Security Check System
簡易セキュリティ検査システムを開発
URLを入れるだけで、AIがサイトの脆弱性を無料診断 — 元国会議員のAIエンジニアが開発
公開｜開発・解説：村井宗明（元文部科学大臣政務官・AIエンジニア「らむね」）
動画・システムの概要
URLを入力するだけで、AIがサイトのセキュリティ設定を診断し、設定ごとの○×判定と強化のための対策を説明してくれる「簡易セキュリティ検査システム」を開発しました。専門知識がなくても、自分のサイトが今どんな状態なのか、どこから直せばよいのかがひと目で分かります。
いま全国の自治体で深刻な課題となっているのが、ウェブサイトや行政情報システムにおける「脆弱性トラブルの乱発」です。フロンティアAIの発展に伴い、サイバー攻撃の高速化・自動化・大規模化が急進しており、従来の防御体制をすり抜けるインシデントが増えています。この動画では、その対抗手段として注目される「Patching as a Service（継続的なパッチ運用）」と、ガバメントAI「源内」を活用したセキュリティ診断・対策の実践を解説します。
3ステップで完了する診断の流れ
診断は非破壊型・受動診断で行います。破壊的な検査は実施せず、外部からの安全な観察に限定。秘密情報の保存はなく、内部ネットワークにも侵入しません。安心して自分のサイトを診断できます。なお、簡易版はURL診断ですが、上位版はソースコード分析に対応し、「GPT-Cyber」「Claude Mythos」などの先端AIを活用してより多くの脆弱性を検出できます。
なぜ自治体サイトの「脆弱性トラブル」が乱発しているのか
これまで自治体システムは「三層分離（マイナンバー利用事務系・LGWAN接続系・インターネット接続系の分離）」によって守られてきました。しかし、行政手続きのオンライン化やクラウドサービスの普及、AI基盤の組み込みが進んだ現代では、以下のような構造的な弱点が浮き彫りになっています。
- 攻撃の高度化と全自動化：攻撃者は生成AIや自律型AIエージェントを悪用し、24時間365日体制で自治体サイトの脆弱性を自動的に探索・攻撃しています。
- レガシーシステムと最新環境の混在：古いサーバーOSや、更新されずに放置されたCMS・プラグインが標的にされるケースが増えています。
- 人的・予算的リソースの不足：「年1回の脆弱性診断」だけでは、次々と発見されるゼロデイ脆弱性や頻繁な修正パッチのスピードに追い付けず、改ざん・情報流出・システム障害を招いています。
住民記録、税務、医療、福祉、教育、防災、上下水道など、地域の暮らしを直接支えるシステムが停止すれば、被害は情報システム部門にとどまらず、地域社会の業務継続や生活基盤そのものを直撃します。
大事なのは「Patching as a Service（継続的なパッチ運用）」
いま自治体セキュリティの最前線で強調されているのが、「Patching as a Service（PaaS）」というアプローチです。単発でセキュリティ診断を受け、報告書を読んで終わりにするやり方では十分な防御になりません。本質的に重要なのは、「発見された脆弱性に対して、どれだけ正確かつスピーディーに修正パッチを適用し続けられるか」という継続的な運用の仕組みです。
- 継続的な脆弱性スキャン・診断：常時または短いスパンでの診断により、新たな弱点やリスクをタイムリーに検知します。
- 優先度を踏まえた対策パッチの迅速な適用：危険度を評価し、テストと修正パッチの適用を外部サービスや自動化ツールと連携して途切れず実行します。
- レガシーシステムの計画的刷新：パッチ提供が終了した古い基盤を見直し、α・β・β'モデルやセキュリティクラウドに対応した新しい構造へ計画的にアップデートします。
企業だけでなく自治体にとっても、「脆弱性診断」「対策パッチの迅速な適用」「システム更新」をセットのサービスとして継続する「Patching as a Service」の確立が不可欠になっています。
「源内AI」を使ってセキュリティ診断と対策パッチを活用する
AIによって巧妙化・高速化する攻撃に対抗するには、守る側もAIを活用した業務設計が求められます。全国の自治体職員が利用するガバメントAI「源内」は、文書作成や法制度調査だけでなく、行政システムを「守る」セキュリティ業務でも強力なパートナーになります。
- ログや公開コードの簡易診断：ソースコードやサーバーの公開設定、各種アクセスログ・エラーログを分析させ、XSSやSQLインジェクションなどの脆弱性の兆候をAIに簡易スクリーニングさせることで、初動の気付きを早められます。
- パッチ情報の整理と作業マニュアルの自動生成：日々公開される膨大なパッチ情報から「自庁で対策必須の重大な脆弱性」を要約させ、影響を最小限に抑える適用手順書や動作確認のテスト計画書のドラフトを即座に作成できます。
- 「使うAI」と「守るAI」を車の両輪に：行政事務を効率化する「使う政策」と、セキュリティ診断・パッチ適用を強化する「守る政策」を両立させることが重要です。
イベント告知：自治体サイバー対策を学ぶ研究会
「フロンティアAIがもたらすサイバー脅威と対策」や「継続的脆弱性管理（Patching as a Service）」について、専門家や先進自治体の事例から直接学べる限定セミナーをご紹介します。
- 名称：会員限定 第22回研究会「フロンティアAIが変えるサイバー攻撃」～自治体が今やるべき3つの事～
- 主催：一般社団法人SDGsデジタル社会推進機構（ODS）
- 日時：2026年8月10日（月）13:00〜14:20
- 形式：オンライン（Zoomウェビナー配信）
- 対象・参加費：地方自治体職員は入会無料・参加無料
講演では、文月涼氏（衆議院議員・元NISC上席サイバーセキュリティ分析官）、庄司昌彦氏（武蔵大学教授）、小林青己氏（ソフトバンク 自治体情報セキュリティクラウド技術責任者）らが登壇。パネルディスカッションのファシリテーターは村井宗明（東武トップツアーズ CDO・ODS AI分科会座長）が務めます。
よくある質問
Q. 簡易セキュリティ検査システムとは何ですか？
自治体公式サイトなどを対象に、URLを入力するだけでAIがセキュリティ設定を診断し、設定ごとの○×判定と強化のための改善提案を表示する無料のセキュリティ簡易診断ツールです。専門知識がなくても、自分のサイトの弱点と対策の優先順位を把握できます。
Q. どんな項目を診断しますか？
ステップ01でHTTPS・セキュリティヘッダー・Cookie・DNSといった設定を一括収集し、ステップ02でルールエンジンによる根拠つきの○×判定を行い、ステップ03でAIが緊急度と効果から対応の順番を言語化して改善提案します。上位版ではソースコード分析にも対応します。
Q. 診断で自分のサイトに悪影響はありませんか？
本ツールは非破壊型・受動診断です。破壊的な検査は行わず、外部からの安全な観察に限定しています。秘密情報を保存せず、内部ネットワークへ侵入することもないため、安心して診断できます。
Q. Patching as a Service（PaaS）とは何ですか？
「年1回の脆弱性診断を受けて報告書を読んで終わり」にするのではなく、継続的な脆弱性スキャン・優先度に応じた修正パッチの迅速な適用・レガシーシステムの計画的刷新を、サービスや体制として途切れず回し続ける継続的パッチ運用の考え方です。AIによる攻撃の高速化・自動化に対抗するうえで不可欠とされています。
開発者プロフィール
村井宗明（むらい むねあき）｜元衆議院議員・元文部科学大臣政務官。政界引退後、ヤフー株式会社・LINE株式会社でITエンジニアとして活躍。現在は行政・教育分野の行政専門AIエンジニアとして、公務員専用AI「マサルくん」、デジタル庁「源内AI」、教育AIプラットフォームなどを開発。エンジニアネームは「らむね」。YouTubeチャンネル「AIエンジニアらむね」でAI活用術を発信中。
その他の開発実績・講演情報は村井宗明 公式ポートフォリオをご覧ください。関連ページ：政府のAI基本計画｜人工知能基本計画（素案）を解説（7月12日）／Codexでサイト制作｜バイブコーディング入門編（7月1日）／Google AI Studioでサッカーゲーム制作（6月30日）／【AI源内】行政事業レビュー（6月27日）