マイナンバー実務対応導入プロセスについて
医療現場におけるマイナンバー実務対応 -情報セキュリティのポイント-(第4回)
2015年10月

執筆者:公認情報セキュリティ監査人
    プライバシーマーク主任審査員
    審査員研修主任講師
    小川 敏治(おがわ としはる)氏

個人番号関係事務における厳格な保護措置(第3区分)

前回は、特定個人情報ガイドラインに基づいて第2区分の「特定個人情報の提供制限等」について、具体的に「しなければならない」ことや「してはならない」ことなどをお話ししました。今回は最終回として、第3区分の「特定個人情報の安全管理措置等」を含め、医療現場のマイナンバー実務対応のための導入プロセスについて、お話しします。

(3)特定個人情報の安全管理措置等

第3区分の「特定個人情報の安全管理措置等」について、主な保護措置は以下の通りです。

  1. 個人番号(生存する個人のものだけでなく死者のものも含む)について安全管理措置を講ずることとされています(番号法第12条)。
  2. また、個人番号関係事務又は個人番号利用事務を再委託する場合には委託者による再委託の許諾を要件とする(同法第10条)とともに、委託者の委託先に対する監督義務を課しています(同法第11条)。

事業者は、特定個人情報等の適正な取扱いに関する安全管理措置を講ずる責務(委託先の監督も含む)があり、その概要は次項で述べます。

マイナンバー実務対応導入プロセス

医療現場の情報セキュリティ・マネジメントにおけるマイナンバー実務対応のための導入プロセスは、次の通りです。

  1. 特定個人情報の取扱いに関する基本方針の策定
  2. 特定個人情報を取扱う事務の範囲の明確化
  3. 特定個人情報(帳票、データ)の範囲の明確化
  4. 個人番号関係事務担当責任者の明確化
  5. 特定個人情報の事務フローに沿ったリスク分析
  6. 個人番号関係事務に関する取扱規程等の策定及び就業規則の改訂
  7. 個人番号関係事務に係るシステムの改修
  8. 委託先の選定及び必要かつ適切な監督
  9. 職員に対する研修・周知
  10. 運用開始及び定期的な運用のチェック
  11. 内部監査(1回/年)
  12. マネジメントレビュー(1回/年)

前述の1~5で、個人番号関係事務の業務内容及びその事務で取扱う帳票、データを洗い出し、特定個人情報の取扱いのプロセス(取得、利用、委託、提供、保管、返却、削除・廃棄など)を可視化(業務フロー図化)します。そして、各プロセス単位に想定されるリスクを洗い出し、まず、どんなリスクがあるのかを認識することが重要です。

尚、医療機関では個人番号を利用しない場合でも、医療機関または医師等の証明や、医療機関作成の書類添付を要する申請書類(例えば、傷病手当金支給申請書など)に個人番号が記載されているものを取扱う場合があります。これは、「3.特定個人情報(帳票、データ)の範囲の明確化」の対象であり、漏れが無いように洗い出す必要があるので、気をつけてください。

一方、昨今、委託先での漏えい等の事故が度々発生しており、委託者に、委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を委託先(間接的に再委託先も含む)に対する監督義務を課していますので、委託先でのリスクの洗い出し及びリスクの認識は欠かせません。

洗い出されたリスクに対して、合理的な対策及び対策後の残存リスクを明確にし、定期的に見直すようなマネジメントシステムを構築することが望まれます。

尚、合理的な安全管理措置として、以下の4区分あり、前述の「6.個人番号関係事務に関する取扱規程等の策定」において、例えば、安全管理規程等に盛り込むと共に、既存の就業規則を改訂(特定個人情報についての秘密保持に関する事項の追加、懲戒処分の対象となる行為を列挙している条項にマイナンバー法の義務違反行為を追加)しておくことも欠かせません。

  1. 組織的安全管理措置
    組織体制、規程や手順書等の整備等
  2. 人的安全管理措置
    職員に対する監督及び教育・訓練等
  3. 物理的安全管理措置
    特定個人情報を取扱うエリアへの入退館(室)の管理、機器、電子媒体及び書類等の盗難の防止等の物理的な措置
  4. 技術的安全管理措置
    特定個人情報ファイルを取扱う情報システムへのアクセス制御、不正ソフトウェア対策、情報システムの監視等の技術的な措置

これらの安全管理措置については、特定個人情報委員会「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」(2014年12月11日)の(別添)「特定個人情報に関する安全管理措置(事業者編)」に具体的な手法が例示されているので参照し、医療機関の規模及び特定個人情報等を取扱う事務の特性等により、適切な手法を採用することが望まれます。

まとめ

ところで、マイナンバー法は、一般法である個人情報保護法の特別法であり、特別法は一般法に優先します。特別法であるマイナンバー法以外の部分は、特定個人情報も個人情報なので個人情報保護法に対応しなければならないが、コラム枠の都合上、割愛しましたのでご了解下さい。

以上、4回にわたり、医療機関の情報セキュリティ・マネジメントにおけるチェックポイントについて、マイナンバー実務対応の視点で、マイナンバー制度の主旨、注意すべきポイント、導入プロセスなどについて、お話しさせて頂きました。少しでも皆様のご参考になれば幸いです。

上へ戻る