【マイナンバー対策準備室】税務、社会保険、ITなど各分野の専門家のノウハウを結集し、民間事業者のマイナンバー制度対応を支援します。

<管理区域等の管理方法＞

・ 管理区域に関する物理的安全管理措置としては、入退室管理及び管理区域へ持ち込む機器等の制限等が考えられる。また、入退室の管理方法としては、ICカード、ナンバーキー等による入退室管理システムの設置等がある。

・ 取扱区域に関する物理的安全管理措置として、壁又は間仕切り等の設置及び座席配置の工夫等を行う。

<準備事項の例示＞

・ 「管理区域」「取扱区域」を定義し、取扱規程や業務マニュアル等に明記する。

・ 「管理区域」への入退制限や入退記録のための仕組み(入退室管理システム、入退室記録簿等)の導入を検討する。

・ 特定個人情報等の取扱いの留意事項(「管理区域」の入退制限、「取扱区域」の壁又は間仕切り等の設置や座席配置等)を業務マニュアル等に明記する。

<帳票整備の例示＞

・ 「管理区域」の入退室記録簿

・ 「管理区域」の鍵・ IDカードなどの貸与記録簿

・ 本人確認、特定個人情報取扱マニュアル（管理区域、取扱区域の作業環境等）

<記録媒体等の盗難等の防止策＞

・ 特定個人情報等を取り扱う機器、電子媒体又は書類等を、施錠できるキャビネット・書庫等に保管する。

・ 特定個人情報ファイルを取り扱う情報システムが機器のみで運用されている場合は、セキュリティワイヤー等により固定すること等が考えられる。

<準備事項の例示＞

・ 事業者が取り扱う特定個人情報や特定個人情報ファイルを洗い出し、盗難又は紛失等への保護状況を検討する。

・ 特定個人情報等取り扱う機器、電子媒体及び書類を保管するための施錠可能なキャビネット・ 書庫等の設置を検討する。

・ 特定個人情報等の取扱いの留意事項(特定個人情報等を取り扱う機器、媒体等の管理等)を業務マニュアル等に明記する。

<帳票整備の例示＞

・ 特定個人情報管理台帳

・ 「キャビネット・ 書庫等」の鍵などの貸与記録簿

・ 本人確認、特定個人情報取扱マニュアル（特定個人情報等を取り扱う機器、媒体等の管理等）

<記録媒体等の漏えい防止策＞

・ 特定個人情報等が記録された電子媒体を安全に持ち出す方法としては、持出しデータの暗号化、パスワードによる保護、施錠できる搬送容器の使用等が考えられる。なお、行政機関等に法定調書等をデータで提出するに当たっては、行政機関等が指定する提出方法に従う。

・ 特定個人情報等が記載された書類等を安全に持ち出す方法としては、封緘、目隠しシールの貼付を行うこと等が考えられる。

<準備事項の例示＞

・ 事業者が取り扱う特定個人情報や特定個人情報ファイルを洗い出し、「持出し」の発生するケースについて紛失・ 盗難リスク等を検討する。

・ 特定個人情報等の取扱いの留意事項(移送される媒体・ 運搬ルール、授受確認のルール等)を業務マニュアル等に明記する。

<帳票整備の例示＞

・ 特定個人情報管理台帳

・ 特定個人情報取扱記録簿（記録媒体の授受記録簿等）

・ 本人確認、特定個人情報取扱マニュアル（移送される媒体・ 運搬ルール、授受確認のルール等）

<個人番号の削除等の方法＞

・ 特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解等の復元不可能な手段を採用する。

・ 特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等、復元不可能な手段を採用する。

・ 特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場合、容易に復元できない手段を採用する。

・ 特定個人情報等を取り扱う情報システムにおいては、保存期間経過後における個人番号の削除を前提とした情報システムを構築する。

・ 個人番号が記載された書類等については、保存期間経過後における廃棄を前提とした手続を定める。

<対応準備の例示＞

・ 事業者が取り扱う特定個人情報や特定個人情報ファイルを洗い出し、保存期間と、廃棄・ 削除の手順・ ルール等を検討する。

・ シュレッダーやデータ削除ソフトウェアなどの導入、廃棄の委託先との契約の見直しなどを検討する。

<帳票整備の例示＞

・ 特定個人情報管理台帳

・ 特定個人情報取扱記録簿（廃棄記録簿など）

・ 特定個人情報取扱マニュアル（廃棄ルール等）

<アクセス制御の方法＞

・ 個人番号と紐付けてアクセスできる情報の範囲をアクセス制御により限定する。

・ 特定個人情報ファイルを扱う情報システムを、アクセス制御により限定する。

・ ユーザーIDに付与するアクセス権により、特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する。

<対応準備の例示＞

・ 事業者が取り扱う特定個人情報や特定個人情報ファイルを洗い出し、特定個人情報ファイルを取り扱う情報システム、端末等を特定する。

・ 特定個人情報の取扱い事務と担当者などを整理し、特定個人情報へのアクセスを最小限にする権限設計を行う。

・ 特定個人情報のアクセス権限表にもとづき、特定個人情報を取り扱うPC、サーバー等の設定を行う

<帳票整備の例示＞

・ アクセス権限表、情報機器管理台帳、アクセス権設定チェックリスト

・ 特定個人情報へのアクセスログ記録

・ 特定個人情報取扱マニュアル（アクセス権設定等）

<アクセス者の識別･認証方法＞

・ 事務取扱担当者の識別方法としては、ユーザーID･パスワード、磁気･ICカード等が考えられます。

<対応準備の例示＞

・ 事業者が取り扱う特定個人情報や特定個人情報ファイルを洗い出し、特定個人情報ファイルを取り扱う情報システム、端末等を特定する。

・ 特定個人情報を取り扱うPC、サーバー等について、担当者識別情報の設定を行う

<帳票整備の例示＞

・ 担当者識別情報（ユーザーID、パスワード等）の発行や廃棄の申請書等

・ アカウント管理台帳、担当者識別情報設定チェックリスト

・ 特定個人情報取扱マニュアル（担当者識別情報の管理ルール等）

<不正アクセス等の防止策＞

・ 情報システムと外部ネットワークとの接続箇所にファイアウォール等を設置し不正アクセスを遮断する。

・ 情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する。

・ セキュリティ対策ソフトウェア等により、入出力データにおける不正ソフトウェアの有無を確認する。

・ 機器やソフトウェア等に標準装備されている自動更新機能等の活用により最新状態を保持する。

・ ログ等の分析を定期的に行い、不正アクセス等を検知する。

<対応準備の例示＞

・ 特定個人情報ファイルを取り扱う情報システム、PC端末、ルーター、ネットワーク等の不正アクセス対策の現況を検討する。

・ 特定個人情報を取り扱うPC、サーバー等を中心に、セキュリティソフトウェア、監視ツール等の導入を検討する。

<帳票整備の例示＞

・ 社内ネットワーク図

・ 情報機器管理台帳、セキュリティ設定チェックリスト

・ システム・ ネットワークのアクセスログ記録

<情報漏えい等の防止策＞

・ 通信経路における情報漏えい等の防止策として、通信経路の暗号化等を行う。

・ 情報システム内に保存されている特定個人情報等の情報漏えい等の防止策として、データの暗号化又はパスワードによる保護等を行う。

<対応準備の例示＞

・ 特定個人情報ファイルを取り扱う情報システム、PC端末、ネットワーク等の情報漏えい対策の現況を検討する。

・ 特定個人情報を取り扱うPC、サーバー等に暗号化ツールの導入を検討する。また、ネットワークにVPN等の通信暗号化の利用を検討する。

<帳票整備の例示＞

・ 社内ネットワーク図

・ 情報機器管理台帳、セキュリティ設定チェックリスト

・ 本人確認、特定個人情報取扱マニュアル（情報漏えい対策ルール等）

<組織体制の整備事項＞

・事務責任者の設置及び責任の明確化

・事務担当者の明確化及びその役割の明確化

・事務担当者が扱う特定個人情報等の範囲の明確化

・事務担当者が取扱規程等の違反事実･兆候を把握した際の責任者への報告連絡体制

・従業者が情報漏えい等事案の発生･兆候を把握した際の責任者等への報告連絡体制

・特定個人情報等を複数の部署で取扱う場合の各部署の任務分担及び責任の明確化

<対応準備の例示＞

・ 特定個人情報の取扱事務担当者、特定個人情報等の範囲を討議し、事務責任者の設置・責任の範囲について検討する。

・ 社内規程の違反事実や漏えい等事案の発生について、報告連絡体制を整備する。

<帳票整備の例示＞

・ 組織管理規程、業務分掌規程、職務権限規程等の追記

・ 特定個人情報取扱体制図、権限責任表

・ 特定個人情報取扱マニュアル（漏えい事案等の報告・連絡ルール）

<運用状況を確認するための記録＞

・ 特定個人情報ファイルの利用・出力状況の記録

・ 書類・媒体等の持出しの記録

・ 特定個人情報ファイルの削除・廃棄記録

・ 削除・廃棄を委託した場合、これを証明する記録等

・ 情報システムの利用状況（ログイン実績、アクセスログ等）の記録

<対応準備の例示＞

・ 特定個人情報の利用・ 出力、書類・ 媒体等の持ち出し、授受確認、廃棄など、特定個人情報取扱いのルールを策定する。

・ 策定した特定個人情報取扱いのルールに従い、必要となる帳票等の整備を行う。

<帳票整備の例示＞

・ 特定個人情報取扱記録簿（利用記録、記録媒体の授受記録、廃棄記録等）

・ 特定個人情報へのアクセスログ記録

<取扱状況を確認するための記録＞

・ 特定個人情報ファイルの種類、名称

・ 責任者、取扱部署

・ 利用目的

・ 削除・廃棄状況

・ アクセス権を有する者

<対応準備の例示＞

・ 特定個人情報ファイルの取扱状況確認ルールを討議し、必要な取扱状況確認のための手段を整理する。

・ 策定した取扱確認ルールに従い、特定個人情報ファイルを取り扱う各段階に対応した取扱状況確認手段を整備する。

<帳票整備の例示＞

・ 特定個人情報管理台帳

・ 特定個人情報取扱マニュアル（特定個人情報ファイル取扱確認ルール）

<情報漏えい等の事案の対応＞

・ 事実関係の調査及び原因の究明

・ 影響を受ける可能性のある本人への連絡

・ 委員会及び主務大臣等への報告

・ 再発防止策の検討及び決定

・ 事実関係及び再発防止策等の公表

<対応準備の例示＞

・ 漏えい等事案が発生した場合に想定される経済的な不利益や社会的な信用の失墜、本人への影響などのおそれなどを検討し、被害・影響を最小限とするための手順を検討する。

<帳票整備の例示＞

・ 漏えい事案報告書、漏えい事案対応記録簿

・ 特定個人情報取扱マニュアル（漏えい事案等対応ルール）

<安全管理措置の評価方法＞

・ 特定個人情報等の取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施する。

・ 外部の主体による他の監査活動と合わせて、監査を実施することも考えられる。

<対応準備の例示＞

・ 事業者が取り扱う特定個人情報や特定個人情報ファイルを洗い出し、リスクの識別と安全管理措置の妥当性を討議する。

・ 定期的に監査を実施できるように、監査の手順や監査項目についてまとめた監査計画書、監査チェックリスト等を整備する。

・ 監査の結果や是正・ 改善状況を適切に把握するための、監査報告書や是正・ 改善事項報告書の様式を整備する。

<帳票整備の例示＞

・ 特定個人情報管理台帳

・ リスク分析表、監査チェックリスト

・ 監査計画書、監査報告書

・ 是正・ 改善事項報告書

<教育･監督方法＞

・ 特定個人情報等の取扱いに関する留意事項等について、従業者に定期的な研修等を行う。

・ 特定個人情報等についての秘密保持に関する事項を就業規則等に盛り込むことも考えられる。

<対応準備の例示＞

・ 研修内容、研修対象者、研修スケジュール等、従業者に対する研修計画を策定し、研修教材等を準備する。

・ 就業規則や誓約書、特定個人情報取扱マニュアル等に秘密保持に関する事項を明記する。

<帳票整備の例示＞

・ 教育計画書、研修教材、教育研修実施記録

・ 就業規則、誓約書等への追記

・ 特定個人情報取扱マニュアル（教育・ 研修に関するルール等）