4つある安全管理措置。「技術的安全管理措置」とは？

ガイドラインでは、４つの安全管理措置を講ずる必要があるとされています。
その４つとは、①組織的安全管理措置、②人的安全管理措置、③物理的安全管理措置、④技術的安全管理措置です。

事業者は、特定個人情報等の適正な取扱いのために、次に掲げる 技術的安全管理措置を講じなければならない 。

ａ アクセス制御
情報システムを使用して個人番号関係事務又は個人番号利用事務を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。

ｂ アクセス者の識別と認証
特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。

ｃ 外部からの不正アクセス等の防止
情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用する。

ｄ 情報漏えい等の防止
特定個人情報ファイルをインターネット等により外部に送信する場合、通信経路における情報漏えい等を防止するための措置を講じる。

個人データ及びそれを取り扱う情報システムへのアクセス制御、不正ソフトウェア対策、情報システムの監視等、個人データに対する技術的な安全管理措置をいいます。
コンピュータ用語が多くなりますが、ウイルス対策ソフトの導入、ファイヤーウォールの導入、ドメインへのログインの制限、モニタリングの実施など、様々な対応が考えられます。但し、モニタリング等、従業員のプライバシーと抵触する可能性がある事項については、別途の調整も必要になります

マイナンバーをはじめとする特定個人情報を、電子データによって管理している場合に必要になってくる安全管理措置です。
紙媒体のみで管理を行っている場合は、必要ありません。
しかし、PCでの事務処理が一般的な事業所ではほとんどの場合、この技術的安全管理措置を講じる必要があります。

・ファイヤーウォールによる外部サーバへの接続を制限
・外部サーバに対するIPアドレス等によるアクセス制限の有効性の定期監視
・専用サーバから毎日自動更新にてウィルス定義ファイルを各PCに配布
・ノートPC ハードディスクの暗号化の実施
・外部とのファイル受け渡し用には専用システム(proself)を運用
・メールサーバによるGmail等のフリーメールアドレスへの送信を制限
・USB等の記録メディアのPC接続アラートおよびログの取得

（1）個人データへのアクセスにおける識別と認証
（2）個人データへのアクセス制御
（3）個人データへのアクセス権限の管理
（4）個人データのアクセスの記録
（5）個人データを取り扱う情報システムについての不正ソフトウェア対策
（6）個人データの移送・送信時の対策
（7）個人データを取り扱う情報システムの動作確認時の対策
（8）個人データを取り扱う情報システムの監視

日本においてはフィッシングメールが主な標的型攻撃の手法となる。リアルタイム脅威分析をメール環境に導入することと、不正リンクのクリック時にウェブプロキシで脅威あるウェブアクセスを防御することで、理想的な技術的安全管理措置の「外部からの不正アクセスなどの防止」が対応できると言えよう。