PowerPoint プレゼンテーション

Size: px

Start display at page:

Download "PowerPoint プレゼンテーション"

ともあきひめい
5 years ago
Views:

1 マイナンバー制度における個人情報保護と情報漏えい対策エムオーテックス株式会社

2 目次 1. マイナンバー制度と情報漏えいについて 2. マイナンバー対策としての LanScope Cat のご紹介 - 組織的安全管理措置の対策 - 技術的安全管理措置の対策 1

3 マイナンバー制度と情報漏えいについて

4 マイナンバー制度の概要 2016 年 1 月からマイナンバー制度が開始されます社会保障税番号 ( 通称 : マイナンバー ) 制度はすべての個人に対して 12 桁の一意の個人番号を割り当て複数の機関に存在する個人情報を紐付けて各機関間での情報連携を可能とする制度です利用範囲は社会保障税災害対策の行政手続きに限定され個人番号は個人情報保護の対象になります利用範囲個人情報保護社会保障税災害対策個人番号特定個人情報 3

5 マイナンバー制度の対応マイナンバー制度はすべての企業で対応が必要です個人の所得が発生するところ全てに個人番号を業務利用する必要があります例えば企業が社員に給料の支払いをするときには社員の個人番号を集めて給与支払報告書に記載のうえ社員の住む地方公共団体に提出しなければなりません個人番号を取り扱う主な業務民間企業における主な関係部門所得税の源泉徴収住民税の特別徴収社会保険料の支払事務手続き法定調書の提出総務部人事部経理部情報システム部個人番号に関わる業務を委託受託する部門や個人との取引がある部門も関係部門になる場合があります 4

6 マイナンバー制度の安全管理措置対象個人番号を含んだ個人情報が保護対象になります個人番号を含んだ個人情報が特定個人情報と呼ばれ保護対象になりますたとえば従業員の氏名性別生年月日住所などの個人情報と個人番号を組み合わせた情報が特定個人情報です安全管理措置対象特定個人情報個人番号社員名簿個人情報マイナンバー社員コード氏名住所役職名所属部課生年月日田中一郎東京都千代田区町代表取締役 3/10/1960 *********** ***-**** XXXXX **/**/**** *********** ***-**** XXXXX **/**/**** *********** ***-**** XXXXX **/**/**** *********** ***-**** XXXXX **/**/**** *********** ***-**** XXXXX **/**/**** 5

7 罰則規定特定個人情報の漏えいには厳しい罰則が課されます番号法は個人情報保護法と比較して違反行為に対しての罰則が強化されています例えば従業員が特定個人情報を不正に漏えいした場合は以下の罰則が課される場合があります従業員個人に 4 年の懲役 200 万円の罰金刑所属企業には 200 万円の罰金刑個人情報保護法番号法対象個人情報 ( 個人データ ) を 5,000 件以上保有する企業全ての事業者第三者への情報提供本人同意があれば可本人同意があっても原則禁止情報の廃棄規定なし保存期間後は廃棄削除が必要故人の情報保護の対象外保護対象刑事罰 6 ヶ月以下の懲役 30 万以下の罰金など違反者 4 年以下の懲役又は200 万円以下の罰金又は併科など違反者の使用者 200 万円以下の罰金 6

8 マイナンバーの情報漏えい対策のポイント保管利用提供での漏えい対策が重要です従業員から個人番号を預かる取得から従業員の退職時に保管していた個人番号を削除する廃棄まで適正な取扱が必要です特に保管利用提供のフローで情報漏えいリスクが高まります取得保管利用提供破棄特定個人情報ファイル人事給与システム資格取得届ーーーーーーーーーー源泉徴収表ーーーーーーーーーー権限がない人が不正をできないように権限がある人が不正をしないように 7

9 内部からの有効な情報漏えい対策最も効果的な情報漏えい対策は操作ログの取得内部要因の情報漏えい対策は操作証拠が残る操作が監視されている違反すれば処罰される ID パスワードの管理徹底が不正行為の抑止力として有効です従業員の内部不正の意識が低下する対策順位割合 1 内容 1 位 54.2% 社内システムの操作の証拠が残る 2 位 37.5% 顧客情報などの重要な情報にアクセスした人が監視される 3 位 36.2% これまでに同僚が行ったルール違反が発覚し処罰されたことがある 4 位 31.6% 社内システムにログインするための ID やパスワードの管理を徹底する 5 位 31.4% 顧客情報などの重要な情報を持ち出した場合の罰則規定を強化する 1 内部不正への気持ちが低下すると回答した回答者の割合 ( 社員 :n=3,000) 情報処理推進機構 (IPA) 組織内部者の不正行為によるインシデント調査 8

10 特定個人情報の安全管理措置一部の安全管理措置はシステムでの対応が必要です特に取扱規程などに基づく運用外部からの不正アクセス等の防止のガイドラインは情報漏えい対策に有効な操作履歴の取得が含まれます組織的安全管理措置組織体制の整備取扱規程等に基づく運用取扱状況を確認する手段の整備情報漏えい等事案に対応する体制の整備取扱状況の把握及び安全管理措置の見直し人的安全管理措置事務取扱担当者の監督事務取扱担当者の教育物理的安全管理措置技術的安全管理措置特定個人情報等を取り扱う区域の管理機器及び電子媒体等の盗難等の防止電子媒体等を持ち出す場合の漏えい等の防止個人番号の削除機器及び電子媒体等の廃棄アクセス制御アクセス者の識別と認証外部からの不正アクセス等の防止情報漏えい等の防止 9

11 マイナンバーの情報漏えい対策の住み分け人事給与システムと情報漏えい対策ツールの役割マイナンバーの情報漏えい対策は守るべきデータが人事給与システム内にある場合と外にある場合の 2 つの観点で考える必要がありますデータ単体に対しての対策は情報漏えい対策ツールでカバーする範囲になります人事給与システムでの対策情報漏えい対策ツールでの対策特定個人情報ファイル人事給与システム CSV データーーーーーーーーーー帳票データーーーーーーーーーー 10

12 マイナンバーの情報漏えい対策の住み分け人事給与システムと IT 資産管理ツールの役割マイナンバーの情報漏えい対策は守るべきデータが人事給与システム内にある場合と外にある場合の 2 つの観点で考える必要がありますデータ単体に対しての対策は情報漏えい対策ツールでカバーする範囲になります求められている要件人事給与システム IT 資産管理ツール組織的安全管理措置取扱い規定等に基づく運用アクセス制御 - 技術的安全管理措置アクセス者の識別と認証 - 外部からの不正アクセス防止 - 情報漏えい等の防止 - 11

13 組織的安全管理措置取扱規程などに基づく運用でのシステム対応領域個人番号の運用状況把握はログの収集が必要組織的安全措置の取扱規程などに基づく運用では PC の操作履歴記録外部デバイスの利用や持出し業務システムのログイン実績の記録が明記されています求められている要件特定個人情報ファイルの利用出力状況の記録必要な機能ファイルの利用や印刷などの操作ログ取得媒体等の持出しの記録 CD/DVD や USB 等の接続とファイル書き出しのログ取得特定個人情報ファイルの削除廃棄記録ファイル削除のログ取得情報システムの利用状況 ( ログイン実績アクセスログ等 ) 記録基幹業務システムなどへの利用 ID 管理アクセスログの取得機能 12

14 技術的安全管理措置外部からの不正アクセス等の防止でのシステム対応領域適切なインフラの整備とログの分析も必要です外部からの不正アクセス等の防止では機器の不正アクセス対策ソフトウェアの状態把握と利用制限定期的なログ分析が明記されています求められている要件不正アクセスの検知と遮断必要な機能持ち込み機器等のネットワーク接続の検知遮断不正ソフトウェアの有無の確認インストールアプリケーション情報の自動取得利用制限ソフトウェア等を最新状態とする業務システムやウイルス対策ソフト等のバージョン管理定期的なログ分析取得した SW 情報や不正アクセス PC 操作履歴から課題を定期的に分析 13

15 マイナンバー対策としての LanScope Cat のご紹介

16 LanScope Catのコンセプト LanScope Catは情報漏えい対策の課題を解決します PCの情報や操作ログを取得することで現状のリスクを把握できますリスクへの適切な対策を打つことで問題発生を未然に防ぎます万が一問題が発生してもデータの流れをトレースし原因を特定できます 15

17 LanScope Catのシステム構成 16

18 組織的安全管理措置の対策特定個人情報ファイルの利用出力状況の記録媒体等の持出しの記録特定個人情報ファイルの削除廃棄記録情報システムの利用状況 ( ログイン実績アクセスログ等 ) 記録

19 組織的安全管理措置特定個人情報ファイルの利用持ち出し削除の記録誰がどのPCをどのように使っているかが分かります点けっぱなしを発見内田さんが夜勤しているお昼休憩はみな１時間 18

20 組織的安全管理措置特定個人情報ファイルの利用持ち出し削除の記録防犯カメラの役割で効率を下げずにセキュリティ向上内田さんが個人番号データを印刷デスクトップにコピーして名前変更して USB持出し２ちゃんねる YouTube 19

21 組織的安全管理措置特定個人情報ファイルの利用持ち出し削除の記録ファイル追跡機能で万が一の際も原因を特定できますスマートフォン 20

22 組織的安全管理措置特定個人情報ファイルの利用持ち出し削除の記録 USBやCDなどのデバイス利用を制御できます各PCに対してスマートフォンはもちろん CD/DVD FD USB接続機器などへの読み書き禁止書き込みのみ禁止設定が個別に可能ですさらに禁止制限の状態の中から例外的に許可するデバイスの設定が可能なので業務効率を落とすことなく適切な管理ができます 21

23 組織的安全管理措置情報システムの利用状況複数システムへのログイン履歴を一元管理できます村井さんの PCでｍuraiのユーザーで会計システムに Murai_y でログインログイン時の入力内容を取得します 22

24 組織的安全管理措置情報システムの利用状況 OBC PCA製品のログインID監査も動作検証確認済みメーカー名株式会社オービックビジネスコンサルタントピーシーエー株式会社 23 パッケージ名アプリID監査ログ取得人事奉行i 給与奉行i 法定調書奉行i PCA給与X PCA人事管理X PCA給与X クラウド PCA人事管理X クラウド

4000CL 導入効果導入背景社内で使用するシステムが年々増えていく中社内セキュリティ対策を更に強化し各システムへのログイン状況 /

25 導入事例 : システムへのログイン ID 管理企業名株式会社ライフコーポレーション様設立 1910 年従業員数 20,969 名 (2014 年 2 月現在 ) 構成 Cat 4000CL Webアクセス 4000CL デバイス制御 4000CL ID 監査 4000CL メール管理 4000CL 導入効果導入背景社内で使用するシステムが年々増えていく中社内セキュリティ対策を更に強化し各システムへのログイン状況 / 利用状況を徹底管理する必要性があった導入効果アプリケーション ID 監査機能でシステムログイン情報を把握し不正操作情報漏えいを防ぐ体制が確立できた 24

26 技術的安全管理措置の対策不正アクセスの検知と遮断不正ソフトウェアの有無の確認ソフトウェア等を最新状態とする定期的なログ分析

27 技術的安全管理措置不正アクセスの検知と遮断ネットワーク上の機器を検知し不正接続を遮断します許可したPC以外のネットワーク接続を検知遮断し私物の持ち込みPCなどからの情報漏えいやウイルス感染の危険を回避することができます 26

28 技術的安全管理措置不正ソフトウェアの有無の確認インストールアプリの確認と不正アプリを制御できます為替トレードソフトが入っている Winnyやゲームなどの業務外アプリを EXE単位で禁止しリアルタイムに管理者に通知できます Winny.exe 27

29 技術的安全管理措置ソフトウェア等を最新状態とする更新プログラムやアンチウィルスの更新状況を把握更新プログラムが全て適用されている未適用更新プログラムなどを一斉配布しソフトウェアを最新の状態にできます 28

アプリのインストールやPC環境変更機密フォルダへのファイル操作 Winnyやゲーム等の禁止アプリの起動 USB

30 技術的安全管理措置定期的なログ分析違反操作だけの定期的なチェックを簡単にできますセキュリティリスクをリアルタイムに可視化し適切なセキュリティ監査体制の構築が可能です東京本部は違反が多い大阪本社は違反なし名古屋支店は残業が多いアプリのインストールやPC環境変更機密フォルダへのファイル操作 Winnyやゲーム等の禁止アプリの起動 USB スマホ等へのデータ書き込み大量印刷や機密情報の印刷業務時間外の早朝操作アップロードや禁止Webの閲覧業務時間外の深夜操作 29 アイコンの有無を Checkするだけなので簡単に運用できる

31 マイナンバー制度における情報漏えい対策も LanScope で 30

Ⅰ. マイナンバー制度概要マイナンバー法の厳しい罰則規定 ( 民間企業個人に係わるもの ) 行為懲役罰金 1 正当な理由がなくマイナンバーファイルを提供 4 年以下 200 万円以下 2 不正な利益を得る目的でマイナンバーを提供盗用 3 年以下 150 万円以下 3 不正アクセス等によ

Ⅰ. マイナンバー制度概要マイナンバー法の厳しい罰則規定 ( 民間企業個人に係わるもの ) 行為懲役罰金 1 正当な理由がなくマイナンバーファイルを提供 4 年以下 200 万円以下 2 不正な利益を得る目的でマイナンバーを提供盗用 3 年以下 150 万円以下 3 不正アクセス等によ第三者証明書トッパングループのマイナンバー管理業務の活用について 2017 年 7 月 7 日凸版印刷株式会社法務知的財産本部コンプライアンス部灘 Ⅰ. マイナンバー制度概要マイナンバー法の厳しい罰則規定 ( 民間企業個人に係わるもの ) 行為懲役罰金 1 正当な理由がなくマイナンバーファイルを提供 4 年以下 200 万円以下 2 不正な利益を得る目的でマイナンバーを提供盗用