改めて考えるマイナンバーの安全管理体制と現状！【社労士コラム】

マイナンバーを案内する社労士

昨年は「マイナンバー、マイナンバー・・・」と日本全土が盛り上がり、設備投資をはじめ社内の組織体制など“マイナンバー”という言葉に右往左往した企業も少なくないのではないでしょうか。

安全管理措置は行われていますか？

さて、マイナンバーの利用も始まり3カ月が過ぎようとしています、以前に行政（特定個人情報保護委員会）から告知された安全管理措置について皆さまの対策状況はいかがでしょうか？
ちなみにガイドラインに沿って安全管理措置を具現化した場合、準備しなければならないと考えられる事項が18項目にも及びます。

＜ガイドライン＞

マイナンバー取り扱い責任者・担当者の選出
マイナンバー回収対象者の洗い出し
取り扱いルールの策定
従業員教育
運用状況の管理体制の整備
取り扱い区域の設定
管理区域の設定
管理・運用方法の決定
入退室管理
保管場所の施錠
持出時の対処方法
利用履歴の記録管理
アクセス制御
アクセス者の識別と認証
ログの収集
不正アクセスの防止対策
不正ソフトウェアからの保護
通信経路における情報漏えいをなくすための対策

どこまで対応ができていますか？！

ここまでやったから大丈夫はない！

上記の通りガイドラインを具現化した場合、18項目にも及ぶ安全管理措置が洗い出されます。しかし、ガイドラインの通りやったから大丈夫といった基準はありません。何かあった場合、リスクを背負うのは企業です。企業として何もしていませんでしたでは今のご時世通用いたしません。企業としてやるべきことはやる。最低でもガイドラインの事項は実施すべきだと考えます。

話は変わりますが、ＩＣＴなくして企業経営ができないくらいコンピューターやインターネットが当たり前の時代となっています。ガイドラインではありませんが、このシステムを導入すれば100％大丈夫といったシステムはありません。しかしながらアクセス制御や暗号化など複数の手段を組み合わせ、多層的な防御をしていくことで防御力を高めていくことなど常に現状を把握し適切な施策を打つことが求められます。

「内部犯行による情報漏洩リスク」を重視する企業が増加傾向！

2014年に発覚し社会問題となった子ども用教育出版会社関連会社スタッフの不正による大量情報漏えい事件をきっかけに企業の情報漏えいに対する考え方が大きく変わってきました。「情報の漏洩は企業の内部（社員、契約社員、パート、派遣社員、委託業者等）による犯行」として内部リスクを重視し始めたのです。

これまで外部からの攻撃を防御するためファイヤーウォールをはじめ何重にもセキュリティを強化していましたが、内部に関してのセキュリティは外部に比べて弱い企業が多く、沢山のリスクを抱えていました。情報漏えいをした企業においては、内部のセキュリティを強化していたにも関わらず起こった事象ですが、外部セキュリティを比べて脆弱であったことは否めません。一部の企業を例えていますが、どの企業でも起こりうる事件です。

実際、この事件をきっかけに、企業の内部リスクに対する考え方が強まり、内部のセキュリティの強化を重視する企業が増えてきています。

業種ごとの温度差が顕著なクラウド・コンピューティングに対するセキュリティ不安

昨今、クラウド・コンピューティングによる管理が主流となっていますが、懸案事項のひとつとしてセキュリティがあげられます。しかしながら、セキュリティ関連のテーマについてアンケートを取ったところ「クラウドが有利である」と考える人が多数派を占めていることが分かりました。業種により温度差はあるものの社会の考え方としてクラウド・コンピューティングが定着してきたと考えられます。

また、クラウド・コンピューティングについては、場合によっては自社のセキュリティより防御が高いこともあります。多くの企業の情報を一手にIDCで預かるため一般企業以上のセキュリティが要求されるからです。一部のクラウド・コンピューティングでは、国家軍事機密クラスのセキュリティを完備しているIDCもあるようです。一度自社のネットワーク構成を見直しセキュリティ担当者と相談のうえ一番よい体制を構築することが望ましいと思われます。

セキュリティの関心が高まっているがマイナンバーの対策は未だ手探り状態

セキュリティ・リスクに対する企業の関心は高まってきています。昨今の内部による不正について取りざたされたことも関係し、特に内部犯行・不正に対する危機感は大きく、経営の観点からも防御していなかければならない事項として考えられています。しかしながら、どこから手をつけてよいか判断のつかない企業が多いことも事実です。その中でも重要テーマのひとつになると考えられるのがマイナンバー制度です。

大半の企業はマイナンバーに関す対応の必要性は感じているもの完了していない企業が多く存在しています。未だマイナンバーの制度対応の実態を十分に把握できていない様子もうかがえます。

行政の思惑とは裏腹にまだまだ現状としてはマイナンバーの対応について右往左往していることが現状である。セキュリティに関心を持っている今だからこそ専門家やシステム関連企業と相談をしつつ対応を進めてみてはどうでしょうか。

【コラム執筆者】
マイナンバー推進協議会　会長
フクシマ社会保険労務士法人
 代表社員　特定社会保険労務士　福島省三