（別添１）特定個人情報に関する安全管理措置（事業者編）

【目次】

要点

１　安全管理措置の検討手順
Ａ　個人番号を取り扱う事務の範囲の明確化

Ｂ　特定個人情報等の範囲の明確化

Ｃ　事務取扱担当者の明確化

Ｄ　基本方針の策定

Ｅ　取扱規程等の策定

２　講ずべき安全管理措置の内容
Ａ　基本方針の策定

Ｂ　取扱規程等の策定

Ｃ　組織的安全管理措置
ａ　組織体制の整備

ｂ　取扱規程等に基づく運用

ｃ　取扱状況を確認する手段の整備

ｄ　漏えい等事案に対応する体制の整備

ｅ　取扱状況の把握及び安全管理措置の見直し

Ｄ　人的安全管理措置
ａ　事務取扱担当者の監督

ｂ　事務取扱担当者の教育

Ｅ　物理的安全管理措置
ａ　特定個人情報等を取り扱う区域の管理

ｂ　機器及び電子媒体等の盗難等の防止

ｃ　電子媒体等の取扱いにおける漏えい等の防止

ｄ　個人番号の削除、機器及び電子媒体等の廃棄

Ｆ　技術的安全管理措置
ａ　アクセス制御

ｂ　アクセス者の識別と認証

ｃ　外部からの不正アクセス等の防止

ｄ　漏えい等の防止

Ｇ　外的環境の把握

要点
○　番号法における安全管理措置の考え方

番号法は、個人番号を利用できる事務の範囲、特定個人情報ファイルを作成できる範囲、特定個人情報を収集・保管・提供できる範囲等を制限している。したがって、事業者は、個人番号（生存する個人のものだけでなく死者のものも含む。）及び特定個人情報（以下「特定個人情報等」という。）の漏えい、滅失又は毀損（以下「漏えい等」という。）の防止等のための安全管理措置の検討に当たり、次に掲げる事項を明確にすることが重要である。

  • Ａ　個人番号を取り扱う事務の範囲
  • Ｂ　特定個人情報等の範囲
  • Ｃ　特定個人情報等を取り扱う事務に従事する従業者（注）（以下「事務取扱担当者」という。）

（注）「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。

○　安全管理措置の検討手順

事業者は、特定個人情報等の適正な取扱いに関する安全管理措置について、次のような手順で検討を行う必要がある。→１

  • Ａ　個人番号を取り扱う事務の範囲の明確化
  • Ｂ　特定個人情報等の範囲の明確化
  • Ｃ　事務取扱担当者の明確化
  • Ｄ　特定個人情報等の安全管理措置に関する基本方針（以下「基本方針」という。）の策定
  • Ｅ　取扱規程等の策定

○　講ずべき安全管理措置の内容

事業者は、安全管理措置の検討に当たり、番号法及び個人情報保護法等関係法令並びに本ガイドライン及び個人情報保護法ガイドライン等を遵守しなければならない。

本ガイドラインは、次に掲げる項目に沿って記述している。→２

  • Ａ　基本方針の策定
  • Ｂ　取扱規程等の策定
  • Ｃ　組織的安全管理措置
  • Ｄ　人的安全管理措置
  • Ｅ　物理的安全管理措置
  • Ｆ　技術的安全管理措置
  • Ｇ　外的環境の把握

１　安全管理措置の検討手順
事業者は、特定個人情報等の取扱いを検討するに当たって、個人番号を取り扱う事務の範囲及び特定個人情報等の範囲を明確にした上で、事務取扱担当者を明確にしておく必要がある。

これらを踏まえ、特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。

また、取扱規程等を策定し、特定個人情報等を取り扱う体制の整備及び情報システムの改修等を行う必要がある。

事業者は、特定個人情報等の取扱いに関する安全管理措置について、次のような手順で検討を行う必要がある。

Ａ　個人番号を取り扱う事務の範囲の明確化
事業者は、個人番号関係事務又は個人番号利用事務の範囲を明確にしておかなければならない。→ガイドライン第４－１－⑴１Ａ参照

Ｂ　特定個人情報等の範囲の明確化
事業者は、Ａで明確化した事務において取り扱う特定個人情報等の範囲を明確にしておかなければならない（注）。

（注）特定個人情報等の範囲を明確にするとは、事務において使用される個人番号及び個人番号と関連付けて管理される個人情報（氏名、生年月日等）の範囲を明確にすることをいう。

Ｃ　事務取扱担当者の明確化
事業者は、Ａで明確化した事務に従事する事務取扱担当者を明確にしておかなければならない。

Ｄ　基本方針の策定
特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。→２Ａ参照

Ｅ　取扱規程等の策定
事業者は、Ａ～Ｃで明確化した事務における特定個人情報等の適正な取扱いを確保するために、取扱規程等を策定しなければならない。→２Ｂ参照

２　講ずべき安全管理措置の内容
本セクション２においては、特定個人情報等の保護のために必要な安全管理措置について本文で示し、その具体的な手法の例示及び中小規模事業者における対応方法を記述している。

それぞれの項目の位置付けを次に掲げる。安全管理措置の検討に当たっては、番号法及び個人情報保護法等関係法令並びに本ガイドライン及び個人情報保護法ガイドライン等を遵守しなければならない。

（注）「中小規模事業者」とは、事業者のうち従業員の数が100人以下の事業者をいう。ただし、次に掲げる事業者を除く。

ここでいう「従業員」とは、「中小企業基本法」（昭和38年法律第154号）における従業員をいい、「労働基準法」（昭和22年法律第49号）第20条の適用を受ける労働者に相当する者をいう。ただし、同法第21条の規定により同法第20条の適用が除外されている者は除く。

Ａ　基本方針の策定
特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。

≪手法の例示≫
＊　基本方針に定める項目としては、次に掲げるものが挙げられる。

Ｂ　取扱規程等の策定
１Ａ～Ｃで明確化した事務において事務の流れを整理し、特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければならない。

≪手法の例示≫
＊　取扱規程等は、次に掲げる管理段階ごとに、取扱方法、責任者・事務取扱担当者及びその任務等について定めることが考えられる。具体的に定める事項については、Ｃ～Ｆに記述する安全管理措置を織り込むことが重要である。

＊　源泉徴収票等を作成する事務の場合、例えば、次のような事務フローに即して、手続を明確にしておくことが重要である。

＊ 特定個人情報等の取扱いにおける人的ミスの発生を防止するため、本人確認及び個人番号の確認の手順、個人番号と個人情報の紐付けの際の複数人による確認（責任者による最終確認を含む。）等の確認の手順等、各管理段階における具体的な手順について、取扱規程等において明確にしておくことが重要である。

【中小規模事業者における対応方法】
○　特定個人情報等の取扱い等を明確化する。

○　事務取扱担当者が変更となった場合、確実な引継ぎを行い、責任ある立場の者が確認する。

Ｃ　組織的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる組織的安全管理措置を講じなければならない。

ａ　組織体制の整備
安全管理措置を講ずるための組織体制を整備する。

≪手法の例示≫
＊　組織体制として整備する項目は、次に掲げるものが挙げられる。

【中小規模事業者における対応方法】
○　事務取扱担当者が複数いる場合、責任者と事務取扱担当者を区分することが望ましい。

ｂ　取扱規程等に基づく運用
取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状況等を記録する。

≪手法の例示≫
＊　記録する項目としては、次に掲げるものが挙げられる。

【中小規模事業者における対応方法】
○　特定個人情報等の取扱状況の分かる記録を保存する。

ｃ　取扱状況を確認する手段の整備
特定個人情報ファイルの取扱状況を確認するための手段を整備する。

なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。

≪手法の例示≫
＊　取扱状況を確認するための記録等としては、次に掲げるものが挙げられる。

【中小規模事業者における対応方法】
○　特定個人情報等の取扱状況の分かる記録を保存する。

ｄ　漏えい等事案に対応する体制の整備
漏えい等事案の発生又は兆候を把握した場合に、適切かつ迅速に対応するための体制を整備する。

漏えい等事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である。（※）

（※）事業者において、漏えい等事案が発生した場合等の対応の詳細については、「（別添２）特定個人情報の漏えい等に関する報告等（事業者編）」を参照のこと。

≪手法の例示≫
＊　漏えい等事案の発生時に、次のような対応を行うことを念頭に、体制を整備することが考えられる。

【中小規模事業者における対応方法】
○　漏えい等事案の発生等に備え、従業者から責任ある立場の者に対する報告連絡体制等をあらかじめ確認しておく。

ｅ　取扱状況の把握及び安全管理措置の見直し
特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組む。

≪手法の例示≫
＊　特定個人情報等の取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施することが考えられる。

＊　外部の主体による他の監査活動と合わせて、監査を実施することも考えられる。

【中小規模事業者における対応方法】
○　責任ある立場の者が、特定個人情報等の取扱状況について、定期的に点検を行う。

Ｄ　人的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる人的安全管理措置を講じなければならない。

ａ　事務取扱担当者の監督
事業者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。

ｂ　事務取扱担当者の教育
事業者は、事務取扱担当者に、特定個人情報等の適正な取扱いを周知徹底するとともに適切な教育を行う。

≪手法の例示≫
＊　特定個人情報等の取扱いに関する留意事項等について、従業者に定期的な研修等を行うことが考えられる。

＊　特定個人情報等についての秘密保持に関する事項を就業規則等に盛り込むことが考えられる。

Ｅ　物理的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる物理的安全管理措置を講じなければならない。

ａ　特定個人情報等を取り扱う区域の管理
特定個人情報ファイルを取り扱う情報システム（サーバ等）を管理する区域（以下「管理区域」という。）を明確にし、物理的な安全管理措置を講ずる。

また、特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）について、事務取扱担当者等以外の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある。

≪手法の例示≫
＊　管理区域に関する物理的安全管理措置としては、入退室管理及び管理区域へ持ち込む機器等の制限等が考えられる。

＊　入退室管理方法としては、ＩＣカード、ナンバーキー等による入退室管理システムの設置等が考えられる。

＊　取扱区域に関しては、間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置等を講ずることが考えられる。

ｂ　機器及び電子媒体等の盗難等の防止
管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、物理的な安全管理措置を講ずる。

≪手法の例示≫
＊　特定個人情報等を取り扱う機器、電子媒体又は書類等を、施錠できるキャビネット・書庫等に保管することが考えられる。

＊　特定個人情報ファイルを取り扱う情報システムが機器のみで運用されている場合は、セキュリティワイヤー等により固定すること等が考えられる。

ｃ　電子媒体等の取扱いにおける漏えい等の防止
特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ場合、容易に個人番号が判明しないよう、安全な方策を講ずる。

「持ち運ぶ」とは、特定個人情報等を管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、事業所内での移動等であっても、特定個人情報等の紛失・盗難等に留意する必要がある。

≪手法の例示≫
＊　特定個人情報等が記録された電子媒体を安全に持ち運ぶ方法としては、持ち運ぶデータの暗号化、パスワードによる保護、施錠できる搬送容器の使用、追跡可能な移送手段の利用等が考えられる。ただし、行政機関等に法定調書等をデータで提出するに当たっては、行政機関等が指定する提出方法に従う。

＊　特定個人情報等が記載された書類等を安全に持ち運ぶ方法としては、封緘、目隠しシールの貼付、追跡可能な移送手段の利用等が考えられる。

【中小規模事業者における対応方法】
○　特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ場合、パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずる。

ｄ　個人番号の削除、機器及び電子媒体等の廃棄
個人番号関係事務又は個人番号利用事務を行う必要がなくなった場合で、所管法令等において定められている保存期間等を経過した場合には、個人番号をできるだけ速やかに復元不可能な手段で削除又は廃棄する。

→ガイドライン第４－３－⑶Ｂ参照

個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存する。また、これらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。

≪手法の例示≫
＊　特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解、復元不可能な程度に細断可能なシュレッダーの利用、個人番号部分を復元不可能な程度にマスキングすること等の復元不可能な手段を採用することが考えられる。

＊　特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を採用することが考えられる。

＊　特定個人情報等を取り扱う情報システム又は機器等において、特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場合、容易に復元できない手段を採用することが考えられる。

＊　特定個人情報等を取り扱う情報システムにおいては、保存期間経過後における個人番号の削除を前提とした情報システムを構築することが考えられる。

＊　個人番号が記載された書類等については、保存期間経過後における廃棄を前提とした手続を定めることが考えられる。

【中小規模事業者における対応方法】
○　特定個人情報等を削除・廃棄したことを、責任ある立場の者が確認する。

Ｆ　技術的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる技術的安全管理措置を講じなければならない。

ａ　アクセス制御
情報システムを使用して個人番号関係事務又は個人番号利用事務を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。

≪手法の例示≫
＊　アクセス制御を行う方法としては、次に掲げるものが挙げられる。

【中小規模事業者における対応方法】
○　特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定することが望ましい。

○　機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、情報システムを取り扱う事務取扱担当者を限定することが望ましい。

ｂ　アクセス者の識別と認証
特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。

≪手法の例示≫
＊　事務取扱担当者の識別方法としては、ユーザーＩＤ、パスワード、磁気・ＩＣカード等が考えられる。

【中小規模事業者における対応方法】
○　特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定することが望ましい。

○　機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、情報システムを取り扱う事務取扱担当者を限定することが望ましい。

ｃ　外部からの不正アクセス等の防止
情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用する。

≪手法の例示≫
＊　情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断することが考えられる。

＊　情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入し、不正ソフトウェアの有無を確認することが考えられる。

＊　機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とすることが考えられる。

＊　ログ等の分析を定期的に行い、不正アクセス等を検知することが考えられる。

ｄ　漏えい等の防止
特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。

≪手法の例示≫
＊　通信経路における漏えい等の防止策としては、通信経路の暗号化等が考えられる。

＊　情報システム内に保存されている特定個人情報等の漏えい等の防止策としては、データの暗号化又はパスワードによる保護等が考えられる。

Ｇ　外的環境の把握
事業者が、外国において特定個人情報等を取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、特定個人情報等の安全の管理のために必要かつ適切な措置を講じなければならない。