【マイナンバー対策準備室】税務、社会保険、ITなど各分野の専門家のノウハウを結集し、民間事業者のマイナンバー制度対応を支援します。

※ 本稿は、『特定個人情報の適正な取扱いに関するガイドライン』に明示されていないリスク分析と安全管理方針策定のプロセスについて解説しています。安全管理措置の対応方針を検討するにあたっては、リスクの識別と現状の安全管理措置の分析が不可欠です。

※ 本記事は2015年10月の制度開始時点における法令・制度内容に基づき作成しております。
2015年10月以降の改正事項は反映しておりませんので、最新の制度内容については、各省庁が公表する案内資料などをご確認いただきますようお願い申し上げます。

1. 影響の特定
個人番号取扱事務の範囲や、特定個人情報等の範囲、事務取扱担当者の範囲を明確にし、マイナンバー導入の影響範囲を特定します。

2. 業務の分析
特定したマイナンバー導入の影響範囲について、個人番号取扱事務の各段階に対応したマイナンバー導入後に想定される業務フローや管理体制等を整理します。

3. リスクの分析
特定したマイナンバー導入の影響範囲について、個人番号取扱事務の各段階に対応した、個人番号や特定個人情報が流出するリスクの識別と対応範囲を整理します。

1. 組織的安全管理措置
組織的安全管理措置とは、担当者を明確にし、担当者以外が特定個人情報等を取り扱うことが無いような仕組みを構築するものです。また、特定個人情報等の取扱状況について、定期的な自己点検や内部監査部門等による監査を実施できるような仕組みを整えることも含みます。

事業者は、組織的な安全管理措置として、組織体制の整備や、取扱規程等に基づく運用、取扱状況を確認する手段の整備、取扱状況の把握及び安全管理措置の見直しなどについての方針を検討します。

2. 人的安全管理措置
人的安全管理措置とは、従事者による不正な漏えいや内部者による盗難等を防止し、特定個人情報等の適正な取扱いが継続して運用されるように、従業者の監督や教育などの措置を行うものです。

事業者は、人的な安全管理措置として、事務取扱担当者の監督や教育などについての方針を検討します。

3. 物理的安全管理措置
物理的安全管理措置とは、特定個人情報等の漏えい・盗難等を防ぐための取扱区域の管理等、担当者以外が特定個人情報等を取り扱うことができないような物理的な措置を行うものです。

事業者は、物理的な安全管理措置として、特定個人情報等を取り扱う区域の管理や、機器及び電子媒体等の盗難等の防止、電子媒体等を持ち出す場合の漏えい等の防止、個人番号の削除、機器及び電子媒体等の廃棄などについての方針を検討します。

4. 技術的安全管理措置
技術的安全管理措置とは、担当者を限定するためのアクセス制御や、 ウィルス対策ソフトウェア等の導入など、担当者以外が特定個人情報等を取り扱うことができないようなシステム的な措置を行うものです。

事業者は、技術的な安全管理措置として、アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防⽌、情報漏えい等の防⽌などの方針を検討します。

≪ 社内規程の整備 ≫

1. 基本方針/取扱規程の策定
事業者は、特定個人情報等の適正な取扱いの確保について組織として取り組むための基本方針と、特定個人情報等の具体的な取扱いを定める取扱規程等を策定します。

取扱規程には、安全管理方針の策定で検討した、組織体制、担当者の監督、区域管理、漏えい防止、アクセス制御などの安全管理措置を織り込み、個人番号を取扱う各段階ごと(取得、利用、保存、提供、削除・廃棄の場面)における、特定個人情報の取扱方法や、責任者・事務取扱担当者、その任務の取扱いについて定めます。

2. 関連する社内規程/帳票等の整備
特定個人情報等の安全管理措置が適切に運用されるよう、 策定した取扱規程等にもとづき、社内の業務運用に必要な関連規程･帳票･様式の整備を行います。

具体的には、関連する社内の諸規程の見直し（業務分掌規程、文書管理規程、就業規則、情報セキュリティ規程、内部監査規程など）や、特定個人情報等を取扱うためのマニュアル、事務フローなどの手順書、及び関連する帳票･様式（個人番号提供依頼書、利用目的同意書、委任状、特定個人情報管理台帳、委託契約書、監査チェックリストなど）の整備をあわせて検討します。

≪ 安全管理措置への対応[物理的/技術的] ≫

1. 業務プロセスの見直し
特定個人情報等の安全管理措置が適切に講じられるよう、 策定した取扱規程等にもとづき、特定個人情報等を取り扱う各段階において、関連する業務の流れを整理・見直しを行います。

具体的には、個人番号の取得・本人確認業務や、特定個人情報の保管・廃棄に係る業務、特定個人情報の委託先管理、法定調書等の提出業務などを中心に見直しを行います。

2. 業務システムの改修･調達
特定個人情報等の安全管理措置が適切に講じられるよう、 策定した取扱規程等にもとづき、特定個人情報等に関連するシステムを整理、必要に応じて改修・見直しを行います。

具体的には、個人番号の収集システム、保管・照会システム、人事給与・支払調書システムなどを中心に調達・改修を検討するほか、セキュリティ対策やログ・アクセス制御、不正アクセス・漏えい対策などへの対応を検討します。

≪ 安全管理措置への対応[組織的/人的] ≫

1. 従業者の教育研修の計画
特定個人情報等の安全管理措置が適切に講じられるよう、従業者に対する必要かつ適切な監督を行うことが必要です。

そのために、個人番号の取得対象となる全従業員への周知や、個人番号取扱事務を担う従業員への情報の安全管理に関する教育や業務トレーニングの計画を検討します。

2. 内部統制/監査体制の整備
特定個人情報等の安全管理措置が適切に運用されるよう、特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組むことが必要です。

特定個人情報等の取扱状況について、定期的な自己点検や内部監査部門等による監査を実施できるよう、特定個人情報等を取り扱う組織体制、運用状況の確認手段、情報漏えい等事案の対応体制などの整備を検討します。