マイナンバーの流出に備えた、保険が登場

マイナンバーについて定める番号法は、個人情報保護法の「特別法」としての位置づけとなっています。このため、マイナンバーに関しては番号法の規定が個人情報保護法よりも優先されます。番号法では、個人情報保護法よりも厳しい罰則等が定められています。

今回の番号法では、個人番号利用事務等に従事する者が、正当な理由なく特定個人情報ファイルを提供した場合、4年以下の懲役または200万円以下の罰金または併科という重い刑罰が科されることになりました。

番号法では、個人情報保護法とはまったく違い、重い刑罰が科せられることになりました。そのため、情報漏洩に対する企業のリスクはなお一層高まったといえます。

社内の情報管理体制、システム管理の体制を整えただけではセキュリティ対策として不十分です。適切な従業員教育を通し、会社自体が、また従業員が罰則を受けることのないよう対策を図っていくことが重要です。

2014年7月に発覚したベネッセ情報流出事件においては、1人あたり500円分の金券が配布され、その補償額は200億円にのぼりました。さらに株価の下落や顧客の信用低下なども含めれば、その損害は途轍もないものといえます。

ポイント：個人情報が漏えいしたような場合、損害賠償という法的責任だけでなく、社会的信用の低下も大きな問題です。個人情報漏えい事件等を引き起こしてしまったときは、迅速な対応が求められます。

　個人情報漏えい事件などでは、それによる信用の低下などが、時には損害賠償などの法的リスクを大きく上回るほどの損害を会社に及ぼします。

　最近では個人情報の保護に対する社会の意識が高くなっていますし、それを受けて企業も個人情報の扱いに敏感になっています。個人情報漏えい事件を起こした企業との取引については、個人も企業も慎重になります。個人情報漏えい事件が、個人からの注文の大幅な減少や得意先企業との取引停止などにつながるリスクは無視できません。

ベネッセが情報漏洩対策を行っていなかったのでしょうか？答えはNOです。
大量の個人情報を取り扱う大企業として、当然のようにセキュリティ対策は行っていました。
・データベースアクセス権限のあるアカウントの制限
・データベースへのアクセスは入退室管理された決められた部屋からのみ
・作業者PCは会社貸与で、強制的に社内セキュリティポリシーに準ずるもののみ
・作業者入退室時に私物の持込み禁止
あなたの会社でもここまで情報漏洩対策を行っていますか？
今回の事件で問題だったのは「作業者入退室時に私物の持込み禁止」にしておきながら、入室時私物検査でUSBメモリの持込みを見逃してしまったことでしょう。

一番問題だったのは、
・一次請負会社を含む、責任の所在の不明瞭さ
・業務に携わった派遣社員のセキュリティ意識の低さ
だったのではないでしょうか。

つまり、システム上で対策を行うだけではなく、業務従事者の責任の明確化とセキュリティ意識教育も重要だということがよくわかります。

・セキュリティポリシーを策定しましょう
情報セキュリティについてのルールを明文化して、セキュリティレベルの向上と統一化を図りましょう。
個人に任せるだけでは、セキュリティレベルはバラバラになってしまい、最もセキュリティレベルの低いところから、情報漏洩が発生してしまいます。
会社として「ここまではやらなくてはいけない」という線引きを行い、それを文書化することで業務従事者が一定のレベルを順守する体制を作りましょう。

　東芝が提供するPC運用上手は、中小企業の統合的なセキュリティ対策として有効なソリューションだ。その理由は、ID管理、操作監視、操作制御、検疫ネットワーク、解析・通知、PCデータ管理、資産管理、システム管理という8つの機能があり、基本的に必要となるセキュリティ対策が網羅しているからだ。

来年１月に始まるマイナンバー制度に対応した保険の契約が急増している。個人情報の漏えい被害を補償するタイプの保険で、従業員のマイナンバーを管理する企業のニーズが高まっているためだ。

「通知カードの配布で、保険への関心が高まっている」。マイナンバーに対応する保険を扱う東京海上日動火災保険の担当者はこう指摘する。今年２月に売り出した、マイナンバーの漏えい被害に対応する「サイバーリスク保険」はこの２カ月で契約件数が約２割増加。個人情報が漏えいした際の費用損害保険や賠償責任保険の今年度の契約は前年度比２割増の約７０００件を見込む。

損害保険会社の間では、サイバー攻撃で情報が漏えいした場合の損害を補償する新たな企業向けの保険商品を販売する動きが相次いでいます。
このうち、「損害保険ジャパン日本興亜」は、企業向けの保険の補償の対象にマイナンバーの漏えいも加えたほか、不正なアクセスによる被害の有無を調査したり海外からの訴訟に対応したりする費用も補償することにしました。

多くは現行の個人情報保護法を基に約款で個人情報を定義しており、商品ごとに細かな違いがある。例えば三井住友海上火災保険の情報漏えいプロテクターは、マイナンバーだけが漏れた場合は補償の対象外としている。個人情報も漏洩する事態が想定され、約款変更の必要はないと判断したという。

　各社の基本的な契約では、1年ごとの契約で賠償責任の限度額は10億円、自己負担の費用損害は上限1億円が上限、というのが典型的な補償内容である。上限が1億円の場合、費用損害分の全てを個人への見舞金500円に充てると20万人分が上限となる。

いまこうした保険商品に関心を持つ企業が増えているのは、マイナンバー制度に対する不安の表れといえる。一方で、企業は保険商品の検討を通じて、マイナンバーの漏洩やプライバシー侵害が起きた場合のコストを試算できる。自社の管理体制の整備を加速する契機にもなりそうだ。