特定個人情報保護委員会が発行する『特定個人情報の適正な取扱いに関するガイドライン（事業者編）』（以下ガイドライン）では、安全なマイナンバー管理体制を構築するために企業が取り組むべきテーマを、組織的安全管理措置と人的安全管理措置という2つの項に分けて提示しています。

まずは組織的安全管理措置については、ガイドラインは5つの体制整備を求めています。

a. 組織体制の整備
b. 取扱規程等に基づく運用
c. 取扱状況の確認手段の整備
d. 情報漏えい等事案に対応する体制の整備
e. 取扱状況の把握及び安全管理措置の見直し

「a. 組織体制の整備」とは、責任者、取扱担当者など、役割分担と責任範囲を明確にしたうえで、それら担当者の報告連絡体制を整備することを指しています。平常時にトラブルが発生しないよう準備対策することはもちろん、万が一の事案が発生した場合でも速やかに対応が取れるよう備えておくことを求めています。マイナンバーを複数部署で取り扱う場合には特に注意が必要であり、各部署の任務分担や責任を明確化しておくことが必要です。例えば取得したマイナンバーをシステムに登録するのは、人事部なのかシステム部なのか、といった場合です。

「b. 取扱規定等に基づく運用」とは、単にルールに沿った運用・管理を実施するだけではなく、システムログや利用実績を記録して、常にマイナンバーの「運用状況」を確認できるような仕組みを構築することまでを含みます。ルールに沿った運用が行われていることが確認できるよう、ファイルの運用履歴を記録します。

「c. 取扱状況の確認手段の整備」とは、マイナンバーを含む特定個人情報ファイルの「取扱状況」を確認する手段を整備することです。b.と似ていますが、台帳そのものの取扱履歴簿と考えれば良いでしょう。マイナンバーをどのような媒体で、誰が管理するのか、それらの持ち出しや廃棄を履歴として管理し、定期的に棚卸しできるようにします。ここで気をつけていただきたいのですが、マイナンバーそのものはあくまでも特定個人情報ファイルを原簿として一元的に管理するものであり、利用実績や取扱記録簿に転記してはいけないということです。これは落とし穴になりやすいポイントですので気をつけてください。

「d. 情報漏えい等事案に対応する体制の整備」は読んで字のごとく、いざ情報漏洩事案が発生した場合に、適切かつ迅速に対応するための体制をあらかじめ整備してことです。二次被害を防止する観点からも、関係者への通知や再発防止策の検討を速やかに行えるように備えておきましょう。具体的には、事実関係の調査及び原因の究明、影響を受ける可能性のある本人への連絡、委員会及び主務大臣等への報告 、再発防止策の検討及び決定、事実関係及び再発防止策等の公表などを速やかに行える体制を整えることなどが例示されています。

「e. 取扱状況の把握及び安全管理措置の見直し」とは、記録を定期的に点検したり他部署による監査を実施することを通じて、安全管理措置を定期的に評価し、見直し・改善していくこと、とされています。

次に、人的安全管理措置について、ガイドラインでは2つの体制整備を求めています。

a. 事務取扱担当者への監督
b. 事務取扱担当者への教育

つまり事業者は、組織的な体制を整備するとともに、マイナンバーが取扱規程等に基づき適正に取扱われるよう、体制を支える事務取扱担当者ひとりひとりに対して、必要かつ適切な監督を行うこと、またルールについて周知徹底を図るために適切な教育を行うこと、とされています。

具体的には、担当者・従業員に対して定期的に研修等を行ったり、秘密保持に関する事項を就業規則等に盛り込んだりすることなどが例示されています。

マイナンバー管理体制を実際に機能させていくためには、組織的、人的な側面とあわせて、物理的、技術的な側面からもマイナンバー対策を講じていかねばなりません。ガイドラインは、この側面についても指針とさまざまな手法を例示しているので、ここでみていくことにしましょう。

物理的な側面からのマイナンバー対策

物理的な側面からの対策、すなわち物理的安全管理措置については、以下の4つの項目に分けて対策が例示されています。

a. 特定個人情報を取扱う区域の管理
b. 情報機器や電子記録媒体の盗難防止
c. 情報機器や電子媒体を持ち出す場合の漏洩の防止
d. 個人情報の削除、情報機器や電子記録媒体の廃棄

「a. 特定個人情報を取扱う区域の管理」とは、マイナンバーを取り扱う情報システムを管理する「管理区域」や、取り扱いを実施する「取扱区域」を明確にしておくことを指します。例えば、以下のような対策が考えられます。

・管理区域への入退室管理（ICカード、ナンバーキー等による）や持ち込む機器等の制限
・取扱区域でのマイナンバーの盗み見を防ぐため、壁や間仕切り等を設置したり、座席配置を工夫する

「b. 情報機器や電子記録媒体の盗難防止」とは、要するに盗難防止です。マイナンバーを取扱う機器や電子媒体、書類ファイル等の盗難・紛失等を防止するために、物理的な安全管理措置を講じます。 鍵のかかる場所に保管する、セキュリティワイヤー等で固定すること等が考えられます。

「c.情報機器や電子媒体の持ち出す場合の漏洩の防止」とは、持ち出したマイナンバーの持ち主が、容易に読み取られたりしないよう、安全な方策を講ずることです。例えば、データの暗号化、パスワードによる保護、施錠できる搬送容器の使用などです。

「d. 個人情報の削除、情報機器や電子記録媒体の廃棄」は、マイナンバーをできるだけ速やかに復元できない手段で削除又は廃棄することです。 廃棄方法については、後述します。

技術的な側面からの対策

技術的な側面からの対策、すなわち技術的安全管理措置については、以下の4つの項目に分けて対策が例示されています。

a. アクセス制御
b. アクセス者の識別と認証
c. 外部からの不正アクセス等の防止
d. 情報漏洩等の防止

「a. アクセス制御」とは、取扱担当者以外の者がファイルにアクセスできないよう、適切にアクセス権の制御を行うことです。アクセスできるファイルやシステムの範囲を各人ごとに明確にするとともに、ID／パスワードをきちんと付与するなど、管理の曖昧さを排除していかなければなりません。

「b. アクセス者の識別と認証」は、取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証することです。ユーザーID、パスワードを正しく付与することはもちろん、磁気カード、ICカード、指紋認証などを導入してセキュリティを向上させることなどが考えられるでしょう。 悪い例としてよくみられるのは、たとえば複数の経理担当者が、会計システムのログインIDやパスワードを共有していたりするケースです。こうした運用例は、上記a.のアクセス制御の効果を失わせるものですから、すぐに解消しなければなりません。　　

「c. 外部からの不正アクセス等の防止」は、言うまでもなくシステムを外部からの不正アクセスなどから保護することです。具体的対策として、ファイアウォール等の設置、セキュリティ対策ソフトウェア等の導入、アクセス監査、OSやアプリケーション等の自動更新、ログ収集と分析による不正侵入の検知などが挙げられています。

「d. 情報漏洩等の防止」は、マイナンバーをインターネット等により外部に送信する場合に、情報漏洩を防止するための措置を講ずることです。暗号化や送信ファイルのパスワード保護等が考えられます。

ガイドラインに沿って、上記の安全管理措定を漏れなく講じていけば、漏洩のリスクは削減されていくはずですが、最後に、マイナンバー管理において見落としがちな落とし穴について、いくつか紹介しておきましょう。

●本人確認を忘れていませんか？

短期アルバイトやパートタイマーなど、多くの従業員を雇用する事業所では、採用と同時にマイナンバーを取得できるよう事務フローを整備しておかないと、マイナンバーを事後的に取得することが難しいケースが多発します。マイナンバーがなければ申告や申請が行えないというわけではありませんが、提出できない理由を別途申告しなければならないなど事務負担が増えることが予想されます。スムーズにマイナンバーの提供が受けられるよう、書式等は漏れなく準備しておくようにしましょう。本人確認の方法については、内閣府のホームページなどで詳細を確認しておきましょう。

●委任状が必要なケースを見落としていませんか？

国民年金第3号被保険者の申請を行う場合には、従業員の配偶者から委任状をもらっておくことが必要となります。忘れずに取得できるよう、委任状も早めに準備しておくとともに、結婚した時にはすぐに会社に届けるよう従業員に周知しておきましょう。

●違法な保管／利用をしていませんか？

例えば表計算ソフトで作成している社員名簿に「マイナンバー」の欄を追加するという方法は、法の定めるマイナンバーの利用範囲から外れてしまうため違法です。このような特定個人情報ファイルを作成していないか、常日頃から気をつけておきましょう。

●委託先との契約は大丈夫ですか？

マイナンバー関連業務を外部に委託する場合、事業者は委託先のマイナンバー管理を監視する責任があります。委託先がガイドラインに沿ったルールと体制を整えているか、委託する前に書面等で確認しておきましょう。

●子会社への提供はできるのか？

親会社と子会社の間で従業員が転籍した場合、マイナンバーを会社間で交換することは違法となります。この例では、転籍元の会社ではマイナンバーを削除、転籍先の会社で従業員のマイナンバーを新たに取得することが必要です。安易なマイナンバーの提供は違法となりますので、十分に気をつけてください。

●本当に「廃棄」したと言えますか？

マイナンバーを管理する上で、特に注意が必要であるのが「廃棄」についてです。企業は従業員が退職した場合、マイナンバーを原則7年で破棄しなければなりません。

廃棄における落とし穴としては、パソコンのデスクトップ上に見える「ゴミ箱」にファイルを捨てた、ハードディスクをフォーマットした、家庭用のシュレッダーで書類を処分した、など正しく捨てたように見えても、厳密には「復元可能」な状態になっていた、というケースも起こりえます。電子ファイルは専用のツールなどを利用し、復元ツールなどを使っても再生できないようにしたり、紙の書類は細かく裁断できるオフィス用のシュレッダーを使う必要があります。

また、廃棄を外部委託している企業も多くありますが、番号法及びガイドラインにおいて委託元は委託先がマイナンバーを確実かつ適切に廃棄・削除したことについて監督する義務を負います。これは、再委託先、再々委託先に対しても委託先と同様に監督義務があります。自社で管理する場合と同様に、マイナンバーの利用が必要はなくなった場合には、廃棄・削除しなければなりません。委託先からマイナンバーの情報が漏洩した場合、監督責任が問われることになります。

こうした見落としがちな落とし穴にはまらないためには、常日頃からセキュリティに関する情報を収集し、規定を常に見直し、改訂を重ねていくことが必要です。

以上、安全管理措置について4つ（組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置）を概観しました。やるべきことは明確であり、対策のひとつひとつは難しいことではありません。マイナンバー制度が求める「安全管理措置」は、一見非常に厳しいもののように思えます。しかし、ガイドラインが示す対策は、企業の情報資産を守るために一般的に必要とされているセキュリティ対策と共通のものです。

例えば、アクセス権制御、ウイルス対策、デバイス制御、OSのアップデート等々は、急速な情報化が進む企業であれば、常識的に導入しなければならない対策です。また物理的、技術的な対策が効果を発揮するためには、それを支える人の面においても監督や教育を継続的に実施していくことが不可欠である点も、従来からよく知られているところです。

強固なセキュリティを確保するために、これらの対策を総合的にもれなく実施し、常日頃からチェックできる体制を整えることは容易ではありません。AssetView のような情報資産管理ツールを活用することで、それがはじめて可能になります。AssetView は豊富な機能により、ガイドラインの求める安全管理措置を確実に実現するとともに、その実施状況についてモニタリングする手段を提供します。

マイナンバーは、今後社会のインフラとして広く利用され、急速に身近な存在となることが予想されます。安易な取り扱いは大規模な情報漏洩につながり、企業の信頼を損ねます。マイナンバーを会社経営のリスクにしないために、ツールを上手に活用し、企業を挙げた態勢の構築とセキュリティ意識の向上に取り組んでください。