本来の事業効果が発現せずに廃止されたセキュアゾーンの整備経緯等を踏まえて、今後の政府共通プラットフォームの整備等に際して、需要の把握、各府省との調整等を適時適切に行うための手続を明確にするよう是正改善の処置を求め、及び早急な対応が求められるなどの際にも、一元的な状況把握、プロジェクト管理等を行うこととするよう意見を表示したもの

標準ガイドラインによれば、新しいサービス・業務を実現するための各プロジェクトを統括し、推進するために各府省内に設置された組織(以下「PJMO」という。)は、プロジェクトの実行に先立ち、プロジェクト計画書を作成し、その内容に従ってプロジェクトを実施することとされている。そして、プロジェクトを適切に実施し、プロジェクトの目標を達成するために、PJMOは、実施の各段階で自己点検を行い、その結果を、府省内の各プロジェクトの計画管理等を担う府省内全体管理組織(以下「PMO」という。)に送付すること、PMOは、上記自己点検を基に、ヒアリング及びレビューを行い、PJMOに指摘、助言又は指導を行うこと、IT室は、上記の自己点検及びレビューを基に、必要に応じてヒアリング等を実施し、必要な指摘、助言又は指導を行うこととされている。

標準ガイドラインによれば、IT室は、毎年度、本予算、補正予算等の内容について、本予算の概算要求にあっては当該要求時までに、本予算の政府予算案にあってはその閣議決定後速やかに、補正予算にあっては国会成立後速やかに、各府省に対して予算要求状況の資料作成を依頼するなどして調査を行い、政府情報システム関係予算の要求状況等を把握することとされている。上記のとおり、補正予算にあっては国会成立後に要求状況等を把握することとされていることについて、IT室によると、補正予算の編成は一般的に極めて短時間に行われるものであり、編成時に内容を把握することは困難であるためとしている。

また、府省の縦割り・重複を排し、無駄の徹底排除を図ることなどを目的として政府CIOが定める「情報通信技術(IT)関係施策に関する平成28年度戦略的予算重点方針」(平成27年8月内閣情報通信政策監。以下「予算重点方針」という。)等によれば、政府CIOは、予算の概算要求前に、各府省の概算要求が予算重点方針を踏まえたものとなるよう調整を行うなどとされている。そして、予算の執行段階においても、その状況を随時フォローアップし、円滑な取組の推進や改善につなげるとともに、特に、目標の達成が極めて困難な事案等が発見されたときは、速やかな改善が図られるよう、必要な措置を講ずることとされている。

総務省によると、議長指示を踏まえてセキュアゾーンを整備したとしている。一方、議長指示は、各府省においてインターネット等との分離を進める計画をまとめることを求めており、対策内容は指定していない。また、政府機関等の情報セキュリティ対策のための統一基準(平成17年12月情報セキュリティ政策会議決定。平成30年7月サイバーセキュリティ戦略本部改定)によれば、各府省が自らの責任で情報セキュリティ対策を講ずることが、セキュアゾーンの整備当時から原則となっている。したがって、政府共通PFにおけるインターネット等との分離に係る対策は、政府共通PFを整備及び運用する総務省の判断により行われるものであると認められる。

そして、当該対策としてセキュアゾーンの整備を選択する意思決定に当たっては、取り扱う情報の重要度等に応じた対策の選択肢、各対策に対する需要の規模、及び当該需要を踏まえた費用対効果を把握又は検討することが、政府情報システム関係予算の効果的な執行のために必要である。

しかし、同省に確認したところ、手続を明確に定めていなかったことなどにより、上記についての把握又は検討が十分でなく、これらを行ったことを示す資料はないとしている。

したがって、セキュアゾーンの整備を選択する意思決定過程において、需要の把握、利用規模や費用対効果の検討は十分でなかったと認められる。

政府共通PFは、政府情報システムの統合・集約化のための情報システム基盤であることから、総務省は、各府省と調整を十分に行った上で、その整備、機能追加等を実施することが不可欠であると考えられる。一方、総務省は、当該調整を行うための明確な手続を定めていない。そこで、セキュアゾーンの整備に係る総務省と各府省との調整状況をみると、次のとおりとなっていた。

総務省は、セキュアゾーンの整備に当たり、27年8月、各府省に対して事務連絡を発出するなどして、セキュアゾーンの利用希望の調査を行った。

その結果、次のとおり、2省の計4システムについて、利用希望の回答があった。

(ア)　厚生労働省が所管する3システム

(イ)　農林水産省が所管する1システム

総務省によると、利用希望調査は、短期間でセキュアゾーンの利用見込等を検討する必要から、その機能の詳細を明確にすることができない中で行ったものであったとしている。しかし、同省は、その後も各府省に対して、セキュアゾーンの機能の詳細等の必要な情報を適時に提供しておらず、2契約を締結する段階で改めて各府省の利用希望を調査することもしていなかった。また、厚生労働、農林水産両省からの利用を希望する旨の回答においても、それらの回答のみではセキュアゾーンへの需要を明確には把握できない状況であり、総務省は、両省に対して詳細を確認するなどの調整を行うべきであったのに、これを十分に行っていなかった。

したがって、上記のとおり、総務省において、セキュアゾーンの整備に係る各府省との調整は十分でなかったと認められる。

総務省は、前記の利用希望調査のほか、2契約の締結後の29年2月以降、数次にわたり全府省の利用希望を調査したものの、これらに対して利用を希望するとの回答は全くなかったとしている。さらに、第二期整備計画に基づく新たな政府共通PFにおいては、セキュアゾーンのような、情報セキュリティ水準の高い環境が必要とされる政府情報システムの運用が想定されていないことから、将来的にもセキュアゾーンが利用される可能性はなくなったとしている。

このため、総務省は、作業請負等契約については、契約期間短縮による費用削減効果を検証し、契約を継続した場合に比べて費用を削減できるとの結果が出たことから、31年3月、契約期間を2年間短縮する変更契約(変更後契約額16億6486万余円)を締結し、30年度末をもってセキュアゾーンを廃止した。なお、同省は、施設・設備賃貸借契約については、政府共通PF全体に係る契約であることなどから、セキュアゾーンの廃止後も契約を継続しており、このうちセキュアゾーン用の施設・設備について、令和2年度に予定される政府共通PFの機器の増設に活用することを検討しているところである。

したがって、セキュアゾーンは、平成29年4月の運用開始以降、政府共通PF上で運用されている政府情報システムのためのバージョンアップや重要なパッチ適用に利用されたことはあるものの、議長指示が求める機微度の高い情報を扱う部分とインターネット等との分離という本来の目的での利用実績が全くないまま廃止されたため、利用による本来の事業効果が発現していなかったと認められる。

そして、2契約に基づくセキュアゾーンに係る支払額についてみると、作業請負等契約は変更後契約額と同額の16億6486万余円(28年度から30年度まで)、施設・設備賃貸借契約のうちセキュアゾーンに係る費用相当額は2億2222万余円(28年度から令和元年6月まで)、計18億8709万余円となっていた。

総務省は、セキュアゾーンの整備については、政府共通PFへの機能追加であることから、既存の政府共通PF全体に係るプロジェクトの一部と考えて、新規にプロジェクト計画書を作成していなかった。そして、平成25年3月に運用を開始した政府共通PFも含む、標準ガイドラインの施行日である27年4月1日時点で現に実行中のプロジェクトについては、当該プロジェクトに係る政府情報システムの更改又は見直し時までにプロジェクト計画書を作成すればよいとする特例が標準ガイドラインに定められていたことなどから、同省はこの特例を適用して、政府共通PF全体のプロジェクト計画書も作成していなかった。

そして、新規のプロジェクト計画書も政府共通PF全体のプロジェクト計画書も作成されなかった結果、セキュアゾーンについては、対応するプロジェクト計画書に記載がなく、標準ガイドラインに基づくプロジェクト管理の枠組に組み込まれなかったため、PJMOである総務省行政管理局による自己点検、PMOである同省大臣官房やIT室によるヒアリング等の手続は、全く実施されていなかった。

なお、31年2月の標準ガイドライン改正以降は、新しいサービス・業務を実現するために必要な作業内容等、業務面に影響を与える全ての取組について、プロジェクト計画書に記載することとされており、セキュアゾーンのような機能追加の場合を含めて、上記の自己点検、ヒアリング等の手続が実施されることとなっている。

セキュアゾーンの整備予算は、平成27年度補正予算で措置され、翌年度に繰り越されて28年度に執行された。IT室は、標準ガイドラインに基づき、27年12月の平成27年度補正予算の閣議決定後、各府省に政府情報システム関係予算の調査を行い、総務省からセキュアゾーンを含む予算について内容や金額等の報告を受け、概要を把握していた。

しかし、IT室は、セキュアゾーンの整備が個人情報流出事案への対処として緊急に進められ、即時に実施する必要があり、十分な時間が確保できなかった事情があるものの、セキュアゾーンに係る予算について、上記予算の概要把握のほかに、同省に対して更なる調査やこれに基づく調整等を行っていなかった。

また、このような予算の調査、調整等により、政府CIO及びIT室において、前記の総務省と各府省との調整が十分でない状況を把握して、政府全体のITガバナンス体制の下、予算重点方針の考え方に基づき、速やかな改善が図られるよう必要な措置を講ずるなどしていれば、セキュアゾーンが本来の目的で利用されることなく廃止される事態を未然に防止することができた可能性がある。しかし、上記と同様、セキュアゾーンの整備が補正予算で実施され、また十分な時間が確保できなかった事情があるものの、総務省における調整状況についても十分に把握できていなかった。