【マイナンバー制度】安全管理措置について詳しく知りたい事業者の方に

マイナンバー法では、事業者は、個人番号及び特定個人情報が漏えい、滅失又は毀損することなく適切な管理を行うために、各種の安全管理措置を講じなければならないとされています。

事業者は、組織体制の整備や、取扱規程等に基づく運用、取扱状況を確認する手段の整備取扱状況の把握及び安全管理措置の見直しなど、特定個人情報等の適正な取扱いのための組織的な安全管理措置を講じる必要があります。

<組織的安全管理措置のポイント>

１． マイナンバー関連業務の責任者と事務取扱担当者を分ける。
「責任者」と「担当者」で任務を区別することで、ミスや不正が起こらない組織体制にする、マイナンバーの取扱い状況を責任者が把握できるようにする、何か問題が発生したときの「報告」・「連絡」・「相談」体制を整えておくことなどが必要です。

２． マイナンバーの利用実績やシステムログを記録する仕組みを整える。
例えばエクセルなどを使って、マイナンバーの取扱い履歴を逐一記録しておくことが必要です。

事業者は、事務取扱担当者の監督や教育など、特定個人情報等の適正な取扱いのための人的な安全管理措置を講じる必要があります。

・事務取扱担当者の監督
・事務取扱担当者の教育

事業者は、特定個人情報等を取り扱う区域の管理や、機器及び電子媒体等の盗難等の防止、電子媒体等を持ち出す場合の漏えい等の防止、個人番号の削除、機器及び電子媒体等の廃棄など、特定個人情報等の適正な取扱いのための物理的な安全管理措置を講じる必要があります。

ａ　特定個人情報等を取り扱う区域の管理
　特定個人情報等の情報漏洩等を防止するために、特定個人情報ファイルを取り扱う情報システムを管理する区域（「管理区域」）や、特定個人情報等を取り扱う事務を実施する区域（「取扱区域」）を明確にして、物理的な安全管理措置を講ずる。

ｂ　機器及び電子媒体等の盗難などの防止
　管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難または紛失を防止するために、物理的な安全管理措置を講ずる。

ｃ　電子媒体等を持ち出す場合の漏えい等の防止
　特定個人情報等が記録された電子媒体または、書類等を持ち出す場合、容易に個人番号が判明しない措置の実施、追跡可能な移送手段の利用等、安全な方策を講ずる。
　「持ち出し」とは、特定個人情報などを、管理区域又は取扱区域の外へ移動させることをいい、事業所内での移動であっても、紛失・盗難などに留意する必要がある。

ｄ　個人番号の削除、機器及び電子媒体等の廃棄
　個人番号関係事務又は個人番号利用事務を行う必要がなくなった場合で、所管法令等において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに復元できない手段で削除または廃棄する。

事業者は、アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報漏えい等の防止など、特定個人情報等の適正な取扱いのための技術的な安全管理措置を講じる必要があります。

【技術的安全管理措置のポイント】

1.アクセス制御を行う。
担当者以外がマイナンバー情報にアクセスできないようにする。また、マイナンバーと紐づけてアクセスできる情報の範囲を限定する。

2.アクセス者の識別と認証を行う。
　ユーザーID・パスワードなどを設定し、情報システムを取り扱う担当者を限定する。

3.外部からの不正アクセス等の防止を行う。
　ウィルス対策ソフトウェアを導入する。また、アクセスログを監視して不正アクセスを検知する。

4.情報漏えい等の防止策を講じる。
データの暗号化、パスワードによる保護、通信経路の暗号化などの対策をとる。

委託や再委託を行った場合は、個人情報の安全管理が図られるように、委託や再委託を受けた者に対する必要かつ適切な監督を行わなければなりません。