サイバー攻撃の有名事例から学ぶ！官公庁の契約実務と委託先対策

サイバー攻撃の有名事例を調べ、官公庁の契約や会計実務でどのような対策が必要か悩んでいませんか？

近年は自治体や公的機関が直接狙われるだけでなく、ホームページの運営やメール配信サービスなどの業務委託先が被害に遭うケースが相次いでいます。どんなに庁内の対策を固めても、発注先の管理や仕様書の定めが不十分であれば、個人情報漏洩や行政サービスの停止といった重大な事態を防げません。

この記事では、国内外で発生した代表的な被害の実態と原因をわかりやすく整理しました。さらに、特記仕様書の作成ポイントや損害賠償条項の考え方、緊急時の契約手続きまで詳しく解説します。日々の調達業務やリスク管理にぜひお役立てください。

サイバー攻撃の有名事例から学ぶ官公庁の会計実務と契約リスク

サイバー攻撃の有名事例を詳しく分析すると、官公庁における最大の弱点は、業務を発注している外部の委託先企業やサプライチェーン（取引の連鎖）にあることがわかります。庁内のネットワークをどれだけ強固に守っていても、業務の一部を請け負う民間事業者が攻撃を受ければ、行政データの流出や窓口業務の停止に直結するからです。

かつては情報システム部門だけがセキュリティを意識していればよいという風潮もありました。しかし現在では、システム開発や保守だけでなく、ホームページの運営、メール配信サービス、通知書の印刷・封入封緘、コールセンター運営、施設管理、さらには物品の調達に至るまで、あらゆる契約業務がデジタルデータと結びついています。そのため、仕様書を作成し契約を締結する会計・契約担当者こそが、過去の事例からリスクの構造を正しく理解しておく必要があります。

委託先企業の被害で自治体や官公庁の業務が停止する理由

自治体や官公庁の内部ネットワークは、インターネットから切り離されたり多重の防御壁で守られたりしており、外部から直接侵入することは容易ではありません。それにもかかわらず公的機関の被害が後を絶たないのは、業務を受託している民間企業（委託先、再委託先、再々委託先）のネットワークや管理体制に隙間が生じるケースが多いためです。

官公庁では、住民への納税通知書や健診案内の発送、各種アンケートの集計、公営住宅の管理運営など、膨大な定型業務を外部の事業者に委託しています。これらの業務を遂行するにあたり、受託業者は発注元である官公庁から住民の氏名、住所、生年月日、場合によっては口座情報やマイナンバー関連情報などの重要なデータを受け取って処理します。

もし受託業者の社内サーバーが外部からの不正アクセスを受けると、預けていた行政データがまとめて盗み出される事態となります。さらに、受託業者のシステムが暗号化されて動かなくなれば、通知書の発送や窓口での照会業務がストップし、行政サービスそのものが麻痺してしまいます。このように、発注元である官公庁自身には技術的な落ち度がなくても、契約を通じたデータの預け先が突破口になるという構造的な理由が存在します。

印刷やシステム受託会社のランサムウェア被害で起きた有名な事例

委託先企業が狙われたサイバー攻撃の有名事例として、全国の自治体や金融機関から通知書の印刷やデータ処理（BPO業務）を幅広く受託していた大手印刷会社の事案が挙げられます。2024年5月に発生したこの事案では、同社の社内サーバーやパソコンが身代金要求型ウイルスであるランサムウェアに感染し、多数の自治体や企業から預かっていた個人情報が外部に流出したことが判明しました。

この被害が社会に大きな衝撃を与えたのは、1社の受託企業が攻撃を受けただけで、発注元である数十カ所もの自治体や教育委員会、税務・年金関連の業務にまで一斉に被害が連鎖した点にあります。中には、当初の契約では想定されていなかったグループ会社や協力会社への業務連携が行われていたケースもあり、発注元の自治体が自らのデータがどこでどのように保管されているかを即座に把握できないという課題も浮き彫りになりました。

また、2026年に入ってからも同様の構造による被害は繰り返されています。2026年2月には公営住宅の指定管理者を務める企業のシステムがランサムウェア攻撃を受け、約7,200件の入居者情報が漏洩しました。さらに同年4月には、地域の情報処理サービス企業が攻撃を受けたことで、複数の自治体が委託していた健康情報や人事給与データなど合計50万件以上の情報に影響が及ぶ深刻な事案も発生しています。これらはすべて、委託契約や指定管理協定の相手方がセキュリティ侵害を受けたことで公的機関の信頼が大きく損なわれた実例です。

民間大手企業の有名事例が公共調達のサプライチェーンに与える影響

官公庁の契約実務に影響を与えるのは、データの処理や印刷を直接委託している事業者だけではありません。民間大手企業で起きたサイバー攻撃の有名事例を見ると、物品の納入や物流、インフラサービスが突然ストップすることで、公共調達の履行そのものが困難になるリスクが見えてきます。

たとえば、2024年6月には大手出版・メディア企業が大規模なランサムウェア攻撃を受け、動画配信サービスだけでなく、書籍の編集や出荷システムまで長期間にわたり機能停止に陥りました。公立図書館や学校、官公庁の資料室などでは、特定の出版物や教材の納入が大幅に遅れるなど、間接的な影響が各地に広がっています。

さらに、2025年9月から10月にかけては、大手飲料メーカーや事務用品・オフィス通販の大手企業が相次いでランサムウェアの被害に遭いました。工場の稼働停止や物流システムの暗号化により、商品の受注・出荷が全面的にストップし、全国的な配送遅延が発生しています。官公庁の現場でも、日用品や事務消耗品、災害備蓄品などを特定のカタログ通販や大手流通業者に依存している場合、こうしたシステム障害によって必要な物品が期日通りに納品されなくなる事態が実際に起こり得ます。

加えて、公立病院などの医療機関における被害も見逃せません。過去には徳島県や大阪府の公立・公的病院で電子カルテシステムがランサムウェアに感染し、長期にわたって救急搬送の受け入れや外来診療が停止した有名な事例があります。2026年4月にも市立病院で異常通信が確認され、電子カルテ等を遮断して手書き診療への切り替えを余儀なくされる事案が起きました。物品の調達から医療・福祉の現場システムまで、民間企業のシステム障害は官公庁の事業継続と表裏一体の関係にあります。

事例の類型	発生時期の目安	主な被害の内容	官公庁の会計・契約実務への影響
印刷・データ処理受託企業への攻撃	2024年5月など	納税通知や健診データ等の暗号化・外部流出	複数自治体での個人情報漏洩対応、損害賠償請求、代替業者の手配
地域システム会社・指定管理者への攻撃	2026年2月〜4月など	公営住宅入居者情報や自治体業務データの漏洩	委託先・指定管理者の管理責任追及、業務継続のための緊急措置
大手通販・物流・製造企業への攻撃	2025年9月〜10月など	受注・出荷システムの停止による全国的な物流麻痺	事務用品や備蓄品等の納期遅延、代替調達先への発注切り替え
公立病院・医療システムへの攻撃	2022年〜2026年4月など	電子カルテの停止、救急・外来診療の制限	復旧調査に係る緊急随意契約、紙運用への切り替えと診療報酬請求の遅延

サイバー攻撃の有名事例で判明した主な侵入経路と手口の特徴

過去のサイバー攻撃の有名事例を振り返ると、攻撃者がシステム内部へ侵入する経路や手口には明確な共通点が存在します。どれほど高度に見える攻撃であっても、その発端の多くは、通信機器の古い設定の放置や、人間の心理的な隙を突く誘導など、基本的な管理の抜け穴から始まっているからです。

会計や契約の担当者は、プログラミングなどの技術的な詳細まで暗記する必要はありません。しかし、仕様書で委託先に求める対策の意味を理解し、庁内での事故を防ぐためには、代表的な3つの手口とその仕組みを押さえておくことが不可欠となります。それぞれの手口がどのような経緯で被害を引き起こすのかを見ていきましょう。

データの暗号化と情報公開で脅迫するランサムウェア攻撃の仕組み

現在、企業や官公庁に最も甚大な被害をもたらしているのがランサムウェア（身代金要求型ウイルス）を用いた攻撃です。ランサムウェアとは、感染したパソコンやサーバーの中にある業務データを勝手に特殊な暗号に書き換え、一切開けない状態にしてしまう悪質なプログラムを指します。攻撃者は「データを元に戻したければ金銭を支払え」と脅迫することから、この名前が付けられました。

近年の有名な事例で特に深刻なのが、単なるデータの暗号化にとどまらない「二重恐喝（ダブルエクストーション）」と呼ばれる手口です。攻撃者はシステムに侵入した後、すぐにデータを暗号化するのではなく、まず数週間から数カ月かけてネットワーク内部をひそかに探索します。そして、管理者権限を奪い取ってバックアップデータまで破壊した上で、重要な個人情報や機密文書を外部のサーバーへ盗み出します。

その準備がすべて整った段階で一斉にデータを暗号化し、「システムを復旧するための暗号解除キーの代金」と「盗んだ個人情報をインターネット上の闇サイトに公開しないための口止め料」の二重の意味で金銭を要求してきます。仮にバックアップからシステムを自力で復旧できたとしても、盗まれた住民情報や取引先情報が公開されてしまうリスクが残るため、被害組織は極めて苦しい対応を迫られることになります。

通信機器の弱点やプログラムの欠陥を突く不正アクセスの実態

それでは、ランサムウェアなどの悪質なプログラムは一体どこから侵入してくるのでしょうか。多くの有名事例で侵入の入り口となっているのが、外部から社内ネットワークへ接続するためのVPN（仮想専用線）機器や、ホームページを動かしているプログラムの脆弱性（ぜいじゃくせい：保安上の弱点や欠陥）です。

テレワークや拠点間通信の普及に伴い、多くの事業者や自治体がネットワーク機器を設置しています。しかし、機器のメーカーから「保安上の弱点が見つかったので修正プログラムを適用してください」という案内が出ているにもかかわらず、更新作業を怠って放置しているケースが少なくありません。攻撃者は自動化された探索ツールを使って世界中の通信機器を24時間体制でスキャンし、修正されていない古い機器を見つけると、そこから社内ネットワークへとやすやすと侵入します。また、退職した従業員のIDや推測されやすい簡単なパスワードが残っていたために、正規の利用者になりすまして侵入された事例も多数報告されています。

さらに、Webサイトを構成するプログラムの欠陥も重大なリスク要因です。2026年10月には、世界中のホームページで広く使われているプログラム言語（PHP）の重大な弱点を悪用した攻撃への警戒が高まり、札幌市などの自治体や地方銀行、報道機関などが安全確認のために公式ホームページや予約・申込サービスを相次いで緊急停止する事態となりました。また、2024年末には大手航空会社や銀行、自治体のサイトに対して、大量の通信データを一斉に送りつけてシステムをパンクさせるDDoS（ディードス）攻撃が相次ぎ、飛行機の運航遅延や窓口サービスの停止を引き起こしています。

職員の心理や外部記憶媒体の隙を狙うサポート詐欺とマルウェア感染

通信機器の弱点と並んで、近年の官公庁や教育機関で急増しているのが、職員の心理的な動揺や日常業務の油断を突く手口です。どれだけ高価な防御システムを導入していても、正規のアクセス権限を持つ職員自身がだまされて操作してしまえば、セキュリティの壁は内側から簡単に崩れてしまいます。

代表的なものが「サポート詐欺」や「なりすまし電話」による被害です。2026年4月から5月にかけて、政令指定都市の区役所や公立大学において、職員が業務用パソコンでインターネットを閲覧していた際に「ウイルスに感染しました」という偽の警告画面と大音量の警告音が表示される事案が相次ぎました。焦った職員が画面に表示された連絡先に電話をかけると、サポート窓口を装った犯人から遠隔操作ソフトをインストールするよう指示され、業務用パソコンを外部から自由に操作されてしまったのです。また、同じ時期に税務当局の職員が、警察官を名乗る人物からの巧妙な電話にだまされ、指定された外部の連絡先へ業務上の個人情報を送信してしまうという事案も発生しています。

さらに、USBメモリーなどの外部記憶媒体を介した感染や紛失も依然として深刻です。過去には、業務委託先の従業員が自治体の作業室から住民情報約46万人分が入ったUSBメモリーを無断で持ち出し、飲食後に紛失した有名な事件がありました。また2026年7月には、ある県庁で庁内や出先機関にある1万個以上のUSBメモリーを緊急点検したところ、37部署の47個のUSBメモリーから悪質なプログラム（マルウェア）が検知されたと公表されています。その中には職員の私物メモリーや、迷惑メールの添付ファイルに由来するウイルスが含まれており、外部記憶媒体の厳格な管理が欠かせないことを改めて示しています。

サイバー攻撃の有名事例を踏まえた仕様書作成と契約事務の対策

サイバー攻撃の有名事例から得られる最大の教訓は、契約を結ぶ前の「仕様書作成」の段階で、実効性のあるセキュリティ要件を組み込んでおく必要があるという点です。ひとたび契約を締結してしまうと、後から追加の安全対策を委託先に義務付けるには契約変更や追加費用が必要となり、実務上の交渉が難航するからです。

官公庁の会計・契約担当者としては、「従来通りの定型文の仕様書」をそのまま使い回す習慣を見直さなければなりません。具体的にどの条項を強化し、どのように予定価格を積算し、契約後の履行確認を行えばよいのか、実務のステップに沿って整理します。

情報セキュリティ特記仕様書に盛り込むべき管理体制と再委託制限

個人情報の取り扱いや情報システムに関わる業務を委託する際は、基本契約書だけでなく、具体的な安全管理措置を定めた「情報セキュリティに関する特記仕様書」を必ず添付します。有名事例で起きたトラブルを防ぐためには、単なる抽象的な努力義務ではなく、受託者が守るべき具体的な行動基準を明記することが重要です。

特に徹底したいのが「再委託（下請けへの発注）の厳格な制限と把握」です。過去の印刷受託企業の事例でも、発注元の自治体が知らないうちにグループ会社や二次請け・三次請けの事業者へデータが渡り、そこから被害が拡大するケースが見られました。そのため、仕様書には以下の項目を明確に盛り込んでください。

・原則として第三者への再委託を禁止し、やむを得ず一部を再委託する場合は、事前に再委託先の名称、業務範囲、セキュリティ管理体制を書面で提出させ、発注者の承認を得ること（契約締結後は、委託先、再委託先の緊急連絡先名簿を提出するよう義務付ける）


・再委託先に対しても、元請け事業者と同等の情報セキュリティ義務を課し、元請け事業者が監督責任および一切の連帯責任を負うこと


・業務データを処理・保管する場所（国内のデータセンターや特定の執務室など）を特定し、事前の許可なく外部やクラウドサービスへデータを持ち出さないこと


・業務に使用するパソコンやサーバーには、未承認のソフト（遠隔操作ツール等）の導入を禁止し、通信機器の修正プログラムを常に最新の状態に保つこと


・外部記憶媒体（USBメモリー等）の使用を原則禁止とし、業務上不可欠な場合は暗号化機能付きの管理された媒体のみを台帳記録の上で使用すること


・契約終了時または業務完了時には、受託者および再委託先が保有するすべてのデータを復元不可能な方法で完全に消去し、データ消去証明書を提出すること

これらを仕様書に明文化しておくことで、入札に参加する事業者に対して「この発注案件は高度な管理体制が求められる」という明確なメッセージを与えることができます。

予定価格の積算で見落としがちなセキュリティ対策費用の計上方法

仕様書で厳しいセキュリティ要件を求める一方で、会計実務において見落とされがちなのが「予定価格の積算におけるセキュリティ対策費用の適正な反映」です。要求水準だけを高く設定し、予算や予定価格を前年度並み、あるいは過度なコストカットを前提とした金額に抑え込んでしまうと、現場で無理が生じます。

なぜなら、データの暗号化、通信の常時監視、切り離された安全なバックアップ（オフラインバックアップ）の構築、作業室の入退室管理、そして従業員への定期的な訓練には、相応の設備投資と人件費がかかるからです。もし予定価格にこれらのコストが適切に計上されていなければ、落札した事業者は利益を確保するためにセキュリティ管理の手間を省いたり、管理体制の脆弱な安価な下請け業者へ業務を丸投げしたりする誘因が働いてしまいます。

したがって、仕様書を作成する段階では、複数社から参考見積もりを徴取する際に、基本の作業費とは別に「情報セキュリティ管理費」「データ消去作業費」「バックアップ構築・保守費」などの内訳項目を明示させる工夫が有効です。適正な対価を支払うことが、結果として自庁の行政データと住民の安全を守ることにつながります。

損害賠償条項や契約解除権の明文化と履行確認のチェックリスト

どれほど慎重に仕様書を作成しても、サイバー攻撃のリスクを完全にゼロにすることはできません。そこで重要になるのが、万が一被害が発生した際の「責任の所在と損害賠償の範囲」を契約条項で明確にしておくこと、そして契約期間中に仕様書通りの管理が行われているかを点検する「履行確認」の仕組みです。

多くの民間企業間のシステム契約では、損害賠償の上限額を「当該契約の委託料相当額まで」と制限する条項が一般的です。しかし、官公庁の業務委託において数万人規模の個人情報漏洩が発生した場合、住民への謝罪文書の印刷・郵送費、専用コールセンターの設置費用、外部調査会社による原因究明（フォレンジック調査）の費用など、実際の損害額が委託料を大きく上回ることが珍しくありません。そのため、情報セキュリティ特記仕様書や契約書においては、受託者または再委託先の義務違反や管理不備によって損害が生じた場合、発注者が実際に被った損害額を請求できる旨、あるいは重大な過失がある場合には賠償上限を適用しない旨を明確に定めておく必要があります。※具体的な契約条項の策定や法的な解釈については、各自治体の法規担当部署や顧問弁護士等の窓口へ事前に確認してください。

また、契約締結後に「書類を出させて終わり」にせず、業務開始前・業務期間中・業務完了時の3つのタイミングで履行状況を確認（実際の作業現場へ出向いて確認）することが大切です。実務で使えるチェックリストを以下の表にまとめました。

確認のタイミング	点検すべき主な項目	確認方法・提出させる書類の例
業務開始前（契約締結時）	作業従事者の特定、作業場所の確定、再委託の有無、使用機器の対策状況	情報セキュリティ管理体制届、従事者名簿、誓約書、再委託承認申請書
業務期間中（定期・随時）	アクセス権限の管理状況、USB等の持ち出し有無、通信機器の更新状況	月次の管理状況報告書、アクセスログの記録確認、必要に応じた現場確認
業務完了時（契約終了時）	預託データの返還または完全消去、貸与資料の返却、成果物の安全確認	データ消去証明書（消去日時・方法・担当者・対象機器の記録）、完了届

サイバー攻撃の被害発生時における会計手続とよくある質問

自庁のシステムや委託先企業でサイバー攻撃の被害が発覚した際、現場は激しい混乱に陥ります。しかし、そのような非常時であっても、原因調査のための外部発注や、代替手段による業務継続、取引先への支払いなど、会計・契約ルールに基づいた迅速かつ適法な手続きが求められます。

被害発覚直後の初動としては、まず上司へ報告し、委託先に対して感染拡大防止のためのネットワーク遮断を指示するとともに、契約書および特記仕様書の報告義務条項に基づき、被害日時、影響範囲、漏洩の恐れがあるデータ件数について第一報を書面で提出させます。その上で、上司の指示に基づいて情報システム部門や総務部門と連携しながら、会計・契約担当者として必要な手配を進めることになります。ここでは、緊急時の実務でよく直面する3つの疑問について詳しく回答します。

緊急の調査やシステム復旧は随意契約で発注できますか

回答：緊急の必要性（感染拡大を防ぐため）があり競争入札に付す時間的余裕がない場合は、会計法令に基づく「緊急随意契約」で発注することが可能です。

サイバー攻撃を受けた直後は、どの範囲まで侵入されたのか、個人情報が外部へ送信された痕跡があるのかを調べる専門的な調査（デジタル・フォレンジック調査）や、システムの緊急復旧作業を直ちに手配しなければなりません。このとき、通常の一般競争入札のように公告期間を設けて入札を実施していては、証拠となる通信記録が消えてしまったり、感染が拡大して行政サービスの停止期間が何週間も長引いたりしてしまいます。

国の会計法（第29条の3第4項）や地方自治法施行令（第167条の2第1項第5号）では、「緊急の必要により競争入札に付することができないとき」に随意契約によることができると定められています。

会計法

第二十九条の三　（契約担当官等）は、売買、貸借、請負その他の契約を締結する場合においては、第三項及び第四項に規定する場合を除き、公告して申込みをさせることにより競争に付さなければならない。
②　（略）
④　（略）緊急の必要により競争に付することができない場合（略）は、政令の定めるところにより、随意契約によるものとする。

地方自治法施行令

第百六十七条の二
（略）
五　緊急の必要により競争入札に付することができないとき。

ただし、緊急随意契約を適用する際には、後から監査や議会で「なぜ一般競争入札にしなかったのか」「なぜその事業者を選んだのか」を厳しく問われます。そのため、以下の注意点を必ず押さえて理由書（随意契約理由書）を作成してください。

・緊急性の根拠：サイバー攻撃によるシステム停止により住民の生命・財産や日常生活にどのような重大な支障が生じているか、放置すると被害がどう拡大するかを具体的に記載する（ニュースの記事などを保管）


・業務範囲の限定：緊急随意契約で発注できるのは「当面の応急復旧や原因特定の緊急調査」など、今すぐ行わなければならない最小限の範囲に限られる。恒久的なシステム再構築や次年度の保守契約まで一括して随意契約に含めることは原則として認められない

※適用できる法令の条項や決裁区分は組織の財務規則等によって異なるため、必ず上司へ相談し確認しながら進めてください。サイバー攻撃は担当者ひとりで対応できる内容ではありません。

委託先の過失で情報漏洩が起きた場合の損害賠償請求はどう進めますか

回答：事実関係と仕様書違反の有無を調査報告書で確定させた上で、発注者側で発生した直接的・合理的な実損額を積み上げて請求手続きを進めます。

委託先企業のランサムウェア感染等によって官公庁が預けていた個人情報が漏洩した場合、まず確認すべきは「委託先に契約上または仕様書上の義務違反（過失）があったかどうか」です。たとえば、特記仕様書で「通信機器の修正プログラムを速やかに適用すること」「多要素認証を設定すること」「再委託を無断で行わないこと」と定めていたにもかかわらず、委託先がそれを怠った結果として侵入を許したのであれば、債務不履行（契約上の義務違反）としての責任を追及できます。

損害賠償を請求する実務では、「いくらの損害が発生したか」を客観的な証拠（支出金額を証明する書類、理由書など）に基づいて算定する必要があります。一般的に賠償請求の対象として検討される主な費用項目は以下の通りです。

・対象となる住民や取引先へのお詫び状・通知文書の印刷費、封筒代、郵送料、担当した職員の人件費


・住民からの問い合わせに対応する臨時コールセンターの設置委託費や通信費


・原因究明や漏洩範囲特定のために発注者側が負担した外部調査費用


・緊急対応のために職員が従事した時間外勤務手当（超過勤務手当）のうち、当該事故対応に直接要したと明確に立証できる部分


・システム停止に伴い代替手段を手配した際の追加費用

なお、金銭的な賠償請求とは別に、重大な契約違反があった場合には、取引（指名）停止措置要綱に基づく「取引停止処分」の検討や、契約の解除、さらには完了前の業務であれば委託料の減額変更などの手続きも並行して発生します。事故発覚時から、対応にかかった経費の伝票や職員の作業時間を他の通常業務と明確に区分して記録・集計しておくことが、後の交渉や債権管理を円滑に進める鍵となります。

システム停止中に支払い事務や請求書処理が滞った場合はどう対応しますか

回答：事前に定めた業務継続計画（BCP）に基づき手書き伝票や窓口払いの代替手順へ切り替えるとともに、取引先への支払遅延が生じないよう最優先で対応します。

もし官公庁自身の庁内ネットワークや財務会計システムがサイバー攻撃の影響で停止してしまった場合、支出負担行為の入力や支払命令（支出命令）の電算処理が一切できなくなります。しかし、システムが動かないからといって、民間事業者への代金支払いを無期限にストップすることは許されません。

官公庁が当事者となる契約には「政府契約の支払遅延防止等に関する法律」が適用され、適法な請求書を受理した日から所定の期間内（工事代金は40日以内、その他の給付は30日以内など）に代金を支払う義務があります。この期間を過ぎると、遅延利息の支払い義務が生じるだけでなく、地域の受注企業の資金繰りを悪化させてしまいます。

そのため、財務会計システムが停止した際には、会計担当者および指定金融機関と直ちに協議し、以下のような代替手順を発動します。

・紙の支出伝票（手書きまたはスタンドアロン環境で作成した伝票）による決裁ルートの適用


・電子データの口座振込依頼ができない場合の、磁気媒体や紙の振込依頼書による指定金融機関への持ち込み手続、または小切手・現金による窓口払いの活用


・納品検査や完了検査については、紙の納品書・完了届と現場確認によって遅滞なく実施し、検査完了日と請求書受理日を紙の台帳に正確に記録しておくこと


・システム復旧後には、停止期間中に紙で処理したすべての歳入・歳出データを漏れなく電算システムへ事後入力し、日計表や月計表との突合を行うこと

日頃から「もし今日、財務会計システムが止まったら、どの様式を使ってどう決裁を回し、指定金融機関へどうデータを渡すか」という紙運用の手順書と予備様式を手元に備えておくことが、会計担当者にとって最大の防御策となります。

サイバー攻撃の有名事例を教訓に官公庁の契約実務を見直そう

サイバー攻撃の有名事例は、決して遠い大企業や他自治体だけの出来事ではありません。デジタル化が進んだ現代の官公庁において、情報セキュリティはシステム部門だけの課題ではなく、仕様書を書き、業者を選び、履行を監督する会計・契約実務そのものの課題となっています。最後に、本記事の要点を振り返り、明日から取り組める具体的な行動を確認しましょう。

有名事例から見えてきた官公庁におけるセキュリティ管理の要点

本記事で解説してきた重要なポイントを整理します。

・官公庁に関連する被害の多くは、ホームページの運営・メール配信サービス・通知文印刷・データ処理・システム保守・施設管理などの業務委託先やサプライチェーンを経由して発生している


・大手民間企業のランサムウェア被害やDDoS攻撃は、物流の停止やシステムの麻痺を通じて、官公庁の物品調達や窓口サービスにも直接的な影響を及ぼす


・攻撃の侵入経路は、通信機器やプログラムの弱点（脆弱性）の放置、職員の心理を突くサポート詐欺、USBメモリーなどの外部記憶媒体の管理不備に集中している


・被害を防ぎ影響を最小化するには、情報セキュリティ特記仕様書による再委託制限や管理基準の明確化、適正なセキュリティ費用の積算、損害賠償条項の整備が不可欠である


・万が一の被害発生時には、すぐに上司と相談し、緊急随意契約の要件を正しく理解して初動調査を手配し、紙伝票への切り替えなどによって支払い事務や行政サービスを継続する備えが求められる

明日からすぐに実践できる仕様書点検と委託先管理のアクション

過去の事例を単なる知識で終わらせず、実務の安全性を高めるために、まずは次の3つのステップから行動を始めてみてください。

1つ目は、現在担当している委託契約の「情報セキュリティ特記仕様書」を見直すことです。何年も前に作られた定型文がそのまま使われていないかを確認し、再委託の事前承認、通信機器の最新化、データの完全消去証明書の提出などが明確に義務付けられているかを点検しましょう。

2つ目は、現在進行中の契約における「実際の作業場所と再委託状況の棚卸し」です。特に住民の個人情報や重要な業務データを預けている案件について、受託業者が申請通りの場所で作業しているか、無断でグループ会社や外部業者へデータを渡していないか、書面だけでなく現場を確認してください。

3つ目は、緊急時の「連絡体制と代替手順の確認」です。委託先で異常が検知された際の24時間連絡先が共有されているか、また庁内のシステムが停止した際に使用する紙の伝票様式や緊急随意契約の決裁ルートがどうなっているかを、平時のうちに職場内で上司と一緒に確認しておきましょう。日々の丁寧な契約管理と事前の備えこそが、住民の信頼と行政サービスを守る最も確実な力になります。