日経BPコンサルティング、「マイナンバー対応と情報セキュリティに関する調査」結果を発表

日経BPコンサルティング調べ
マイナンバー制度はセキュリティ関連の認知が不十分、
組織的安全管理措置の対応が今後進展
〜「IT部門のためのマイナンバー対応白書２０１５−２０１６」より〜


　株式会社日経BPコンサルティング（所在地：東京都港区、代表取締役社長：戸田　雅博）はこのほど、「マイナンバー対応と情報セキュリティに関する調査」を実施し、その結果を「IT部門のためのマイナンバー対応白書２０１５−２０１６」にまとめました。


　マイナンバー制度について、「従業員の退職７年後に個人番号を廃棄する必要がある」ことなど、セキュリティ関連の詳細な認知は不十分であること、対応作業の準備・実施層は４２％であることが分かりました。さらに、マイナンバーの安全管理措置のうち、想定される２０項目の手法の検討状況を尋ねたところ、「特定個人情報ファイルの削除・廃棄の記録」など、特定個人情報の取り扱い、および組織的安全管理措置として想定される手法が、今後対応が進むと位置づけられました。

　調査は２０１５年６〜７月に実施し、従業員数規模が３００人以上の企業の情報システム部門の所属者からの４９８件の回答を集計しました。

　マイナンバー制度は、２０１３年５月に制定された「行政手続における特定の個人を識別するための番号の利用等に関する法律」に基づき、２０１６年１月に個人番号の利用が開始されます。実運用開始まで残り６カ月の時点で、取り組み実態を調査しました。同様の調査としては、対象者層や調査内容が異なるが、当社が２０１５年３月末に日経コンピュータと共同で実施し、その結果を同年４月２１日にニュースリリースとして公表しています（http://consult.nikkeibp.co.jp/news/2015/0421mn/）。

　なお、本調査結果については、日経BP社が主催するICT分野の総合展示会「ITproEXPO　２０１５」において、２０１５年１０月１日（木）１３：００〜１３：４０に開催されるセミナー（http://itpro.nikkeibp.co.jp/expo/2015/forum/view.html?c=M-231）で、より詳しく解説します。


◆「退職７年後に個人番号は廃棄」など厳格な管理を要することの認知が低い
　「マイナンバー制度の運用が始まること」に関する周知・啓発は、２０１５年初から本格化した。ここでは、もう少し踏み込んで、マイナンバー制度に関する詳細な説明を含む１８項目について、その認知を尋ねたところ、６割以上の認知度は５項目と少数にとどまった。最も高い７８．３％の認知度は、「個人に１２桁の番号を割り当てる」ことである。認知度が５割以上の項目は９項目と半数となり、４割以上の項目では１２項目と半数を超える水準となる（図１）。

　これに対して、認知度が唯一の１割台で最も低いのは、「従業員の退職後には、原則７年後に個人番号を廃棄する必要がある」（同１８．９％）こと。これに次いで、認知度が２５％前後と低い３項目は、「個人情報保護法では『５，０００件以下の個人情報の保有者』は対象外だが、マイナンバー制度では対象外ではない」（２４．７％）、「行政機関や勤務先など、社会保障、税、災害対策の手続きに必要な場合などを除き、他人に個人番号の提供を求めてはならない」（２６．３％）、「法律や条例で決められている手続きで行政機関や勤務先などに個人番号を提供する際は、本人確認を義務付けている」（２６．５％）――である。

　マイナンバーは、現行の個人情報保護法で定められた個人情報よりも、厳格な管理を必要とすること、セキュリティ関連対策が重要であることを、認知度が下位の４項目は説明している。この認知度が低いことは、マイナンバーのセキュリティを高い水準に保つべきことが、社内関係者の共通認識となりにくいこと、従業員への周知・教育の大幅な強化が求められていることを示している。

　図１　マイナンバー制度の説明文に関する認知
　マイナンバー対応作業の予定なし層（有効票全体の２．０％）を含めた結果。

　＊添付の関連資料を参照

◆対応作業の準備・実施層は４２％、予定層まで含めて６４％
　マイナンバー対応作業の準備・実施状況について見ると、「準備・実施している」（実施層）は４２．０％であり、「準備・実施していないが、予定はある」（２１．９％）の予定層と合わせた「実施・実施予定層」は６３．９％と６割台に達した（図２）。これに「準備・実施していないが、法制度でもあり、必要になったときに都度対応するはず」（８．０％）を合わせた「実施・実施予定・実施想定層」は７１．９％と７割台に達した。一方、「準備・実施していないし、予定もない」という「予定なし層」は２．０％とごく少数にとどまり、「状況が全く分からない」という「不明層」は２６．１％であった。

　属性別に見ると、金融業は実施層が６９．０％と多く（回答数はn＝２９と少ないので誤差がやや大きい）、流通業は実施予定層が３２．０％と多い点に特徴がある。一方、従業員規模別に見ると、実施層は４割台前半でほとんど同じだが、５，０００人以上の大規模企業は不明層が３７．９％と多いため、状況が分かっている層を母数として集計した場合の実施層は約７割と最も高い。大企業の情報システム部門は、マイナンバーの担当者が同じチーム内にいないなど、対応状況を把握しにくいことが背景にある。

　図２　マイナンバー対応作業の準備・実施状況

　＊添付の関連資料を参照


◆組織的安全管理措置として想定される手法は今後対応が進む
　政府がマイナンバーの適正な取り扱いのためにガイドラインとして定めた安全管理措置は、組織的、人的、物理的、技術的の４分野に分類される。このうち、（１）組織的、（２）物理的、（３）技術的の３分野の安全管理措置については、情報システム／ツールによる支援が効果的で、その検討状況を情報システム部門の所属者に尋ねるのが適切と考え、各措置として想定される手法について、それぞれ５、４、１１項目、合計２０項目の検討状況として尋ねて整理した。

　安全管理措置の手法の検討状況として、（１）既存システムで実施済み（「実施済み」と略す）、（２）新規の対応を検討中（「検討中」と略す）、（３）新規に対応する必要があるが、具体化していない、（４）検討していない、（５）分からない／勤務先には該当しない――の５つの選択肢から回答者に選んでもらった。このうち、（１）実施済みと（２）検討中の構成比の関係について、（１）（２）の両指標の平均点で４つの象限に分割し、安全管理措置に関する２０項目の手法をプロットした（図３）。

　図３　「組織的／物理的／技術的安全管理措置として想定される手法」における、「（１）実施済み」と「（２）検討中」の構成比の関係
　マイナンバー対応作業の準備・実施層（予定・想定あり）、状況不明層を含み、予定なし層を除外し、該当設問で「分からない、勤務先には該当しない」回答者を除外した結果。項目によりnは異なる（n＝３２５〜４０７）。

　＊添付の関連資料を参照

　まず組織的安全管理措置の手法の５項目は、すべて左上の象限、つまり「実施済みが少なく、検討中が多い」ゾーンにプロットされた。この左上の象限には、組織的安全管理措置の４項目（（１）「特定個人情報ファイルの削除・廃棄の記録」、（２）「特定個人情報ファイルの利用・出力状況の記録」、（３）「特定個人情報ファイルの取扱担当者のシステム利用状況の記録」、（４）「特定個人情報の取扱状況についての監査」）、および技術的安全管理措置の１項目（「特定個人情報ファイルを取り扱う情報システムをアクセス制御により限定すること」）を合わせ、特定個人情報の取り扱いに関する項目が多いことも特徴である。特定個人情報は、マイナンバー制度対応を機に打ち出された概念であり、実施済みが少ないのは当然である。しかし、これ以外の４つの選択肢の中で、「新規の対応を検討中」の構成比が相対的に高い点で注目に値する。特定個人情報の取り扱い、および組織的安全管理措置として想定される手法は、今後対応が進展すると考えられる。

　次に物理的安全管理措置の手法の４項目は、下側の象限、つまり「実施済みは平均前後に位置し、検討中が少ない」ゾ―ンにプロットされた。４項目のうち３項目は、電子媒体の持ち出しと書き込みの制御に関する措置である。さらに、技術的安全管理措置の手法の１１項目は、４象限のすべてに位置しており、内容によりどの象限にあるかが異なる。このうち６項目は、右下の象限、つまり「実施済みが多く、検討中が少ない」ゾーンにプロットされる。特に、「ウイルス対策ソフトの導入」は他の項目から遠く離れて、最も右下に位置しており、約９割が実施済みである。他の技術的安全管理措置も、実施済みの項目が少なくないと言える。


◆ITpro　EXPO　のセミナーで、本調査結果を詳しく解説
　本調査結果については、日経BP社が主催するICT分野の総合展示会「ITproEXPO　２０１５」のセミナー（http://itpro.nikkeibp.co.jp/expo/2015/forum/view.html?c=M-231）で、より詳しく解説する。このセミナーの参加者には、「IT部門のためのマイナンバー対応白書２０１５−２０１６」を当日贈呈する。


　セミナー番号：M−２３１
　タイトル：
　　マイナンバーの安全管理措置の実現手法
　　―IT部門が回答した最新調査結果で徹底解説
　日時：２０１５年１０月１日（木）１３：００〜１３：４０
　会場：東京ビッグサイト、ITproEXPO展示会場内セミナールーム１


【調査概要】
　［調査名称］
　　マイナンバー対応と情報セキュリティに関する調査

［調査目的］
　マイナンバー制度が２０１６年に実運用を開始するに際して、情報セキュリティに関する備えが重要であるとの認識に立ち、国内の中堅・大規模企業におけるこの分野の実態を把握する。
　調査対象者：日経BPコンサルティングの調査モニターから、「従業員数規模が３００人以上の企業」で、「IT部門（勤務先の情報システムを担当）」の所属者を抽出した。

［調査対象者］
　従業員数規模が３００人以上の企業の情報システム部門の所属者

［調査方法］
　Webアンケート調査

［有効回収数］
　４９８件

［調査日程］
　２０１５年６月２４日（水）〜７月６日（月）

［回答者属性］
　・勤務先の業種
　　製造業４３％、流通業１０％、金融業６％、建設・土木・不動産業６％、情報処理サービス業１５％、その他２０％
　・従業員数規模
　　３００人〜９９９人は３５％、１，０００人〜４，９９９人は３２％、５，０００人以上は３２％
　・役職
　　経営者・役員は１％、部長は１３％、課長は３２％、係長・主任は２９％、一般社員・職員・その他は２５％
　・勤務先の情報セキュリティ対策への関与状況
　　検討参画者は３５％、検討参画者への情報提供層は３４％、承認者は６％


　調査機関：株式会社日経BPコンサルティング
　調査委託者：Sky株式会社


◆株式会社日経BPコンサルティング
　日経BP社全額出資の「調査・コンサルティング」「企画・編集」「制作」など、コンサルティング、コンテンツ関連のマーケティング・ソリューション提供企業。（２００２年３月１日設立。資本金９，０００万円）


【関連リンク】
　・マイナンバー実態調査２０１５
　　http://consult.nikkeibp.co.jp/report/mn/