actually social change by national ......第六章の二...

1

マイナンバー制度により進行する社会の変容の実際とシステム監査 ACTUALLY SOCIAL CHANGE BY NATIONAL IDENTIFICATION NUMBER, AND USABILITY OF THE SYSTEM AUDIT

特定非営利活動法人日本システム監査人協会顧問、近畿支部参与システム監査技術者、公認システム監査人

吉田博一

特定非営利活動法人日本システム監査人協会近畿支部第177回定例研究会大阪大学中之島センター

2019年1月18日(金)

講師略歴

作成中

Hirokazu YOSHIDA

2

大阪府立大学と大阪市立大学の統合

公立大学法人大阪：2019年４月１日に旧公立大学法人大阪府立大学と旧公立大学法人大阪市立大学の新設合併により設立

大阪府立大学、大阪市立大学及び大阪府立大学工業高等専門学校が、重点的な目標として位置付ける「先端的・異分野融合型研究の推進による高度研究型大学の実現」、「応用力や実践力を備えた国際力豊かな高度人材の育成」、「都市問題の解決や産業競争力の強化による大阪の発展への貢献」の実現を図る。

「都市シンクタンク」と「技術インキュベーション」の二つの新たな機能を充実・強化することにより、大阪の発展を牽引する知の拠点をめざす。

2022年度大学統合(予定） Hirokazu YOSHIDA

ここにもマイナンバーが→「プレミアム商品券、マイナンバーで加算消費増税対策」

2019年10月の消費増税に備えた景気下支え策を巡り、財務省と総務省はマイナンバーカードにためられる自治体のポイント制度を「プレミアム商品券」に活用する検討に入った。

自治体がポイントの形で商品券を発行した場合、紙の商品券よりも上乗せ分を優遇する方向だ。

利用者が広がっていないマイナンバーカードの普及にもつなげる狙い。

2018/10/24 日本経済新聞

Hirokazu YOSHIDA

3

政府予算（当初予算ベース)→ 2015年度：1183億円、2014年度：約1000億円（2015年10月から「個人番号」付番・通知開始）

2015年度政府予算案での府省別の主なマイナンバー制度関連費用の内訳。（）は2014年度当初予算額

出典：日経BPガバメントテクノロジー

https://tech.nikkeibp.co.jp/it/atcl/watcher/14/334361/012900173/

Hirokazu YOSHIDA

内閣府制度の啓発・広報 4.7億円（2億円）

内閣官房情報提供ネットワークシステムとマイ・ポータルの開発

62.5億円（133.7億円）

総務省制度の導入、個人番号カードの利活用促進

639.9億円（348.8億円）円）

厚生労働省制度導入のための取り組み 441億円（403億円）

財務省制度の導入に向けた準備 35.4億円（13.5億円）

平成31年度総務省所管予算概算要求の概要(2018/8) HTTP://WWW.SOUMU.GO.JP/MAIN_CONTENT/000572183.PDF

(1) マイナンバー制度の円滑な運用 326.5（270.4）

(a) 情報提供ネットワークシステムの設置・管理等 118.2（72.3）

【主な経費】情報提供ネットワークシステムの設置・管理等に係る経費 118.2 億円

(b) マイナンバーカードの円滑な発行等 208.3（198.1）

【主な経費】個人番号カード交付事業費補助金 147.3 億円

個人番号カード交付事務費補助金 61.0 億円

Hirokazu YOSHIDA

11．マイナンバー制度の円滑な運用とマイナンバーカードの

利活用の促進：347.4 億円

4

平成31年度総務省所管予算概算要求の概要マイナンバー制度の円滑な運用とマイナンバーカードの利活用の促進：347.4 億円

(2) マイナンバーカード・公的個人認証サービス・電子委任状等の利活用促進 11.6（2.1）

(a) マイナンバーカード・電子証明書の海外継続利用等に必要となるシステム等 4.1（1.0）

【主な経費】マイナンバーカード利活用(公的個人認証サービスの海外利用)等に要する経費 2.4 億円

【主な経費】電子証明書のスマートフォンへの格納に要する経費 1.7 億円

(b) マイナンバーカード・公的個人認証サービス等の利活用推進 5.5（1.1）

【主な経費】公的個人認証サービス利活用推進事業 5.5 億円

Hirokazu YOSHIDA

平成31年度総務省所管予算概算要求の概要マイナンバー制度の円滑な運用とマイナンバーカードの利活用の促進：347.4 億円

(c) 行政手続における電子委任状提出のワンスオンリー化 2.0（新規）

【主な経費】電子委任状活用促進事業 2.0 億円（新規）

(3) マイナンバーカードを活用した地域のキャッシュレス推進を伴う地域経済好循環拡大への取組 9.3（4.7）

マイナンバーカードと実証稼働中のマイキープラットフォームと自治体ポイントの活用により、クレジットカード等のポイントを合算し、地域におけるキャッシュレス化推進の仕組みを全国各地に導入・展開

【主な経費】マイナンバーカードを活用した地域のキャッシュレス推進を伴う地域経済好循環拡大への取組 9.3 億円

Hirokazu YOSHIDA

5

ご存知ですか？

マイナンバーカードにためられる自治体のポイント制度を「プレミアム商品券」に活用する

自治体のポイント制度？

平成31年度総務省所管予算概算要求の概要「マイナンバー制度の円滑な運用とマイナンバーカードの利活用の促進」

マイナンバーカード・公的個人認証サービス？

マイキープラットフォームと自治体ポイントの活用？

Hirokazu YOSHIDA

本講演では

マイナンバーが社会基盤として発展するために

情報システムの観点から、概要を明らかにし

課題を抽出と課題解決につながるシステム監査の可能性を探る

Hirokazu YOSHIDA

6

Ⅰ マイナンバー制度の概要

１マイナンバー制度における情報連携 1.1 マイナンバー法の目的 1.2 情報連携の仕組み 1.3 特定個人情報保護評価 1.4 自己情報を確認するポータルサイト

２マイナンバーカードの利用 2.1 マイナンバーカードの利用範囲 2.2 公的個人認証サービス 2.3 携帯電話を利用した公的個人認証サービス 2.4 マイキープラットフォーム 2.5 子育てワンストップサービス

３自治体情報セキュリティ対策の抜本的強化 3.1 複数ネットワークへの端末配備 3.2 ソフトウェアのアップデート 3.3 ネットワーク間でのファイルの受け渡し

なぜマイナンバーが導入されたか？

過去のグリーンカードや住民基本台帳ネットワークなどの国民総背番号制の導入→断念されてきた

2012年6月の民主、自民、公明の3党合意「社会保障と

税の一体改革」について＝「消費増税時の低所得者対策として、給付付き税額控除か複数税率（軽減税率）」

2012年10月29日第181回国会：野田首相所信表明演

説で「低所得者対策や価格転嫁対策を具体化するとともに、きめ細やかな社会保障や税制の基盤となるマイナンバー制度を実現しなければなりません。」と表明

当初は『給付付き税額控除』ために→政権交代で×に

代わりに、マイナンバーカードの利活用の促進が

7

行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年5月31日法律第27号）

第一章総則（第一条―第六条）

第二章個人番号（第七条―第十六条）

第三章個人番号カード（第十七条・第十八条）

第四章特定個人情報の提供

第一節特定個人情報の提供の制限等（第十九条・第二十条）

第二節情報提供ネットワークシステムによる特定個人情報の提供（第二十一条―第二十六条）

第五章特定個人情報の保護第一節特定個人情報保護評価等（第二十七条―第二十九条の四）

第二節行政機関個人情報保護法等の特例等（第三十条―第三十二条の二）

第六章特定個人情報の取扱いに関する監督等（第三十三条―第三十八条）

第六章の二機構処理事務の実施に関する措置（第三十八条の二―第三十八条の七）

第七章法人番号（第三十九条―第四十二条）以下省略

１マイナンバー制度における情報連携１.1 マイナンバー法の目的（第1条）

「行政運営の効率化」

地方自治体等で業務を連携し，情報の照合・転記・入力作業の重複などの無駄を削減する

「公正な給付と負担の確保」

所得や他の行政サービスの受給状況を把握し，負担を不当に免れることや給付を不正に受けることを防止する

「国民の利便性の向上」

添付書類が削減され行政手続が簡素化されることや行政機関が持っている自分の情報を確認したり，行政機関から様々なサービスのお知らせを受け取ったりできる

8

マイナンバー制度による「行政運営の効率化」「国民の利便性の向上」とは

「国民の利便性の向上」→

マイナンバー制度で申請手続き時の添付書類の省略

プッシュ型サービス

「行政運営の効率化」→

マイナンバー制度は,国や地方自治体等（以下「地方自治体等」という)が情報連携を行うことで可能になる

添付書類の省略を可能にする「情報連携」

出典：https://www.cao.go.jp/bangouseido/pdf/seidogaiyou_3008.pdf

9

1.2 情報連携の仕組み

地方自治体等で保有する情報を照会・提供する情報連携が必要となる

情報連携のため，中間サーバー・プラットフォーム（以下「中間サーバ」)というデータベースシステムを整備

①行政機関等や地方自治体等の業務システムが保有する情報を正本とし、連携に必要な情報のみを副本として中間サーバに保存し、情報の照会・提供はその副本を用いる（個人情報を一元管理ではなく、分散管理）

情報連携におけるシステム面の仕組み

②中間サーバ及び情報連携するネットワークは、マイナンバーを直接のキーとして用いず、住民票コードをもとにマイナンバーが推測できないように生成された機関別符号を連携のキーとして用い、安全性を確保する

地方自治体等の内部の業務システム間では、マイナンバーを用いず、団体内統合宛名番号という別の番号を用い、マイナンバーと情報連携する際に用いる符号等と紐づけて管理する団体内統合宛名システムを整備

個人情報の照会・提供には、マイナンバーを直接用いず、情報のやりとりでは、誰の個人情報かわからない

10



マイナンバー制度における安心・安全の確保

11

情報連携における制度面の仕組み

③ 個人情報の保護に関する法律に基づき設置された

個人情報保護委員会が行政機関等や地方自治体・事業者等への監視・監督(マイナンバー法第33～35条)

④特定個人情報保護評価を行い、リスクを軽減するための措置を講ずる（マイナンバー法第27、28条）

⑤ マイナンバー法第48条～第57条に情報漏えいやマイナンバーの不正取得等に関する罰則を強化する。

⑥マイナンバー法附則第6条第3項に規定する「情報提

供等記録開示システム」（以下、「マイナポータル」という。）により本人が自分自身の特定個人情報の内容や情報連携でやり取りされた履歴が確認できる

1.3 特定個人情報保護評価

特定個人情報を含むファイル（以下「特定個人情報ファイル」という．）を保有しようとする際，

事前に特定個人情報ファイルを保有することで生じるリスクとそれに対する対策を，

所定の様式に記入し，

個人情報保護委員会の承認を得て，公表する

マイナンバー法第27条，第28条において，原則として義務付けられている．

=特定個人情報保護評価（PIA:Privacy Impact

Assessment）

12

特定個人情報保護評価の種類,しきい値判断

特定個人情報保護表の概要平成30年5月個人情報保護委員会事務局

https://www.ppc.go.jp/files/pdf/hogohyouka_shosai.pdf

ームページから検索できる

特定個人情報保護表の概要平成30年5月個人情報保護委員会事務局https://www.ppc.go.jp/files/pdf/hogohyouka_shosai.pdf

13

特定個人情報保護評価の実施状況

リスク評価が記載されている重点項目・全項目評価は全体の6.3％と少数である

評価実施機関

評価書を公表した機関

数

評価対象事務数

評価書種別

基礎項目重点項目全項目

地方公共団体の長その他の機関

2,186 31,350 29,379 (93.7%)

1,407 (4.5%)

564 (1.8%)

) 表２特定個人情報保護評価書の公表状況

(個人情報保護委員会,2018) 平成30年3月31日現在

特定個人情報保護評価の公開

これまで公表された特定個人情報保護評価は全て個人情報保護委員会のホームページから検索できる

特定個人情報保護評価Web

https://www.ppc.go.jp/mynumber/

14

クラウド導入団体の特定個人情報保護評価

クラウド導入団体

ただし、どの業務でクラウドを利用しているかは不明

このため、基礎的自治体の主要業務である住民基本台帳、住民税についての特定個人情報保護評価の抽出対象について分析する

自治体クラウ

ド, 404, 23%

単独クラウド,

667, 38%

クラウド未導入,

670, 39%

H30.4.1現在のシステム類型数

クラウド導入団体の特定個人情報保護評価

クラウド利用と明記している団体は次の3団体

種別評価書クラウド・データセンター

記載あり記載なし

自治体クラウド全項目評価 1 2

重点項目評価 10 8

単独クラウド全項目評価 8 12

重点項目評価 24 44

計 43 66

団体名人口クラウド種別愛知県A市 384,659 自治体クラウド栃木県B市 151,248 単独クラウド栃木県C市 120,437 単独クラウド

15

クラウド利用団体のリスク評価と対策団体名対策愛知県A市全項目（住基，住民税）

事業者の選定にあっては，セキュリティ，情報の取扱いについて公的機関の認証を受けていることを条件としており，選定された事業者の用意したデータセンターにてサービスが，提供されている．サーバの保管，記録媒体の管理はサービス提供事業者の基準に基づき管理されている．

ウィルス対策，不正アクセスの防止，外部媒体の使用制限等については，サービス提供事業者の基準に基づき管理されている．

栃木県B市重点項目（住基，住民税）

クラウドサービス委託業者である株式会社Xのデータセン

タ内サーバに保管する．サーバ室入室には生体認証やカメラによる監視と記録などの厳重なチェックが施されており，サーバへのアクセスはIDとパスワードによる認証を

し，アクセスログを記録する．データセンターとはインターネット回線ではなく，専用回線で通信を行い，情報の不正傍受を防ぐ．

栃木県C市重点項目（住基，住民税）

サービス提供事業者のセキュリティ対策を記載している

株式会社Xのデータセンタのセキュリティ対策を記載している

マイナンバー制度導入後のロードマップ（案）H30.7現在


16

1.4 自己情報を確認するポータルサイト

マイナンバー法附則第6条第3項規定「情報提供等記録開示システム」(以下「マイナポータル」という)により、住民が自ら自宅のパソコン等から確認できるサービス

①情報提供ネットワークシステムを通じた住民の情報のやり取りの記録（情報提供等記録）

②行政機関が中間サーバーに保有する住民に関する情報（自己情報）

③行政機関等から住民宛のお知らせ（例：子どもの予防接種や健診のお知らせ）

子育てワンストップサービス

公金決済サービスも

マイナポータル関連スケジュール


17

子育てワンストップサービス

児童手当，保育，母子保健，ひとり親支援の手続きを

自治体窓口に個別に出向かず

自宅などからマイナポータルで

市区町村の子育て関連手続を

マイナンバーカードの電子署名を付けて

申請する

子育てワンストップサービスの導入を進めている


18

「マイナンバー制度の意義について」

共通のツールとして「マイナンバーカード」


2 マイナンバーカードの利用 2.1 マイナンバーカードの利用範囲

マイナンバーカードは，顔写真付きの氏名・住所・性別・生年月日とマイナンバーが記載されたICカード

マイナンバー法第17条に基づきマイナンバーの通知後，個人の申請により交付されている(内閣官房,2017)

ICチップには，条例や政令の定めによりアプリケーションが搭載できる

既に公的個人認証サービスが搭載されている

マイナンバーカードのＩＣチップは、民間事業者にも開放され、様々な用途に利用可能 ⇒ 現在、官民の各種サービスにおいて、引き続き利用シーンが拡大中

19

マイナンバーとマイナンバーカード


「マイナンバーカード」


20

2.2 公的個人認証サービス

マイナンバー法第2条第7項に規定される個人番号カード（以下「マイナンバーカード」という．)のICチップには,「電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律（平成14年12月13日法律第153号)」に基づき電子的に個人を認証する電子証明書の機能（以下,「公的個人認証サービス」という)が搭載されている

マイナンバーの情報連携は利用範囲が限定されているが,マイナンバーカードの公的個人認証はマイナンバーそのものを使用せず利用範囲は限定されていない

公的個人認証サービスとは

公的個人認証サービスとは、オンラインで（＝インターネットを通じて）申請や届出といった行政手続などやインターネットサイトにログインを行う際に、他人による「なりすまし」やデータの改ざんを防ぐために用いられる本人確認の手段です。

「電子証明書」と呼ばれるデータを外部から読み取られるおそれのないマイナンバーカード等のICカードに記録することで利用が可能となります。

電子証明書には、署名用電子証明書と利用者証明用電子証明書の2種類

出典：http://www.soumu.go.jp/kojinbango_card/kojinninshou-01.html

21

公的個人認証サービス署名用電子証明書と利用者証明用電子証明書の2種類「署名用電子証明書」

インターネット等で電子文書を作成・送信する際に利用（例 e-Tax等の電子申請）

「作成・送信した電子文書が、利用者が作成した真性なものであり、利用者が送信したものであること」を証明

「利用者証明用電子証明書」

インターネットサイトやコンビニ等のキオスク端末等にログインする際に利用（例マイナポータルへのログイン、コンビニでの公的な証明書の交付）

「ログインした者が、利用者本人であること」を証明出典：http://www.soumu.go.jp/kojinbango_card/kojinninshou-01.html

コンビニ交付のイメージ

出典：https://www.j-lis.go.jp/data/open/cnt/3/140/1/conveni_koufu20181115.pdf

22

コンビニ交付の市町村の参加状況

出典：https://www.j-lis.go.jp/data/open/cnt/3/140/1/conveni_koufu20181115.pdf

公的個人認証サービスの民間利用

公的個人認証サービスは，マイナンバー法に規定する利用範囲に限定されていない

これまで地方自治体等のみが利用できたが，2016年1

月から民間事業者も利用可能となっている(総務省a)

プラットフォーム事業：公的個人認証の電子証明書の有効性確認等のサービスを民間事業者に提供する

同事業の内容：携帯電話サービス契約締結時の本人確認の自動化，新規証券口座開設時の本人確認のオンライン完結かつ即時取引開始，非対面での不動産取引時等に本人確認をオンライン上で実施する等

23

公的個人認証サービス民間利用事例

新規証券口座開設時の利用イメージ


2.3 携帯電話を利用した公的個人認証サービス公的個人認証サービス利用促進のため，次の3方式を検討中である(総務省,2016)

(1)携帯電話をICカードリーダライタとして使用する

(2)携帯電話がICカードリーダライタとパソコンの役割を担う

(3)携帯電話に電子証明書等を格納し活用する

(3)の場合、マイナンバーカードを持ち歩く必要がなくなる

24

電子証明書の利用イメージ


2.4 マイキープラットフォーム

マイナンバーカードの活用策として，国が推進している

マイナンバーカードのICチップにマイキーIDと呼ばれるIDを格納し，図書館等公共施設の利用者カードや商店街のポイントカードなどのIDと結び付けるための共通情報基盤

図書の貸出しや物品の購入履歴等の情報はカードには保有せず，利用の際は自らがカードリーダを操作するという運用を想定している(総務省b)

25

マイキープラットフォーム構想の推進


群馬県前橋市の取組事例


26

3 自治体情報セキュリティ対策の抜本的強化

2015年5月に日本年金機構において約125 万件という大量の個人情報流出事案が発生した

総務省(2015)は，「新たな自治体情報セキュリティ対策の抜本的強化に向けて」報告をまとめた

マイナンバー制度の情報連携に対応するため,全国の地方自治体のシステムやネットワークでは,インターネットに接続されているネットワークと自治体の庁内ネットワークの分離等が行われた

住民とのメールや電子データのやりとりに影響を及ぼしている

自治体情報セキュリティ対策の抜本的強化

全国の地方自治体で、次の対策を行うことになった ①マイナンバー利用事務系では端末からの情報持出し不可設定し，住民情報流出を徹底して防止

②情報連携に用いる総合行政ネットワーク(Local Government Wide Area Network)(以下「LGWAN」という．) のセキュリティ確保のためにLGWAN接続系とインターネット接続系を分割(無害化された通信は許容されており，分離ではなく分割と呼んでいる．)

③都道府県と市区町村が協力し自治体情報セキュリティクラウドを構築し，高度な情報セキュリティ対策を行う

27

「新たな自治体情報セキュリティ対策の抜本的強化に向けて」報告(総務省,2015)

3.1 複数ネットワークへの端末配備

個人番号利用事務系とLGWAN系、インターネット接続系の業務を行う場合、一人3台の端末を各々の回線に接続して設置することになる

次の対策を講じていることが多いが、課題も生じている (1)インターネット接続端末を業務上必要な箇所にのみ配置する

→（課題） Web閲覧が行いにくい常時見ているわけではないので、インターネットメールが届いてもすぐに確認できない

28

3.1 複数ネットワークへの端末配備

(2) VDI(Virtual Desktop Infrastructure)やSBC(Server Based Computing)方式といったデスクトップ仮想化技術を用い、LGWAN系とインターネット接続系の端末を物理的に１台の端末でネットワーク接続を切り替えて利用する

→（課題）ライセンス料が必要となる

3.2ソフトウェアのアップデート

従来、インターネットを経由して無償で入手していたソフトウェアの更新プログラムが、個人番号利用事務系やLGWAN接続系ではネットワーク分離されたため、利用できなくなる。

その対策と課題は次のとおりである。

(1)LGWAN-ASPサービスを利用する

LGWAN-ASPによるベンダーのソフトウェアアップデートサービスを利用する。

→（課題）

従来無償で利用できたが、有償となる。

29

3.2ソフトウェアのアップデートの対策と課題

(2)媒体を用いて個別に適用する

アップデートプログラムをダウンロードした媒体を用い、サーバや端末に個別適用する。

→（課題）

アップデートのたびに個別に作業が必要となる。

(3) 都道府県単位でアップデートプログラムの配信サーバを構築する

都道府県単位で市町村と行政間のネットワークを共同利用している場合、LGWAN用にアップデートプログラムの配信サーバを構築する。

→（課題）

配信サーバの構築費が必要となる。

ネットワークを共同利用していない都道府県もある。

3.2ソフトウェアのアップデートの対策と課題

(4)「自治体情報セキュリティ向上プラットフォーム事業」を利用する

総務省が平成２９年度予算で、マイナンバー利用事務系やLGWAN接続系の端末へのアップデートファイルの提供できる環境を整備した

→（課題）

全地方自治体等に対し一定の頻度でアップデートを配信することになり、配信時刻指定等個別のアップデート対応は難しい

平成３０年度より有償化

パッチ配信の種類が限られている

30

3.3ネットワーク間でのメールやファイルの受け渡し LGWAN系とインターネット接続系が分割され、インターネットメールの添付ファイルをLGWAN系で受信でき

ず、ネットワーク間でのファイルのやり取りができなくなる

その対策と課題は次のとおりである。

(1) メール内容を画像またはテキスト化

メール内容を画像またはテキスト化して転送・閲覧し、添付ファイルは開かない。

→（課題）

添付ファイルが全く利用できない。

メール本文中のURLがハイパーリンクされない。

ファイルの2次利用ができないなど利便性の低下

3.3ネットワーク間でのメールやファイルの受け渡しの対策と課題

(2) 無害化ツールを利用する

メールの添付ファイルや電子申請・媒体持込ファイルからマクロやスクリプト等危険因子を除去する無害化ツールを利用する。

→（課題）

無害化前後のファイルの同一性が確保できない

無害化ツールの利用に費用がかかる

ファイル種別により無害化ツールが対応できないものも存在し、この場合は(1)の画像化により受渡しすることになる

31

3.3ネットワーク間でのメールやファイルの受け渡しの対策と課題

(3)ウィルスチェックを行い媒体により受け渡しする

ウィルス対策ソフトやサンドボックス等によりウィルスチェックを行ったものを媒体により受け渡しする。

→（課題）

媒体の持ち運び・媒体からファイルの転送の手間がかかる

個人番号利用事務端末はデータの持出し不可設定を行っており媒体の利用はできない

Ⅱ 課題とシステム監査１情報連携における課題とシステム監査

1.1 個人情報漏洩の課題とシステム監査 1.2 マイナンバー不正利用の課題とシステム監査 1.3マイナン

バー一元管理の課題とシステム監査 1.4 誤データによる情報連携の課題とシステム監査 1.5 マイナン

バー保有の課題とシステム監査

２マイナンバーカードの利用における課題とシステム監査 2.1 マイナンバーカード紛失の課題とシステム監査 2.2 独自アプリが利用されない課題とシステム監査

2.3 公的個人認証を通じた個人情報流出の課題とシステム監査 2.4 公的個人認証事業者認定の課

題とシステム監査 2.5 公的個人認証基準未準拠の課題とシステム監査 2.6 携帯電話紛失に伴う

公的個人認証電子証明書紛失の課題とシステム監査 2.7 マイキープラットフォーム利用混乱の

課題とシステム監査 2.8マイナポータル利用混乱の課題とシステム監査

３自治体情報セキュリティ対策による課題とシステム監査 3.1日々の脅威に対する課題とシステム監査 3.2メール送受信の遅れによる課題とシステム監査

3.3 ファイルの受渡し不可による課題とシステム監査

32

1 情報連携における課題とシステム監査 1.1 個人情報漏洩の課題とシステム監査

個人番号がわかるとその個人に関する行政機関や地方自治体で保有する個人情報が全て外部に漏えいするのではないかという住民の危惧がある

システム面や制度面の対策について、実際に個人情報等を取り扱うのは人間の厳格な運用が必要となる

個人情報保護委員会のガイドラインが、正しく運用されているかを情報技術にも熟知している者が総合的に点検及び評価することが必要である

従って、行政機関等や地方自治体等に対するシステム監査の導入が有用となると考える

1.2 マイナンバー不正利用の課題とシステム監査

他人のマイナンバーを知ればその個人になりすまして行政からの給付金が盗まれるという住民の危惧がある

マイナンバー法では，同法の規定によるものを除き，特定個人情報の収集・保管，特定個人情報ファイルの作成を禁止しており，利用目的が限定されている

マイナンバーを利用した申請に対しては，必ず厳格な本人確認措置を講ずる

本人確認の運用の厳格な運用を情報技術にも熟知している者が総合的に点検及び評価することが必要

従って、本人確認の厳格な運用について、地方自治体等に対するシステム監査の導入が有用と考えられる

33

1.3 マイナンバー一元管理の課題とシステム監査

様々な個人情報がマイナンバーをキーに名寄せ・突合され国家により一元管理されるという住民の危惧がある

マイナンバーの利用範囲は限定され，その個人情報も各々の地方自治体等が「分散管理」され，「中間サーバ」にはマイナンバーではなく符号がキーになった情報連携用の副本データを用いて情報照会・提供を行う

システム間連携の仕組みが仕様通り稼働しているかを、情報技術にも熟知している者が、総合的に点検及び評価する必要がある

運用状況について、マイナンバー制度を所管する内閣府や総務省に対するシステム監査が有用と考える

1.4 誤データによる情報連携課題とシステム監査情報連携において，符号に読み替えて情報照会することになり，正しく本人の情報が照会されているか

また，情報照会する情報が申請で必要とされる時点の正しいものとなっているどうかという住民の危惧もある

マイナポータルで地方自治体等の保有する自分自身の特定個人情報の確認ができるが、使いにくい

マイナポータルを常時監視はできない

誤った情報照会がされてないことを保証すべきである

マイナポータルの利便性の向上や周知が必要である

このためには、正確な情報連携、マイナポータルの利用状況等について内閣府や総務省等行政機関に対するシステム監査が有用であると考える

34

1.5 マイナンバー保有の課題とシステム監査

マイナンバーは情報連携のほかに，

民間事業者等が従業員等からマイナンバーの提供を受け税務署等個人番号利用事務実施者に提供する義務がある

この個人番号関係事務という事務に従事する者等が，不正に特定個人情報ファイルを提供すると罰金刑が科されるなど罰則が強化される

マイナンバーを適切に運用しないと処罰される民間事業者のリスクがある

不適切な運用をしていないかの民間事業者へのシステム監査するが有用であると考える

2 マイナンバーカードの利用における課題とシステム監査 2.1 マイナンバーカード紛失の課題とシステム監査

ICカードという物理的な形状や大きさ等により紛失しやすいという住民の危惧がある

紛失の際、失効情報リストの配信により有効性を確認する運用をしている場合は、配信が1日1回となり、タイムラグが発生し、しばらくは不正利用の可能性がある

失効情報リストのタイムラグ等運用の支障発生状況や再発行の手続きにおける迅速性・厳密性については、行政機関等や地方自治体等に対するシステム監査が有用と考える

5.2 独自アプリが利用されない課題とシステム監査地方自治体等は，ICチップに独自にアプリケーションを

搭載できることになっているが，独自で作成しても利用されないという地方自治体等の危惧がある

35

2.2 独自アプリが利用されない課題とシステム監査

地方自治体等は，ICチップに独自にアプリケーションを

搭載できることになっているが，独自で作成しても利用されないという地方自治体等の危惧がある

利用されるには、住民ニーズにあった魅力的なアプリケーションを作成し住民に広報等の周知が必要になる

このため、導入効果分析や利用状況を検証することが必要となり、地方自治体等に対するシステム監査が有用と考える

2.3 公的個人認証を通じた個人情報流出の課題とシステム監査マイナンバーの情報連携に比べて，利用にあたっての制約が低く，住民登録情報を住民が意識せず事業者に知られてしまうという住民の危惧がある

公的個人認証サービスの利用履歴もマイナンバー法による情報連携と同様に、マイナポータルで、住民が自ら確認できる仕組みが必要になる

公的個人認証サービスの利用時には、必ず個人情報利用の同意を住民から得るよう徹底することが望ましい

このため、総務省やシステム運用主体の地方公共団体情報システム機構は、住民の同意取得状況等について民間事業者に対するシステム監査が有用と考える

36

2.4 公的個人認証の大臣認定基準の適正運用の課題とシステム監査

システム、組織体制、運用規程の整備状況等を総合的に評価し、主にセキュリティの観点から、公的個人認証サービスを適切に利用できる民間事業者として認定を総務大臣から得なければならない

この基準を満たし、安定的に運用するため、適正な投資額やどのレベルの運用をすればよいかという事業者の危惧がある。

リスクアセスメントを行い、優先順位を付けた対策を行うことに対し、民間事業者へシステム監査を行うことが有用と考える

5.5公的個人認証の大臣認定基準の未達成課題とシステム監査プラットフォームのサービス利用事業者は手続きをサービス提供事業者が代行することが可能で、サービス利用事業者が基準を満たしたセキュリティ対策を実際に行っているかどうか不安であるという住民等利用者の危惧がある

プラットフォーム事業のサービス利用事業者が基準を満たした運用を実際に行っているかを、認可官庁である総務省や運用主体である地方公共団体情報システム機構が行う際、システム監査が有用と考える

認定基準に沿った適切な運用の実施状況について認定事業者に対するシステム監査が有用と考える

37

2.6 携帯電話紛失に伴う公的個人認証電子証明書紛失の課題とシステム監査

通常持ち歩く携帯電話を利用するので，カードよりは紛失しにくいが，携帯電話そのものを紛失するという住民の危惧がある

マイナンバーカードの場合は、必要時以外はカードを携行しないというリスク回避ができたが、携帯電話の場合は携行しないという対応は難しい

マイナンバーカード紛失時の対応と同じく失効情報リストのタイムラグ等で運用に支障が発生していないか、再発行の手続きが速やかにかつ厳密に行っているか等について、行政機関等や地方自治体等に対するシステム監査が有用と考える

2.7 マイキープラットフォーム利用混乱の課題とシステム監査

利用者が自分自身で操作を完結するのは，難しいと考えられ，実際の利用する場面では利用者等混乱するという住民の危惧が考えられる

住民や公共施設や商店街等の利用者にわかりやすい操作ができるようテストや習熟等に十分に準備して進めることが必要で、マイキープラットフォームをサービス提供している総務省において適切な対策が必要となる

このため、システムが適切に運用されていることや公共施設・商店街等の利用状況について、導入を推進する総務省においてシステム監査を導入して検証することが有用と考える

38

2.8 マイナポータル利用混乱の課題とシステム監査

マイナポータルの利用にはマイナンバーカードの他に専用ソフトのダウンロード等の設定が必要で操作が煩雑で混乱するという住民の危惧が考えられる

マイナポータルを利用しやすくするようシステムの改善状況について、内閣府に対するシステム監査が有用と考える

子育てワンストップサービスを利用できるよう申請等の手続きの対応やその広報・周知について、地方自治体等に対するシステム監査が有用と考える

3 自治体情報セキュリティ対策による課題とシステム監査 3.1 日々の脅威に対する課題とシステム監査日々新たな脅威に対する情報セキュリティ対策が必要となる

情報セキュリティ対策を怠るとサーバや端末が攻撃にさらされる自治体等に対するリスクがある

地方自治体の場合は、内部に専門的な人材を抱えるのが難しいので、情報セキュリティ対策の適切な運用について、地方自治体等に対するシステム監査により検証することが有用と考える

39

3.2 メール送受信の遅れによる課題とシステム監査

インターネットメールをすぐに確認できる環境にないためメール送受信に時間がかかる

住民との迅速な意思疎通できない住民、自治体等リスクがある

対応策としては、グループウェア等によりインターネットメールの到着通知を行う等のツールの利用が考えられる

いずれの方法が適切かについては、インターネットメールの利用頻度等から適切な運用をシステム監査による検証が有用と考える

3.3 アップデートの遅れによるウィルス感染等の課題とシステム監査

アップデートファイルの配信サーバが利用できない場合、パターンファイルの更新が遅れ、ウィルス感染等の地方自治体のリスクがある

サーバや端末の設置環境・台数や費用・体制を考慮して適切な運用について地方自治体等に対するシステム監査による検証が有用と考える

40

3.4 ファイルの受渡し不可による課題とシステム監査

住民とデータファイルでの受渡しができないまたは，画像等イメージデータでしか受渡しができない住民との迅速な意思疎通できないという住民、自治体等リスクがある

地方自治体側の体制や住民の利用頻度等から、費用・体制を考慮した適切な運用について、地方自治体等に対するシステム監査による検証が有用と考える

参考文献

個人情報保護委員会(2018)「平成29年度個人情報保護委員会年次報告」,

http://www.ppc.go.jp/news/report/.(2018年9月27日)

総務省a「民間事業者におけるマイナンバーカードの利活用」,

http://www.soumu.go.jp/kojinbango_card/cardrikatsuyou.html(2017年10月6日)

総務省b「ﾜﾝｽﾄｯﾌﾟ･ｶｰﾄﾞﾌﾟﾛｼﾞｪｸﾄｱｸｼｮﾝﾌﾟﾛｸﾞﾗﾑ」,

http://www.soumu.go.jp/main_content/000455778.pdf(2017年10月6日)

総務省(2015)「新たな自治体情報セキュリティ対策の抜本的強化に向けて」,


総務省(2016)「マイナンバーカードの概要及び公的個人認証サービスを活用したオンライン取引等の可能性について」,


総務省(2018)「市区町村におけるクラウド導入等の検討状況（速報）について」,http://www.soumu.go.jp/main_content/000564257.pdf. (2018年9月27日)

内閣官房(2017)「マイナンバー概要資料」,

http://www.cao.go.jp/bangouseido/pdf/seidogaiyou_2907.pdf(2017年10月6日)

野田(2017)「野田総務大臣閣議後記者会見の概要」,

http://www.soumu.go.jp/menu_news/kaiken/01koho01_02000630.html( 2017年10月6日)

矢後(2015)「番号制度の導入に向けた情報システムの対応について」『月刊J-

LIS』,H27.１月,pp.15-20,

https://www.j-lis.go.jp/data/open/cnt/3/1282/1/H2701_03.pdf(2017年10月6日)

41

ご清聴ありがとうございました大阪府立大学

吉田博一

[email protected]

actually social change by national ......第六章の二...

Documents