365でセキュリティ対策2016年1月から運用が開始されたマイナンバー制度。各社で管理体制の見直しやシステムの導入が進み始めています。御存知の通り、国内すべての企業はマイナンバー時代に合わせた適切な情報管理が急務です。そこで今回は、重要な個人情報であるマイナンバーの情報漏えいを防ぐ方法を改めてご紹介します。そもそもマイナンバーとは?マイナンバー(個人番号)とは、国民一人ひとりが持つ12桁の番号のことです。平成27年末から自宅にマイナンバーが届いているのではないでしょうか。社会の実現」というメリットがあります。複数の機関に存在する個人の情報が同一人の情報であることを確認するために活用されるものです。そのためマイナンバーをキーにあらゆる個人に紐づく情報が連携されるため効率性と私たちにとっての行政手続などでの利便性が得られるということになります。このマイナンバー制度自体は、平成28年1月から順次、社会保障や税、災害対策の行政手続でマイナンバー制度が必要になってきます。[SMART_CONTENT]企業や金融機関はマイナンバーを厳格に管理する必要がある個人に配布されるマイナンバーですが、個人と行政機関との間だけの話ではありません。法令で定められた手続のために、行政機関だけでなく企業などへのマイナンバーの告知が必要となります。企業は、従業員の健康保険や厚生年金の加入手続を行ったり、従業員の給料から源泉徴収して税金を納めたりしています。手続時にも勤務先へマイナンバーを告知する必要があります。銀行や証券会社や保険会社などの金融機関では、利息や配当金、保険金などの税務処理を行っています。それらの処理のためにマイナンバーが必要になるため金融機関に提示する必要があります。[RELATED_POSTS]大企業だけの問題ではないマイナンバーの取り扱い一般企業や金融機関では従業員やお客様の大切なマイナンバーを適切かつ厳格に管理する必要があるのです。このマイナンバーの取り扱いに関する法整備もマイナンバー法として規定されています。すべての企業が遵守しなければならないわけではありませんでした。その企業で保有する個人情報件数が5,000件を超えない企業は対象外であることが個人情報保護法に規定されています。それに対して、マイナンバー法では企業規模を問わずマイナンバーを取り扱うすべての企業に適用されます。内閣官房のホームページでは、マイナンバーと個人情報保護法の関係を以下のように回答しています。特定個人情報も個人情報の一部なので、原則として個人情報保護法が適用されます。特定個人情報は、マイナンバーによって名寄せなどが行われるリスクがあることから、個人情報保護法よりも厳しい保護措置を番号法で上乗せしています。番号法の保護措置は、個人情報保護法が適用されない小規模な事業者にも適用されます。件以上の個人情報を扱う事業者のみを対象とした個人情報保護法とは異なり、マイナンバー法は中堅・中小企業を含む、すべての事業者を対象としています。マイナンバー法では、保護対象となるデータの重要性から個人情報よりも罰則の種類が多いだけでなく、その法定刑も重く設定されています。そのため、マイナンバーの情報漏えいは事業規模を問わず、大きな損害を被る可能性があります。監督・指導に反した時など細かく罰則が規定されており、漏えいに関しては4年以下の懲役もしくは200万円以下の罰金が刑事罰として科せられます。仮に悪意のない漏えいが発覚した場合でも、マイナンバー所有者からの民事訴訟や自体を公表した場合の企業信用力低下など、企業は甚大な損害を被る可能性があります。情報漏えいは悪意あるものが不正に情報を盗み出すものへの対策のほかにも、そのデータにアクセス可能な人材が誤操作で漏えいを起こさないような仕組みが重要になってきます。日本ネットワークセキュリティ協会による調査結果では、国内で発生した情報漏えいの約8割が誤操作もしくは管理ミスによって発生したものでした。このことからも不正アクセスへの対応に加えて、権限を有するものが誤操作により情報を漏えいしてしまう場合の対策も企業は講じる必要があります。講じなければならないと明記されています。マイナンバーを含む個人情報をファイルサーバーなどに無造作に保管されている状態では安全であるとは言えません。マイナンバーの取り扱いを安全かつ厳格に行うには、データやアプリケーション、デバイス、ネットワークなど、マイナンバーの取り扱いに関係する全ての分野においてセキュリティ対策を抜け・漏れなく実施することが必要です。外部の脅威から多層で防御する考え方が必要があるのです。クラウドかオンプレミス(社内設置のITシステム)か?多層防御によるセキュリティ対策を実装するシステムとして、2つの方法があります。システム(オンプレミス)を利用する方法です。システムがきっかけとなったものです。10の高度なマイナンバー保護セキュリティ対策で重要なことは、多層防御という考え方です。セキュリティ強化を一点に集中するのではなく多層防御のような全方位的な対策を講じることが重要です。安全にマイナンバーを利用するために必要なセキュリティ機能を全方位的に網羅しています。10がどのようにマイナンバーの保護に役立つのかを代表的な機能にしぼりご紹介します。365のデータ保護マイナンバーを含むデータはどこにあっても安全かつ確実に保存されている必要があります。暗号化や可能な操作の限定が可能です。このようなアクセス制御により、うっかりミスや意図的に行われる情報漏えいに効果を発揮します。Businessに保存したデータは勝手に共有されることはありません。共有する相手は自身で指定するため、情報漏えいのリスクを最小限に抑えることができます。共有する相手は簡単に設定でき、ファイルの一覧から現在の共有状況も簡単に確認できます。これにより最小権限のルールが適用されるため必要な人にしかアクセス権を与えない状態を作れるのです。ファイルやメールに対して暗号化を施し、適切な権限を持つユーザーだけがアクセスできます。暗号化されたメールやファイルには、アクセス権限が設定できるので、ファイルに対しては印刷や名前を付けて保存の操作を制限したり、メールに対してはファイルに対する操作の制限に加えてメールの転送を制限することで情報漏えいを防ぐことが可能になります。保存され、扱われることがあります。よるマルウェア対策でデータを保護します。近年のサイバー攻撃に多用されるマルウェア(ウイルス)は、凶悪化の一途を辿っており、企業において甚大な被害に繋がる可能性があります。マルウェア対策ソフトウェアを標準で搭載しています。定期的に提供されるウイルス定義と共に最新のマルウェアを常に監視し除去します。上にリスクが残ります。機能によるディスク暗号化機能によって、簡単な操作で万が一のデバイス紛失時にもデータの漏えいを防ぐことが可能です。365のアプリケーション保護データを保護するためには、データを扱うアプリケーションも安全なものである必要があります。誤操作による漏えいを防いだり、不適切なアプリによるマイナンバーの利用を防ぐことで、アプリケーションレベルでのセキュリティ対策を実現します。トランスポートルールでは、メールを送信する際にメールの内容をチェックし、個人情報が含まれる場合にはメールの送信をブロックします。個人情報の送信が必要であれば、上司がチェックしてからメールを送信するように構成することも可能です。これにより誤送信を防ぐことが可能です。365ではデータ喪失防止(DLP)を提供します。保存されたファイルの中から個人情報に該当するデータが含まれていないか確認し、自動的に報告または送信のブロック等を行います。チェック機能が働いて、誤操作による情報漏えいを未然に防ぎます。AppLockerではコンピューターで実行可能なアプリケーションを限定することができます。マイナンバーを取り扱うコンピューターではマイナンバーを取り扱うアプリケーションのみを実行可能にすることで、マルウェアに代表される不適切なアプリケーションからマイナンバーが扱われることのないように構成できます。保存したデータはデータセンター内で他のお客様のデータと分離され、安全に保管されます。コンピューターに保存されたデータのセキュリティも検討しなければなりません。Windowsでは、クライアントコンピューターの場所を問わず、デバイスを保護し、漏えいの原因を防ぎます。通常、メールボックスやポータルサイトへのアクセスは正しいユーザー名とパスワードを入力できれば、だれでもアクセスできてしまいます。アクセスを許可します。一度登録したデバイスを紛失した時は遠隔からデータを消去することも可能です。ログインやクラウドへのログインなど、あらゆる生活の場面でパスワードの入力を求められます。顔や虹彩、指紋などの「生体認証」を使うことでパスワードを使わずにサインインできます。両方に安全にアクセスできます。アクセスにはネットワークを経由します。安心して利用できるよう、業界最高水準のデータセンター保護およびネットワーク保護を実現しています。マイクロソフト社ではすべての通信を暗号化するだけでなくデータセンター内のマイナンバーを含むデータを完全に分離され管理されています。すべての通信は監視されていて、不正アクセスとみられる通信を特定します。その安全性などは第三者機関である日本セキュリティ監査協会JASA-クラウドセキュリティ推進協議会が制定した「クラウド情報セキュリティ監査制度」において、日本初となる「クラウドセキュリティ(CS)ゴールドマーク」を取得したことからもご理解いただけるでしょう。使い始めたその日から、簡単に、データ、アプリ、デバイス、ネットワークと、すべての分野に渡るセキュリティ対策を実現することが可能になります。Reserved.ブログ購読のお申込み。