【企業】マイナンバーの対策、出来ましたか？

「基本方針」とは、自社における特定個人情報の取扱いに関しての安全性確保等を図る目的で対応の方針を明確にするものです。

この基本方針は、企業規模を問わず、組織として策定する必要があります。
実際のところ、法律に「基本方針を定めなさい」とは書いてありませんが、特定個人情報保護委員会が示す「特定個人情報の適正な取扱いに関するガイドライン」に、基本方針の事例が掲載されているので、これを参考に策定しておくことが企業側のリスク管理につながります。

基本方針については、監督官庁等への届出は不要で、社外への公表も義務付けられているものではありませんが、社内規程（情報管理規程）への記載や社内報における告知、社内のイントラネット上への掲載といった形で従業員に周知させることが重要です。できる限り、個人番号が通知される2015年10月までに、基本方針の策定と周知が済んだ状態にしておきましょう。

なお、基本方針は一度策定すればよいというものではありません。社内の組織体制の見直し等によって随時見直しすることができるように、管理責任者を定めておき、策定や運用における責任の所在があいまいにならないようにしてください。

ガイドラインでは、 基本方針に定める項目としては、 次を挙げています。
・ 事業者の名称
・ 関係法令・ガイドライン等の遵守
・ 安全管理措置に関する事項
・ 質問及び苦情処理の窓口 等

個人情報保護に関し、プライバシー ポリシー（個人情報保護方針）を明示している企業は、それをアレンジすれば問題ないと考えられます。

従業員数が100人超の企業は、マイナンバーの取扱方法を明確にした「取扱規程」の策定も必要です。
特に、情報漏えい事故が生じる可能性があるマイナンバーの運用では、以下に示した5段階で、取扱方法、責任者・事務取扱担当者とその任務等を定めることが求められています。

・取得する段階
・利用を行う段階
・保存を行う段階
・提供を行う段階
・削除・廃棄を行う段階

組織的安全管理とは、安全管理について従業者（法第21条参照）の責任と権限を明確に定め、安全管理に対する規程や手順書（以下「規程等」という。）を整備運用し、その実施状況を確認することをいう。

【組織的安全管理措置として講じなければならない事項】

（1）個人データの安全管理措置を講じるための組織体制の整備
（2）個人データの安全管理措置を定める規程等の整備と規程等に従った運用
（3）個人データの取扱い状況を一覧できる手段の整備
（4）個人データの安全管理措置の評価、見直し及び改善
（5）事故又は違反への対処

(1) 雇用及び契約時における非開示契約の締結
(2) 従業員に対する周知・教育・訓練の実施

雇用契約や委託契約時に非開示契約を締結することが分野別ガイドラインで求められています。非開示については、契約期間終了後も一定期間有効にすることが必要です。

教育・啓発の面では、個人情報保護に対する会社の取り組みや、情報セキュリティに関する規定などを周知させると同時に、新しい運用プロセスを教育・訓練し、個人情報を保護するための手順を確実に身につけて貰うことが必要となります。また、適切な教育が行われていることを確認しておくことも重要です。（教育後のアンケート、テスト結果の保存等）

物理的安全管理措置とは、入退館（室）の管理、個人データの盗難の防止等の措置をいう。

【物理的安全管理措置として講じなければならない事項】

（1）入退館（室）管理の実施
（2）盗難等の防止
（3）機器・装置等の物理的な保護

技術的安全管理措置とは、個人データ及びそれを取り扱う情報システムへのアクセス制御、不正ソフトウェア対策、情報システムの監視等、個人データに対する技術的な安全管理措置をいう。

【技術的安全管理措置として講じなければならない事項】

（1）個人データへのアクセスにおける識別と認証
（2）個人データへのアクセス制御
（3）個人データへのアクセス権限の管理
（4）個人データのアクセスの記録
（5）個人データを取り扱う情報システムについての不正ソフトウェア対策
（6）個人データの移送・送信時の対策
（7）個人データを取り扱う情報システムの動作確認時の対策
（8）個人データを取り扱う情報システムの監視