マイナンバーのセキュリティ、システム改修で足りない対策を今すぐ講じるには？

従業員から収集したマイナンバーの安全管理措置は、人事・給与システムの標準機能だけでは足りないことをご存じだろうか。NECの「マイナンバー安心セット」でマイナンバーのセキュリティで最優先すべき部分での対策方法を紹介する。

[PR／ITmedia]

PR

　2016年1月1日から「マイナンバー制度」が本格的にスタートした。企業では既にマイナンバー通知を受け取った従業員からのマイナンバーの収集が本格化しつつある。マイナンバーの収集や管理のためにまずは人事・給与システムを改修して対応しているところは多いが、「特定個人情報」に指定されているマイナンバーのセキュリティ対策は間に合っているだろうか。

　実は、マイナンバー対応の人事・給与パッケージにおけるセキュリティ対策は、人事・給与システムへのアクセスを制限する、ログを採取するといった基本的な範囲になる。マイナンバーのガイドラインで示されている広範なセキュリティを実現するには、当然ながらパッケージ製品がカバーする以外の範囲でも対策を講じなければならない。

　マイナンバーのセキュリティ対策には、サイバー攻撃や詐欺など外的な脅威に加え、企業関係者による不正行為などの内的な脅威にも対応することが求められる。全方位のセキュリティ対策は中堅・中小企業にとって大きな負担になるが、理想的なマイナンバーのセキュリティ環境の実現に向けて、優先順位をつけ、適切に安全管理措置を講じていきたい。そこで、いま急がれるセキュリティ対策として注目したいのが、NECの提供する「マイナンバー安心セット」だ。

人事給与システムを守る

　NECのマイナンバー安心セットは、人事・給与システム周りや帳票ファイルなどの保管場所において求められるセキュリティ対策を短い時間で容易に講じられるようハードウェアやソフトウェアなどの製品をまとめて提供する。マイナンバー安心セットでは「顔認証ログオンセット」「アクセスログ監視セット」「データ暗号化セット」「機密ファイル保管サーバセット」の4種類をラインアップしている。マイナンバー安心セットの導入によって、安全管理措置の主要項目に応じたセキュリティ対策を講じることができるため、企業にとって安心のマイナンバーセキュリティ環境を実現する。

　マイナンバーのセキュリティ対策のポイントは、大きく（1）人事・給与システムとその周辺、（2）管理・保管先となるファイルサーバなどの格納場所、（3）ネットワーク――の3カ所になる。制度が始まったばかりの今、まずできるだけ早くセキュリティ対策を講じるべき場所は、人事・給与システムとその周辺だ。マイナンバー安心セットでは、主に「顔認証ログオンセット」と「アクセスログ監視セット」がその対応となる。

　マイナンバーの収集や管理業務に関わる人事・給与システムへのアクセスで使用するPC端末には、特定のユーザーのみ操作可能にすることが求められる。システムへのアクセス権限を設定する対策のみでは不十分であり、端末の利用開始時や利用中における不正使用のリスクから、利用していない場合のPCの盗難リスクまでを考慮したセキュリティ対策が必要だ。

「顔認証ログオンセット」による顔認証

　人事・給与システム周りをカバーする「顔認証ログオンセット」は、インテル® Core™ i3 プロセッサーを採用したパフォーマンスの高いNECの法人向けPC「Mate」および「VersaPro」をベースに、顔認証セキュリティソフト「NeoFace Monitor」、外部記録媒体へのデータの転送をブロックするデータ漏えい防止ソフト「DeviceLock DLP Suite」に、のぞき見防止フィルターとセキュリティワイヤーの物理セキュリティを加えた構成だ。2015年8月の発売から企業規模を問わず、多くの企業で導入されているという。

　特に世界最高水準※の精度を誇るNECの顔認証技術をベースにしたNeoFace Monitorは、ユーザーに負担をかけることなく、人事・給与システムへアクセスするPC端末のセキュリティレベルを大幅に高めることができる。

※「NEC、米国国立標準技術研究所(NIST)の顔認証技術 ベンチマークテストで3回連続の第1位評価を獲得」

　実際に試してみると分かるが、登録されているユーザーであればPCの前に座った瞬間に認証が完了してすぐにデスクトップ画面に切り替わる。NeoFace Monitorではログオン時だけなく、PCを使用している間も常時監視を行っており、正規のユーザーが離席すれば自動的にPCをロックする。ユーザーが席に戻って顔認証すれば瞬時にロックが解除されるので、短時間の離席であっても第三者にのぞき見されるリスクを低減できる。また、PCのログオンに失敗したユーザーの顔画像をログとして記録し、万一の場合でも不正な行為をしたユーザーをすぐに特定できることから、不正行為の抑止効果も高い。

NEC パートナーズプラットフォーム事業部 IT営業推進グループ マネージャー 竹ノ内穣氏

　「IDやパスワードだけではPCが盗難された場合、容易に不正アクセスされる可能性があります。顔認証はユーザーに特別な操作をさせることなくセキュリティを強化できますし、NeoFace MonitorではPC内蔵カメラや市販のWebカメラを使って認証することができますので、既に導入された企業からも『非常に簡単で便利ですね』といった評価をいただいております」（NEC パートナーズプラットフォーム事業部 マネージャー 竹ノ内穣氏）

　NECの顔認証技術は、1月から始まった「個人番号カード」の交付時における本人確認の仕組みとして全国の自治体にも導入されている。既に見たことがあるという人も多いだろう。

　「顔認証ログオンセット」ではPCでの対策に加えて、マイナンバー関連の帳票を出力するプリンタでのセキュリティ対策も講じられるオプションを提供している。ICカードなどを利用した追加認証や、記録される印刷ログを利用した履歴の管理や不正使用の追跡調査も行える。マイナンバーは法定調書などにも記載されるので、データと紙文書を含めたセキュリティ対策も検討していただきたい。

　このようにNECの「顔認証ログオンセット」を活用すれば、人事・給与システムの安全なアクセスを確保し、なりすまし防止をはじめとしたセキュリティ対策をすぐに講じることができるだろう。

内部不正のリスクに対応

　人事・給与システムのセキュリティ対策で、もう一つ優先的に取り組むべきことは、マイナンバーを含むデータを格納しているデータベース（DB）へのアクセス監視である。企業の内部関係者が人事・給与システム経由ではなく、マイナンバーを保管しているDBに直接アクセスし、マイナンバーや関連する情報を不正に持ち出す恐れもある。

　マイナンバー安心セットの「アクセスログ監視セット」は、非常に信頼性の高い、安定した性能の4コアのインテル® Xeon® プロセッサー E3-1220v3を搭載している「Express5800/R110g-1E」または「Express5800/T110g-S」と、Oracle DatabaseやMicrosoft SQL Severに対応したアクセスログ管理ソフト「ALog ConVerter DB」で構成され、マイナンバーを保管しているDBへのアクセスの監視や不審なアクセスのアラート、詳細なアクセスログの保存と分析が行える。

アクセスログ監視セット

　マイナンバー制度が始まったばかりとはいえ、退職者の手続きや新入社員への対応のためにマイナンバーを扱う機会が春先に向けて増えていくだろう。マイナンバーを保管しているシステムへのアクセスも増加することから、アクセス状況を適切に把握して不正行為を防ぐセキュリティ対策も優先すべきだ。

NEC ビジネスクリエイション本部 第二セキュリティビジネス推進グループ マネージャー 中田浩章氏

　「マイナンバー法では罰則規定が設けられていますので、仮にマイナンバーが漏えいしてしまった場合、いつ、だれが、どのシステムで、どんな操作をしたのかという事実を直ちに把握し、それが攻撃など故意によるものか、利用者の過失によるものかを特定して、責任の所在を明らかにしなければなりません。その手掛かりはログにあります」（NEC ビジネスクリエイション本部 第二セキュリティビジネス推進グループ マネージャー 中田浩章氏）

　しかし、DBの監査ログの内容を理解するには専門知識が必要になる。そのため、専門知識を持たないユーザーでも分かりやすいように、ALog ConVerter DBはDB監査ログを分かりやすいアクセスログに変換し、レポートとして出力してくれる。休日など本来の業務時間外に発生したシステムへのアクセスや、マイナンバー関連データで不審な行為をしたユーザーの特定、特定の従業員が一定期間に行った操作履歴などをすぐに把握し、適切な対応をとることができるだろう。

---

　マイナンバー安心セットでは「データ暗号化セット」や「機密ファイル保管サーバセット」も提供しており、今後マイナンバーセキュリティにおいて重要性が高まるデータベースシステムやファイルサーバにおける対策を提供している。ネットワークを含めた包括的なマイナンバーのセキュリティ対策でNECは全方位のソリューションを用意しており、将来にわたるセキュリティ強化への取り組みにおいて同社が力強くサポートしてくれるはずだ。

　始まったばかりのマイナンバー制度。マイナンバーを取り扱うシステムの安全性をこれから着実に高めていくためにも、まずはNECのマイナンバー安心セットを利用して、優先すべき部分でのセキュリティ対策を着実に進めていただきたい。

詳細はこちらでご覧いただけます。