06:00前回でも触れたが、マイナンバーに関して企業は「特定個人情報の適切な取り扱いに関するガイドライン(事業者編)」)に沿った対応が求められている。ITシステム的な対応は、このガイドの後半にある「(別添)特定個人情報に関する安全仮措置(事業者編)」を参考にして進めることになる。よるQ&Aがサイトに掲載されているので、こちらも合わせて参照するといいだろう。データベース管理者でもマイナンバーのデータは見えないようにする今回の記事では、マイナンバーを扱うITシステムの中で重要な要素となる「データベース」に着目し、どのような対応をすればいいかを考えていきたい。中でデータベースに関連しそうなのが「電子媒体等を持ち出す場合の漏洩等の防止」と「個人番号の削除、機器及び電子媒体等の破棄」の2つだ。漏洩防止に対応するために必要となるデータベース機能には、データの暗号化があるだろう。万一マイナンバーの入っているデータベースファイル入りのハードディスクを盗まれたり、あるいはデータベースサーバーなりが丸ごと盗難にあったりした場合にも、中身のデータが適切に暗号化されていれば漏洩を防止できるだろう。データベースに関連する項目が挙げられている。防止」という4項目だ。これらは、データベースの外のID認証の仕組みや、ファイアーウォールなどでも対処すべきものだ。マイナンバーの最後の砦はデータベースの認証やアクセス制御の機能だろう。製品戦略統括本部の下道高志氏は、データの暗号化に関する注意点を次のように指摘する。下道高志氏(左)、大澤清吾氏(右)「データを暗号化すればそれでいいのかと言えば、そうではありません。暗号化はたんなるデータの読み替えなので、それがマイナンバーであることには変わりはありません。暗号化したデータも適切なアクセス制御が必要になります。1つに過ぎません」データベースに格納したマイナンバーデータを暗号化さえしてあればそれでOKではなく、暗号化しても厳密なアクセス制御を行う必要がある。適切な権限を持ったアクセスについても詳細なログをきちんと残さなければならないのは同じことなのだ。既存の人事情報を管理するデータベースのテーブルにマイナンバーのカラムを追加し、それを暗号化すればいいだろうと考えるかもしれない。この方法も可能だが、こうしてしまうと本来マイナンバーとは関係ない人事の業務処理の際には、マイナンバーのカラムにはアクセスできないよう制御する必要があるだろう。そんな時、あなたが使っているデータベースにはカラム単位でアクセス制御する機能があるだろうか。「であれば、既存のテーブルにカラム追加するよりは、テーブルのレベルで分離して管理すべきだと、エンジニアは考えるでしょう。その上で見てはいけない人をどう管理するかと考えたほうが、技術的にも楽なはずです」この「マイナンバー情報を見てはいけない人」には、人事の業務を行わないデータベースの管理者も入る。なると、データベース管理者であってもテーブルのデータが見えないようにする機能が欲しくなる。これはいわゆる職務分掌というやつだ。Vaultの機能を使えば、データベース管理者であってもアクセスを制限できるだろう。「管理者だったらデータベースに対してなんでもできるデータベース」の場合は、厳密な運用管理なりで管理者の行動を制限するしかない。なると、やっかいなのがバックアップなどの作業だ。マイナンバーのテーブルのバックアップは、本来ならマイナンバーという特定個人情報を扱う権限を持ったユーザーがやるべき作業だ。なると人事部門の担当者がやることに、それは現実的ではない。この場合はデータベース管理者なりが実施するのが普通で、そのためのルールや方法を別途定めておく必要がありそうだ。何らかデータベースにトラブルがあり、データをリカバリーする際も面倒だ。この場合は、リカバリー時だけデータベース管理者に特定個人情報を取り扱う権限を与え、その上で作業を実施する運用などが考えられる。マイナンバーのデータへのアクセス制御については単純なID管理だけでなく、アプリケーションなどからAPI経由でアクセスするクライアントIDの管理、そしてデータベースの権限管理までやることで「完璧になります」と下道氏は言う。「一番のお勧めは、運用管理者の権限を最小化することです」とも。マイナンバーのアクセス制御では最低限のレベルはID管理だが、大手企業などデータ漏洩のリスクが大きい組織では、データベース管理者なりの権限も最小化する必要がありそうだ。※この続きは、会員の方のみお読みいただけます(登録無料)。会員登録(無料)ログインはこちら※この続きは、会員の方のみお読みいただけます(登録無料)。AI、エキスパートシステムが流行っていたころに、開発エンジニアとしてIT業界に。その後UNIXの専門雑誌の編集者を経て、外資系ソフトウェアベンダーの製品マーケティング、広告、広報などの業務を経験。押さえておくべき7つの原則254企業のデジタルシフトはIoT、5G、サブスクリプションが牽引。×ログインEメールパスワード※旧SEメンバーシップ会員の方は、同じ登録情報(Eメール&パスワード)でログインいただけます。パソコン「EnterpriseZine」(エンタープライズジン)は、翔泳社が運営する企業のIT活用とビジネス成長を支援するITリーダー向け専門メディアです。イラストの無断転載を禁じます。記載されているロゴ、システム名、製品名は各社及び商標権者の登録商標あるいは商標です。