マイナンバー説明用スライド

今からでも間に合う
クラウドを活用した
マイナンバー対策
株式会社エクシード・ワン
野呂清二
http://www.gov-online.go.jp/tokusyu/mynumber/index.html より引用
2015/5/20 COPYRIGHT (C) 2015 株式会社エクシード・ワン ALL RIGHTS RESERVED. 1
説明用資料

講演者紹介
米ヘッジファンド大手の「ムーア・ストラテジック・バリュー・パートナーズ」
◦ ＩＴ責任者として、投資・資産、会計のシステム開発・管理を行う。
現在は「株式会社エクシード・ワン」のパッケージ等の作成・販売を行う。
◦ ヒット商品としては、ファイルアクセス権限管理の「ファイル権限デザイナー」、公官庁、企業
中心に販売
◦ Microsoft MVP for Office365 (2014-2015を受賞)

マイナンバーがやってくる
マイナンバー = 日本国内に居住して住民票を有するすべての人（年齢、国籍を
問わず）一人に一つずつ割り当てられる 12 桁の番号
行政の効率化
国民の利便性
の向上
公平・公正な
社会の実現

マイナンバーのスケジュール（個人）
2015/10 ～
• 個人番号の
通知開始
• 法人番号の
通知・公表
2016/01 ～
• 個人番号カード
交付開始
• 順次、個人番号の
利用開始
2017/01 ～
• 行政機関間の
情報連携開始

出典：内閣官房
「社会保障・税番号制度の概要資料」
■事業者が早期に番号が必要と
なる場目
・報酬
アルバイト/公演・原稿作成者
・従業員
採用/退職金
■時間に余裕があるもの
・採用済みの従業員
（源泉徴収2017/1迄）
；厚生年金・健康保険2017/1～
2015/10～
個人番号取得開始可能
交付申請とりまとめが可能

マイナンバー取り扱いの流れ
源泉徴収票、支払調書、保健・年金の被保険
者資格取得届などにマイナンバーを記載
事業者行政機関
マイナンバーの提供
マイナンバーを記載
した書類の提出

取扱いの注意点
項目内容
利用範囲社会保障や税・等のマイナンバー法で規定された事務のみ利用可能です
提供の要求従業員本人及び扶養家族へのマイナンバーの提供の要求は、社会保障や税に関す
る手続きの作成事務を行う必要ある場合のみになります。
収集の制限マイナンバー法で定められた場合以外での、特定個人情報を収集できません。

罰則
http://www.cas.go.jp/jp/seisaku/bangoseido/faq/faq5.html
主体行為法定刑
個人番号利用事務、個人番号関係事務など
に従事する者や従事していた者
正当な理由なく、業務で取り扱う個人の秘密
が記録された特定個人情報ファイルを提供
４年以下の懲役または
200万円以下の罰金
（併科されることもある）
業務に関して知り得たマイナンバーを自己や
第三者の不正な利益を図る目的で提供し、ま
たは盗用
３年以下の懲役または
（併科されることもある）
主体の限定なし人を欺き、暴行を加え、または脅迫することや
財物の窃取、施設への侵入、不正アクセス行
為などによりマイナンバーを取得
３年以下の懲役または
偽りその他不正の手段により通知カード又は
個人番号カードの交付を受けること
６か月以下の懲役または
特定個人情報の取扱いに関して法令違反の
あった者
特定個人情報保護委員会の命令に違反２年以下の懲役または
特定個人情報保護委員会から報告や資料提
出の求め、質問、立入検査を受けた者
虚偽の報告、虚偽の資料提出、答弁や検査
の拒否、検査妨害など
１年以下の懲役または

マイナンバー取り扱いの課題
従業員・取引個人事業主・株主からの
個人番号の適切な取得
取得した個人番号の適切な取り扱い
特定個人情報ファイルの安全管理
本日のフォーカス ※ 特定個人情報ファイル
= 個人番号を含む個人情報データベース

安全管理措置
項目内容例
1 組織的安全管理措置・基本方針策定
・取扱規定を策定
・体制整備（運用状況、取扱状況の確認手段、
事故発生時の体制、取扱い状況の把握と見直
し）
・Ｐマーク・ISMSなど参考に作成する。
・ひな形などがある*
2 人的安全管理措置・事務担当者の監督・教育・守秘義務契約を従業員と取り交わす,もしく
は既存のルールを改定する
・マイナンバーの取り扱い注意事項・罰則など
について教育する
3 物理的安全管理措置・業務実施区域を明確化
・PC・サーバ盗難対策
・紙媒体の保管庫施錠・完全廃棄
・専用ルーム、パーティション
・ワイヤーロック、サーバルーム
・データ暗号化・データ削除ソフトウェア
・紙は、シュレッダーにて裁断
4 技術的安全管理措置・アクセス制御
・アクセス者の識別と認証
・外部からの不正アクセス等の防止
・情報漏洩等の防止
・ユーザ名とパスワードの管理
・多要素認証（生体認証等）
・侵入検知システム

具体例（中小企業の場合）

現状
NAS
C
1. 認証は２段階認証、認証ログ取得(Azure AD)
3. 認可・権限制御 (SharePoint)
4. 期限付暗号化ファイル（IRM）
5. ファイルアクセスログ (SharePoint)
※読取ログは実装中
A. 改ざん、削除できないメールにて取扱状況履
歴により定期的に監査(Exchange)
A. 組織的安全管理措置
・取扱状況の履歴がない。
B. 物理的安全管理措置
・NAS,PCが盗難されないようにする必要
がある。
C. 技術的安全管理措置
・アクセス制御、統合されていない
・ファイル暗号化されていない
B. 物理的に盗難の可能性がない
※データも暗号化されている。

現状
事業所規模（人数） 10-100人規模社員・アルバイト・パートの合計
事業所規模（事業所数）本社のみ
専任 IT 担当者いない他業務（総務）と兼任
クライアント数（PC） 10-100 従業員1人１台
ネットワーク環境
整備済み
インターネット接続可能
Workgroup 環境 (AD なし)
情報共有ファイル共有と電子メールファイル共有に NAS 利用
専用のサーバールームなし NAS は事務室内に設置
電子メールホスティングサービス利用独自ドメイン、POP/SMTP
セキュリティ
ウイルス対策ソフト
Windows のログオンパスワードパスワード管理は個人任せ

マイナンバー導入に伴う課題
物理的安全管理措置
◦ 特定個人情報ファイルを保存するコンピュータの物理的安全管理
◦ NAS を安全な場所（入退室管理できる場所）で管理する必要がある
◦ 事務所内に適切な場所を作らないといけない
技術的安全管理措置
◦ 特定個人情報ファイルに対するアクセス制御（認可）
◦ 特定個人情報ファイル取扱い作業者の識別と認証
◦ 厳密な認証と認可が求められる ⇒NAS の機能不足 / 管理が複雑になる
組織的安全管理措置

Office365を使った場合 – 物理面
Office 365 データセンターの物理セキュリティ対策
◦データセンターの 24 時間監視
◦データセンターへのアクセスに対する多要素認証（生体
認証スキャンなど）
◦外部ネットワークから内部ネットワークを分離
◦役割の分離により、特定の顧客データの格納場所は物
理的にアクセスできる社員が認識できない
◦壊れたドライブとハードウェアは消磁して破壊

現状Ｏｆｆｉｃｅ365
NAS
C
1. 認証は２段階認証、認証ログ取得(Azure AD)
3. 認可・権限制御 (SharePoint)
4. 期限付暗号化ファイル（IRM）
5. ファイルアクセスログ (SharePoint)
※読取ログは実装中
A. 改ざん、削除できないメールにて取扱状況履
歴により定期的に監査(Exchange)
A. 組織的安全管理措置
・取扱状況の履歴がない。
B. 物理的安全管理措置
・NAS,PCが盗難されないようにする必要
がある。
C. 技術的安全管理措置
・アクセス制御、統合されていない
・ファイル暗号化されていない
B. 物理的に盗難の可能性がない
※データも暗号化されている。

Office 365 を使った場合 – 技術面
情報共有
SharePoint Online アクセス制御、 IRM が利用可能
Exchange Online 暗号化された安全な接続
Skype for Business リアルタイムコミュニケーション
電子メール Exchange Online
• 独自ドメイン利用可能
• IRM / DLP が利用可能
セキュリティ
ウイルス対策ソフト
既存の仕組みはそのまま利用可能
Windows のログオンパスワード
Office 365（Azure AD）認証
• Office 365 へのアクセスは Azure
AD で一元管理可能
• 多要素認証に対応

Office 365 導入前後の比較
現状 O365 導入後
物理環境事務所内の NAS クラウド上の安全な環境
ネットワーク環境
整備済み
Workgroup 環境 (AD なし)
⇒（そのまま利用）
情報共有
NAS を利用したファイル共有 SharePoint Online
Exchange Online
電子メール（POP/SMTP） Skype for Business
電子メールホスティングサービス利用 Exchange Online
セキュリティ
ウイルス対策ソフト ⇒（そのまま利用）
Windows のログオンパスワード ⇒（そのまま利用）
Office 365（Azure AD）認証

組織的安全管理措置
「何時」「誰が」「何をしたか」記録を残すことが重要
Office 365 なら自動的に記録を残せる
例えば….
◦ Exchange Online を使ったメールで指示や申請、報告を行う
◦ クラウドのメールボックスにすべてのメールが記録される
◦ メールアーカイブで記録を長期保存
◦ e-discovery で必要な情報を検索
◦ 将来的にはワークフローを使って承認や確認も電子化

組織的安全管理措置（ひな形）
マイナンバー制度のための社内規程（改訂版）（ワードファイル）を公表します。 (ひな形)
<http://www.miyake.gr.jp/topics/201503/%E3%83%9E%E3%82%A4%E3%83%8A%E3%83%B3%E3%83%90%E3%83%BC%E5%88%B6%E5%BA
%A6%E3%81%AE%E3%81%9F%E3%82%81%E3%81%AE%E7%A4%BE%E5%86%85%E8%A6%8F%E7%A8%8B%EF%BC%88%E6%94%B9%E8%A8
%82%E7%89%88%EF%BC%89%EF%BC%88%E3%83%AF%E3%83%BC%E3%83%89%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB%EF%BC
%89%E3%82%92%E5%85%AC%E8%A1%A8%E3%81%97%E3%81%BE%E3%81%99%E3%80%82>
マイナンバー法（番号法）に基づく社内規程案・委託契約書案の公表について (ひな形)
<http://www.miyake.gr.jp/topics/201501/%E3%83%9E%E3%82%A4%E3%83%8A%E3%83%B3%E3%83%90%E3%83%BC%E6%B3%95%EF%BC
%88%E7%95%AA%E5%8F%B7%E6%B3%95%EF%BC%89%E3%81%AB%E5%9F%BA%E3%81%A5%E3%81%8F%E7%A4%BE%E5%86%85%E8%A
6%8F%E7%A8%8B%E6%A1%88%E3%83%BB%E5%A7%94%E8%A8%97%E5%A5%91%E7%B4%84%E6%9B%B8%E6%A1%88%E3%81%AE%E5%
85%AC%E8%A1%A8%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6>
マイナンバー制度法的リスク対策と特定個人情報取扱規程 (書籍、(ひな形付き)
<https://www.horei.co.jp/shop/cgi-bin/shop_itemDetail.cgi?itemcd=2472421>
特定個人情報の管理と情報セキュリティ (影島弁護士によるまとめ)
<https://mynumber.clear-works.jp/column/04.html>

DEMO

技術的安全管理措置 - DEMO
DEMO – 認証
DEMO – アクセス制御（認可）

DEMO – 認証
普通のサインイン
管理ポータルでのユーザー管理
二段階認証（アクセスコード）
アクセスログ（Azure AD から取得）*

DEMO – アクセス制御（認可）
SharePoint のアクセス制御
IRM*
DLP*（今回しない）

まとめ
Office 365 を使って低コストでマイナンバー対応
将来はより高度なセキュリティーの確保に発展可能
Office 365 による社内生産性の向上も期待

マイナンバー説明用スライド

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Destaque

Destaque (20)

Semelhante a マイナンバー説明用スライド

Semelhante a マイナンバー説明用スライド (20)

Mais de Seiji Noro

Mais de Seiji Noro (20)

Último

Último (8)

マイナンバー説明用スライド

Notas do Editor