スマートシティで都市や地域の機能やサービスを効率化・高度化するためには、さまざまなデータを活用します。適切なデータ活用のためには、サイバーセキュリティおよび住民・来訪者のプライバシー確保が必要であり、総務省は「スマートシティセキュリティガイドライン」で、ガバナンス、サービス、都市OS、アセットの4カテゴリにおけるセキュリティ対策の検討を推奨しています。
本稿では、スマートシティのセキュリティの在り方を定め、4カテゴリのなかで基礎となるガバナンスにおける、サイバーセキュリティおよびプライバシー保護対応の重要性について解説します。
サイバーセキュリティの確保
（1）サイバーセキュリティ対策の必要性
スマートシティにおいては、住民や来訪者などの活動を把握するためのセンサーやカメラといったIoT機器が設置されます。IoT機器は、情報システムと同様にさまざまな用途で活用されるデータの出所ですが、情報システムとは違った特性があります。たとえば、物理的に不特定多数が接触可能な場所に設置されたり、機器内部のソフトウェアを適切にアップデートすることが難しかったりということがあり、その結果としてサイバー攻撃のリスクが高くなります。近年では、Miraiとよばれる不正プログラムがIoT機器に侵入して感染させ、その結果感染した機器がさらなるサイバー攻撃に悪用されるといった事例も発生しています。
特に、サイバー攻撃によって都市インフラが停止した場合は、人命や経済活動への多大な影響があるため、情報漏えいに代表される情報セキュリティに加え、IoT機器に対するサイバーセキュリティ対策が重要です。
（2）スマートシティセキュリティガイドライン
総務省は、サイバーセキュリティ対策が講じられた安全・安心なスマートシティを実現するための参考として、「スマートシティセキュリティガイドライン」を策定し、公表しています。ガイドラインでは、枠組みとしてスマートシティリファレンスアーキテクチャが示されたうえで、ガバナンス、サービス、都市OS、アセットの4カテゴリでセキュリティが整理されています。
スマートシティにおいては、推進主体である地方公共団体、IoT機器を提供する事業者、サービスを提供する事業者、サービス利用者といったステークホルダーが多く、セキュリティ対策の漏れが発生しやすくなります。セキュリティにおいては、守りが弱い箇所を突かれ、データ漏えいなどのセキュリティ事故につながるため、スマートシティ全体のセキュリティ方針や対策の策定、そして管理体制の強化といったガバナンスの構築が、4カテゴリのなかでセキュリティ確保の要諦になります。
（3）スマートシティセキュリティにおけるガバナンス
ガバナンスは、スマートシティを構成する業務や情報システムについてセキュリティポリシーを策定することが出発点となります。この時点からステークホルダーを網羅的に巻き込み、実用的なセキュリティ標準や手順書を定め、そしてサービス、都市OS、アセットに必要なセキュリティ対策に落とし込んでいくことが重要です。
スマートシティにおけるセキュリティポリシーは、観光、モビリティ、防災・防犯、医療・福祉といった領域のなかから、各スマートシティが注力する領域のユースケースについてサイバーセキュリティリスクをまず明確化して、作成していくのが現実的と考えます。
さらに、セキュリティポリシーやセキュリティ標準、手順書は策定して終わりではありません。その内容を適切に実行するとともに、実施状況を点検し、見直しを定期的に行う必要があります。
プライバシー保護対応
（1）プライバシー保護の必要性
スマートシティでは、住民や来訪者の情報を集めることからプライバシーが問題となりやすく、十分に留意する必要があります。実際に、国内外において、プライバシーの懸念を払しょくできず、スマートシティの計画が撤回されたり、個々の施策の軌道修正・中止を余儀なくされたりする状況も発生しています。一方で、過剰反応する必要はなく、適切なプライバシーリスクの対応によりスマートシティの価値を向上していくことが可能です。
（2）令和3年個人情報保護法改正による影響
従来は、国、地方自治体、民間企業で、個人情報保護に関する法制度が異なっていました。国は行政機関個人情報保護法と独立行政法人等個人情報保護法、地方自治体は個人情報保護条例、民間企業は個人情報保護法でそれぞれ規定されており、個人情報の定義も異なった状態となっていました。「個人情報保護法制2000個問題」とよばれる状態です。
令和3年の個人情報保護法改正では、それぞれの法制度を個人情報保護法に一本化し、個人情報の定義が統一されました。国、地方自治体、民間企業で対応が必要となる個人情報保護の対策はまだ異なっているものの、円滑なデータ共有に向けて一歩前進したと言えます。
（3）プライバシー影響評価（PIA）の実施
プライバシー保護は、スマートシティの企画やシステムの設計段階から考慮しておくことが効果的です。それにより、サービス提供開始後のプライバシーリスクを最小限に抑えるとともに、住民や来訪者への説明責任を果たすことができます。
そのための枠組みとして、プライバシー影響評価（Privacy Impact Assessment：PIA）が挙げられます。PIAの具体的な手順としては、まずはシステムの概要図やデータフロー図などを作成し、関係者や関連システム、データの流れを整理します。その上で、プライバシーリスクを特定して、そのリスクを低減できるようにセキュリティ対策などを整理していきます。PIAは、日本においては法制化された制度ではありません。しかし、マイナンバー制度における特定個人情報保護評価など、類似の枠組みがすでにあります。この特定個人情報保護評価の評価書フォーマット（全項目評価書）を参考にPIAを実施し、その結果を基に是正していくことで、プライバシーの懸念を払しょくする一助になると考えます。
このPIAの実施も、上記の「スマートシティセキュリティガイドライン」の4カテゴリのガバナンスの内容です。サイバーセキュリティにおけるポリシー等の策定時にPIAを実施することで、サービス、都市OS、アセットのセキュリティ要求事項およびセキュリティ対策が明確になり、スマートシティにおけるサイバーセキュリティおよびプライバシーの確保に寄与します。
執筆者
KPMGコンサルティング
パートナー 万仲 隆之
マネジャー 守屋 有晶
