LASSIC Media らしくメディア

LASSIC IT事業部｜元請（プライムベンダー）としてシステム保守・運用を受託

本記事は、番号法に基づく「マイナンバー(特定個人情報)の安全管理措置」のシステム化をテーマとしています。一般的な個人情報保護法対応や情報セキュリティ認証のISMSとは、対象範囲・根拠法が異なる別のテーマであり、当サイトではそれぞれ別記事で扱っている点にご留意ください。マイナンバーは個人情報保護法が対象とする個人情報の中でも、番号法により一段と厳格な取扱いが求められる特定個人情報にあたる点をまず押さえておきましょう。

マイナンバー(特定個人情報)とは？安全管理措置が求められる範囲

マイナンバー(個人番号)は、行政手続における特定の個人を識別するための番号として導入された制度で、社会保障・税・災害対策の分野で行政機関間の情報連携を担います^*2。住民票を有する国内のすべての住民に一人ひとつ付番される番号で、原則として生涯変わりません。マイナンバー自体、またはマイナンバーを含む個人情報は「特定個人情報」と呼ばれ、番号法(行政手続における特定の個人を識別するための番号の利用等に関する法律)の規律対象です。マイナンバーカードは行政手続だけでなく、民間サービスでの本人確認等にも利用が広がっている一方^*2、事業者が自らの事務でマイナンバーを利用できる場面は、次章で説明するとおり法令で限定されています。

個人情報保護委員会は、事業者向けに「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」を公表しています^*1。このガイドラインは、個人情報保護法の一般的な規律とは別に、番号法第12条等に基づく安全管理措置を事業者に求めるものです^*1。個人情報保護委員会は個人情報保護法向けにも「個人情報の保護に関する法律についてのガイドライン(通則編)」を別途公表しており^*3、両者は対象とする情報の範囲も根拠法も異なります。特定個人情報は、一般的な個人情報よりも収集・保管・提供の各場面で厳格な制限がかかる点を理解しておく必要があります。

従業員や取引先からマイナンバーの提供を受ける企業は、源泉徴収票の作成や社会保険の届出といった事務でこれを利用する立場にあり、番号法上の「個人番号関係事務実施者」に該当します。人事・総務・経理の担当者が日常的に取り扱う情報である以上、情報セキュリティ全般を扱うISMSとは別に、番号法固有の要件を満たす管理体制を整える必要があります。

個人情報保護法対応・ISMSとの対象範囲の違い

「マイナンバーの安全管理措置」「個人情報保護法対応」「ISMS」は、いずれも情報の保護に関わるテーマですが、対象とするデータの範囲や根拠となる法令・基準が異なります。自社がどの制度への対応を検討しているかを混同しないよう、以下の表で整理しておきましょう。

マイナンバーを含む個人情報を取り扱う企業の多くは、個人情報保護法対応とマイナンバー安全管理措置の両方に取り組む必要があります。たとえば「個人情報保護法対応は整えたが、マイナンバー部分の分離保管やアクセスログの記録までは手が回っていない」という状態は、番号法の観点では不十分な取扱いにあたるおそれがあるでしょう。ただし本記事では、番号法に基づくマイナンバー(特定個人情報)固有の安全管理措置に絞って解説します。

番号法が定める利用目的の限定と取得時の本人確認

番号法は、マイナンバーを利用できる場面を限定しています。事業者が扱えるのは、給与所得の源泉徴収票の作成、健康保険・厚生年金保険の届出、雇用保険の手続といった、社会保障・税・災害対策に関連する法定の事務に限られます^*2。本人の同意を得たとしても、これら以外の目的でマイナンバーを利用することはできません。

利用目的として認められる事務の範囲

企業が実務で直面する代表的な事務を分野ごとに整理すると、次のようになります。

• 社会保障関係:健康保険・厚生年金保険の資格取得届・喪失届、雇用保険関係の手続など
• 税務関係:給与所得の源泉徴収票の作成、報酬・料金等に関する支払調書をはじめとする法定調書の作成事務
• 災害対策関係:被災者台帳の作成など、災害時の行政手続に関連する事務

これら以外の社内目的、たとえば社内で独自に構築した従業員データベースへの一元登録や、マーケティング目的での紐づけなどにマイナンバーを利用することは認められません。担当部署が「便利だから」という理由で利用範囲を広げていないか、定期的に点検する視点が必要です。

取得時に必要な本人確認の実務

取得の場面では、利用目的をあらかじめ本人に明示したうえで、必要な範囲に限って提供を受けることが求められます。あわせて、なりすましによる不正取得を防ぐため、個人番号カードの提示、または番号確認書類(個人番号が記載された住民票の写し等)と身元確認書類(運転免許証等)の組み合わせによる本人確認の実施が必要です^*1。個人番号カードは番号確認と身元確認を1枚で兼ねられますが、それ以外の組み合わせで確認する場合は書類の種類ごとに要件が異なるため、個人情報保護委員会の公式ガイドラインで確認方法を事前に確認しておくことをおすすめします^*1。この本人確認の記録や、いつ・誰から・どの事務のために取得したかという履歴を残せていない企業は少なくありません。

紙の申請書やExcel台帳で本人確認プロセスを運用している場合、確認書類の写しと台帳の突合を担当者の記憶や手作業に頼ることになり、取得漏れや二重取得に気づきにくくなります。取得時点の記録を一元管理できる仕組みを持つかどうかは、後述する安全管理措置全体の実効性を左右する起点と言えるでしょう。

保管の制限と廃棄、委託・再委託先の監督

保管は必要な期間に限られ、不要になれば廃棄する

特定個人情報は、法定の事務を処理する必要がある期間に限って保管できます。たとえば源泉徴収票関係の書類は、所得税法等で定められた保存期間を経過すれば、マイナンバー部分を復元できない方法で削除または廃棄しなければなりません^*1。「念のため残しておく」という発想での長期保管は、番号法の趣旨に反する取扱いになり得ます。

廃棄・削除を行った事実や日時、担当者、対象となった特定個人情報の範囲を記録として残すことも、ガイドラインが求める安全管理措置の一部です^*1。紙媒体をシュレッダーで廃棄する場合も、電子データを削除する場合も、廃棄の証跡がなければ、外部からの問い合わせや監査の際に適切な取扱いを説明できません。

保管中の取扱いにも工夫が求められます。マイナンバー部分を他の人事・給与データと同じ画面・同じファイルに常時表示していると、閲覧権限のない担当者の目にも触れやすくなります。マイナンバー部分を分離して保管する、または業務上必要な場面以外はマスキング表示にするといった工夫は、保管期間中のリスクを下げる実務的な対策です。

具体的には、マイナンバーを他の人事情報とは別のテーブル・別のファイルで管理し、通常の一覧画面には表示しない設計にする方法や、源泉徴収票の作成といった限られた業務でのみ担当者がマイナンバー欄を表示できるよう画面ごとに権限を分ける方法が考えられます。どの範囲まで分離すべきかは、扱う事務の種類や社内の体制によって変わるため、自社の業務フローに沿って検討する必要があります。

委託・再委託先には委託者と同等の監督が必要

給与計算や社会保険手続の一部を外部の専門家や事業者に委託する企業は少なくありません。番号法上、委託先を選定する際には、委託先において委託者と同等の安全管理措置が講じられるかを確認する義務があります^*1。あわせて、委託先が果たすべき安全管理措置の内容を委託契約に盛り込み、必要に応じて委託先の取扱状況を把握することも求められます^*1。

再委託についても、最初に委託した事業者(委託者)の許諾を得た場合に限って認められます^*1。委託が複数段階にわたる場合でも、それぞれの段階で最初の委託者の許諾が必要になる点は見落とされがちです。委託先が増えるほど、どの事業者がどの範囲の特定個人情報を保有しているかを可視化し、監督責任を果たせる体制が重要になります。

委託先選定・監督で確認すべき項目

委託先の監督を実務に落とし込む際は、次のような項目を確認・記録しておくと、後から取扱状況を説明しやすくなります。

• 選定時:委託先の安全管理措置の内容(組織体制、規程整備状況、過去の取扱実績等)が委託者と同等の水準にあるか
• 契約時:委託先が講じるべき安全管理措置の内容、報告義務、委託者による監督権限、再委託の可否と条件を契約書に明記しているか
• 運用中:定期的な報告徴収や実地確認等により、委託先の取扱状況を継続的に把握できているか
• 再委託時:再委託の都度、最初の委託者の許諾を得る手続を経ているか

安全管理措置の4分類（組織的・人的・物理的・技術的）の具体例

個人情報保護委員会のガイドラインは、事業者が講じるべき安全管理措置を4つの分類で整理しています^*1。それぞれの具体例を以下の表に整理しました。

なお、個人情報保護委員会のガイドラインには、従業員数が少ない事業者向けに簡素化した対応を認める特例の考え方も示されています^*1。対象となる事業者の要件や、認められる対応の具体的な範囲は改正で見直される可能性があるため、自社が特例の対象に該当するかどうかは個人情報保護委員会の公式ガイドラインで確認することをおすすめします。

実務での取り組み方をもう少し具体的にすると、組織的措置は取扱規程・体制図の整備、人的措置は入社時・異動時の研修と誓約書の取得、物理的措置は施錠可能なキャビネットや入退室記録の整備、技術的措置はID・パスワード管理や多要素認証、操作ログの記録といった形で現れます。自社の現状をこの4分類に当てはめて棚卸しし、どこが手薄かを可視化することが対策の抜け漏れを見つける近道です。

たとえば、責任者を明確化する組織的措置を整えても、担当者以外がシステムにアクセスできる状態(技術的措置の不備)であれば、実質的な管理はできていないと言えるでしょう。同様に、入退室管理を徹底する物理的措置があっても、退職者の秘密保持を徹底する人的措置が伴わなければ、情報の持ち出しリスクは残ります。4分類を組み合わせて機能させているかどうかを、定期的に点検する視点が欠かせません。

安全管理措置は一度整備すれば終わりというものではなく、事務の実態や取扱う情報の範囲が変わるたびに見直しが必要です。個人情報保護委員会のガイドラインも、定期的な自己点検・監査によって実効性を確認し、必要に応じて体制を見直すことを前提としています^*1。担当者の異動や委託先の変更があった際に、規程や権限設定の更新が漏れていないかを確認する運用ルールをあわせて整えておくとよいでしょう。

漏えい時の対応・報告義務と、システム化で解消する分散管理の限界

漏えい等事案が起きた場合の報告・本人通知

特定個人情報の漏えい、滅失、毀損等の事案が発生した場合、事業者には個人情報保護委員会への報告と、本人への通知が求められます^*1。報告の要否を判断する基準や、報告のタイミング・区分(速報・確報)、本人通知の方法といった具体的な運用は改正により見直されることがあるため、実際に事案が発生した際の対応は個人情報保護委員会の公式ガイドラインで最新の要件を確認しながら進める必要があります^*1。

重要なのは、漏えいの疑いが生じた時点で、いつ・どの特定個人情報が・どの経路で外部に出た可能性があるかを迅速に特定できる体制です。誰がいつアクセスしたかを追えるログがなければ、報告に必要な事実確認そのものに時間がかかり、対応の初動が遅れます。初動対応の大まかな流れは、次のように整理できます。

1. 事実関係の確認:漏えいの疑いがある特定個人情報の範囲、発生経路、原因を特定する
2. 影響範囲の把握:対象となる本人の人数、事業への影響度を確認する
3. 報告要否の判断:個人情報保護委員会への報告が必要な事案に該当するかを公式ガイドラインに照らして判断する
4. 本人への通知:必要と判断された場合、本人へ状況を通知する
5. 再発防止策の実施:原因を踏まえて安全管理措置を見直す

報告の要否基準や期限は個人情報保護委員会のガイドラインで定められており、改正により見直されることもあるため、実際に事案が起きた際は同委員会の公式情報で最新の要件を確認するようにしてください^*1。

紙・Excel台帳による分散管理の限界

マイナンバーを紙の台帳や部署ごとのExcelファイルで管理している企業では、次のような課題が生じがちです。第一に、誰がいつ台帳を閲覧・編集したかというアクセス履歴が残らず、取扱状況の把握や自己点検が担当者の申告頼みになります。第二に、保管期間経過後の廃棄が個々の担当者の判断に委ねられ、廃棄漏れや過剰保管に気づきにくくなります。第三に、委託先とのやり取りがメール添付やUSBメモリでの受け渡しに依存し、暗号化やアクセス制御が徹底されないまま運用されているケースも珍しくないでしょう。

こうした限界を解消するには、特定個人情報を扱うシステムを整備し、次のような要件を満たすことが現実的な対応になります。

• 取扱区域へのアクセス権限を担当者単位で設定し、権限のない従業員は特定個人情報を閲覧・編集できないようにする
• 誰が・いつ・どの記録にアクセスしたかを自動でアクセスログとして記録する
• マイナンバー部分を他の個人情報と分離して保管、またはマスキング表示し、通常業務では番号そのものを画面に表示しない
• 保管期間の経過を管理し、廃棄・削除の実施日時と対象範囲を証跡として残す
• 委託先ごとのアクセス範囲を管理し、委託契約・監督記録をシステム上で一元管理する

これらは個々の機能を場当たり的に導入するのではなく、組織的・人的・物理的・技術的な安全管理措置を一体として満たす設計にすることで、自己点検や監査への対応も効率化できます。自社の情報システム部門だけで要件定義から構築・運用まで完結させるのが難しい場合、特定個人情報の取扱いに関する知見を持つ外部パートナーへの委託を選択肢に含めて検討する企業も増えています。

システム化を検討する際に整理しておきたい項目

紙・Excel運用からの移行を検討する際は、次の項目をあらかじめ整理しておくと、要件定義がスムーズになります。

• 対象範囲の棚卸し:どの部署が・誰の・何件のマイナンバーを、どの事務のために保有しているか
• 既存データの移行方法:現在の紙台帳・Excelファイルに保管されている特定個人情報を、どの手順で新システムへ移し、旧データをどう廃棄するか
• 権限設計の方針:人事・総務・経理など部署ごとに、どこまでの範囲を閲覧・編集できるようにするか
• 委託先との連携:委託先が新システムへアクセスする必要がある場合、どの範囲までアクセスを許可するか
• 社内規程との整合:既存の個人情報保護規程やマイナンバー取扱規程を、新しい運用に合わせて改定する必要があるか

まとめ：マイナンバー安全管理措置を整備する3つの視点

本稿では、番号法に基づくマイナンバー(特定個人情報)の安全管理措置について、個人情報保護委員会等の公式情報に基づき整理しました。要点は次の3つに集約されるでしょう。第一に、特定個人情報は個人情報保護法よりも厳格な規律を受ける対象であり、利用目的の限定・本人確認・保管期間の制限・廃棄までを一貫して管理する必要があります^*1。第二に、求められる措置は組織的・人的・物理的・技術的の4分類に整理されており、委託先の監督まで含めて実効性を確保することが前提です^*1。第三に、紙や部署ごとの分散管理では権限管理・アクセスログ・廃棄記録の証跡化に限界があり、システム化によって自己点検や漏えい時の初動対応の実効性を高められます。まずは自社の取扱状況を4分類に沿って棚卸しし、不足している措置を洗い出すところから着手するとよいでしょう。

よくある質問

著者：テレリモ総研編集部　鈴木 亮佑

ご不明な点はお問い合わせフォームからもご連絡いただけます。

1. *1　出典：個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」（https://www.ppc.go.jp/legal/policy/my_number_guideline_jigyosha/）
2. *2　出典：デジタル庁「マイナンバー制度」（https://www.digital.go.jp/policies/mynumber）
3. *3　出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/）

Tweet