マイナンバー対応でよく耳にする「安全管理措置」、具体的に何をするのか？（3/3 ページ）

公開 2015年12月11日 08時07分

著者

太田海

[NRIセキュアテクノロジーズ]

印刷する連載新着通知を受け取る

「安全管理措置」以外にもチェックすべき点が

　上述の通り、特定個人情報の安全管理措置は、主にガイドラインの別添資料で詳述されている。ただし、ガイドラインの他の部分にも、安全管理措置を適切に解釈する上で重要な事項が記載されているので、目を通しておく必要がある。例えば、ガイドラインの「第1　はじめに」には次のことが書かれている。安全管理措置に関する記述の中にも「しなければならない」といった表現がしばしば見受けられるので、注意を払うべきである。

本ガイドラインの中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法令違反と判断される可能性がある。一方、「望ましい」と記述している事項については、これに従わなかったことをもって直ちに法令違反と判断されることはないが、番号法の趣旨を踏まえ事業者の特性や規模に応じ可能な限り対応することが望まれるものである。

　ガイドラインの「第4　各論」内で安全管理措置と共に挙げられている、利用、収集、保管などの制限は、安全管理措置の前提となるという点において重要である。端的に言えば、事務やシステムにおける特定個人情報の取り扱いを必要最小限とすることを求めるものである。例えば、処理の過程で特定個人情報が含まれた中間ファイルが生成され、それが残存し続けるといったケースは、保管の制限に反すると考えられる。不要となったファイルは速やかに削除するよう、システムを実装すべきだ。

　見落としがちなのが、Webアプリケーションファイアウォール（WAF）をはじめとするセキュリティ製品のログに特定個人情報が含まれる、といったケースだ。特定個人情報に含まれるマイナンバーは、法令で定められたチェックディジット（検査用数字）を含む12桁の番号となっている。この条件によるフィルタリングが適用可能なセキュリティ製品であれば、特定個人情報を除いたログが取得できる。

マイナンバーをどこまで、いつまで保持するか

　安全管理措置自体には、マイナンバーの保持量や保持期間を必要最小限に留めることは明記されていないので、注意が必要である。なお、法制度の改正によって「必要最小限」の範囲自体が変更され得ることにも注意が必要だ。

　2015年10月2日に所得税法施行規則や租税特別措置法施行規則が改正され、国税庁は同日、本人へ交付する源泉徴収票や支払通知書などへのマイナンバーの記載が必要なくなった旨を公表した（参考：国税庁「法定調書提出義務者・源泉徴収義務者の方へのお知らせ」）。改正前は「マイナンバーの記載が必要」とされていたことから、記載を前提として対応を進めていた企業も少なくないようだ。非記載とする際、情報システムにおいても処理の削減や出力抑止などの対応が必要になる可能性がある。

　ガイドラインが示す手法はあくまで例示であり、全てを記述通りに実現する必要はない。ただし、例示手法を採用しないのであれば、その理由を説明できることが望ましいと考えられる。

　また、ガイドラインが示す安全管理措置は、事業者における個別のケースを想定しておらず、あくまでも一般に求められる内容をまとまたものだ。そのため、個別の事業者のセキュリティ対策として十分であるとは限らない。各事業者が情報セキュリティリスク評価やシステムのセキュリティ診断を実施し、ガイドラインで求められている安全管理措置に加えて、さらに実施すべきセキュリティ対策がないかどうかも確認することが望ましい。