マイナンバー安全管理の鍵はアクセス管理にある

　「大きなポイントの一つは、データベースに対するアクセス制御／権限管理をしっかりと行い、マイナンバーを扱う人と扱わない人、さらにはマイナンバーを扱うシステムと、そうではないシステムをしっかりと区分けすることです」

　先にも触れた通り、マイナンバーを取り扱う事務内容や担当者は、マイナンバー法にのっとったかたちで限定されなければならない。従って、他業務の担当者がマイナンバーにアクセスできてしまうことは避けなければならず、特定個人情報ファイルに対するアクセス権（ID）管理やアクセス制御を緻密に行うことが必要とされる。また、マイナンバーは行政手続きでしか使えないため、マイナンバーにひも付けてアクセスできる情報の範囲も（アクセス制御で）限定しなければならない。

特定個人情報に対するアクセス制御やアクセス者の識別と認証は中小企業には義務化されていない。
　だが、現代のようにインターネットなど、ITを日常的に活用しながらで事業を営む環境では、情報システムの安全管理は中小企業にとっても重要な経営課題である。

「アクセス制御」という単語がガイドラインに記載があるのは「技術的安全管理措置」の項目です。その前提として、「組織としてマイナンバーにアクセスできる人を限定する」があります。

したがってアクセス制御とは、システムの導入に限らず、書類であってもアクセスできる人を限定して管理していく必要があるということです。

個人番号と紐付けてアクセスできる情報の範囲をアクセス制御により限定する。
特定個人情報ファイルを取り扱う情報システムをアクセス制御により限定する。
ユーザーIDに付与するアクセス権により、特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する。

少人数を雇用している企業は、出遅れている感があります。理由は、少人数を相手にしているため影響が小さいことからあたり前に考えてしまうのかもしれませんが、どうしても情報収集の遅れは否めないようです。なお、小規模事業所の殆どは、マイナンバー管理について「紙」と「金庫」がキーワードのようで、システムや委託とは無縁であるといった状況のようです。

漏洩防止に対応するために必要となるデータベース機能には、データの暗号化があるだろう。万一マイナンバーの入っているデータベースファイル入りのハードディスクを盗まれたり、あるいはデータベースサーバーなりが丸ごと盗難にあったりした場合にも、中身のデータが適切に暗号化されていれば漏洩を防止できるだろう。もう1つの個人番号の削除や電子媒体の破棄の際にも、捨てる前に完全にデータを消去するのはもちろん、仮に片鱗が残っていても解読できないよう暗号化しておくに越したことはない。