「結局、デジタル庁は寄せ集め集団なんです」
そう語るのは、多くの自治体のDX化などを手がける、電子政府・電子自治体のスペシャリストの川口弘行氏（55）だ。
10月22日、デジタル庁はホームページの運営に利用していた外部サービスが不正アクセスを受けたと発表した。こちらで漏えいの恐れがある情報は、意見や要望、接種証明書アプリに関する問い合わせフォームに入力した人の情報だという。
今回とは不正アクセスを受けたシステムは異なるが、9月11日、各府省庁が仕事で使う共通のシステム「ガバメントソリューションサービス（GSS）」が攻撃されたばかり。
職員や業務関係者らの個人情報約24万6千件が漏えいした可能性があるという。行政の情報システムに詳しい川口氏は立て続けに起こった不祥事に対し、厳しい目を向ける。
「デジタル庁は攻撃前から、外部からネットワークに接続するためのVPN機器の弱点を把握していました。当初の危険度評価は『中』です。同庁によれば、その評価に照らして通常より早く対処を進めたものの、機器に修正プログラムを適用する前に侵入を許したということです」（川口氏、以下同）
同庁の対応の遅れをそう指摘すると、同氏はさらにこう続ける。
「攻撃者がAIを使ってシステムへの侵入口をしらみつぶしに探すようになったいま、保守担当者が使う出入り口なら見つかりにくいという考えは通用しません」
デジタル庁が異変に気がついたのは6月25日のことだ。保守運用担当者のアカウントから大量のファイルにアクセスした形跡を検知したという。
その後、7月9日に不正侵入が判明し、同庁はその日のうちにアカウントを停止して、侵入に使われた機器と外部との通信を遮断した。しかし、不審なアクセスの検知から公表までは約2カ月半もの時間を要している。
「同庁は、『侵入経路の分析や、どの情報が誰のものかを特定する作業に時間を要した』と説明しています。しかし、セキュリティ対策を急ぐべきだと現場が判断したとき、その声は責任者に届くのでしょうか。きちんと届いていたのであれば、このような攻撃は防ぐことができたはずです」
