三層分離とは：α′・β′モデルの通信経路と必須対策、分離の確認手順

三層分離は、自治体の庁内ネットワークをマイナンバー利用事務系・LGWAN接続系・インターネット接続系の3つに分け、系統間の通信を絞る対策です。総務省のガイドラインでは「三層の対策」「三層の構え」と呼ばれ、2015年の日本年金機構の情報流出を受けて全国の自治体に広がりました。この記事では、系統ごとに許される通信、無害化通信の3方式、α・α′・β・β′の4モデルで増える必須対策、外部確認と報告書提出の条件を、令和8年3月版ガイドラインの記述に沿って整理します。後半では、α′モデルの接続先制限を設定ファイルで、系統間の分離をスクリプトで確かめる手順も示します。

まとめ｜三層分離で先に決めるモデルの選択と外部確認の要否

三層分離の設計で最初に決めるのは「業務端末をどの系統に置くか」です。LGWAN接続系に置くのがαとα′、インターネット接続系に置くのがβとβ′で、後者ほど便利になる代わりに必須対策が増えます。α′・β・β′を選ぶと、外部による事前確認と定期的な外部監査を受け、その報告書を地方公共団体情報システム機構（J-LIS）へ出す義務が付きます。

令和8年3月27日の改定で、三層分離の構成要件は変わっていません。デジタル庁が2030年頃を目途に検討する国・地方ネットワークで形が変わる可能性はありますが、いま入る更改は4モデルのどれに当てはまるかを説明できる構成にしておきます。

受託開発の立場からの結論は単純です。住民情報を扱う業務システムはLGWAN接続系に残し、外部とやり取りする機能だけをα′のローカルブレイクアウトかインターネット接続系へ出す。β′への移行は、EDRの監視体制とCSIRTを自前で回せる団体に限ります。

三層分離の定義とマイナンバー利用事務系・LGWAN接続系・インターネット接続系

三層分離は、LGWANそのものの仕組みとは別の話です。LGWANの接続方式やLGWAN-ASPはLGWAN（総合行政ネットワーク）とは？インターネットとの違い・第五次の接続方式とLGWAN-ASPで扱っており、ここでは庁内をどう3つに割り、境目で何を通すかに絞ります。

年金機構の流出から総務大臣通知までに決まった三層の対策の成り立ち

出発点は、平成27年11月24日の自治体情報セキュリティ対策検討チーム報告「新たな自治体情報セキュリティ対策の抜本的強化に向けて」です。これを受けて、平成27年12月25日の総務大臣通知（総行情第77号）で、各自治体に抜本的強化の取組が示されました。それまで多くの自治体は基幹系と情報系の2区分で、情報系の端末からインターネットへ出られる構成が残っていました。

ガイドラインは「情報システム全体の強靭性の向上」の章で三層の構えを定め、マイナンバー利用事務系・LGWAN接続系・インターネット接続系の順に例文と解説を置いています。原文は総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン（令和8年3月版）」の第3編にあります。

3つの系統の役割と系統間で許される通信の範囲を整理した比較表

3つの系統の違いは、つながる先と、境目で許される通信の種類で整理できます。

インターネット接続系は、都道府県単位でインターネット接続を集約する自治体情報セキュリティクラウドへの参加が例文で求められています。「外側の壁」を都道府県単位で持つ点が、民間企業のネットワークとの大きな違いです。

マイナンバー利用事務系の特定通信と接続時の通信経路を絞る3つの条件

マイナンバー利用事務系は他の領域と通信できないようにするのが原則です。外部と通信する必要がある場合は、MACアドレスとIPアドレスによる経路の限定に加え、ポート番号によるアプリケーションプロトコルの限定まで行い、これを「特定通信」と呼びます。対象は住民基本台帳ネットワーク、中間サーバ連携、コンビニ交付用のLGWAN接続など、接続先が信頼される特定先に限られます。

端末側には多要素認証が必須で、USBメモリ等による情報の持ち出しは原則できないように設定します。見落としやすいのは仮想化基盤の扱いです。マイナンバー利用事務系とLGWAN接続系のサーバが同じ物理サーバ上にある場合、通信が分離されていることの確認を行わなければならないと書かれており、後半のスクリプトはこの確認を想定しています。

LGWAN接続系とインターネット接続系をつなぐ無害化通信の3方式と画面転送

LGWAN接続系とインターネット接続系は、通信環境を分けたうえで必要な通信だけを許可します。メールやデータをLGWAN接続系へ取り込むときは「無害化通信」が条件になります。

メールテキスト化・画面転送・ファイル無害化で取り込める範囲の違い

ガイドラインの例文が挙げる実現方法は次の3つです。

1. メールテキスト化方式：インターネット接続系で受けたメールの本文だけをLGWAN接続系へ転送する
2. 画面転送方式：インターネット接続系の端末から、LGWAN接続系の端末へ画面を転送する
3. ファイル無害化方式：危険因子をファイルから除去するか、含まれていないことを確認してから取り込む

3つ目の具体例は、テキスト抽出、画像PDF化、サニタイズ処理、未知の不正プログラムを検知するソフトでの確認です。テキスト化や画像PDF化では表計算ファイルの数式が残らないため、取り込み後に編集する業務が多い課ではサニタイズ方式を前提に選びます。

画面転送で許す通信と仮想デスクトップ・セキュアブラウザの位置づけ

画面転送は、仮想デスクトップならデスクトップ仮想方式でもアプリケーション仮想方式でもよいとされています。端末内の隔離領域で動くブラウザとゲートウェイを組み合わせたセキュアブラウザも、アプリケーション仮想化の一種という扱いです。仕組みの違いはリモートデスクトップとは？仕組み・VPN/VDIとの違いと設定手順で整理しています。

条件は一つです。許可する通信は画面転送用のプロトコルだけにし、それ以外はすべて遮断します。クリップボードやドライブのリダイレクトを既定のまま有効にしている構成は、この条件を満たしません。製品を入れた時点で安心せず、転送ポリシーの設定値まで確認します。

α・α′・β・β′の4モデルで変わる業務端末の置き場所と通信経路

三層分離の「モデル」は、業務端末と重要な情報資産をどの系統に置くかの組み合わせです。従来型がαモデルで、そこから利便性を上げる方向に3つの派生があります。

4モデルの業務端末の配置・重要情報・外部確認の要否を並べた比較表

入札情報や職員の情報など、ガイドラインが「重要な情報資産」と呼ぶものの置き場所で並べると違いが見えます。

α′はαと同じ配置のまま、LGWAN接続系から特定のクラウドサービスへ直接出る「ローカルブレイクアウト」を足したモデルです。βは業務端末とグループウェアをインターネット接続系に移し、LGWAN接続系の業務システムを画面転送で使います。β′はさらに重要な情報資産までインターネット接続系に置き、ここでいう重要な情報資産は自治体機密性3相当の秘密情報を想定しています。

α′モデルの3ケースで変わる必須対策とISMAP登録サービスの条件

α′で使えるクラウドサービスは、ISMAP管理基準を満たしISMAPクラウドサービスリストに登録されたサービスに限られます。ISMAP登録の基盤の上に作ったサービスを、それだけでISMAP登録サービスとして扱ってはならない点も明記されています。制度の中身はISMAPとは？クラウドサービスリスト・管理基準・費用を参照してください。

例外はウイルス定義ファイルやURLリストを配るセキュリティ関連サービスで、行政文書を扱わない、接続先URLを限定する、証明書でサービス提供元の真正性を確かめる、の3条件を満たせば未登録でも使えます。必須対策は利用範囲で3ケースに分かれます。

（イ）と（ウ）では、テナントアクセス制御、メールとファイルの無害化、アクセス制御、IDS/IPSが（ア）に加わり、（イ）はさらにクラウドから業務端末へのダウンロード制限が必須です。他団体から招待されたWeb会議に参加してファイルを交換する場合は、3ケースのどれでもなく、インターネット接続系の端末から入る扱いになります。グループウェア機能ごとの置き場所は自治体のグループウェア選定｜LGWAN接続系に置く機能とα′モデルで使うクラウドの線引きで詳しく扱っています。

βモデルとβ′モデルで追加される必須対策とEDRの監視・運用要件

βとβ′に共通する必須対策は、無害化処理、LGWAN接続系の画面転送、未知の不正プログラム対策（エンドポイント対策）、業務システムログ管理、脆弱性管理です。画面転送では、LGWAN接続系からインターネット接続系へのデータ転送（クリップボードのコピー＆ペースト等）を禁止し、LGWANメールやLGWAN-ASPからのデータに限り、中継サーバとファイアウォールでポート・IPアドレス・MACアドレスを絞って通します。

エンドポイント対策は製品を入れるだけでは足りず、セキュリティ専門家のマネージドサービスで端末の挙動を監視し、異常時にプロセス停止とネットワークからの論理隔離まで行う運用が求められます。EDRの検知の仕組みはEDRとは？EPP・XDRとの違いと検知の仕組み・導入判断で解説しています。

β′だけに付く必須対策は2つ目の山場です。情報資産単位のアクセス制御では、文書を管理するサーバ等は課室単位のアクセス制御が必須、係単位は推奨とされています。加えて、職員の標的型攻撃訓練を年1回以上、情報システム担当者のインシデント訓練を年1回以上受けることが必須です。

外部による事前確認とJ-LISへの報告書提出が求められる条件

α′、β、β′のいずれかを採用すると、対策の実施について外部による事前確認を受け、その報告書をJ-LISへ提出します。採用後も定期的に外部監査を受け、監査報告書を同じくJ-LISへ出します。βとβ′については「インターネット接続系とLGWAN接続系を完全に分離する場合を除き」という除外があり、α′にはこの除外がありません。

確認や監査を行う者は、対象の情報資産に直接関与しない者が望ましいとされています。構築と監査は別の事業者に発注するのが筋です。

ガイドラインの改定履歴と令和8年3月版で三層分離について変わらなかった点

三層分離の解説には2019〜2020年時点の資料が多く、モデルが加わった時期を押さえると古い記述を見分けられます。

令和2年の見直しから令和7年3月の無線LAN対応までの改定年表

ガイドラインの沿革に書かれた改定のうち、三層分離に関わるものを古い順に並べます。

1. 令和2年5月22日：クラウド・バイ・デフォルト原則やテレワークを踏まえた「自治体情報セキュリティ対策の見直しについて」を公表。同年12月28日の改定でβ・β′モデルを反映
2. 令和5年3月28日：ガバメントクラウド上の標準準拠システムを想定し、第4編「クラウド利用等に関する特則」を追加
3. 令和6年10月2日：Web会議等のために、LGWAN接続系の業務端末から特定のクラウドサービスを使う対策を追加（α′モデル）
4. 令和7年3月28日：マイナンバー利用事務系への無線LAN接続等の具体策を明示（総務省の改定版公表資料）

令和7年3月の改定で、マイナンバー利用事務系の無線LANにはWPA2またはWPA3と、IEEE802.1Xのクライアント証明書による端末認証（EAP-TLS等）が必須とされました。ID・パスワード認証の無線では足りません。

令和8年3月27日改定の4項目と分離の構成要件が据え置かれた事実

総務省「ガイドライン改定（令和8年3月）のポイントについて」が挙げる改定項目は、地方自治法改正に伴う対応、機器の廃棄・データ消去、USBメモリ等の利用におけるリスクへの対処、DNS設定情報を悪用する攻撃等の追記の4つです。データ消去では、住民情報を保存する記録媒体について物理破壊以外の方法が追加されました。

4モデルの定義と必須対策表に、この改定での変更は見当たりません。背景にある法改正は、令和6年の地方自治法改正で第244条の5第2項と第244条の6第1項が置かれ、サイバーセキュリティ確保の方針策定と措置の実施が自治体の義務になったことです。三層分離は「推奨される構成」から「義務となった方針の中身」へ位置づけが移ったと読むのが正確です。

国・地方ネットワークの将来像と2030年頃を目途にした移行の見通し

デジタル庁「国・地方ネットワーク」は、2024年5月の検討会報告書の将来像として、職員がセキュリティを確保しつつ一人一台のPCで業務を行える環境を2030年頃の目途に掲げています。令和7年度の検証事業では、GSS試用型で宮城県・福井県・山口県、自治体提案型で北海道・岐阜県坂祝町・福岡県北九州市・鹿児島県肝付町が採択され、最終報告書が2026年3月31日に掲載されました。

方向性は、境界で守る考え方から利用者と端末を都度確かめるゼロトラストへの移行ですが、ガイドラインに新しいモデルはまだありません。今後5年の更改は現行の4モデルで設計し、切り替え時に捨てる部分を小さくしておきます。

α′モデルの接続先制限と分離確認を設定ファイルとスクリプトで試す手順

ガイドラインの必須対策のうち、構築時に設定値で確かめられるのが「接続先制限」と「系統間の通信分離」です。以下はどちらも検証環境で書式を確かめるための例で、実環境の宛先やアドレスは各団体の設計書に置き換えます。

ローカルブレイクアウト用プロキシで許可クラウドだけを通すSquid設定例

α′の（ア）〜（ウ）すべてで、LGWAN接続系から外へのアクセス先をLGWAN-ASPと許可したクラウドサービスだけに限ることが必須です。SaaSの接続先IPアドレスは頻繁に変わるため、IPアドレスで絞るファイアウォールより、ドメイン名で絞るプロキシのほうが運用しやすくなります。

# α′モデルのローカルブレイクアウト用プロキシ（Squidの設定例）
http_port 3128

# LGWAN接続系の業務端末セグメント
acl lgwan_terminals src 10.10.0.0/16

# 利用を許可したクラウドサービスだけを列挙する（先頭のドットでサブドメインも含む）
acl allowed_cloud dstdomain .meeting.example.jp
acl allowed_cloud dstdomain .files.example.jp

acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny CONNECT !SSL_ports
http_access allow lgwan_terminals allowed_cloud
http_access deny all

# 接続先ごとの記録を残し、定期確認と外部監査の材料にする
access_log daemon:/var/log/squid/access.log squid

# 確認：許可外の宛先が403で拒否されること（端末側で実行）
# curl -s -o /dev/null -w "%{http_code}\n" -x http://proxy.example.jp:3128 https://www.example.com/

ドメインで絞れるのは「どのサービスか」までで、「自団体のテナントか」は区別できません。（イ）（ウ）で必須のテナントアクセス制御は、クラウドサービス側のテナント制限機能か、TLSを復号してヘッダを付与する機能を別に組み合わせます。設定はiptablesとnftablesのようなパケットフィルタでは代替できない点に注意が要ります。

系統ごとの到達可否をPythonで一括確認する分離テストの書き方

分離の確認は「つながるべき先につながり、つながってはいけない先につながらない」の両方を見ます。次のスクリプトは標準ライブラリだけで動き、LGWAN接続系の端末で実行して期待と実測が違う宛先をNGとして出します。

# 分離確認スクリプト（LGWAN接続系の端末で実行する想定）
import socket
import sys

# 宛先、ポート、期待結果（allow または deny）
CHECKS = [
    ("proxy.example.jp", 3128, "allow"),  # ローカルブレイクアウト用プロキシ
    ("www.example.com", 443, "deny"),     # インターネットへ直接は出られないこと
    ("8.8.8.8", 53, "deny"),              # 外部DNSへ直接問い合わせできないこと
    ("10.20.0.10", 445, "deny"),          # マイナンバー利用事務系のファイル共有に届かないこと
]


def reachable(host, port, timeout=3.0):
    try:
        with socket.create_connection((host, port), timeout=timeout):
            return True
    except OSError:
        return False


ng = 0
for host, port, expect in CHECKS:
    got = "allow" if reachable(host, port) else "deny"
    mark = "OK" if got == expect else "NG"
    if mark == "NG":
        ng += 1
    print(f"{mark}  {host}:{port}  期待={expect}  実測={got}")

sys.exit(1 if ng else 0)

名前解決に失敗した宛先もdenyと判定されるため、DNSで止まっているのか通信で止まっているのかは別に確かめます。仮想化基盤でマイナンバー利用事務系と同居しているなら、宛先を変えて反対側からも流し、両方向の結果を事前確認の資料に添える手順です。NGがあると終了コード1を返すので、ネットワーク変更作業の後の回帰確認にも使えます。

テナント設定の定期確認とアップデート時に見直すログと設定の項目

α′ではテナントアクセス制御の設定を定期的に確認し、クラウドサービスのアップデートで仕様が変わった際にも確認します。ガイドラインは、SaaSの機能変更で既定のセキュリティ水準が下がり、気づかないまま機密情報が流出した事例を引いています。確認を外部に委託するなら品質を契約で担保する必要があり、確認の頻度、変更通知から確認までの日数、報告様式の3点を契約書に書いておくと揉めません。

受託開発で三層分離の環境に業務システムを載せるときの判断基準

自治体向けの業務システムを新しく作る、または更改するとき、三層分離は機能の配置とデータの流れを決める制約になります。

LGWAN接続系に残す業務システムとインターネット接続系へ出す機能の線引き

住民の名簿など住民の個人情報は、業務システムに保存されている場合を除き、インターネット接続系に保存しない規定を整備することがβ・β′の必須対策に含まれています。したがって、住民情報を保存する業務システム本体はLGWAN接続系かマイナンバー利用事務系に置くのが前提です。

インターネット接続系に出してよいのは、住民向けの申請受付画面や事業者とのファイル授受のように、外部との接点そのものが目的の機能です。受け付けたデータの取り込み方式（テキスト化か、ファイル無害化か）は要件定義で決めます。後回しにすると、画像PDF化で数値が読めず職員の手入力が残ります。

β′モデルへの移行を見送る団体の運用条件とα′で止める判断基準

次のどれかに当てはまる団体は、β′へ進まずα′で止めるべきです。EDRのアラートを夜間・休日に受けて隔離を判断できる体制が無い。課室単位のアクセス制御を文書管理サーバに設定できていない。外部監査の費用を毎年度の予算に計上できない。β′は必須対策の数が最も多く、どれか一つが欠けると、重要な情報資産をインターネット接続系に置いたまま守れない状態になります。

逆に、Web会議と外部とのファイル共有がしたいだけなら、α′の（ウ）で足ります。業務端末を動かさずに済むため、端末の入れ替えや画面転送基盤の新設が要りません。自治体向けの業務システムの配置設計や更改の進め方は、公共システム開発でご相談いただけます。

よくある質問

三層分離について、検索でよく調べられている疑問に短く答えます。

三層分離と三層の対策・三層の構えは同じ意味ですか？

同じものを指しています。総務省のガイドラインでは「三層の構え」「三層の対策」という語が使われ、「三層分離」は、ネットワークを3つに分けるという構成面を指して自治体や事業者の間で広まった呼び方です。ガイドラインの本文を検索するときは「三層の構え」で探すと、該当する例文と解説に早くたどり着けます。

三層分離は廃止されるのですか？

令和8年3月版のガイドラインでも三層分離の構成要件は維持されており、現時点で廃止は決まっていません。デジタル庁は2030年頃を目途に国・地方ネットワークの将来像を検討中です。新しい構成がガイドラインに入るまでは、α・α′・β・β′のどれかで設計し、外部確認が必要なモデルではその手続きも予定に入れます。

α′モデルとβモデルはどちらを選ぶべきですか？

目的がWeb会議や外部とのファイル共有なら、業務端末をLGWAN接続系に残せるα′が先です。βは業務端末とグループウェアをインターネット接続系へ移すため、画面転送基盤とマネージドのEDRが必須になります。テレワークで業務システムを広く使いたい事情があるときに、βを検討します。

自治体向けにSaaSを提供する事業者は三層分離で何を問われますか？

LGWAN接続系から使ってもらうなら、LGWAN-ASPとして提供するか、α′の条件であるISMAPクラウドサービスリストへの登録が必要です。ISMAP登録の基盤上に作っただけでは登録サービスとして扱われません。加えて、団体ごとのテナントに接続を限れる仕組み、ファイルのダウンロード制限、証明書による認証への対応が、α′の必須対策を団体側が満たすための前提になります。

LGWAN-ASPとして提供する場合の登録手続とセグメント構成は、LGWAN-ASPとは：提供事業者の登録手続・3セグメント構成と接続料金の年額で解説しています。

三層分離の環境でプリンタや複合機は共有できますか？

マイナンバー利用事務系またはLGWAN接続系のプリンタを、インターネット接続系と共有することは認められていません。系統ごとに設置するのが望ましく、共有する場合は1台にネットワークごとの専用LANポートを設けて通信を分けます。それが難しいときは、一方をLANポート、もう一方をUSBポートのプリンタサーバにつなぐ方法が示されています。

関連記事

• ガバメントクラウドとは？自治体の利用料負担・契約の仕組み・対象5サービスを解説【2026年版】：標準準拠システムの置き場所と、第4編のクラウド特則が対象とする環境です。
• 自治体システムの標準化とは？20業務・経過措置と特定移行支援システムの内訳：三層分離の環境に載る基幹業務システムの移行状況です。
• ゼロトラストネットワーク（ZTNA）とは？VPNとの違いと製品選定・導入判断を解説：境界で分ける方式の次に検討される接続モデルです。
• SASEとは？構成要素とゼロトラスト・SSEとの違い、導入判断を解説：ローカルブレイクアウトとクラウド側の防御を組み合わせる構成です。