マイナンバーの漏洩対策！セキュリティグッズもしっかりチェック！

マイナンバー法では個人番号関係事務の処理に必要な範囲に限って、個人情報を含む「特定個人情報ファイル」の取り扱いが認められている。

それ以外の利用は厳しく制限されており、利用範囲外、例えばマイナンバーを社員番号として使ってしまったり、営業管理のために流用したりすることなどは一切禁じられている。あわせて、収集から廃棄までの厳格な管理も企業へ明確に求めている。

「特定個人情報」は「個人情報」の一部であるため、原則として「個人情報保護法」が適用されます。さらに「特定個人情報」は、マイナンバーの悪用といった漏洩によるリスクが高いことから、「マイナンバー法（番号法）」という新しい法令によって「個人情報保護法」よりも重い罰則が定められています。

対応のキモとなる「安全管理措置」は、
「組織的安全管理措置」
「人的安全管理措置」
「物理的安全管理措置」
「技術的安全管理措置」
の4つに大別される。

・事務の担当者の情報システム利用状況の記録
・特定個人情報ファイルの持ち出し、削除、廃棄の記録

マイナンバー関連業務の責任者と事務取扱担当者を分ける。
「責任者」と「担当者」で任務を区別することで、ミスや不正が起こらない組織体制にする、マイナンバーの取扱い状況を責任者が把握できるようにする、何か問題が発生したときの「報告」・「連絡」・「相談」体制を整えておくことなどが必要です。

マイナンバーの利用実績やシステムログを記録する仕組みを整える。
例えばエクセルなどを使って、マイナンバーの取扱い履歴を逐一記録しておくことが必要です。

マイナンバーに関係する事務責任者、事務担当者への研修の実施

企業は従業員の教育・監督をしなくてはなりません。従業員に定期的な研修を行うほか、秘密保持に関する事項を就業規則などに盛り込むなどして、運用ルールを徹底する必要があります。

・特定個人情報の入った情報機器の盗難対策の実施（セキュリティワイヤーの設置等）
・特定個人情報を持ち出す際には、データを暗号化＆パスワードによる保護、および施錠できる搬送容器を使用
・特定個人情報の記載された書類等を廃棄する際は、焼却又は溶解等の復元不可能な手段を採用
・特定個人情報の入った情報機器及び電子媒体等を廃棄する場合、専用データ削除ソフトウェアを使い復元不可能な手段を採用

企業は情報漏えいなどが起こらないように、オフィスのレイアウトや書類・データの管理方法について物理的な対策を施す必要があります。安全管理措置のなかでも、特に手間やコストがかかる項目です。

マイナンバー情報を取り扱う場所（管理区域）を物理的に分け、担当者以外から簡単に覗き見されないようにする。
マイナンバーが記載されているデータや書類、マイナンバー情報が保存されている電子機器の盗難対策をする。
1で定めた管理区域から持ち出すときの漏えい対応策を講じる。
マイナンバーの削除・廃棄をする際に、絶対に復元されないような方法をとる。

・特定個人情報にアクセスできる権限をアクセス制限により限定
・セキュリティ対策ソフトの導入
・特定個人情報の入った情報機器内において、情報漏えい対策としてデータの暗号化又はパスワードによる保護を行う

アクセス制御を行う。
担当者以外がマイナンバー情報にアクセスできないようにする。また、マイナンバーと紐づけてアクセスできる情報の範囲を限定する。
アクセス者の識別と認証を行う。
ユーザーID・パスワードなどを設定し、情報システムを取り扱う担当者を限定する。
外部からの不正アクセス等の防止を行う。
ウィルス対策ソフトウェアを導入する。また、アクセスログを監視して不正アクセスを検知する。
情報漏えい等の防止策を講じる。
データの暗号化、パスワードによる保護、通信経路の暗号化などの対策をとる。