技術部門に伝えておきたいマイナンバーのこと

吉政忠志

2015年04月20日

こんにちはー。今日は話題のマイナンバーの話をします。国民総背番号制ということで知られているマイナンバーですが、人事部門の方はよく勉強され、よくご存じだと思います。ただ、技術部門の方は「要件が固まってからでいいんじゃね？」と思っている方が多いのか、あまり関心がないようです。　マイナンバーはシステムで管理をする会社が大半ですので、やはり技術部門の方にも知っておいてほしいですよね。そこで！人事部門の方が技術部門に伝えたいマイナンバーのことをまとめてみました。

本コラムの内容は、私の個人的な意見ですので、くれぐれも自己責任でお読みいただき、実行される場合は個人責任でどうぞ。

■マイナンバー（社会保障・税番号制度）制度とは
まずはマイナンバーとは何ぞやということですが、一言でいえば、国民全員を管理しやすいように番号を振りましょう。それにより、社会のシステムが効率化するので、様々な恩恵があるということです。もう少し掘り下げると、以下になります。

・住民票を持つすべての方に1人1つの番号が付与されます
・社会保障・税・災害対策の分野で効率的に情報を管理、個人を特定するために活用されます
・行政を効率化し、国民の利便性を高め、公平かつ公正な社会を実現する社会基盤として期待されています
1．公平・公正な社会の実現
2．行政の効率化
3．国民の利便性の向上

※参考：特定個人情報保護委員会：http://www.ppc.go.jp/

ちなみに日経のアンケートによると、マイナンバーに対応しないと回答した企業が8%もあるそうです。国民全員に割り振られるマイナンバーなので、対応しない会社があってはいけません。システムかは別にして全ての会社が何らかの対応するものなのです。

ちなみにスケジュール感はこんな感じです。

– H27.10～：通知カード配布
– H28.1～：利用開始
– H29.1～：情報提供等記録開示システム

もう今年の10月に開始されるのに、まだまだカチッと決まっていなくて、土壇場でばたつくのは必至です。そういう感じなので、対応する技術者の方は事前に知識を入れておいた方が良いと思うのです。

■会社は何をするべき？
で、会社は何をするべきかというと、以下になります。

・制度の内容把握
・マイナンバーの利用制限、利用用途などを明確化
・全従業員のマイナンバーの取得・紐づけ
⇒本人確認・個人の特定が必要
★マイナンバーの利用用途は社会保障・税・災害対策に限られているが、あらゆる情報に紐づくため、厳格な管理が必要
⇒給与、学歴、病歴、事故・非行歴などに紐づけられる
・罰則
⇒ ４年以下の懲役　または　200万円以下の罰金、またはその両方
企業として信用問題に発展する

人事管理系のシステムでは上記全てを注意する必要があります。ただ、4番目の「厳格な管理」については、セキュリティ面の話になりますので、ネットワーク系の方や、情報システムを管理される方はかなり注意が必要です。情報漏洩すると相当まずいと思うのです。

そこで、一般論になりますが、以下の対応を取る会社が多いです。

・対策
⇒制度面とシステム面、両方から特定個人情報を保護する必要がある
・制度面
⇒社労士や関係各所と調整中し、適宜実施していく
・システム面
⇒物理的安全管理措置
⇒技術的安全管理措置

今回のコラムの後半ではシステム面の「物理的安全管理措置」と「技術的安全管理措置」に触れてみます。

■物理的安全管理措置
以下はハード面での対策のような感じです。
a.特定個人情報等を取り扱う区域の管理
⇒入退室管理（ ICカード、ナンバーキー）、機器持ち込み制限、パーティション等の設置、座席配置の工夫等

b.機器及び電子媒体等の盗難等の防止
⇒情報を取り扱う機器、電子媒体等を施錠できるキャビネットに保管、セキュリティワイヤー等により固定する等

c.電子媒体等を持ち出す場合の漏えい等の防止
⇒持出しデータの暗号化、パスワードによる保護、施錠できる搬送容器の使用等

d.個人番号の削除、機器及び電子媒体等の廃棄
⇒専用のデータ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を採用、等

■技術的安全管理措置
以下はソフト面の対策のようなイメージでよいと思います。

a.アクセス制御
⇒特定個人情報ファイルを取り扱う情報システムを、アクセス制御により限定する
特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する、等

b.アクセス者の識別と認証
⇒事務取扱担当者の識別方法としては、ユーザーＩＤ、パスワード、磁気・ＩＣカード等が考えられる

c.外部からの不正アクセス等の防止
⇒情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断する
情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する