クライアントサービスにマイナンバーを委託するメリットマイナンバーの取得から保管、利用、提供、廃棄全ての段階を委託することができるので、委託元企業様はマイナンバーに全く接することがないようにすることもできます。
社労士以外の事業者に保管等のサービスを委託した場合、保管は厳重かもしれませんが、社会保険手続きや源泉徴収票の発行の際に、手続きをする際に、従業員がマイナンバーに接したり、番号を引き出して役所に提出したり、代行できる社労士に番号を渡さなければなりません。
マイナンバーの利用目的である社会保障の手続き、給与計算事務を業として行うことができるのは、社会保険労務士だけだからです。
社会保険労務士だからといっても、マイナンバーを受託できるだけの体制を持っていない事務所も多くあるので、マイナンバー対策を取っていて、社会保険・労働保険手続きだけでなく、給与計算受託も行っている事務所は、かなり限られます。
クライアントサービスの安全措置は、下記のとおりです。
１．基本方針の策定
事務所の基本方針を策定し、ホームページ上で公開しています。
２．取扱規程等の策定
現在、プライバシーマーク付与審査申請中ですが、個人情報保護規程と併せ、特定個人情報取扱規程を策定し、プライバシーマーク付与審査機関に内容を審査して頂いております。併せて、事務処理をルールブック化し従業者の処理手順の標準化を図っております。
３．組織的安全管理措置
個人情報保護の体制図を策定し、責任の所在を明確にするとともに、前記取扱規程において、事務取扱担当者の責務、規程違反があった場合の対応、報告体制を定めました。
また、１年に一度の定期的な内部監査を行うこと、２年毎のプライバシーマーク更新審査の際に、審査機関により個人情報保護体制の運用が適正に行われているか審査を受けることとなります。
マイナンバーアクセスの日々の取扱状況を確認する手段は、業務用ソフトのクラウド上に保管している特定個人情報のアクセスログが自動作成されるため、誰がいつ誰のマイナンバーを参照したかを検証することができます。
４．人的安全管理措置
情報漏えいは物理的な安全措置をかいくぐって流出するよりも、人為的に内部から流失することがほとんどです。物理的安全措置は金額をかければキリがありません。幣事務所は莫大な金額をかけての物理的安全措置を講じられませんが、人的安全措置についてはどこよりもご信頼頂いて大丈夫です。
何よりも一般事業者と異なるのは、法に裏付けられた職業倫理です。社労士会の倫理研修受講が義務付けられており、万が一、不適正な行為があれば、番号法での罰則だけでなく、社労士法の懲戒対象となり、悪質な場合は資格の剥奪、懲役もあり得ます。
幣事務所では、派遣労働者、下請への外注は一切使いませんので、直接雇用従業者が取扱処理を行います。小さな事務所ですので、全ての担当者の性格やプライベートな状況も把握し、情報漏えいに関する誓約書を全員に提出してもらっています。
あえて、パーテーションのないオープンな作業空間ですので、怪しげな行動があれば、目に入り「声掛け」などによる抑制も期待できます。
また、夜間・休日などに１人残って作業することを禁止しています。
教育、研修については、法改正、事務処理手順の確認指示等のため、毎月ミーティングを兼ねた研修を行っております。マイナンバーについても、顧問先からのご質問にお答えできるよう担当者に最新の情報の伝達研修を行っております。年1回の個人情報保護研修は外部のコンサルタントに講師で来て頂きます。
就業規則において、不適切な取扱があった場合の罰則を定めています。
５．物理的安全管理措置
（1）特定個人情報等を取り扱う区域の管理
幣事務所では、従業者全員が特定個人情報取扱担当者となりますので、事務所全体が特定個人情報取扱区域となります。取り扱う区域の管理である事務所の入退出については次のような管理措置をとっています。
［建物の入口］
入口は１か所で、夜間・休日はシャッターが閉まっています。
他フロアのテナントも、法律事務所が複数入っており、あまり不特定多数の方が出入りする建物ではありません。
［事務所の入口］
電磁カードキーによるロックをかける と機械警備がかかり、万が一、こじ開けたり、窓からの侵入があった場合も、警備会社の方が駆けつけてくれることになっています。
警報が鳴って約5分から25分以内と聞いていますが、営業所が近いので、早く来てくれそうです。
［事務所の入口］
二重のロックとして入口に、パスワ ード又はICカードにより解錠する鍵
をつけています。
［入退出の記録］
誰が何時に入室したか記録を残しています。 ICカード等を持たない外来者の出入りについては、内部からカメラで相手を確認した上で、解錠しています。 事務所内の作業エリアへの入室は、代表が許可した方に受付票を記入頂いて管理しています。
［室内のカメラ］
昼間だけでなく、夜間も赤外線センサーで撮影できるカメラを設置しています。
外部からの侵入防止だけでなく、問題が生じた場合は、内部者の行動も検証することができます。
（2）機器及び電子媒体等の盗難等の防止
［ワイヤーでの固定］
基本的に業務に使用するパソコンはデスクトップのみですので、ノートブックのように簡単には持ち出せませんし、ワイヤーで固定しています。
この他、マイナンバーを紙で受領し、入力保管するまでの一時的な保管をする場合は、鍵付きのキャビネット内の耐火金庫に保管しています。
（3）電子媒体等を持ち出す場合の漏えい等の防止
原則として、社会保険・労働保険手続きにマイナンバーを利用する場合は、事務所内から電子政府宛に電子申請ファイルの送信を行います。電子申請は、紙の届出書を持ち歩いたり、送付したりする必要がありませんので、漏えいの可能性は限りなく低いです。
また、やむを得ず届出書用紙による申請を行う場合は、役所への持参又は特定記録郵便により届出を行うこととします。
源泉徴収票の取扱については、本人交付分にはマイナンバーの記載が不要とされましたので、今まで通りの処理となります。官公庁提出分については、提出先ごとに密閉、封印した封筒に入れた状態又は電子データを暗号化した状態で会社にお渡しいたします。
送料の実費をご請求となりますが、幣事務所から官公庁への直接送付することも承ります。ただし、法定調書は、社会保険労務士が作成できる書類ではありませんので、会社にて作成し、幣事務所にお送り下さい。マイナンバーの記載された源泉徴収票を添付して官公庁に送付いたします。
パソコンのUSBポートには、ポートガードが施されており、USBメモリーや携帯電話を接続することができません。
(4)個人番号の削除、機器及び電子媒体等の廃棄
保管したマイナンバーについては、法定の保管期限を管理し、期限が来たら削除処理を行います。削除について、業務用ソフト上で廃棄処理を行うと、廃棄証明書が作成できます。
業務用ソフト入力後の紙媒体の廃棄については、シュレッダー処理又は溶解処理とし、誰がいつどのような処理を行ったか記録を残します。
EXCEL、PDFその他のデータでマイナンバーをお預かりした場合は、削除ソフトを用いて復元できないよう完全に削除いたします。
幣事務所のパソコンには、後述のとおりマイナンバーが保管されておりませんが、廃棄する場合は、通常の個人情報保護のため、データ削除ソフトにより完全に消去して廃棄します。
データのバックアップについては、クラウド上サーバーに自動バックアップされるもののみとし、電子媒体や外付けハードディスクは原則として使用しません。
６．技術的安全管理措置
業務用ソフトのクラウドサーバー上にマイナンバーを保管し、事務所内にはマイナンバーを置きません。マイナンバーのみをクラウド、それ以外の個人情報は事務所パソコン内と分けて保管するため、万が一クラウド上サーバーから情報が盗み出されても、暗号化されているため、誰のマイナンバーかわかりません。マイナンバーかどうかさえもわかりません。
クラウド上のサーバーは、ISO27001やHIPAAの基準に適合したサーバーで、常に別の場所でバックアップされ、24時間365日体制でテクニカルサポートがされています。
マイナンバーにアクセスするにためは、業務用ソフトの個人情報画面がフロントとなり、アプリケーション認証、及び担当者のID・パスワードによる認証、暗号化通信によりクラウド上のマイナンバーにアクセスします。
社会保険・雇用保険手続きのためにマイナンバーを利用する際は、業務ソフト上で届出書の電子申請データ作成の入力等を行い、送信される直前にマイナンバーがセットされ、そのまま電子申請を行います。送信済み保存データには、マイナンバーを保持しませんので、事務所のパソコンにマイナンバーが残ることはありません。
マイナンバー以外の通常の個人情報についても、取り扱いに留意しております。業務に使用するパソコンのパスワードは２か月以上使わない、画面スクリーンは離席する場合にはロックをかける、５分以上操作を行わないとスクリーンセーバーが作動するなどの運用をしています。
保存データは、暗号した上で保管します。個人情報を削除する際は、ゴミ箱に入れるだけでなく削除ソフトを使って復元できないように削除します。
また、顧問先様とEXCELやPDFデータのやり取りをするのに、メールに添付して送付するよりも安全に送信するツールとして、顧問先様ごとに専用のID・パスワードをご用意し、クラウドを利用してファイルをアップロードする手段をご用意しました。
外部からの不正アクセス防止対策として、ウィルスソフト、ファイアーオールを常に最新の状態にすることや、毎週コンピュータ検査チェックを行います。
［パソコンアクセスログ］
パソコンのログを保管していますので、外部サイトへのアクセスや、ファイルの読み込み、書き出し、メール送信などの作業を後から検証することができます。
通常時は、１カ月に１度、任意のパソコンを抜き打ちでチェックすることにしています。
実際に上記内容で運営されているか、来所頂いてご確認頂くこともできます。ただし、算定・年度更新時期（６月から7月）と年末調整時期（12月）はご容赦ください。
ここで挙げた措置以外にも必要に応じて、対策していく予定です。内容についてご不明な点があればご質問下さい。
