第5章 安全管理措置と 取扱規程作成の実務編 62 １．安全管理措置に係る規程又はマニュアルの策定 ○ 事業者は、特定個人情報等の取扱いを検討するに当たって、個人番号を取扱 う事務の範囲及び特定個人情報等の範囲を明確にした上で、事務取扱担当者 を明確にする必要があります。 ○ これらを踏まえ、特定個人情報等の適正な取扱いの確保について組織として 取り組むために、基本方針を策定することが重要です。 ○ 取扱規程、マニュアルを策定し、特定個人情報等を取扱う体制の整備及び情 報システムの改修等を行う必要があります。 ○ 事業者は、特定個人情報等の取扱いに関する安全管理措置について、次のよ うな手順で検討を行う必要があります。 １ 個人番号を取扱う事務の範囲の明確化 事業者は、個人番号関係事務又は個人番号利用事務の範囲を明確にしておかなければなら ない。 ２ 特定個人情報等の範囲の明確化 事業者は、個人番号関係事務等で、取扱う特定個人情報等の範囲を明確にしておかなけれ ばならない。つまり、事務において使用される個人番号及び個人番号と関連付けて管理され る個人情報（氏名、生年月日等）の範囲を明確にする。 ３ 事務取扱担当者の明確化 事業者は、個人番号関係事務等に従事する事務取扱担当者を明確にしておかなければなら ない。 ４ 基本方針の策定 事業者は、特定個人情報等の適正な取扱いの確保について組織として取り組むために、基 本方針を策定することが重要である。 ５ 取扱規程等の策定 事業者は、１～３で明確化した事務における特定個人情報等の適正な取扱いを確保するた めに、取扱規程等を策定しなければならない。 63 ２．組織的・人的安全管理措置 ○ 個人番号の取扱いは、個人情報保護法よりも厳格な保護措置が設けられてい ます。個人番号を含む個人情報の漏えい・紛失を防ぐために、事業内容や規 模に合わせた対応をしてください。 ○ 組織的・人的安全管理措置としては、個人番号を扱う担当者の明確化と、役 職員に対する適切な教育が必要です。 組織的・人的安全管理措置 ● 担当者の明確化 担当者以外が個人番号を扱 取扱責任者 うことがないように、取扱責 任者や事務取扱担当者など担 当者を明確にしましょう。 事務取扱担当者 ● 適切な教育 役職員に対する個人番号 制度概要の周知など、役職 員への教育も大切です。 出典：内閣官房・内閣府・特定個人情報保護委員会・総務省・国税庁・厚生労働省「いよいよマイナンバー制度 （社会保障・税番号制度）が始まります。」平成27年5月 64 ３．物理的・技術的安全管理措置 ○ 物理的・技術的安全管理措置としては、「書類の廃棄」、「鍵つき棚の準 備」、「情報へのアクセス制限」、「ウィルス対策」、「パーテーションの 設置や座席の工夫（特に覗き見されない座席配置の工夫）」が求められます。 物理的・技術的安全管理措置 ● 書類の廃棄 ● 鍵つき棚の準備 シュレッダーなどプライバ シーに配慮して書類を廃棄で きるよう準備 ● 情報へのアクセス制限 ● ウィルス対策 取扱担当者を決め、他の人 ウィルス対策ソフトウエア は情報にアクセスできない の導入やアクセスパスワー 仕組みづくり ドの設定 管理責任者 ● 覗き見されない 座席配置の工夫 ● パーテーションの 設置や座席の工夫 PC × 見えてる 出典：内閣官房・内閣府・特定個人情報保護委員会・総務省・国税庁・厚生労働省「いよいよマイナンバー制度 （社会保障・税番号制度）が始まります。」平成27年5月 65 4．講ずべき安全管理措置の内容 ○ 安全管理措置は、4つの分類がある。4分類に即して安全管理措置を検討し ます。 ○ 全ての事項を網羅する必要はなく、実態に即して安全管理措置を検討します。 例えば、パソコンを使用せずに事務処理している場合、技術的安全管理措置 は不要である。 特定個人情報に関する安全管理措置 ａ 組織体制の整備 本則 中小規模事 業者の特例 ○ 特例あり ｂ 取扱規程等に基づく運用 ○ 特例あり ｃ 取扱状況を確認する手段の整備 ○ 特例あり ｄ 情報漏えい等事案に対応する体制の整備 . ○ 特例あり ｅ 取扱状況の把握及び安全管理措置の見直し ○ 特例あり ・個人番号を取り扱う事務の範囲の明確化 ・特定個人情報等の範囲の明確化 ・事務取扱担当者の明確化 １ 組織的安全管理措置 ａ 事務取扱担当者の監督 ○ ｂ 事務取扱担当者の教育 ○ ａ 特定個人情報等を取り扱う区域の管理 ○ ｂ 機器及び電子媒体等の盗難等の防止 ○ ２ 人的安全管理措置 ３ 物理的安全管理措置 ｃ 電子媒体等を持ち出す場合の漏えい等の防止 ○ 特例あり ｄ 個人番号の削除、機器及び電子媒体等の廃棄 ○ 特例あり ａ アクセス制御 ○ 特例あり ｂ アクセス者の識別と認証 ○ 特例あり ４ 技術的安全管理措置 . ｃ 外部からの不正アクセス等の防止 ○ ｄ 情報漏えい等の防止 ○ 66 5．規程のタイトル 「タイトル」作成上のポイント ○ガイドラインでは「タイトル」に関する指示事項はありません。 ○ 特定個人情報に関する安全管理措置をルール化した文書のうち、組織的に 機関決定した場合と、組織的に機関決定していない場合に分けて、タイトル を検討します。 ○ 組織内で機関決定した場合には、「規程、規則」等となるのが一般的です。 一方、機関決定しない場合には、「要領、マニュアル、ルール」等のタイト ルが一般的です。既存の規程・規則等の体系から適切なタイトルを選択して ください。 ○ 文書管理体系に即して検討してください。「特定個人情報に関する安全管 理措置」の内容を的確に示すタイトルが望まれます。 「規程」とした場合のタイトル案 特定個人情報に関する安全管理規程（規則等） 特定個人情報に関する安全管理及び事務手続規程（規則等） 特定個人情報事務手続規程（規則等） 特定個人情報等取扱規程（規則等） 特定個人情報規程（規則等） 「要領・マニュアル」とした場合のタイトル案 特定個人情報に関する安全管理要領（マニュアル、規則、ルール等） 特定個人情報に関する安全管理及び事務手続の方法（要領、マニュアル等） 特定個人情報事務手続マニュアル（要領、マニュアル等） 特定個人情報等取扱ルール（要領、ルール等） 特定個人情報の管理・事務処理規則（要領、マニュアル、ルール等） 67 6．目的（第1条） 「目的」作成上のポイント ○ ガイドラインでは、「目的」に関する指示事項はありません。 ○ 規程、要領における「目的」の記載は、必須ではありませんが、「目的」 を記載することで、規程、要領等の文書の位置づけを明確にできる利点があ ります。 ○ トラック運送事業者では、組織運営の文書体系（規程）が体系的に整備さ れているケースが多いため、「目的」を記載することが望まれます。 例示１ 第１条 目的 本規程は「行政手続における特定の個人を識別するための番号の利用等に関 する法律」（平成25年法律第27号、以下「番号法」という。）及び「特定個 人情報の適正な取扱いに関するガイドライン（事業者編）」（以下、「ガイド ライン」という。）に基づき、特定個人情報等の適正な取扱いを確保するため に定めるものである。 例示２ 第１条 目的 本規程は「「行政手続における特定の個人を識別するための番号の利用等に 関する法律」（平成25年法律第27号、以下「番号法」という。）及び「特定 個人情報の適正な取扱いに関するガイドライン（事業者編）」（以下、「ガイ ドライン」という。）に基づき、特定個人情報等を適正に取扱いするための安 全措置及び事務手続を定めるものである。 68 7．個人番号を取扱う事務の範囲（第2条） ガイドラインの指示事項 ○ガイドラインでは、以下のように「特定個人情報等の範囲の明確化」が指示 されている。 ・特定個人情報等の範囲の明確化（１ 安全管理措置の検討手順） → 事業者は、Ａで明確化した事務において取扱う特定個人情報等の範囲 を明確にしておかなければならない。 ・組織的安全管理措置 a組織体制の整備≪手法の例示≫ → 事務取扱担当者が取扱う特定個人情報等の範囲の明確化 作成上のポイント ○ トラック運送事業者では各組織で相違する内容ではないため、以下の事務 利用の項目を検討し、追加・削除して記載事項を確定してください。 例示 第２条 個人番号を取扱う事務の範囲 １ 個人番号を取扱う事務のうち、役職員、役職員の扶養家族等の個人番号に関連する事 務は、次の各号に掲げるものとする。 ① 源泉徴収関連事務（扶養控除等<異動>申告書含む） ② 配偶者特別控除申告書作成事務 ③ 給与支払報告書作成事務 ④ 給与支払報告特別徴収に係る給与所得者異動届出書作成事務 ⑤ 特別徴収への切替申請書作成事務 ⑥ 退職所得に関する申告書作成事務 ⑦ 退職手当金等受給者別支払調書作成事務 ⑧ 健康保険、厚生年金、企業年金申請・請求事務 ⑨ 財産形成住宅貯蓄･財産形成年金貯蓄に関する申告書、届出書、申込書作成事務 ⑩ 健康保険、厚生年金、企業年金届出事務 ⑪ 国民年金第三号届出事務 ⑫ 雇用保険、労災保険証明書作成事務 ⑬ 雇用保険、労災保険届出事務 ⑭ 雇用保険、労災保険申請・請求事務 ⑮ 上記事務以外の関連事務 ２ 個人番号を取扱う事務のうち、役職員以外の個人に係る個人番号に関連する事務は、 次の各号に掲げるものとする。 ①報酬・料金等の支払調書作成事務 ②配当、剰余金の分配及び基金利息の支払調書作成事務 ③不動産の使用料等の支払調書作成事務 ④不動産等の譲受けの対価の支払調書作成事務 ⑤ 上記事務に関連する事務 69 8．取扱う特定個人情報等の範囲①（第3条） ガイドラインの指示事項 ○ 特定個人情報等の範囲の明確化 ・事業者は、明確化した事務において取扱う特定個人情報等の範囲を明確にし ておかなければならない。 ・「特定個人情報等の範囲」は、個人番号と一緒に管理する個人情報（氏名、 生年月日等）で、どのような項目を一緒に管理するか明確にします。 特定個人情報のイメージ これまで活用してきた役職員 管理台帳 • • • • • • • 氏名 生年月日 性別 住所 電話番号 扶養家族 社員番号 • • • • • • 入職年月日 役職・人事異動歴 雇用保険番号 健康保険証記号・番号 年金番号 運転免許証番号 個人番号を追記する 個人番号 特定個人情報 • • • • • → 厳格な取扱いが要求される 簡素化ケース 従来型に追記するケース 役職員管理台帳 役職員管理台帳 氏名 生年月日 性別 社員番号 個人番号 範囲 70 • • • • • • • • • • • • 氏名/生年月日 性別 住所 電話番号 扶養家族及び個人番号 社員番号 入職年月日 役職・人事異動歴 雇用保険番号 年金番号 運転免許証番号 個人番号 8．取扱う特定個人情報等の範囲②（第3条） 特定個人情報の範囲（個人番号と一緒に管理する項目）を明確化 ○ トラック運送事業者における現在役職員の人事管理台帳を確認してくださ い。 方法①：現在、役職員の氏名、住所、電話番号、年金番号等の基礎情報を記録 している台帳（電子ファイル等）の項目を記載する。 方法②：新規に個人番号管理台帳（電子ファイル等）を作成する。 方法③：既存の人事管理台帳に追記するとともに、事務処理用に新規に個人番 号管理台帳を作成（人事管理台帳は一部の役員のみ閲覧可能とする）。 例示 第３条 特定個人情報の範囲 前条において、個人番号を取扱う事務において使用する特定個人情報の範 囲は、次の各号に掲げるものとする。なお「役職員」とは、雇用関係にある 職員（正職員、契約職員、嘱託職員、パート職員、アルバイト職員等）と当 社の間に雇用関係にない常勤及び非常勤の取締役・監査役等を含み、雇用関 係にない派遣社員等を含まないものとする。 ①役職員及び個人番号と共に管理される氏名、生年月日、性別、住所、電話番 号、役職員番号、運転免許証番号、年金番号、健康保険証の保険番号、所属 部課、役職、扶養家族の有無等 ②扶養家族の個人番号及び共に管理される扶養家族の氏名、生年月日、年齢、 性別、住所、年金番号、健康保険証の保険番号、扶養控除の有無、役職員の 氏名等 ③役職員以外の個人に係る個人番号関係事務に関連して取得した個人番号及び 個人番号と共に管理する氏名、生年月日、性別、住所、電話番号、業務内容、 年間支払報酬額等 71 9．事務取扱責任者及び事務取扱担当者の明確化 （第4条） ガイドラインの指示事項 ◆ 組織的安全管理措置 ○ 事務取扱担当者の明確化 ・事業者は、個人番号に関する事務に従事する事務取扱担当者を明確にしてお かなければならない。 ≪手法の例示≫ ・ 事務における責任者の設置及び責任の明確化 ・ 事務取扱担当者の明確化及びその役割の明確化 ○ 事務取扱担当者が複数いる場合、責任者と事務取扱担当者を区分すること が望ましい。（中小規模事業者における対応方法） 作成上のポイント ○ 事務取扱責任者及び事務取扱担当者 ・事務取扱責任者及び事務取扱担当者の２階層に担当を設置します。 ・事務取扱担当者のみとすることも可能 ○ 事務取扱責任者 ・経理部長及び総務部長を事務取扱責任者とする場合、どちらか一方を全体の 責任者として責任の所在を明確にします。 ○ 事務取扱担当者の指名 ・事務取扱責任者については、代表取締役が指名する方法または予め規程等に 役職を示す方法があります。 例示 第４条 事務取扱責任者及び事務取扱担当者の明確化 １ 事務取扱責任者は、事務局長をとする。なお事務局長の役職が不在の場合、 代表取締役が事務取扱責任者を指名する。 ２ 事務取扱責任者は、事務取扱担当者を指名することができる。 ３ 事務取扱責任者は、事務取扱担当者の事務範囲を予め定めるものとする。 72 10．事務取扱責任者等の監督（第5条） ガイドラインの指示事項 ◆ 人的安全管理措置 ○ 事務取扱担当者の監督 ・事業者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、 事務取扱担当者に対して必要かつ適切な監督を行う。 作成上のポイント ○ 規程等においては、事務取扱責任者及び事務取扱担当者の監督を行う者の 役職を具体的に示します。 ○ 取締役の業務執行の監督として「監査役」が監督することも可能ですが、 最初から設定する必要はありません。最初は簡易に設計し、運用状況を見極 めたうえで、必要に応じて検討してください。 ○ 規程には簡潔に「監督する」と示し、事務取扱責任者の業務をどのように 監督するか、具体的な方法については業務要領を作成して対応することも可 能です。 例示 第５条 事務取扱責任者等の監督 代表取締役は、特定個人情報等が番号法及び本規程に基づき適正に取り扱わ れるよう、事務取扱責任者等に対して必要かつ適切な監督を行うものとする。 73 11．事務取扱責任者等の変更に伴う引継ぎ及び監督 （第６条） ガイドラインの指示事項 ◆ 組織的安全管理措置 ○ 確実な引継ぎと責任者による確認（中小規模事業者における対応方法） ・事務取扱担当者が変更となった場合、確実な引継ぎを行い、責任ある立場の 者が確認します。 作成上のポイント ○ 責任ある立場の役職は、代表取締役、取締役が望ましい。 ○ 確実な引継ぎを実施するために、業務引継簿を作成し、内容を確認する。 ○ 責任ある立場の者（代表取締役等）は、業務引継簿の内容確認を実施する とともに、取扱責任者等から業務引継の実態を聞き取り等により、業務引継 が適切に実施されたか確認する。 例示 第６条 事務取扱責任者等の変更に伴う引継ぎ及び監督 １ 事務取扱責任者等が変更となった場合、従前の事務取扱責任者等は新たに 事務取扱責任者等となる者に対して、業務引継簿を作成して確実に引継ぎ するものとする。 ２ 代表取締役は前項の業務引継ぎについて、業務引継簿の内容確認及び業務 引継ぎの実態に関する聞き取り等により確認するものとする。 74 12．教育・研修（第7条） ガイドラインの指示事項 ◆ 人的安全管理措置 ○ 事務取扱担当者の教育 ・事業者は、事務取扱担当者に、特定個人情報等の適正な取扱いを周知徹底す るとともに適切な教育を行う。 ≪手法の例示≫ ・特定個人情報等の取扱いに関する留意事項等について、役職員、事務取扱責 任者等に対して定期的な研修等を行う。 ・特定個人情報等についての秘密保持に関する事項を就業規則等に盛り込むこ とが考えられる。 作成上のポイント ○ 事務取扱担当者の教育は義務事項であるため、教育訓練の記載は必須であ る。 ○ 事務取扱担当者以外の役職員においても、マイナンバー制度への理解を深 め、事業者が番号法等の諸法令の遵守を徹底するために、定期的に研修会を 開催することが望ましい。（任意） 例示 第７条 事務取扱責任者等の教育・研修 代表取締役は、事務取扱責任者等が番号法、ガイドライン及び本規程を遵守 し、特定個人番号等の適正な取扱いが周知徹底されるよう、事務取扱責任者等 に対する研修を１年に１回以上受講させるものとする。 75 13．取扱状況を確認する手段の整備（第8条） ガイドラインの指示事項 ◆ 組織的安全管理措置 特定個人情報ファイルの取扱状況を確認するための手段を整備する。 なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。 ≪手法の例示≫ ＊ 取扱状況を確認するための記録等としては、次に掲げるものが挙げられる。 ・ 特定個人情報ファイルの種類、名称 ・ 責任者、取扱部署 ・ 利用目的 ・ 削除・廃棄状況 ・ アクセス権を有する者 ○ 特定個人情報等の取扱状況の分かる記録を保存する。（中小規模事業者に おける対応方法） 例示 第８条 取扱状況を確認する手段の整備 １ 特定個人情報ファイルの取扱状況を確認するための手段を整備する。 ２ 取扱状況を確認するために次の各号の特定個人情報管理台帳及び特定個人 情報を記載した申請書・届出書等管理ファイルの記録を整備する。 ① 特定個人情報取扱いに係る管理台帳 種 類：特定個人情報の取扱状況等管理台帳 管 理 部：総務部及び経理部 責 任 者：事務取扱責任者 利用目的：特定個人情報の取得、利用、提供、保管、削除・廃棄の各段階 における取扱状況及び運用状況を管理 閲覧可能権者：代表取締役及び事務取扱責任者等 ② 特定個人情報を記載した申請書・届出書等管理ファイル 種 類：特定個人情報を記載した申請書等の写しを管理するためのファ イル 管 理 部：総務部（社会保険関連書類） 経理部（税務関連書類） 責 任 者：事務取扱責任者 利用目的：特定個人情報を記載した申請書・届出書等の控えを保管 閲覧可能権者：代表取締役及び事務取扱責任者等 76 14．取扱規程に基づく運用状況の確認(第9条) ガイドラインの指示事項 ◆ 組織的安全管理措置 ○ 取扱規程等に基づく運用 ・本則：取扱規程等に基づく運用状況を確認するため、システムログ又は利用 実績を記録する。 ≪手法の例示≫ ・ 特定個人情報ファイルの利用・出力状況の記録 ・ 書類・媒体等の持出しの記録 ・ 特定個人情報ファイルの削除・廃棄記録 ・ 削除・廃棄を委託した場合、これを証明する記録等 ・ 特定個人情報ファイルを情報システムで取扱う場合、事務取扱担当者の情 報システムの利用状況（ログイン実績、アクセスログ等）の記録 ○ 特定個人情報等の取扱状況の分かる記録を保存する。（中小規模事業者に おける対応方法） 例示 第９条 取扱規程に基づく運用状況の確認 事務取扱担当者は、特定個人情報の取得、利用、提供、保管、削除・廃棄の 各段階における取扱状況及び運用状況については、次の各号に掲げる事項につ いて特定個人情報管理台帳に記録し、保存するものとする。 ① 特定個人情報の取得 ・入手年月日、個人番号、氏名、生年月日、性別、住所等を記録 ・特定個人情報に変更があった場合の特定個人情報変更の年月日 ② 特定個人情報の利用 ・提出書類の作成及び提出の年月日、特定個人情報の記載書類を本人に交付し た年月日等を記録 ③ 特定個人情報の提供 ・特定個人情報を提供年月日、提供相手、目的等 ④ 特定個人情報の保管 ・特定個人情報管理台帳及び届出書等の写し等の保管場所の鍵利用管理台帳 ⑤ 特定個人情報の削除・廃棄 ・特定個人情報を削除・廃棄した年月日 上記以外の項目で、必要に応じて特定個人情報管理台帳に記録する。 77 15．情報漏えい等の事案に対応する体制の整備 （第10条） ガイドラインの指示事項 ◆ 組織的安全管理措置 ○ 情報漏えい等事案に対応する体制の整備 ・情報漏えい等の事案の発生又は兆候を把握した場合に、適切かつ迅速に対応 するための体制を整備する。 ・情報漏えい等の事案が発生した場合、二次被害の防止、類似事案の発生防止 等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表する ことが重要である。 ≪手法の例示≫ ○ 情報漏えい等の事案の発生時に、次のような対応を行うことを念頭に、体 制を整備することが考えられる。 ・ 事実関係の調査及び原因の究明 ・ 影響を受ける可能性のある本人への連絡 ・ 委員会及び主務大臣等への報告 ・ 再発防止策の検討及び決定 ・ 事実関係及び再発防止策等の公表 ○ 情報漏えい等の事案の発生等に備え、従業者から責任ある立場の者に対す る報告連絡体制等をあらかじめ確認しておく。（中小規模事業者における対 応方法） 例示 第１０条 情報漏えい等の事案に対応する体制の整備 事務取扱責任者等は、特定個人情報等の漏えい等が発生したことを知った場 合又はその可能性が高いと判断した場合は、代表取締役に対して直ちに報告す るものとする。 78 16．取扱状況の把握及び安全管理措置の見直し （第11条） ガイドラインの指示事項 ◆ 組織的安全管理措置 ○ 取扱状況の把握及び安全管理措置の見直し ・特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し及び改善 に取り組む。 ≪手法の例示≫ ・ 特定個人情報等の取扱状況について、定期的に自ら行う点検又は他部署等 による監査を実施する。 ・ 外部の主体による他の監査活動と合わせて、監査を実施することも考えら れる。 ・ 責任ある立場の者が、特定個人情報等の取扱状況について、定期的に点検 を行う。（中小規模事業者における対応方法） 作成上のポイント ○ 「責任ある立場にある者」とは、以下のケースが想定されます。 ① 代表取締役 → 責任者：取締役、総務部長 ② 取締役 → 責任者：総務部長等 （②を前提に例示を作成） 例示 第１１条 取扱状況の把握及び安全管理措置の見直し １ 事務取扱責任者は、特定個人情報等の取扱状況について、定期的に点検を 行い、代表取締役に報告するものとする。 ２ 代表取締役は、特定個人情報等の取扱状況について、１年に１回以上、点 検を実施し、必要に応じて安全管理措置の見直しを実施する。 79 17．特定個人情報等を取扱う場所の管理 （第12条） ガイドラインの指示事項 ◆ 物理的安全管理措置 ○ 特定個人情報等を取扱う場所の管理 ・特定個人情報等の情報漏えい等を防止するために、特定個人情報ファイルを 取扱う情報システムを管理する場所（以下「管理場所」という。）及び特定 個人情報等を取扱う事務を実施する場所（以下「取扱場所」という。）を明 確にし、物理的な安全管理措置を講ずる。 ≪手法の例示≫ ・ 管理場所に関する物理的安全管理措置としては、入退室管理及び管理場所※ へ持ち込む機器等の制限等が考えられる。 ※「管理場所」とは、特定個人情報ファイルを取扱う情報システムを管理する 場所をいう。 ・ 入退室管理方法としては、ＩＣカード、ナンバーキー等による入退室管理 システムの設置等が考えられる。 ・ 取扱場所※に関する物理的安全管理措置としては、壁又は間仕切り等の設置 及び座席配置の工夫等が考えられる。 ※「取扱場所」とは、特定個人情報等を取扱う事務を実施する場所をいう。 例示 第１２条 特定個人情報等を取扱う場所の管理 特定個人情報の保管場所及び取扱場所を明確にし、それぞれの場所に対し、 次の各号に従い、次の各号に掲げる措置を講じる。 ① 特定個人情報の保管場所 事務取扱責任者は、特定個人情報の保管場所について、事務所内の施錠でき るキャビネット（棚）を定め、厳重に管理を行うものとする。保管場所の利用 者は、「鍵貸出管理台帳」に記録し事務取扱責任者から鍵の貸出を受ける。 ② 特定個人情報の取扱場所 特定個人情報を記載する事務処理に際しては、往来が少ない場所に座席を配 置し、必要に応じてパテーションを設置する。またパソコンを使って、事務処 理を実施する場合も同様である。 80 18．管理台帳･管理ファイル及びパソコンの盗難等の防止 （第13条） ガイドラインの指示事項 ◆ 物理的安全管理措置 ○機器及び電子媒体等の盗難等の防止 ・管理場所及び取扱場所における特定個人情報等を取扱う機器、電子媒体及び 書類等の盗難又は紛失等を防止するために、物理的な安全管理措置を講ずる。 ≪手法の例示≫ ・ 特定個人情報等を取扱う機器、電子媒体又は書類等を、施錠できるキャビ ネット・書庫等に保管する。 ・ 特定個人情報ファイルを取扱う情報システムが機器のみで運用されている 場合は、セキュリティワイヤー等により固定すること等が考えられる。 検討のポイント ○ 盗難防止のための対策として、各事業者の実態に即して検討してください。 パソコン、サーバーに保管している場合には、電子機器をセキュリティワイ ヤー等で固定します。書類、ファイルは施錠のできる保管棚を用意してくだ さい。 ○ 施錠できる棚を用意した場合には、当該鍵の管理簿を作成し、事務取扱責 任者が管理します。 例示 第１３条 管理台帳・管理ファイル及びパソコンの盗難等の防止 特定個人情報等の保管場所及び取扱場所において、管理台帳、管理ファイル 及び特定個人情報等を取扱うパソコンの盗難又は紛失等を防止するために、次 の各号に掲げる措置を講じる。 ① 特定個人情報等を取扱う電子媒体又はファイル等を、施錠できるキャビ ネット（棚）に保管する。 ② 特定個人情報ファイルを取扱うパソコン（及びサーバー）は、セキュリ ティワイヤー等により固定する。 81 19. 特定個人情報等を持出す場合の漏えい・紛失の防止策 （第14条） ガイドラインの指示事項 ◆ 物理的安全管理措置 ○ 電子媒体等を持ち出す場合の漏えい等の防止 ・特定個人情報等が記録された電子媒体又は書類等を持ち出す場合、容易に個 人番号が判明しない措置の実施、追跡可能な移送手段の利用等、安全な方策 を講ずる。ここで、「持出し」とは、特定個人情報等を、管理場所又は取扱 場所の外へ移動させることをいい、事業所内での移動等であっても、紛失・ 盗難等に留意する必要がある。 ≪手法の例示≫ ・ 特定個人情報等が記録された電子媒体を安全に持ち出す方法としては、持 出しデータの暗号化、パスワードによる保護、施錠できる搬送容器の使用等 が考えられる。ただし、行政機関等に法定調書等をデータで提出するに当 たっては、行政機関等が指定する提出方法に従う。 ・ 特定個人情報等が記載された書類等を安全に持ち出す方法としては、封緘、 目隠しシールの貼付を行うこと等が考えられる。 ○ 特定個人情報等が記録された電子媒体又は書類等を持ち出す場合、パス ワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐた めの安全な方策を講ずる。（中小規模事業者における対応方法） 例示 第１４条 特定個人情報等を持出す場合の漏えい・紛失の防止策 １ 特定個人情報等が記録された電子媒体又は書類等の持出しは、次に掲げる 場合を除き禁止する。なお、「持出し」とは、特定個人情報等を、管理場所又 は取扱場所の外へ移動させることをいい、事業所内での移動等も持出しに該当 するものとする。 ① 個人番号関係事務に係る外部委託先に、委託事務を実施する上で必要と認 められる範囲内でデータを提供する場合 ② 行政機関等への法定調書の提出等、当社が実施する個人番号関係事務に関 して個人番号利用事務実施者に対しデータ又は書類を提出する場合 ２ 事務取扱責任者等は、特定個人情報等が記載された書類等を持ち出す場合、 パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐ ための方策を講ずる。 82 20．個人番号の削除、機器等の廃棄①（第15条） ガイドラインの指示事項 ◆ 物理的安全管理措置 ○ 個人番号の削除、機器及び電子媒体等の廃棄 ・個人番号関係事務又は個人番号利用事務を行う必要がなくなった場合で、所 管法令等において定められている保存期間等を経過した場合には、個人番号 をできるだけ速やかに復元できない手段で削除又は廃棄する。 ・個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を 廃棄した場合には、削除又は廃棄した記録を保存する。また、これらの作業 を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明 書等により確認する。 ≪手法の例示≫ ＊ 特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解等の復 元不可能な手段を採用する。 ＊ 特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用の データ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手 段を採用する。 ＊ 特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する 場合、容易に復元できない手段を採用する。 ＊ 特定個人情報等を取扱う情報システムにおいては、保存期間経過後におけ る個人番号の削除を前提とした情報システムを構築する。 ＊ 個人番号が記載された書類等については、保存期間経過後における廃棄を 前提とした手続を定める。 ○ 特定個人情報等を削除・廃棄したことを、責任ある立場の者が確認する。 （中小規模事業者における対応方法） 83 20．個人番号の削除、機器等の廃棄②（第15条） 例示 第１５条 個人番号の削除、機器等の廃棄 代表取締役は、個人番号の削除、パソコン、書類の廃棄等を実施する場合、 次に掲げる各号の措置が実施されたことを確認する。 ① 特定個人情報等を取扱うパソコンを廃棄し、別途パソコンを設置する場合、 ハードディスク等の記憶装置を物理的に破壊するか、特殊なソフトを利用し てデータを完全に消去する。 ② 特定個人情報等を記載した申請書等の書類の法定保管期限が経過した場合、 当該書類に記載された個人番号部分をマスキングした上で、シュレッダーに より粉砕するか、清掃工場に持ち込み廃棄する。 ③ パソコン、サーバー等に特定個人情報が記録されている場合、法定保管期 限の経過等により削除する場合、確実に削除を実施する。 ④ 特定個人情報等を提供している場合、委託先が削除又は廃棄したことを委 託先が発行する証明書により確認する。 84 21．アクセス制御及びアクセス者の識別と認証② （第16条） ガイドラインの指示事項 ◆ 技術的安全管理措置 ○ アクセス制御 ・情報システムを使用して個人番号関係事務又は個人番号利用事務を行う場合、 事務取扱担当者及び当該事務で取扱う特定個人情報ファイルの範囲を限定す るために、適切なアクセス制御を行う。 ≪手法の例示≫ 特定個人情報ファイルを取扱う情報システムを、アクセス制 御により限定する。 ・ ユーザーＩＤに付与するアクセス権により、特定個人情報ファイルを取扱 う情報システムを使用できる者を事務取扱担当者に限定する。 ○ アクセス者の識別と認証 ・特定個人情報等を取扱う情報システムは、事務取扱担当者が正当なアクセス 権を有する者であることを、識別した結果に基づき認証する。 ≪手法の例示≫ 事務取扱担当者の識別方法としては、ユーザーＩＤ、パス ワード、磁気・ＩＣカード等が考えられる。 ○ 中小規模事業者における対応方法 ・特定個人情報等を取扱う機器を特定し、その機器を取扱う事務取扱担当者を 限定することが望ましい。 ・機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）に より、情報システムを取扱う事務取扱担当者を限定することが望ましい。 85 21．アクセス制御及びアクセス者の識別と認証② （第16条） 例示 第１６条 アクセス制御及びアクセス者の識別と認証 特定個人情報等へのアクセス制御及びアクセス者の識別と認証は、以下の措 置を講じる。 ＜パソコンで、特定個人情報を用いた事務処理を実施する場合＞ ① 特定個人情報等を取扱うパソコンを予め特定する。当該パソコンを取扱う ことができる事務取扱責任者等を限定するため、アクセス制御機能を活用し、 ユーザーID及びパスワードを設定するとともに、パスワードを定期的に更新 する。 ＜サーバーで、特定個人情報を保管、共有して事務処理する場合＞ ② 事務所内ネットワークにおいて、特定個人情報等のデータをサーバー等で 共有するため、当該データにアクセスできる者は事務取扱責任者等を限定す るため、アクセス制御機能を活用し、ユーザーID及びパスワードを設定する とともに、パスワードを定期的に更新する。 86 22．外部からの不正アクセス等の防止策 （第17条） ガイドラインの指示事項 ◆ 技術的安全管理措置 ○ 情報システムを外部からの不正アクセス又は不正ソフトウェアから保護す る仕組みを導入し、適切に運用する。 ≪手法の例示≫ ・情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設 置し、不正アクセスを遮断する。 ・情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソ フトウェア等）を導入する。 ・導入したセキュリティ対策ソフトウェア等により、入出力データにおける不 正ソフトウェアの有無を確認する。 ・ログ等の分析を定期的に行い、不正アクセス等を検知する。 検討のポイント ○ 特定個人情報をパソコンで保管しない場合、又はインターネットに接続し ていないパソコンで管理する場合には、本規定は不要です。 ○ 事務局内部にインターネットに接続しない、個人番号を取扱う専用の事務 処理用のパソコンとプリンターを設置すれば、外部からの不正アクセスによ る情報漏えいの懸念がなくなります。 ○ インターネットに接続しているパソコン等で個人番号を活用した事務を実 施する場合には、不正アクセス等の防止策が求められます。 87 22．外部からの不正アクセス等の防止 （第17条） 例示 第１７条 外部からの不正アクセス等の防止策 特定個人情報等を活用した事務処理を行うパソコンが外部からの不正アクセ ス又は不正ソフトウェアから保護するため、次の各号に掲げる措置を講じる。 ① 情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を 設置し、不正アクセスを遮断する ② 情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策 ソフトウェア等）を導入する ③ 導入したセキュリティ対策ソフトウェア等により、入出力データにおける 不正ソフトウェアの有無を確認する ④ 機器やソフトウェア等に標準装備されている自動更新機能等の活用により、 ソフトウェア等を最新状態とする ⑤ ログ等の分析を定期的に行い、不正アクセス等を検知する 88 23．電子メール等による送信時の情報漏えい等防止策 （第18条） ガイドラインの指示事項 ◆ 技術的安全管理措置 ○ 特定個人情報等をインターネット等により外部に送信する場合、通信経路 における情報漏えい等を防止するための措置を講ずる。 ≪手法の例示≫ ・通信経路における情報漏えい等の防止策としては、通信経路の暗号化等が考 えられる。 ・情報システム内に保存されている特定個人情報等の情報漏えい等の防止策と しては、データの暗号化又はパスワードによる保護等が考えられる。 検討のポイント ○ 特定個人情報をパソコンで保管しない場合、又はインターネットに接続し ないパソコンで管理する場合には、本規定は不要です。 例示 第１８条 電子メール等による送信時の情報漏えい等防止策 特定個人情報等が記載されたデータについて、電子メール等により送信する 場合、通信経路における情報漏えい等及び情報システムに保存されている特定 個人情報等の情報漏えい等を防止するため、データの暗号化又はパスワードに よる保護を実施する。 89 24．特定個人情報の取扱いにおける安全管理措置 （第19条） ガイドラインの指示事項 ○ 特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければな らない。 ≪手法の例示≫ ・取扱規程等は、次に掲げる管理段階ごとに、取扱方法、責任者・事務取扱 担当者及びその任務等について定めることが考えられる。具体的に定める事 項については、安全管理措置を織り込むことが重要である。 ① 取得する段階 ② 利用を行う段階 ③ 保存する段階 ④ 提供を行う段階 ⑤ 削除・廃棄を行う段階 検討のポイント ○ 安全措置については、各段階に一括適用するとする文言を入れる。 ○ 各段階において個別詳細に定める方法もあるが、実際に運用が開始されて から明確になる事項も多いため、最初は簡易に策定して、後に段階的に修正 する対応でもよい。 例示 第１９条 特定個人情報の取扱いにおける安全管理措置等 特定個人情報の取得、利用、保管、提供、廃棄・削除の各段階における安全 管理措置、個人番号の取扱い等については第２条から第１８条に従うものとす る。 90 25．改廃（第20条）及び附則 改廃（第20条） ○ 規程を改定、廃止する場合に、どのようなプロセスを経て行うかを示す。 ○ マニュアルのように、取締役会の決議を経ない場合には、「事務取扱責任 者が改廃を行う」でも可能です。 例示 第２０条 改廃 本規程の改廃は、取締役会の決議による。 附則 ○ 規程の施行期日や経過措置等に関する事項が定めます。 例示 附 則 本規程は平成○○年○○月○○日から施行する。 91
© Copyright 2024 ExpyDoc
