マイナンバー対応の現場から――システムやセキュリティにおける混乱：萩原栄幸の情報セキュリティ相談室（2/2 ページ）

[萩原栄幸，ITmedia]

マイナンバーをどう管理する？

　そもそもマイナンバーを管理するのは、個人の責務になる。とはいえ、従業員とその家族からマイナンバー情報を預かる企業としても、個人情報やマイナンバーが簡単につながってしまう事態は絶対に避けたいと思うはずだ。

　まず個人の視点では、原則として個人情報（氏名や住所など）とマイナンバーが紐づくことでの問題性は、その人（本人）だけのものだ。一方、企業では個人情報とマイナンバーを容易に紐付けられる状態が非常に高いリスクであり、万一漏えいしても最小限の影響で済む構造のシステムを論理、物理の両面から実現しないといけない。つまり、論理的・物理的には「別になっている」ことが望ましい。

　よって、マイナンバーと個人情報はできる限りバラバラにして管理することが望ましい。しかも、閲覧などのアクセス権限はマイナンバーと個人情報とで別々の人に持たせる。さらには、マイナンバー自体を暗号化する。万一漏えいした時に生の番号のままの流出を阻害するのが目的であることは言うまでもないだろう。

　暗号化の方法も、脆弱なアルゴリズムの利用はもちろんNGだ。ハッシュ関数のような非可逆関数では役に立たないので、自ずと暗号化のアルゴリズムは限定される。鍵長はできるだけ長く、アルゴリズムも国際的に認知されているものを選択するしかないだろう。

漏えい時はどうする？

　まずは「何が漏えいしたのか？」である。パターンとしては以下になる。

1. マイナンバーだけの漏えい（暗号化されている）
2. マイナンバーだけの漏えい（暗号化されていない）
3. 個人情報だけの漏えい（暗号化されている）
4. 個人情報だけの漏えい（暗号化されていない）
5. マイナンバーと個人情報が漏えい（マイナンバーと個人情報に関係性がなく、誰のモノか分からない）
6. マイナンバーと個人情報が漏えい（マイナンバーが誰のモノか分かる）

　5と6にも暗号化の有無があるが、複雑になるので割愛する。この中で企業としては6のパターンだけは絶対に避けたい。その次が5の回避である。

　このように漏えい時の対応にレベルを付け、企業として最重要レベルに至らないようにするための防御層を幾重にも準備し実装しておくことが極めて重要である。もちろん個人情報の漏えいも避けたいが、このマイナンバー制度が始まれば、6のケースで漏えいが発覚した場合に、とんでもないペナルティが課せられる可能性があり、マスコミも容赦なく追及するだろう。その怖さは経営者なら誰しもが理解できると思われる。

　つまり、マイナンバーと個人情報が絶対に紐づかないようにアクセスコントロールをしなければならない。企業によっては、マイナンバー情報単体へのアクセスをシステムトラブルや情報の消去・廃棄などの対応以外には、誰にも認めないようするかもしれない。それが最も安心できるからだ。

　次回は、さらに個別事例として困った事例や、逆にマイナンバー対応をチャンスにするシステム管理者としての考え方などについて述べてみたい。

萩原栄幸

日本セキュリティ・マネジメント学会常任理事、「先端技術・情報犯罪とセキュリティ研究会」主査。社団法人コンピュータソフトウェア著作権協会技術顧問、CFE 公認不正検査士。旧通産省の情報処理技術者試験の最難関である「特種」に最年少（当時）で合格。2008年6月まで三菱東京UFJ銀行に勤務、実験室「テクノ巣」の責任者を務める。

組織内部犯罪やネット犯罪、コンプライアンス、情報セキュリティ、クラウド、スマホ、BYODなどをテーマに講演、執筆、コンサルティングと幅広く活躍中。「個人情報はこうして盗まれる」（KK ベストセラーズ）や「デジタル・フォレンジック辞典」（日科技連出版）など著書多数。