IT資産管理ツールはマイナンバー制度の安全管理義務にどう対応するのか？

マイナンバー制度の安全管理措置は大きな課題だが、IT資産管理ツールの機能を上手く活用することにより、安全でリーズナブルな情報漏えい対策が可能になる。

[土肥正弘，ドキュメント工房]

　2016年1月から実施されるマイナンバー制度。事務上の体制や関連するシステムの改修などは既に着手済みのことと思うが、マイナンバー情報の漏えい防止を主眼に義務付けられた「安全管理措置」には、突き詰めれば詰めるほどコストがかさみ、社内での管理を諦めるケースも出てきそうだ。

　しかしIT資産管理ツールの機能を上手く活用することにより、安全かつリーズナブルな情報漏えい対策をとることが可能だ。今回は特にマイナンバー制度対応を前提に、IT資産管理ツールの使い方をみてみよう。

マイナンバー制度が義務付ける「安全管理措置」とは？

　マイナンバーの企業による「取得、利用、保存、提供、削除／廃棄」という全プロセスにおいて「組織的安全管理措置」「人的安全管理措置」「物理的安全管理措置」「技術的安全管理措置」の4つの安全管理措置が義務付けられている。

　それらはマイナンバーが万が一にも外部に漏れないようにするためと、マイナンバー取得目的（税、社会保険、災害対策）以外に利用できないようにするためだ。この義務を全うするには、図1に示すように、ネットワークインフラ、業務（基幹）システム、端末、ユーザーの各レイヤーで管理の徹底や脅威対策を施す必要がある。

図1　「マイナンバー」ガイドラインの安全管理措置が求めるセキュリティ対策。1：組織的安全管理、2：人的安全管理、3：物理的安全管理、4：技術的安全管理（出典：エムオーテックス）

　このようなセキュリティで守るべき情報は、マイナンバー（個人番号）そのもの、マイナンバーと氏名、住所など本人が特定できる情報のセット（特定個人情報）、それらが集約されて一覧性があるファイル（特定個人情報ファイル）の全部だ。漏えいリスクが大きいのは特定個人情報ファイルである。これを事務に携わる特定の担当者以外が取り扱えないようにすることが焦点となる。

　IT資産管理ツールにはこの目的に沿って利用できる機能が豊富に備えられている。以下に、安全管理措置が求める事柄に沿って説明していく。

「組織的安全管理措置」の要点とIT資産管理ツール機能

　まず組織的安全管理措置として求められるのはマイナンバー取扱担当者を明確にして、その人が適正に取扱をしているか、他の人が誤って、または意図的に取扱をしていないか、なりすまして情報にアクセスしている人がいないかなどの「マイナンバー取扱について記録や監査を実施」することだ。

　このためにはまず特定個人情報ファイルの“ありか”が分かっていなければならない。特定サーバに集中できればよいが、拠点が分散している場合などは難しいかもしれない。そんなときはIT資産管理ツールを利用して、ファイルの所在を検索、特定すればよい。

　問題はどれが特定個人情報ファイルなのかを判別することなのだが、ツールの中にはそれを自動判別・抽出し、そのファイルに関する操作ログを自動取得、保管する機能を追加したものがある（図2、3）。このような自動プロセスではなくとも、機密情報の所在を特定することは非常に重要な工程になる。

図2　特定個人情報ファイルの自動抽出（出典：ハンモック）

図3　特定個人情報ファイル取扱システムへのログインログからの不正発見。（上）本来の「soumu」IDでのログイン以外のIDでのログインが行われている例（下）同じユーザーがIDを変えてログインしている例（出典：ハンモック）

　特定個人情報ファイルが特定できたら、ファイルに対する操作を監視（ログ取得）し、できるだけ頻繁に監査を行うとよい。IT資産管理ツールではファイルに対する操作履歴、その操作をしたPCの操作履歴やWebアクセス履歴、メール送信履歴、プリンタ出力履歴、外部デバイスの利用履歴、アプリケーションへのログイン履歴、サーバ利用履歴、データベース利用履歴などを管理することができるので、情報を突き合わせることで不正な取扱の有無や、誰がいつ、何をしたかを明らかにすることができる。一部のツールには「操作画面の録画機能」を備えるものがあり、リストでは分かりにくい実際の行動を記録、再生することもできる。

　また、特定ファイルに着目してリネームや削除、移動、コピーなどの操作履歴を一覧することも可能だ。特定個人情報ファイルが別のファイルに改変されて送信するなど、不正な情報流出行為があればいきさつを明らかにすることができよう。

図4　ファイルへの操作をたどると流出経路が発見できる（出典：Sky）

　送信メールの監査機能、Webアクセス管理機能なども流出経路発見のための施策として有効だ。なお、取扱担当者やシステム管理者によるログ参照などの行動についても、他の管理権限がある人が監査できる体制も必要だ。相互チェック（監視）はとても重要だ。

　こうした機能により、総務省「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（以下、ガイドラインと呼ぶ）が求める「b 取扱規定等に基づく運用」「c 取扱状況を確認する手段の整備」「d 情報漏えい等事案に対応する体制の整備」「e 取扱状況の把握および安全管理措置の見直し」の各項の一部がクリアできるだろう。

「人的安全管理措置」の要点とIT資産管理ツール機能

　人的安全管理措置としてはマイナンバー取扱の事務担当者はもちろん、その他従業員にも制度を周知しセキュリティの重要さを教育することが焦点になる。

　これには社内セミナーなどの機会を利用した啓発活動が重要になり、社内規定を従業員向けと取扱担当者向けに説明する文書も必要になるだろう。IT資産管理ツールでは、高リスクな行動に対するアラート表示を行うことでその取り組みを支援することができる。

　例えば特定個人情報ファイルがあるサーバやデータベースにアクセスしようとした場合に、画面録画機能を開始し「機密情報のあるサーバにアクセス中です。ここからの操作は録画されます」といった警告メッセージを表示したり、USBメモリの接続禁止ポリシー運用時にUSBメモリをセットしたら「USBメモリの使用は禁止されています」とメッセージを表示するといった工夫をすることにより、従業員のポリシー理解が進み、セキュリティ意識も高まることが期待できる。

図5　教育効果がある警告メッセージの例（左）個人情報サーバにアクセスしたとき（右）USBメモリの使用は禁止されているのに使用したとき（出典：Sky）

　また送信メール監査時のポリシー違反警告も同様に利用できよう。加えて各種のログを取得していて、いつでも個人とひも付けて行動監査ができることをアナウンスすることも重要だ。機密情報を取り扱う場所の壁や機器に貼り紙をして「ログ取得中」と注意喚起することも推奨できる。

「物理的安全管理措置」の要点とIT資産管理ツール機能

　物理的安全管理措置でIT資産管理ツールが役割を果たすのはガイドラインの「c 電子媒体等を持ち出す場合の漏えい等の防止」と「d 個人番号の削除、機器および電子媒体等の廃棄」という項目が中心になるだろう。

　別拠点や外部業者（アウトソーシングしている場合）にデータを移送する場合、暗号化通信ではなくリムーバブルメディアを利用するケースも起こりそうだ。その際にはデータの暗号化が不可欠になる。

　デバイス制御機能を利用して暗号化機能付きの会社所有USBメモリだけが利用できる設定で運用することもできるし、ファイルの機密区分に従って重要なものは書き込み時に強制的に暗号化することができるツールもある。暗号化は別にIT資産管理ツールを使わなくても実行可能だが、従業員がルールを守れるかどうかが問題だ。図6のようにユーザー操作検知と自動暗号化を連動させると、ルールの無視によるリスクがなくなり、うっかりミスも予防できるだろう。

図6　ユーザーの操作を検知して自動暗号化（出典：ハンモック）

　ツールによってはリムーバブルメディアの持ち出しに関して申請、上長承認のワークフロー機能を備え、上長の許可が出て初めてリムーバブルメディアへのデータ書き出しができるようにしたものもある。

「技術的安全管理措置」の要点とIT資産管理ツール機能

　最後の技術的安全管理措置は特定個人情報へのアクセスができる人を特定し、その人以外からはアクセスできないようにする目的で、ガイドラインの「a アクセス制御」「b アクセス者の識別と認証」の項目が最重要と考えられる。「本人識別・認証」「権限管理」「アクセス制御」にはアイデンティティー管理ツール（ID管理ツール）や特権ID管理ツールなどによる対応が必要と思われ、IT資産管理ツールはむしろ「c 外部からの不正アクセス等の防止」「d 情報漏えい等の防止」に有効だ。

　「不正アクセス等の防止」は外部からの攻撃からの保護の他に不正ソフトウェアからの保護も含んだ内容となっており、対策法の例示の中には不正ソフトウェアの有無の確認、ソフトウェアの最新状態への更新、定期的なログ分析も挙げられている。

　不正ソフトウェアはウイルスや、情報漏えいにつながるリスクがある（ポリシー外のソフトウェア）と解釈して対策した方がよい。IT資産管理ツールのインベントリ管理機能やソフトウェア資産管理機能を利用すれば、ポリシー外ソフトウェアを発見するのは容易であり、アンチウイルスツールと組み合わせればこのポイントはクリアできそうだ。特に特定アプリケーションの起動禁止、あるいはインストール禁止ができるのがIT資産管理ツールを利用する利点だ。

　またWebアクセス管理などの機能により、不審な海外サーバとの通信や内部での怪しい通信などを発見することができ、場合によっては通信遮断も可能になっている。不正アクセス防止対策の1つとして活用できよう。

　次の「情報漏えい等の防止」は具体的にはインターネットなどを利用し、外部へ特定個人情報を送信するとき、通信経路から情報が漏れないよう、暗号化通信を行うことや、保管データの保護措置についての要件だ。IT資産管理ツールでは、例えば特定個人情報ファイルのWebアップロードの禁止、Webメールや掲示板への書き込み禁止などの対応が可能だ。

コラム：マイナンバー制度対応テンプレート

　マイナンバー制度対応への関心が高いことから、IT資産管理ツールの中には「マイナンバー制度対応テンプレート」を提供し、ガイドラインの管理要求に準拠したツール運用が容易になるように工夫したものがある。

　図7の画面のように画面上部に制度が求める対応のフローを表示し、各種の管理プロセスに沿って実際の管理アクションが実行できるようになっているので分かりやすい。他社でもマイナンバー制度対応のための資料などを積極的に提供しているので、ベンダーのWebサイトで確認することをお勧めする。

図7　マイナンバー制度対応テンプレート（出典：ハンモック）