2026年7月7日、日本経済新聞に「三重県、USB47本でウイルス検知 漏えい問題受け全数調査」という記事が掲載された。三重県は7日、使用していたUSBメモリ47本でウイルスを検知したと発表。うち4本は無許可のアクセスだったという。
三重県が全数調査を実施した直接的なきっかけは、漏えい事件で発覚したUSBメモリのウイルス感染問題だった。漏えい事件では、海外のウイルスに感染したUSBメモリが基幹システムに接続された端末で1年近く使用されていたことが判明した。
この報道を受けて、三重県庁内で使用しているUSBメモリを自主的に全数調査した結果、47本からウイルスが検出されたという経緯である。
USBメモリを禁止すれば問題は解決するのか
総務省は今回の出来事を受け、各自治体に対し庁内で使用しているUSBメモリの実態調査と報告を要請している。このような出来事が起こると、「USBメモリを使うのは問題だ。だから廃止すべきだ」という声が高まりがちだ。しかし、今回の問題の原因は本当にUSBメモリそのものなのだろうか。単純にUSBメモリの利用をやめるだけで、再発を防ぐことができるのだろうか。
ここで、筆者がこれまでこの連載で繰り返し述べてきた「自治体のネットワーク分離」について振り返りたい。
自治体の情報セキュリティ対策の方向性が大きく転換したきっかけは、2015年6月に発覚した日本年金機構のサイバー攻撃による被害だった。約125万件に上る年金受給者の情報がサイバー攻撃によって流出したこの事態は、自治体の情報セキュリティ対策の方針に大きな影響を与えた。
この被害を契機に、自治体では「自治体情報システム強靱性向上モデル」、別名「ネットワーク分離」や「境界型防御」と呼ばれる対策が基本となった。
3つのネットワークに分離する仕組み
わかりやすく言うと、役所の中のネットワークを、
- インターネットに接続できるネットワーク
- 庁内業務のためのネットワーク
- 住民情報（住民記録や税、福祉など）を取り扱うネットワーク
の3つに分離して、互いのネットワークでの情報のやりとりを制限しているのである。
筆者が関与する自治体では、これらのネットワークを数字で管理している。具体的には、ネットワークレベル1：インターネット系、レベル2：LGWAN（総合行政ネットワーク）接続系、レベル3：個人番号系という呼称を用いている。
この数字による管理には明確な理由がある。分離されたネットワークのレベル（1、2、3）と、取り扱う情報の機密性（1、2、3）を、以下のように1対1で対応させることで、管理をより簡潔かつ効果的にしているのである。
- レベル1ネットワーク（インターネット系）→ 機密性1（広く一般に公開されている情報）
- レベル2ネットワーク（LGWAN接続系）→ 機密性2（庁内でのみ利用する情報）
- レベル3ネットワーク（個人番号系）→ 機密性3（個人情報など、機密性が最も高い情報）
それぞれのネットワークで取り扱う情報の機密性は異なる。つまり、自分が今どのネットワークにいて、どのレベルの情報を取り扱っているのかを、誰でも理解できる仕組みになっているのである。
USBメモリ問題を「レベル分け」で考え直す
今回の三重県のUSBメモリ問題を、このネットワーク分離の観点から考えてみたい。USBメモリを禁止するだけでは、根本的な解決にはならない。重要なのは、どのネットワークでどのような情報を取り扱うかを明確にし、それに応じたセキュリティ対策を講じることだ。自治体の情報セキュリティは、単なる禁止策ではなく、適切なネットワーク分離と情報管理の仕組みによって強化されるべきである。
