株式会社富士通マーケティング

知っておきたいマイナンバーのアレコレ

マイナンバー対策の決定版！「AZBOXマイナンバー業務システム連携PC」

P1

マイナンバーを紙で管理する場合のリスクと注意点についてマイナンバーの適正な管理方法～保管から廃棄まで～海外のなりすまし被害から学ぶ、マイナンバーの犯罪対策マイナンバー対応の人事・給与システムを選ぶポイント

今さら聞けないマイナンバー

P7

1

マイナンバーを紙で管理する場合のリスクと注意点について

マイナンバーの話題がニュースを賑わすようになって以来、PCやネットワークのセキュリティ対策に注目が集まりがちですが、マイナンバーの情報は紙で管理することもできます。 元々IT の利用が少ない企業の場合はもちろん、自社の PCのセキュリティ対策に不安があるためマイナンバー情報はデータ化しないなどの理由で、紙での保管を選択している企業も多いのではないでしょうか。そこで本稿は、マイナンバーを紙で管理する際の注意点、データでの管理と比べた場合のリスクや使い勝手について考えます。 紙でのマイナンバー管理は、保管だけでなく利用時の安全確保にも留意する マイナンバーの書かれた紙を単に保管するだけであれば、鍵の付いた金庫に入れることである程度の安全性を確保できるでしょう。しかしマイナンバーは、保管だけしておけばよいものではありません。特にリスクの高まる利用時の安全確保を視野に入れた対策が必要です。

従業員や取引先から取得したマイナンバーの管理には、個人情報保護委員会により策定されたガイドラインに沿って様々な対策を講じることが求められていて、紙で管理する場合でも例外ではありません。紙でマイナンバーを管理する場合、特に注意したいポイントを確認しておきましょう。 1：マイナンバー情報は 1つにまとめる 情報の分散は漏えいのリスクが高まります。専用のファイルに綴じるなどマイナンバーの書かれた用紙を 1つにまとめると、紛失や漏えいの危険性が減り、管理もしやすくなります。 2：金庫などに保管して利用者を制限する マイナンバーの書かれた紙は、鍵付きの金庫や収納棚などに保管します。従業員であっても権限のない人は閲覧できないよう、鍵を管理する体制をしっかりと整えることが大切です。 3：利用状況を常に把握する マイナンバーの書かれた紙を利用する際は、閲覧希望者の権限や利用目的、返却の有無の確認を徹底し、紛失・漏えいを防止します。これらの確認を行う担当者を定め、責任の所在を明確にするとよいでしょう。 4：安全な閲覧スペースを確保する 特定の部屋やパーテーションで区切られたスペースなどマイナンバーの書かれた紙の閲覧場所を限定することで、閲覧

2

権限のない人が近づけない状態を確保しましょう。 紙で管理することで生じるリスクや手間の多くは、データ化により軽減できる 前述のとおり、マイナンバーは紙で管理することもできますが、データで管理することでリスクの軽減や作業効率の向上が期待できます。ここではデータ化により、得られる代表的なメリット 3点に注目してみます。 1：利用記録を自動で作成できる 紙では手動での管理が必要だったマイナンバー情報へのアクセスログの保存も、システムを利用すれば、「いつ」「誰が」「どの情報を利用した」といった利用記録を自動的に作成できます。 2：細かな利用者権限の設定がしやすい アクセス権限の細かな設定が可能なシステムを利用すると、あらかじめ条件を設定しておくといった少ない手間で、状況ごとに最適な管理体制を維持できます。 3：検索性の高く、作業の負担が少ない 条件を指定するだけで、必要な情報を簡単に抽出できます。情報の追加時も整理整頓などの手間は不要です。 こうしたメリットが自社に与える利益を正確に把握し、管理方法を検討していくことは、マイナンバー時代を生き抜く企業の共通の課題と言えます。

利便性を求めてデータ化に踏み切るなら、セキュリティ強化の同時進行も忘れずに 顧客の連絡先や売上の記録など、以前は紙で保存していた情報のデータ化により、ビジネスにおける多くの作業が効率化されてきました。マイナンバー情報をデータ化することで、同様に管理の効率化を図りたいと考えるのはごく自然な流れと言えます。 しかしその一方で、マイナンバーの情報はこれまでになく厳重な管理が求められるデータであり、「Excel で一覧を作り、並べ替えや検索のスピードを上げるだけだから...」など、その他の情報と同じ感覚で容易にデータ化するのは非常に危険です。インターネットにつないだPCがウイルスや不正アクセスのリスクにさらされていることはいうまでもなく、ネットワークを遮断した PCであっても従業員による漏えいの可能性は残念ながらゼロではありません。マイナンバーの管理に適したセキュリティ対策を施したシステムや PCは、導入するだけで手間やコストを押さえて安全を確保できるものが多くあります。こうした製品の利用も視野に十分な検討を行い、安全を確保しましょう。

3

マイナンバーの適正な管理方法～保管から廃棄まで～

平成 28年 1月からマイナンバー制度が本格的にスタートし、企業はマイナンバーの「収集・保管・利用・廃棄・委託」を適正に行うことが求められています。しかし、マイナンバーの取り扱いには様々な規定や罰則がともない、具体的にどう管理していけば良いのかお悩みの担当者の方も多いと思われます。 そこで、企業に最適なマイナンバー管理のあり方について考えていきます。 マイナンバーの保管期間は定められている 個人情報保護法では、「特定個人情報は限定的に明記された事務を行う必要がある場合に限り、保管し続けることができる」と規定しています。一方、企業は従業員の雇用期間中は納税申告や社会保障関連の申請書類の届出を代行していくため、特定個人情報であるマイナンバーの記載された行政関連書類を一定期間保管しなければなりません。 これに基づき、マイナンバー法では、個人番号が記載された書類に関係法令の規定

に沿った法定保存期間を書類の内容により2年から7年と定めています。 現段階では電子媒体としてこれらの書類を管理する場合の明確な法定保存期間は規定されていませんが、マイナンバー法では扶養控除申告書などの税務関係書類については書類と同等の期間を適用することから、デジタルで管理を行う場合も同様の保管期間を設定することが賢明と思われます。 マイナンバーの保管に向いているのは？ 実際に企業でマイナンバーを保管・管理するにあたっては、書類などのアナログ的な保管管理と、PCを利用したデジタルでの保管とのどちらが適切なのでしょうか。 ここではアナログ管理・デジタル管理のそれぞれについて重要と思われる留意事項をまとめてみます。 1.アナログの場合 従業員のマイナンバー通知カードのコピーや、マイナンバーが記載された帳票をファイリングして保管する場合、その業務には組織が決定した事務取扱担当者および事務取扱責任者しか携わることができないので、注意が必要です。特定個人情報の流出防止には充分な配慮が求められますので、定期的に保管されたファイルをチェックするなど、万全の管理体制を整えておく必要があります。 また、物理的にも堅牢な保管体制が求められます。マイナンバーが記載された書類は、鍵のかかる保管庫、キャビネット、金庫などに収納し、施錠管理を行うことが求められています。ガイドラインでは、保管室に ICカードや生体認証装置を用いて、

4

厳格な入退出者管理を行うことまで推奨しています。 2.デジタルの場合 多くの企業では、会計ソフトや基幹業務システムを活用し、情報の管理をデジタルで行っているものと思われます。従業員が多くなれば処理量も拡大しますので、マイナンバー対応業務を一括で管理できるデジタルでの保管は、アナログよりも効率的です。しかし便利な反面、ネットワークなどを介して暴露ウイルスを侵入させるなど、システム外部への特定個人情報の流出リスクは高くなるので、注意が必要です。 マイナンバーの廃棄を忘れずに 非常に重要なことですが、特定個人情報の管理は、保管から廃棄へのプロセスを経て完結します。マイナンバー法では、マイナンバーが記載された書類や電子媒体は保管する必要がなくなった時点で速やかに廃棄または削除と、その記録を残すことを義務づけています。 従業員の退職や離職にともないマイナンバーを廃棄する際には、次の手続きで速やかにマイナンバーを処理し、特定個人情報流出のリスクを完全に遠ざけてください。 1.アナログの場合 ・書類などの廃棄は、シュレッダーまたは焼却処理などの復元不可能な手段を採用する ・運送会社の溶解処理サービスなど、外部に廃棄を委託する場合は、委託先が確実に廃棄したことを確認するため、証明書を必ず受け取る

2.デジタルの場合 ・記録機器や電子媒体などの廃棄は、専用のソフトウェアもしくは物理的な破壊により、復元不可能な状態に消去する ・個人情報ファイル内のマイナンバーを消去する場合は、容易に復元できない手段を採用する ・ハードディスクを物理的に破壊してもらうサービスを外部に委託する場合も、廃棄証明書を受け取る 組織にとって最適なマイナンバー管理に向けて 企業に求められているマイナンバー管理体制とは、「保管」と「廃棄」のプロセスを効率的につなぎ、それを着実に遂行することで、特定個人情報漏えいのリスクを完全に回避することにあります。みなさまの組織にとって最適なマイナンバー管理体制を構築し、誰もが安心して働くことのできる職場づくりを目指してください。

5

海外のなりすまし被害から学ぶ、マイナンバーの犯罪対策

「マイナンバーが漏れたら、誰かが自分になりすますのでは…」という不安を持つ人は多く、企業が管理するマイナンバー情報の安全性には高い関心が寄せられています。そこで今回は、アメリカでのなりすまし犯罪の実例と日本のマイナンバーの現状など、なりすましをテーマにマイナンバーのセキュリティについて考えてみます。 個人識別番号の先進国で多発！ アメリカのなりすまし犯罪の実情 個人識別番号運用の先進国と言えるアメリカでは、なりすましによる年金の不正受給や税金の不正還付の被害が多発しています。2015年 5月には、最大で 1万3,000 人分、3,900 万ドル（約 49億円）もの税金の還付金がだましとられるなど、その被害は甚大かつ深刻です。 上記の事例では、日本の国税庁にあたる組織が対策を講じ、還付申告時の個人認証に以前の住所などの情報を求めることでなりすまし被害の防止を図ったにも関わらず、防止策をすり抜けるケースが大量に発生し、大きな被害になったとされています。

マイナンバー、なりすましの危険性は？ 日本のマイナンバー制度は、すでに個人識別番号を利用している多くの国での問題を踏まえて作成されています。具体的にどのような安全措置が図られているのか、アメリカの個人識別番号である「社会保障番号(SSN=SocialSecurityNumber)」との比較から、日本のマイナンバー制度でのなりすましの可能性について考えてみましょう。 1.マイナンバーにプラスアルファの本人確認で安全性を高めている アメリカの社会保障番号は、番号を口頭で伝えるだけでも本人認証が可能です。そのため社会保障番号さえ知っていれば、本人になりすまして様々な手続きが行えます。 一方日本の場合、マイナンバーを利用する際には厳格な本人確認が義務付けられています。マイナンバーに加えて、運転免許やパスポート、健康保険証などで身元を確認することで、万が一、マイナンバーが漏えいした場合もなりすましを防止します。 2.マイナンバーの利用範囲は社会保障、税、災害対策に限定されている アメリカの社会保障番号は、番号の利用制限がありません。公共の用途に加え、クレジットカードの作成や銀行口座の開設など広い用途に利用できます。便利な反面、一度番号が漏れてしまうと様々な用途で悪用される危険性があります。 一方、日本の場合、マイナンバーの利用範囲は法律で制限され、国の行政機関や地方公共団体などが社会保障、税、災害対策の分野で使う以外は利用できません。クレ

6

ジットカードや銀行口座の作成などでの本人確認には使えません。 マイナンバー漏えいを防ぐセキュリティ対策のポイント 前述した本人確認の必要性、用途の制限により、現時点の日本のマイナンバー制度においては、アメリカより安全性が高いと言えるでしょう。しかし、個々の会社におけるマイナンバーの漏えい防止は、なりすましの抑止につながる重要な役割を担っています。そのために必要な PCのセキュリティ対策のポイントについて、今一度確認しておきましょう。 1.手のひら静脈認証などの利用 PC や社内ネットワークのログインに使う IDやパスワードが漏えいするのは、自社のシステムがハッキングされた場合だけではありません。パスワードの入ったタブレットを出先で紛失する、外出先で使った公衆Wi-Fi の通信で盗まれるなど、情報の漏えいを引き起こす原因は多岐に渡り、一般的な IDとパスワードによる認証だけでは高い安全性を保てない時代になっています。 そこで手のひらの静脈を利用したものなど、パスワードの漏えいなどに左右されない生体認証システムを持つ PCを利用し、セキュリティの強化を図っている企業も増

えています。マイナンバーの保管用など、特に厳重に管理したい PCのセキュリティ強化策としても注目されています。 2.ネットワークにつながない ネット経由の情報漏えいを遮断する 外部からの不正アクセスへの対策は多くの企業が行っているものの、攻撃手法も巧妙になっており、すべての脅威を完璧に防ぐことは困難な状況です。自社の IT スキルではネットからの脅威に対する不安が大きいといったケースでは、マイナンバーの管理用にスタンドアローンの PCを専用に設ける、安全性を確保した社内ネットワークのみ接続を許可するなど、インターネットから切り離すことで安全を確保するのも有効な手段のひとつです。 3.情報を持ち出せないよう対策 情報漏えいの危険は、見知らぬ他人によるものだけではありません。従業員による不正な持ち出しへの対策も重要なセキュリティ対策の 1つです。鍵付きの部屋に置くなど、不正を目論む従業員が勝手に使用しにくい環境を整える必要があります。また、USBメモリやCD－ROMなど外部メディアへのコピーができないよう対策を施すことでリスクを減らすことができます。

7

マイナンバー対策の決定版！ 「AZBOX マイナンバー業務システム連携 PC」

8

マイナンバー業務に最適化されたPC 「AZBOX マイナンバー業務システム連携 PC」 １０のポイント！

「FUJITSU インフラ構築サービス AZBOX マイナンバー業務システム連携PC」（以下、マイナンバー業務システム連携 PC）は、中堅・中小規模のお客様の市場でシェアの高い主要な人事給与パッケージシステムで利用可能なマイナンバー業務に適した PCです。 マイナンバーを含む「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」の「技術的安全管理措置」で求められるセキュリティ要件を踏まえ、業務用PCとして必要なセキュリティ対策を事前にセットアップして提供するため、お客様は既存 PCへ同等の対策を行うより効率的かつ安価に対策を行うことができます。

こちらでは「マイナンバー業務システム連携 PC」に搭載されるセキュリティ機能の 10のポイントを紹介していきます。 本人しか持ちえない生体情報で、なりすましを防止！ ①手のひら静脈認証センサー搭載 近年急増する、リスト攻撃などの「外部からの不正アクセス」や「内部不正」。こうした情報漏えいインシデントは、パスワードの使い回しと、そのためにシステム利用者の特定ができないことに起因します。 「マイナンバー業務システム連携 PC」は生体認証の中でも高い精度の識別が可能な、手のひら静脈認証を使ってなりすましを防止します。静脈は、指紋と違って体内の情報なので盗まれにくく、経年変化することもありません。また、手のひらの静脈は本数が多く、複雑なため、高い認証精度を期待できます。さらに、手のひらの静脈は指の静脈に比べて血管が太いため、寒さの影響を受けにくいことも利点としてあげられます。

本体内蔵の手のひら静脈認証センサー

9

センサー読み取りイメージ（複雑な静脈パターン） 手のひら静脈認証により、利用者は ID/パスワードを入力することなく、パソコンや人事給与システムへログインできます。ログイン IDが悪意のある第三者に渡ることもなく、静脈情報が登録された担当者本人のみが操作可能なので、高い情報漏えい防止効果が期待できます。 既知のウイルス対策はもちろん、未知の脅威も検知！ ②マルウェア対策機能 感染したパソコンの情報を外部に送信するスパイウェアや、内部データを盗んだり、外部のコンピュータやネットワークに勝手に攻撃を仕掛けるボットなど、マルウェア（悪意のあるソフトウェア）の脅威が増大しています。 「マイナンバー業務システム連携 PC」は、既知のマルウェアはウイルス対策ソフト SEP(Symantec Endpoint Protection)で即座に検知、隔離、対処し、安全に運用します。 ③ふるまい検知機能 また、SEP で検出できない“未知”の脅威やマルウェアと疑われるファイルや通信も、標的型攻撃対策ソフト FFR yarai で振

る舞い（挙動）を検知し、安全に隔離します。怪しい通信が発生した場合、即座に検知し遮断します。

危険な動作をする EXEファイルを実行した場合 有害サイトにつながず、マルウェア感染を防止！ ④URL フィルタリング 本物に似せた偽サイトで個人情報を盗み取るフィッシングサイトやなりすましサイト、また、標的とされる個人や企業が利用するWebサイトにウイルスを仕込む水飲み場攻撃などによるマルウェア感染を防止します。 「マイナンバー業務システム連携 PC」は、Windows、Update、eLTAX、GLOVIA、OBC、PCA、応研のサポートサイトのみ接続可能です。マイナンバー業務には不要なWebサイトへのアクセスを禁止することで、無意識での有害サイトアクセスが無くなり、マルウェア感染を防止します。 メール機能や不要アプリの削除で、標的型メール攻撃を遮断！ ⑤メール機能非搭載（Office 非搭載）

10

特定の対象（企業や組織）を狙って情報を窃取する標的型メール攻撃が頻発しています。「マイナンバー業務システム連携PC」は、メールソフトを搭載していません。そもそもメールの送受信をできなくすることで、標的型メール攻撃から身を守ります。 このほか、Word 文書などに仕込まれるマクロウイルス対策のため、Office 製品も搭載していないことに加え、Windows アプリをはじめ、不要なアプリケーションは事前に削除しています（GLOVIA、きらら、OBC、PCA、応研のみインストールして利用することを想定しています）。 また、管理者モードと利用者モードを用意しており、マイナンバー業務はソフトウェアのインストールができない利用者モードで運用することにより、不正ソフトのインストールも防止できます。 物理的持ち出しも、無線による侵入も防止！ 内部からの情報漏えいを防止するため、「マイナンバー業務システム連携 PC」は、さまざまなデータ持ち出し防止機能を搭載しています。 ⑥USB ポートの制限 第一に、USB経由でのデータの抜き取りによる情報漏えいを防止します。最近では、USBポートに差し込むだけで簡単にデータを抜き取ることができるUSBメモリも登場しています。USBポートはマウス接続時のみ有効となり、USBメモリ／ハードディスク／スマートフォンなどのストレージデバイス接続時は無効となります。また読み書きは出来ません。

⑦Bluetooth/無線 LAN 非搭載 第二に、ケーブル接続の必要がないため、誰にも気づかれずにデータを窃取される危険性が高い Bluetooth を非搭載としています。Bluetooth を利用したデータ読み書きや Bluetooth からの悪意の侵入を防止。また、無線 LAN非搭載とすることで、WiFi ルータなどに故意にネットワーク接続してデータが流出することを防止します。 搭載しているDVDドライブは読み込み専用です。DVD－Rでの書き出しによるデータの持ち出しはできません。「マイナンバー業務システム連携 PC」は、外部とデータをやり取りできる不必要なデバイスを排除して安全性を高めています。 さらに、ネットワーク接続は有線ＬＡＮのみ、しかも社内ネットワークのみ接続可能とすることで、ネットワーク接続の可視化を実現しています。 ⑧マイク/WEB カメラ非搭載 このほか、マイク/WEBカメラを非搭載とし、盗聴/盗撮するマルウェアの脅威からも防御します。 物理的にも、マインド面からも、情報漏えいリスクを低減！ ⑨アクセスログ管理 「マイナンバー業務システム連携 PC」を利用すると自動的に、利用者、日時、利用アプリケーション、ファイル操作などの端末上の操作や、Web閲覧などのインターネットのやり取りが記録されます。記録されたログは 5年間分保存されるように設計されており、いつでも確認することがで

11

きます。このように、いつ、どこで、誰が、どんなデータにアクセスしたか、について詳細なログ管理を行える「マイナンバー業務システム連携 PC」の利用によって、問題発生時にも証跡調査が可能なことをアナウンスすることで、社員の自覚を喚起し、内部からの情報漏えいリスクを抑制できます。 ⑩ハードディスク暗号化 また、万一、紛失や盗難に遭っても、「マイナンバー業務システム連携 PC」は、ハードディスク書込み時のデータが暗号化されているため、ハードディスクを故意に抜き取り、他の PCで読み取ろうとしても読み取れません。Windows ログオンできれば復号できますが、ログオン時には手のひら静脈認証が必要なため、第三者がログオンすることは非常に困難です。 マイナンバー業務システム連携 PC取得ログ（出荷時９種類のログを取得） 【３年間安心してご利用いただけます】 マイナンバー業務システム連携 PCは、3年間のセット商品各開発メーカーに準拠した保守サービスを含む、一括コール受付窓口（ヘルプデスクサービス）を組込んでおり、トラブル時にもお客様自身での原因の切り分け作業は不要です。 PC 故障時は、オンサイトで修理を行います。HDDの交換が必要な時は、あらかじめ出荷時状態までセットアップを行ったHDDと交換します。交換したHDDは、特定個人情報が保存されている可能性があるため、お客様にお渡しし引き取りは行いません。

また、5年間のサポートデスクサービス付きモデルも設定されています 以上、10ポイントの豊富なセキュリティ機能を搭載した「マイナンバー業務システム連携 PC」は、セキュリティの見直しを求められる総務部門や人事部門、経理部門などに最適の PCです。 【３年間安心してご利用いただけます】 マイナンバー業務システム連携 PCは、3年間のセット商品各開発メーカーに準拠した保守サービスを含む、一括コール受付窓口（ヘルプデスクサービス）を組込んでおり、トラブル時にもお客様自身での原因の切り分け作業は不要です。 PC 故障時は、オンサイトで修理を行います。HDDの交換が必要な時は、あらかじめ出荷時状態までセットアップを行ったHDDと交換します。交換したHDDは、特定個人情報が保存されている可能性があるため、お客様にお渡しし引き取りは行いません。 また、5年間のサポートデスクサービス付きモデルも設定されています 以上、10ポイントの豊富なセキュリティ機能を搭載した「マイナンバー業務システム連携 PC」は、セキュリティの見直しを求められる総務部門や人事部門、経理部門などに最適の PCです。 【ご提供価格】 ◆3年サポート付き/298,000 円（税抜き） ◆5年サポート付き/384,000 円（税抜き） ※セット商品各開発メーカーに準拠した保守サービスを含む、ヘルプデスクサービス込みの価格となります。

12

【PC 主要スペック】 ベースモデル：FUJITSU Notebook LIFEBOOK A744/K CPU：インテルCore i3-4 100Mプロセッサー HDD：320GB メモリ：4GB 光学ドライブ：DVD-ROM（書込み不可/着脱不可） 搭載OS：Windows8.1Pro(64bit)

マイナンバーのセキュリティ対策に 関連するサービスの資料請求・購入の ご相談はお気軽にご相談ください。 中堅・中小企業向け クラウドの総合ショッピングサイト azmarche（アズマルシェ） URL：https://azmarche.com/ 受付時間 9時 - 17 時 (土曜・日曜・祝日・当社指定の休業日を覗く)

東京都港区港南 品川インターシティ C棟（代表）

2-15-3 〒108-6207Tel.03-6712-3111www.fjm.fujitsu.com/

株式会社富士通マーケティング

azmarche.com