マイナンバー制度｜システム面の安全管理措置で注意すべき３項目｜サイバーセキュリティ.com

  1. ホーム /
  2. コラム /
  3. マイナンバー制度｜システム面の安全管理措置で注意すべき３項目
             

マイナンバー制度｜システム面の安全管理措置で注意すべき３項目



企業が確認すべき「マイナンバー安全管理措置」の４ポイントの記事で述べたように、マイナンバー制度開始により、マイナンバー情報を扱う事業者では、情報の保護・保全、そして漏洩の防止のための「安全管理措置」の実施が必須となりました。

今回は、システム面での安全管理措置について、具体的に見ていきたいと思います。

安全管理措置の種類

まずは、安全管理措置の種類について確認しておきましょう。安全管理措置は下記４項目を示しています。

組織的安全管理措置 マイナンバー情報を扱う組織・体制について示すもの
人的安全管理措置 マイナンバー情報を実際に扱う担当者について示すもの
物理的安全管理措置 マイナンバー情報を扱う区域や機器媒体といった物理的な内容を規定するもの
技術的安全管理措置 情報システム上のマイナンバー情報に対してアクセス制御等による不正アクセスと情報漏洩の防止を規定するもの

人的管理とシステム的管理

マイナンバーに限らずコンピュータ上で情報の管理を行うにあたって重要なことは、情報を「人的に管理すること」と「システム的に管理すること」です。どちらが欠けてもうまくいくことはありません。

人的管理とは

人的に管理するということとは、情報を確実に管理する組織体制を構築し、情報を利用する人に対してしっかりとした教育・啓蒙を行うこと。そして、情報を利用する人を原因とした情報の漏洩のリスクを限りなくゼロに近づけるという点に目的をおいています。

システム的管理とは

システム的な管理とは、漏洩防止として情報の格納されたシステムやデーターベースなどに対し、アクセス管理や制御を行うことを指します。

このシステム的な漏洩の防止策では、適切でない利用者が情報を取り出して利用しようとしても、システム的にそれが出来ないようにするところに目的をおいています。

システム的情報管理の行い方

では、具体的にマイナンバー制度の施行に向けて実際に情報システム上で行える対策にはどういったものがあるのでしょうか。

まず最も重要なことは個人情報を扱う「人」と「システム」をその他と明確に区別することが求められます。他の情報と混ざらないようにするということですね。その上で、システム上で情報を管理・保全するということは、情報セキュリティの３大要素である「機密性」「完全性」「可用性」の三方向から守れるシステムを構築することに他なりません。

システム的情報管理の具体的な３つの方法

アクセス制御

20e43a8e7eb74a08f284b3f291211ee91個人情報の格納の方法によっても対応の方法は変わってきますが、ファイルサーバにファイルとして個人情報を置く場合は、そのフォルダに対して「アクセス権限」を設定する、あるいはそのファイル自体にアクセス権限を設定し、権限の無い者については閲覧できなくするという対応が出来ます。

また、隠しファイル設定を行うことによって、権限の無いものに対してはファイルの存在を見せないようにすることも出来ます。ファイルサーバに利用するOSによって、その方法は若干違いがあります。

アクセス制御の方法

WindowsでもUNIXでも、個人のユーザアカウントや複数人のグループとしてのグループアカウントを設定し、それらに対してアクセス権を設定します。

  • 読み取りのみ可能な権限：読み取り権
  • 読み書き可能な権限読み書き権

これによって権限を与えられた適切な利用者、あるいは組織に対して情報に対するアクセス権を設定し、彼ら以外のアクセス権を持たないユーザーはアクセス出来ないようにする「機密性」を実現します。

一元的なユーザー管理で実用性を保つ

さらにこのアクセス制御については、WindowsではActiveDirectryによるドメイン環境のユーザー管理を活用することが出来ます。

組織内でのコンピュータやユーザーの管理はActiveDirectoryドメイン環境を活用することが主流になっており、これによるユーザー管理と連携してアクセス制御を行うことで一元的なユーザー管理を行うことが可能となっています。UNIX環境でもLDAPなどのディレクトリサービスを構築することで同様に一元的なユーザー管理環境を構築することが可能です。

またLinuxなどではActiveDirectoryとの連携が可能となっていますので、これを活用してActiveDirectoryを活用したファイルサーバ環境を構築することも可能となっています。

データーベースのアクセス制御

個人情報の格納先にデーターベースを利用する場合は、利用者の各ユーザアカウントを設定し、データーベースに対する読み取りや読み書きといったアクセス権をファイルサーバのそれと同様に付与していくことになります。

オラクルなどのデーターベースでは、データーベースにアクセスするユーザアカウントに対して、データーベースの格納先（テーブル）ごとに「ロール」と呼ばれる権限を個別にきめ細かく設定することができます。例えば、Aさんはテーブル１は読め、テーブル２は読めないのに対して、Bさんはテーブル１は読めないがテーブル２は書き込めるといった具合に出来るのです。

暗号化

c7b9024fe0495f3e938b801b944ea4361加えて重要なことは「暗号化」です。ファイルやデーターベースに対しての情報の暗号化を行うことが肝心です。

例えばOracle Advanced Securityの「Transparent Data Encryption（TDE）」ではオラクルデーターベースのバックアップを完全暗号化することが出来、情報の漏洩を防止できます。

また、ネットワーク上の通信に対しても、暗号化を行うことによって情報が外部へ漏洩することを防ぐことが必要です。

まとめ

上記に書いた「アクセス制御」「暗号化」などの施策をを行うことによって、情報システム側でのマイナンバーの管理「技術的安全管理措置」を適切に実施することが出来るでしょう。


関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。