マイナンバーのセキュリティ対策を徹底解説｜企業が知るべきリスクと管理体制

企業が従業員のマイナンバーを取り扱う際には、通常の人事情報とは異なる厳格な管理が求められます。マイナンバーカード自体には複数の安全機能が搭載されていますが、企業が保有するデータまで自動的に守られるわけではありません。

特に、従業員数や拠点数の多い企業では、担当者ごとの運用差やアクセス権限の広がりが情報漏洩につながる可能性があります。

本記事では、行政機関がマイナンバーに関わる個人情報を安全に管理する仕組みを説明したうえで、企業が注意すべきリスクや、実施すべきセキュリティ対策・管理体制について解説します。。

行政機関はマイナンバーに関わる個人情報をどう守っているか

行政機関では、マイナンバーに関わる個人情報を安全に取り扱うため、情報の管理方法とシステムへのアクセスの両面で対策を講じています。その基本となるのが、**各行政機関が必要な情報をそれぞれ保有・管理する「分散管理」の仕組みです。**

国が個人の情報を一つの巨大なデータベースに集約しているわけではありません。税務情報は税務当局、年金情報は年金関係機関というように、各機関が従来どおり管理を担っています。行政機関同士で情報を連携する際も、マイナンバーそのものではなく、機関ごとに異なる専用の符号を用い、行政手続きに必要な情報だけをやり取りする仕組みです。

この分散管理により、一つの行政機関のシステムに不正アクセスがあった場合でも、そこからすべての個人情報が芋づる式に流出するリスクを抑えています。さらに、各行政機関では、システムにアクセスできる職員や閲覧できる情報の範囲を厳格に制限しています。このように、行政側では分散管理とアクセス制御などを組み合わせ、個人情報を保護するための強固な対策を講じています。

企業が実施すべきマイナンバーのセキュリティ対策

行政機関が厳格に保護しているマイナンバーに関わる個人情報は、企業が取り扱う過程でも安全に管理する必要があります。行政側の対策によって企業が保有するデータまで保護されるわけではないため、企業にも、自社の取り扱いに応じた厳格な管理体制の整備が求められます。ここでは、企業が実施すべき具体的なセキュリティ対策を説明します。

取り扱い担当者の限定と利用目的の明確化

企業がマイナンバーを利用できるのは、法令で認められた事務の範囲に限られます。代表的な用途は、給与所得の源泉徴収票作成、社会保険や雇用保険の手続きなどです。

まず、マイナンバーを取り扱う事務の範囲と利用目的を明確にし、事務取扱担当者を必要最小限に限定します。人事部門の全員が閲覧できる、共有IDでシステムを利用しているといった状態は避けなければなりません。

異動や退職があった際には、速やかに権限を変更・削除する運用も必要です。役職ではなく、担当業務に応じてアクセス権限を付与することが基本となります。

収集・保管・使用・廃棄の各フェーズにおける管理ルール

マイナンバーのセキュリティ対策は、「収集・保管・使用・廃棄」の全フェーズを通して設計します。

収集時には利用目的を通知し、番号確認と身元確認を適切に行います。メールへの直接添付や、暗号化されていないファイルによる回収は避け、専用のアプリケーションや安全な提出方法を用意します。

保管時には、アクセス制御・データの暗号化・操作ログの取得・端末や媒体の持ち出し制限などを実施します。紙で保管する場合も、施錠できる保管庫を使用し、閲覧や持ち出しのルールを定める必要があります。

使用時には、誰が・いつ・どの情報を・どの目的で閲覧・出力したのかを確認できる状態にします。CSVファイルの一時保存や印刷物の放置など、システム外にデータが残る場面にも注意が必要です。

所管法令で定められた保存期間を経過し、個人番号を利用する事務処理の必要がなくなった場合は、できるだけ速やかに削除・廃棄します。税務・社会保険・雇用保険など、関係書類ごとに保存期間や起算点が異なるため、文書種別ごとに保存・廃棄ルールを整理しておくことが重要です。

参考：国税庁「国税庁標準文書保存期間基準（保存期間表）」

セキュリティコードの管理とパスワード設定のルール

マイナンバーカードの認証（セキュリティコード）には、原則として「暗証番号」と「パスワード」の2つがあり、用途によって使い分けられています。

英数字6～16文字で設定する「署名用電子証明書」のパスワードは、電子申請などで文書の作成者や改ざんの有無を確認するために使用されます。一方、数字4桁の「利用者証明用電子証明書」の暗証番号は、マイナポータルへのログインなど、利用者本人であることを証明するためのものです。

企業が従業員のカードや暗証番号を預かって管理するものではありません。暗証番号を第三者に教えない、カードと一緒にメモを保管しない、企業の担当者が暗証番号を聞き取らないといったルールを、従業員教育に盛り込むことが適切です。

マイナンバーを騙った詐欺への対従業員教育

マイナンバー管理の教育は、人事担当者だけを対象にしても十分ではありません。一般の従業員が詐欺に遭い、カード画像や認証情報を入力してしまう可能性があるためです。行政機関や会社を名乗る連絡であっても、暗証番号や認証コードを求められた場合は対応しないこと、メールやSMSのリンクを安易に開かないことを定期的に周知します。

不審な連絡を受けた場合の報告先も明確にしておきましょう。人事・総務・情報システム・法務などのどの部門へ報告するのかを決め、初動を標準化することで被害の拡大を防ぎやすくなります。

大企業が見落としがちなマイナンバー管理のリスクポイント

マイナンバー管理は、制度上のルールを理解するだけでは十分ではありません。特に大企業やグループ企業では、複数法人・複数拠点・複数雇用区分にまたがって同じ水準の管理を維持する必要があります。運用が現場任せになると、提出方法や保管方法、権限管理にばらつきが生じ、属人化や監査対応上の課題につながるおそれがあります。

複数拠点・グループ会社にまたがる管理の複雑さ

大企業やグループ企業では、本社・支社・店舗・子会社などでマイナンバーを収集することがあります。拠点ごとに提出方法や保管場所が異なると、セキュリティ水準にばらつきが生じます。

マイナンバー制度に対応した高いセキュリティのシステムを導入していても、一部の拠点が紙やメールで独自運用を続けていれば、全体としての安全性は確保できません。

取り扱い規程・申請経路・権限設計・事故時の報告フローをグループ共通で整備し、定期的に運用状況を確認する必要があります。

内部統制・監査対応としてのセキュリティ証跡の重要性

上場企業や大企業では、ルールが存在するだけでなく、実際に守られていることを説明できる状態が求められます。

そのためには、「いつ・誰が・何の目的で・どの情報にアクセスしたか」を追跡できる操作ログやアクセス履歴が欠かせません。権限の申請や承認記録・定期的な権限棚卸し、データを削除した記録も、統制の運用状況を示す証跡になります。

J-SOX対応において、すべてのマイナンバー操作ログが一律に法定保存対象となるわけではありません。しかし、給与計算など財務報告に関連する業務プロセスの統制を評価するうえで、アクセス管理や変更履歴を確認できる仕組みは有効です。

アウトソーシングで管理体制を強化する選択肢

拠点や対象者が多い企業では、マイナンバー管理を含む人事労務業務をBPO事業者へ委託する方法も選択肢の一つです。収集窓口や保管環境、アクセス管理を集約することで、社内担当者の負荷と属人化リスクを抑えやすくなります。

特にペイロールは、2026年3月末時点で279社・123万人規模の業務を受託しており、これに伴う膨大な数のマイナンバーを安全に処理・保管する高度な運用基盤を有しています。ISAE3402／SSAE18（SOC1）レポートを取得するなど、特定個人情報（マイナンバー）の取り扱いに不可欠な厳格な内部統制・セキュリティ体制を整備しており、自社単独では構築が難しいマイナンバー管理環境を実現する有力な選択肢となります。

ただし、委託すれば企業の責任がなくなるわけではありません。委託先の安全管理措置を確認し、契約内容を整備したうえで、取り扱い状況を継続的に監督する必要があります。

委託先を選ぶ際は、受託実績だけでなく、アクセス権限管理・ログの保存・再委託の条件・事故発生時の報告体制・監査報告書の有無まで確認することが大切です。