」で29.1％、3位が「ルールはあるが、具体的な運用方法が不明確」で8.5％という結果になりました。この結果から、個人情報の消去方法に関するルールが明確に定められており、全職員がそれを遵守している地方自治体の割合は約50％であり、残り半分の地方自治体ではルールはあるものの、徹底されていなかったり、ルールの運用方法が不明確であったり、といった不備があることが判明しました。

また、「あなたが勤める地方自治体では、現在、個人情報の消去はどのような方法で行われているか。複数ある場合は最も多用されている方法」を尋ねる設問の回答では、1位が「外部業者へ委託して消去している」で24.6％、2位が「物理破壊装置を使用して記録媒体を物理破壊している」で23.6％、3位が「PCなどで手動で消去している」で23.0％という結果になりました。また、4位以降も回答率10％を超える回答が複数並ぶ形となり、この結果から、地方自治体での個人情報の消去は様々な方法で行われていることがわかりました。

また、「あなたが勤める地方自治体の、現在のデータセキュリティ（個人情報の管理や不正アクセス対策など）について、課題を感じるか」を尋ねる設問の回答では、1位が「多少の課題を感じている」で55.2％、2位が「大きな課題を感じている」で24.9％という結果になりました。1位と2位の回答を合計すると回答率80％を超える形となり、この結果から地方自治体でデータ管理・セキュリティ対策に携わっている職員の8割以上が、自身が勤める地方自治体の、現在のデータセキュリティ（個人情報の管理や不正アクセス対策など）について、課題を感じていることが明らかになりました。

調査の最後、「あなたが勤める地方自治体では、現在、データセキュリティ（個人情報の管理や不正アクセス対策など）をどのように強化しているか」を尋ねる設問への回答では、1位が「職員向けのデータセキュリティ研修を強化した」で58.5％、2位が「HDD/SSDなどの記録媒体に対して物理破壊や上書き消去を実施している」で31.2％という結果になりました。また、3位以降も回答率25％を超える回答が複数並ぶ形となり、地方自治体のデータセキュリティ強化策として行われていることは様々あることがわかりました。

 まとめ

今回の調査により、地方自治体でデータ管理・セキュリティ対策に携わっている職員の4割以上が、2020年12月の情報セキュリティポリシーに関するガイドライン改定の内容を知らず、同じく地方自治体でデータ管理・セキュリティ対策に携わっている職員の2割以上が、HDDやSSDなどの記録媒体は、フォーマットするだけでは容易にデータが復元できてしまうことを知らないことが明らかになりました。また、個人情報の消去方法に関するルールが明確に定められており、全職員がそれを遵守している地方自治体の割合は約50％であり、地方自治体で行われている、個人情報の消去の方法トップ3は、1位「外部業者へ委託して消去」、2位「物理破壊装置を使用して記録媒体を物理破壊」、3位「PCなどで手動で消去」であることがわかりました。尚、地方自治体でデータ管理・セキュリティ対策に携わっている職員の8割以上が、自身が勤める地方自治体の、現在のデータセキュリティについて、課題を感じており、地方自治体で現在行われている主なデータセキュリティの強化策は「職員向けのデータセキュリティ研修の強化」や「HDD/SSDなどの記録媒体に対する物理破壊や上書き消去の実施」であることが判明しました。

今回の調査結果から、地方自治体で行われている個人情報消去の方法の上位に「外部業者へ委託して消去している」や「物理破壊装置を使用した記録媒体を物理破壊」という回答がありました。株式会社創朋は「HDD/SSD物理破壊装置・データ消去装置レンタルサービス」を提供し、企業の情報管理を強力にサポートします。破壊したい記録媒体の種類や量に応じて最適な物理破壊装置やデータ消去装置をレンタルで提供し、安全かつ確実なデータ消去を実現します。