知って納得、「セキュリティ法制度対応」の具体策【第2回】
マイナンバー対応でよく耳にする「安全管理措置」、具体的に何をするのか？（3/3 ページ）
「安全管理措置」以外にもチェックすべき点が
上述の通り、特定個人情報の安全管理措置は、主にガイドラインの別添資料で詳述されている。ただし、ガイドラインの他の部分にも、安全管理措置を適切に解釈する上で重要な事項が記載されているので、目を通しておく必要がある。例えば、ガイドラインの「第1 はじめに」には次のことが書かれている。安全管理措置に関する記述の中にも「しなければならない」といった表現がしばしば見受けられるので、注意を払うべきである。
本ガイドラインの中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法令違反と判断される可能性がある。一方、「望ましい」と記述している事項については、これに従わなかったことをもって直ちに法令違反と判断されることはないが、番号法の趣旨を踏まえ事業者の特性や規模に応じ可能な限り対応することが望まれるものである。
ガイドラインの「第4 各論」内で安全管理措置と共に挙げられている、利用、収集、保管などの制限は、安全管理措置の前提となるという点において重要である。端的に言えば、事務やシステムにおける特定個人情報の取り扱いを必要最小限とすることを求めるものである。例えば、処理の過程で特定個人情報が含まれた中間ファイルが生成され、それが残存し続けるといったケースは、保管の制限に反すると考えられる。不要となったファイルは速やかに削除するよう、システムを実装すべきだ。
見落としがちなのが、Webアプリケーションファイアウォール（WAF）をはじめとするセキュリティ製品のログに特定個人情報が含まれる、といったケースだ。特定個人情報に含まれるマイナンバーは、法令で定められたチェックディジット（検査用数字）を含む12桁の番号となっている。この条件によるフィルタリングが適用可能なセキュリティ製品であれば、特定個人情報を除いたログが取得できる。
マイナンバーをどこまで、いつまで保持するか
安全管理措置自体には、マイナンバーの保持量や保持期間を必要最小限に留めることは明記されていないので、注意が必要である。なお、法制度の改正によって「必要最小限」の範囲自体が変更され得ることにも注意が必要だ。
2015年10月2日に所得税法施行規則や租税特別措置法施行規則が改正され、国税庁は同日、本人へ交付する源泉徴収票や支払通知書などへのマイナンバーの記載が必要なくなった旨を公表した（参考：国税庁「法定調書提出義務者・源泉徴収義務者の方へのお知らせ」）。改正前は「マイナンバーの記載が必要」とされていたことから、記載を前提として対応を進めていた企業も少なくないようだ。非記載とする際、情報システムにおいても処理の削減や出力抑止などの対応が必要になる可能性がある。
ガイドラインが示す手法はあくまで例示であり、全てを記述通りに実現する必要はない。ただし、例示手法を採用しないのであれば、その理由を説明できることが望ましいと考えられる。
また、ガイドラインが示す安全管理措置は、事業者における個別のケースを想定しておらず、あくまでも一般に求められる内容をまとまたものだ。そのため、個別の事業者のセキュリティ対策として十分であるとは限らない。各事業者が情報セキュリティリスク評価やシステムのセキュリティ診断を実施し、ガイドラインで求められている安全管理措置に加えて、さらに実施すべきセキュリティ対策がないかどうかも確認することが望ましい。
太田 海（おおた・かい） NRIセキュアテクノロジーズ
情報セキュリティコンサルタントとして、リスク評価、計画／対策支援、実証などに従事。金融系を中心に、官民問わずさまざまな業種に対して活動実績を有する。
Copyright © ITmedia, Inc. All Rights Reserved.
知って納得、「セキュリティ法制度対応」の具体策
セキュリティ関連の法制度の趣旨に基づき、実現すべきセキュリティ対策はどのようなものか。マイナンバー、個人情報全般、その他の機密性の高い情報について、セキュリティ対策の勘所を示す。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
4
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
5
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
6
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
7
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
8
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
9
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
10
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー