JP2020053091A - 個人番号管理装置、個人番号管理方法、および個人番号管理プログラム - Google Patents

Abstract

【課題】マイナンバーなどの重要な特定個人情報の漏洩を防いで、厳密に情報を管理することが可能な特定個人情報管理装置、特定個人情報管理方法、および特定個人情報管理プログラムを提供することを課題とする。【解決手段】記憶部１０６と制御部１０２とを備え、情報システム内において特定個人情報の管理を行う特定個人情報管理装置１００であって、情報システムには、情報システム全体を管理するシステム管理者と特定個人情報を専属で管理する特定個人情報管理者とを配置し、記憶部１０６は、特定個人情報を記憶するマイナンバーＤＢ１０６ｂを備え、制御部１０２は、マイナンバーＤＢ１０６ｂに対するアクセス権限の設定を行うマイナンバー権限設定部１０２ｂ−１を備え、マイナンバー権限設定部１０２ｂ−１は、特定個人情報管理者によってのみマイナンバーＤＢ１０６ｂへのアクセス権限の設定を可能にする。【選択図】図１

Description

本発明は、特定個人情報管理装置、特定個人情報管理方法、および特定個人情報管理プログラムに関する。

近年、国民一人に一つの番号（マイナンバー）を付すことにより、社会保障や税や災害対策の分野で効率的に情報を管理していくマイナンバー制度（国民総背番号制度）が注目されている。このマイナンバー制度は、行政を効率化し、国民の利便性を高め、公平かつ公正な社会を実現するための基盤となることが期待されている。その反面、マイナンバーが利用目的以外に使われたり、漏洩したりすると悪用されるおそれがあるため、個人情報よりも罰則の厳しい特定個人情報として扱われている。このため、マイナンバーのセキュリティ管理を厳格に行うことのできるシステムの開発が要請されている。例えば、特許文献１では、情報資源に対するアクセス管理を行うことができるセキュリティ管理システムが開示されている。

特開２００８−２３４２００号公報

しかしながら、上記特許文献１では、ファイルアクセス権管理はセキュリティ管理者が行っているが、アクセス権付与とアクセス権剥奪は部門担当者が行っているため、マイナンバーといった重要な特定個人情報の漏洩を防いで、厳密に管理することは困難であった。また、従来は、情報システム内においてシステム管理者が全ての特権を持っているため、システム管理者自身が不正行為（業務用途以外の情報の照会や変更等）を行うと、特定個人情報の漏洩を防止することができず、ログ（履歴）を利用して事後的に検知するしかなかった。

本発明は、上記問題点に鑑みてなされたものであって、マイナンバーなどの重要な特定個人情報の漏洩を防いで、厳密に情報を管理することが可能な特定個人情報管理装置、特定個人情報管理方法、および特定個人情報管理プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る特定個人情報管理装置は、記憶部と制御部とを備え、情報システム内において特定個人情報の管理を行う特定個人情報管理装置であって、前記情報システムには、情報システム全体を管理するシステム管理者と、前記特定個人情報を専属で管理する特定個人情報管理者とを配置し、前記記憶部は、前記特定個人情報を記憶する特定個人情報記憶手段を備え、前記制御部は、前記特定個人情報記憶手段に対するアクセス権限の設定を行うアクセス権限設定手段を備え、前記アクセス権限設定手段は、前記特定個人情報管理者によってのみ前記特定個人情報記憶手段へのアクセス権限の設定を可能にすること、を特徴とする。

また、本発明に係る特定個人情報管理装置は、前記アクセス権限設定手段は、前記特定個人情報記憶手段に対するアクセス権限を設定する際に、前記特定個人情報の利用ユーザー、前記特定個人情報の使用用途、前記特定個人情報の操作内容、および前記特定個人情報を扱うエリアあるいは期間のうち少なくとも一つの基準を用いて設定すること、を特徴とする。

また、本発明に係る特定個人情報管理装置は、前記特定個人情報記憶手段は、これに対してアクセスする際に、前記システム管理者と前記個人番号管理者とが共に許可した者のみをアクセス可能にすること、を特徴とする。

また、本発明に係る特定個人情報管理装置は、前記特定個人情報記憶手段は、前記特定個人情報管理者がアクセス権限を設定する特定個人情報操作権限テーブルをさらに備えていることを特徴とする。

また、本発明に係る特定個人情報管理装置は、前記記憶部は、前記特定個人情報記憶手段に対して前記特定個人情報を収集する特定個人情報処理手段をさらに備え、前記特定個人情報処理手段は、前記特定個人情報が記載された書面の画像データと、前記特定個人情報の手入力データとが入力されると、前記画像データを画像読取りした値と、前記手入力データの値とを比較し、値が一致した場合はその値を特定個人情報として前記特定個人情報記憶手段へ格納し、値が一致しない場合は担当者が前記画像データと前記手入力データとを確認して正しい値を前記特定個人情報記憶手段へ格納することを特徴とする。

本発明に係る特定個人情報管理方法は、記憶部と制御部とを備え、情報システム内において特定個人情報の管理を行う特定個人情報管理装置で実行される特定個人情報管理方法であって、前記情報システムには、情報システム全体を管理するシステム管理者と、前記特定個人情報を専属で管理する特定個人情報管理者とを配置し、前記記憶部は、前記特定個人情報を記憶する特定個人情報記憶手段を備え、前記制御部で実行される、前記特定個人情報記憶手段に対するアクセス権限の設定を行うアクセス権限設定ステップを含み、前記アクセス権限設定ステップは、前記特定個人情報管理者によってのみ前記特定個人情報記憶手段へのアクセス権限の設定を可能にすること、を特徴とする。

本発明に係る特定個人情報管理プログラムは、記憶部と制御部とを備え、情報システム内において特定個人情報の管理を行う特定個人情報管理装置で実行させるための特定個人情報管理プログラムであって、前記情報システムには、情報システム全体を管理するシステム管理者と、前記特定個人情報を専属で管理する特定個人情報管理者とを配置し、前記記憶部は、前記特定個人情報を記憶する特定個人情報記憶手段を備え、前記制御部で実行される、前記特定個人情報記憶手段に対するアクセス権限の設定を行うアクセス権限設定ステップを含み、前記アクセス権限設定ステップは、前記特定個人情報管理者によってのみ前記特定個人情報記憶手段へのアクセス権限の設定を可能にすること、を特徴とする。

本発明によれば、特定個人情報の漏洩を防いで、厳密に特定個人情報を管理することができるという効果を奏する。

図１は、特定個人情報管理装置の構成の一例を示すブロック図である。 図２は、マイナンバー基盤の一構成例を示す概略図である。 図３は、特定個人情報管理装置の機能一覧の一例を示す図である。 図４は、セキュリティ強化のための多次元セキュリティ設定の一例を示す図である。 図５は、セキュリティ強化のための管理者分離の一例を示す図である。 図６は、特定個人情報の収集業務の効率化の一例を示す図である。 図７は、マイナンバー基盤導入前のセキュリティＤＢへのアクセス権設定フローの一例を示す図である。 図８は、マイナンバー基盤導入時点のセキュリティＤＢとマイナンバーＤＢへのアクセス権設定フローの一例を示す図である。 図９−１は、システム管理者が管理者に対してジョブ操作権限を付与するフローの一例を示す図である。 図９−２は、ジョブ操作権限が付与された管理者が個人番号管理者に設定されるフローの一例を示す図である。 図１０は、運用開始時点での運用フローの一例を示す図である。 図１１は、セキュリティＤＢにおけるユーザーマスタの設定内容の一例を示す図である。 図１２−１は、マイナンバーＤＢの利用セキュリティの一設定例を示す図である。 図１２−２は、マイナンバーＤＢの操作セキュリティとレコードセキュリティの一設定例を示す図である。 図１２−３は、マイナンバーＤＢの用途セキュリティの一設定例を示す図である。 図１３は、個人番号管理者による通常運用時の運用フローの一例を示す図である。 図１４は、マイナンバーＤＢに対してアクセス権がないユーザーによる通常運用時の運用フローの一例を示す図である。 図１５は、本人によるパスワード変更時の運用フローの一例を示す図である。 図１６−１は、悪意のシステム管理者Ａが個人番号管理者のパスワードを不正に変更した場合の運用フローの一例を示す図である。 図１６−２は、悪意のシステム管理者Ａが個人番号管理者になりすまして不正にログインした場合の運用フローの一例を示す図である。 図１７−１は、システム管理者Ｂによる不正後の立て直しの運用フローの一例を示す図である。 図１７−２は、システム管理者Ｂと共に個人番号管理者Ａが不正後の立て直しを行う運用フローの一例を示す図である。

本発明の実施形態を図面に基づいて詳細に説明する。なお、本発明は本実施形態により限定されるものではない。本実施形態で扱う特定個人情報（マイナンバー）は、その利用範囲や取り扱いの厳密性について法律上で定められており、厳しい罰則もある。従業者がこれに反する違反行為を行った場合には、その行為者だけでなく、法人にも罰金刑が科されるため、企業として厳密な管理を実施する必要がある。

［１．概要］
本実施形態における主な特徴を以下の概要で簡単に説明する。
（多次元でのセキュリティ設定）
本実施形態に係る特定個人情報管理装置１００の特徴は、多次元でのセキュリティ設定を行うことで、特定個人情報の漏洩を防ぐとともに、特定個人情報の管理を厳密に行っている。例えば、アクセスできる者、業務用途、操作内容（照会、追加、変更、削除）、データ範囲（会社や事業所による絞り込み）など、複数のセキュリティ設定を組み合わせることにより、特定個人情報に対して詳細なアクセスコントロールを可能にしている。さらに、従来からあるシステム管理者によるシステム管理セキュリティにおいて、ジョブ起動制限を制御することも可能である。このように、特定個人情報に対するアクセスについては、アクセス権者（利用セキュリティ）、業務用途（用途セキュリティ）、操作内容（操作セキュリティ）、データ範囲（レコードセキュリティ）といった多次元のセキュリティ設定を行って可能なアクセスを絞り込むことにより、不正リスクを最小限に抑えることができる。

（システム管理者と個人番号管理者の分離）
また、本実施形態に係る特定個人情報管理装置１００のもう一つの特徴は、（１）システム管理者とは独立した特定個人情報管理者としての個人番号管理者を配置し、（２）特定個人情報のセキュリティ設定は、システム管理者の管轄外に保存し、（３）特定個人情報へアクセスする際には、システム管理者と個人番号管理者が共に許可した者のみをアクセス可能としている。これにより、情報システムにおいて全権を持ったシステム管理者が悪意を持っていた場合でも、機密情報であるマイナンバーなどの特定個人情報にアクセスすることができないため、機密情報の漏洩を防ぐことができる。つまり、本実施形態における特定個人情報管理装置１００は、システム管理者と個人番号管理者とを分離することで、各管理者だけでは不正行為を行うことができなくなる。このように、本実施形態における特定個人情報管理装置１００は、従来の仕組みを活用しつつ、上記した（多次元でのセキュリティ設定）と（システム管理者と個人番号管理者の分離）という２つの機能を追加することで、一層堅牢なセキュリティ基盤が実現できるようになった。

［２．構成］
本実施形態に係る特定個人情報管理装置の構成の一例について、図１を参照して説明する。図１は、特定個人情報管理装置１００の構成の一例を示すブロック図である。

特定個人情報管理装置１００は、例えば、市販のデスクトップ型パーソナルコンピュータの中に、重要な特定個人情報であるマイナンバーとそれに関連したデータを専用に格納するマイナンバーＤＢ（マイナンバーデータベース）を構築し、そのマイナンバーＤＢにアクセスするアクセス権限を設定するセキュリティ管理システム（マイナンバー基盤）を実現するためのアプリケーションを導入したものである。なお、特定個人情報管理装置１００は、デスクトップ型パーソナルコンピュータのような据置型情報処理装置に限らず、市販されているノート型パーソナルコンピュータ、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ）、スマートフォン、タブレット型パーソナルコンピュータなどの携帯型情報処理装置であってもよい。

特定個人情報管理装置１００は、制御部１０２と通信インターフェース部１０４と記憶部１０６と入出力インターフェース部１０８と、を備えている。特定個人情報管理装置１００が備えている各部は、任意の通信路を介して通信可能に接続されている。

通信インターフェース部１０４は、ルータ等の通信装置及び専用線等の有線又は無線の通信回線を介して、特定個人情報管理装置１００をネットワーク３００に通信可能に接続する。通信インターフェース部１０４は、他の装置と通信回線を介してデータを通信する機能を有する。ここで、ネットワーク３００は、特定個人情報管理装置１００とサーバ２００とを相互に通信可能に接続する機能を有し、例えばインターネットやＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等である。

記憶部１０６には、各種のデータベース、テーブル、及びファイルなどが格納される。記憶部１０６には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）と協働してＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）に命令を与えて各種処理を行うためのコンピュータプログラムが記録される。記憶部１０６として、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）・ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等のメモリ装置、ハードディスクのような固定ディスク装置、フレキシブルディスク、及び光ディスク等を用いることができる。記憶部１０６には、既存のセキュリティＤＢ１０６ａとビジネスＤＢ１０６ｃの他、本実施形態に特徴的なマイナンバーＤＢ１０６ｂを備えている。

セキュリティＤＢ１０６ａは、システム管理者が情報システムを利用するユーザーに対してジョブ操作権限を付与するなどのセキュリティ設定に関するデータを格納している。さらに、セキュリティＤＢ１０６ａには、システム管理者が付与するジョブ操作権限をユーザーＩＤと暗号化されたパスワードにより管理するユーザーマスタＵＭを備えている。

マイナンバーＤＢ１０６ｂは、特定個人情報としてのマイナンバーに関する各種データを格納している。例えば、個人番号、個人情報、セキュリティ情報、ログ情報、確認書類、用途、保存期間などを格納している。さらに、マイナンバーＤＢ１０６ｂには、マイナンバーへの操作権限を付与する個人番号管理者をシステム管理者とは別に配置し、個人番号管理者が付与するマイナンバーへの操作権限をユーザーＩＤと暗号化されたパスワードにより管理する特定個人情報操作権限テーブルとしてのマイナンバーユーザーマスタＭＵＭを備えている。

ビジネスＤＢ１０６ｃは、会社の給与計算や年末調整等の業務データを格納している。この業務データ処理でマイナンバー（個人番号）の入力が必要な場合、業務担当者は、個人番号管理者からマイナンバーへの操作権限を付与されるとマイナンバーＤＢ１０６ｂへのアクセスが許可される。

入出力インターフェース部１０８には、入力装置１１２及び出力装置１１４が接続されている。出力装置１１４には、モニタ（家庭用テレビを含む）の他、スピーカやプリンタを用いることができる。入力装置１１２には、キーボード、マウス、及びマイクの他、マウスと協働してポインティングデバイス機能を実現するモニタを用いることができる。なお、以下では、出力装置１１４をモニタ１１４とし、入力装置１１２をキーボード１１２またはマウス１１２として記載する場合がある。

制御部１０２は、特定個人情報管理装置１００を統括的に制御するＣＰＵ等である。制御部１０２は、ＯＳ等の制御プログラム・各種の処理手順等を規定したプログラム・所要データなどを格納するための内部メモリを有し、格納されているこれらのプログラムに基づいて種々の情報処理を実行する。制御部１０２は、機能概念的に、既存のシステム処理部１０２ａと業務処理部１０２ｃの他、本実施形態に特徴的なマイナンバー処理部１０２ｂを備えている。

システム処理部１０２ａは、システム管理者によるシステム全体の管理に必要な処理を行う。例えば、ユーザーの登録、変更、削除、ユーザーのパスワードの強制変更、ユーザーの使用を停止するための無効化、ジョブ操作権限の付与等がある。本実施形態に特徴的な個人番号管理者を配置する場合は、システム管理者がユーザーマスタＵＭを使って個人番号管理者にジョブ操作権限を付与しないと、マイナンバーを操作するためのジョブが起動できなくなる。ジョブ操作権限の付与は、システム権限設定部１０２ａ−１で行われる。

マイナンバー処理部１０２ｂは、本実施形態に特徴的な個人番号管理者によってマイナンバー管理に必要な処理を行う。例えば、マイナンバーへのアクセス許可、マイナンバー操作権限設定、マイナンバーの範囲権限設定、マイナンバーのログポリシーの設定、マイナンバー監査ポリシー設定等がある。マイナンバーに関する各種権限設定は、アクセス権限設定手段としてのマイナンバー権限設定部１０２ｂ−１で行われる。本実施形態では、マイナンバーＤＢ１０６ｂに対してセキュリティ設定を行うマイナンバー処理部１０２ｂを、システム管理者とは別の個人番号管理者の専任とした特定個人情報管理システムをここでは、マイナンバー基盤ＭＳＦと称し、システム管理者の管轄外にセキュリティ設定を保存する。

業務処理部１０２ｃは、業務担当者がビジネスＤＢ１０６ｃにアクセスして、年末調整、資格取得届け、支払調書などの各種業務処理を行う。この業務処理中にマイナンバー入力が必要になった場合、業務担当者は、個人番号管理者からマイナンバーに対する操作権限を設定してもらう。

［３．処理］
本実施形態の処理の具体例について、図２から図１９を参照して説明する。図２は、マイナンバー基盤の一構成例を示す概略図であり、図３は、特定個人情報管理装置の機能一覧の一例を示す図であり、図４は、セキュリティ強化のための多次元セキュリティ設定の一例を示す図であり、図５は、セキュリティ強化のための管理者分離の一例を示す図である。

本実施形態にかかる特定個人情報管理装置１００は、図２に示すように、従来のシステム基盤の中に、マイナンバー基盤ＭＳＦを追加し、システム全体の管理を行うシステム管理者ＳＡとは別に、特定個人情報（マイナンバー）を専属で管理する特定個人情報管理者としての個人番号管理者ＰＡを配置している。

マイナンバー基盤ＭＳＦは、図２に示すように、特定個人情報としてのマイナンバー（個人番号）とそれに関連した情報を格納するマイナンバーＤＢ１０６ｂに対してセキュリティ設定、データアクセスの可否、監査・通知等の管理をマイナンバークラスＭＣで行っている。マイナンバーＤＢ１０６ｂに対する操作権限を管理する個人番号管理者ＰＡは、マイナンバー基盤ＭＳＦにおけるセキュリティ設定画面ＭＳＳと登録／照会画面ＭＲＳを使って図３に示す各種機能の設定や登録が行われる。例えば、マイナンバー基盤登録／照会画面ＭＲＳでは、データアクセスに関連した登録（情報登録、停止、ファイル受入、ファイル出力）、照会（業務利用）、削除（退職）を行うことができる。また、マイナンバー基盤セキュリティ設定画面ＭＳＳでは、安全管理措置に関連した情報漏洩対策として、暗号化、アクセス権限（利用セキュリティ）、用途権限（用途セキュリティ）、操作権限（操作セキュリティ）、利用範囲権限（レコードセキュリティ）、監視（監査ポリシー）、監査証跡（ログ）に対する設定を行うことができる。

このように、本実施形態に係る特定個人情報管理装置１００の特徴は、既存のシステム基盤の中にマイナンバーＤＢ１０６ｂとそれに対するアクセス管理を行うマイナンバー基盤ＭＳＦを構築し、これを専属で管理する個人番号管理者ＰＡを配置することで、システム管理者ＳＡから独立した管理権限を持たせている。これにより、システム管理者ＳＡや年末調整を行う業務担当者であってもマイナンバーＤＢ１０６ｂにアクセスして社員のマイナンバーを権限無く見ることができなくなる。また、図４に示すように、利用セキュリティ、用途セキュリティ、操作セキュリティ、レコードセキュリティといった多次元のセキュリティ設定を行うことで、セキュリティ効果を一層強化できる。

例えば、個人番号（マイナンバー）の取り扱いは、通常の個人情報よりも厳しく制限されているため、利用目的以外に個人番号を使ったり、漏洩したり、収集したりすると厳しい罰則が科される。しかし、社内等では、総務部門が会社員の源泉徴収、資格取得届、支払調書などを作成する際に、個人番号を収集して利用する必要がある。このため、個人番号を特定の担当者しか利用できないように、厳密に管理し、漏洩しないようにする必要がある。多次元でのセキュリティ設定は、図４に示す複数のセキュリティ設定を組み合わせることにより、個人番号に対する詳細なアクセスコントロールが可能となる。

多次元でのセキュリティ設定において、「利用セキュリティ」とは、個人番号にアクセスできる担当者（人）ごとに、アクセスの可否を設定するものである。「用途セキュリティ」とは、業務用途（源泉徴収、資格取得届、支払調書など）ごとに、アクセス可否を設定するものである。「操作セキュリティ」とは、操作（照会、追加、変更、削除、ファイル受入、ファイル出力）ごとに、アクセスの可否を設定するものである。「レコードセキュリティ」とは、会社や事業所ごとに扱えるデータ範囲の制限を可能にするものである。

また、システム管理者ＳＡは、システム内において種々の権限設定が可能な特権ユーザーであるため、これまでは悪意を持っているとマイナンバーを取り扱うジョブも使用可能となる。このため、本実施形態では、マイナンバーにおける特権ユーザーとして個人番号管理者ＰＡシステム管理者ＳＡとは別に配置し、互いに独立した特権を持たせている。そして、マイナンバーＤＢ１０６ｂのセキュリティ設定は、システム管理者ＳＡの管轄外であるマイナンバー基盤ＭＳＦに保存されている。このため、マイナンバーＤＢ１０６ｂへアクセスするには、個人番号管理者ＰＡおよび個人番号管理者ＰＡが許可した担当者のみがアクセス可能となる。ただ、図５に示すように、システム管理者ＳＡは、ジョブ操作権限を付与し、個人番号管理者ＰＡは、マイナンバー操作権限（個人番号権限）を付与するため、両方の権限が付与されないと、ジョブが起動できてもマイナンバーの操作ができなかったり、マイナンバーの操作権限があってもジョブが起動できなかったりすると、マイナンバーＤＢ１０６ｂへアクセスできなくなる。このように、システム管理者ＳＡと個人番号管理者ＰＡとが共同して操作権限を付与する必要があるため、不正の発生を抑止することができる。

（マイナンバーの収集業務）
図６は、特定個人情報の収集業務の効率化の一例を示す図である。マイナンバーは、特定個人情報のため、内容を確認できる権限を持つ人が非常に少なく、しかも制度実施時には、マイナンバーの収集業務が集中することが考えられる。このため、人的ミスによる誤登録を極力防止して、収集事務の効率化を図る必要がある。本実施形態では、図６に示すように、マイナンバーを申請する際に、マイナンバーカードを撮影した画像をＯＣＲで初期表示するだけだと、申請者ＣＬが油断して確認精度が落ちるため、これと並行してマイナンバーを手動入力してもらい、手動入力の値と画像の値とを申請者（Ａさん、Ｂさん）毎にマイナンバーＤＢ１０６ａに保存する。担当者ＰＣは、ＯＣＲ精度が必ずしも完璧ではないため、手動入力の値と画像の値とをシステム上で突合させ、値が一致した場合は担当者ＰＣが見ることなくマイナンバーデータを自動収集することができる。手動入力の値と画像の値とが一致しない場合は、担当者ＰＣが目視により申請者ＣＬが入力した番号と、登録カードのＯＣＲ情報とを突き合わせてチェックすることで、人的ミスとＯＣＲの読込ミスの両方を非常に少ない労力でカバーすることができる。さらに、マイナンバーカードの画像データも同時に保存することができるため、本人確認の証憑の収集と保存も同時に行える利点がある。 これらの処理は、特定個人情報管理装置１００の制御部１０２におけるマイナンバー処理部１０２ｂで行われる。

（マイナンバー基盤の設定処理）
ここで、図７から図１０を参照して、マイナンバー基盤の設定処理を具体的に説明する。図７は、マイナンバー基盤導入前のセキュリティＤＢへのアクセス権設定フローの一例を示す図である。図８は、マイナンバー基盤導入時点のセキュリティＤＢとマイナンバーＤＢへのアクセス権設定フローの一例を示す図である。図９−１は、システム管理者が管理者に対してジョブ操作権限を付与するフローの一例を示す図である。図９−２は、ジョブ操作権限が付与された管理者が個人番号管理者に設定されるフローの一例を示す図である。図１０は、運用開始時点での運用フローの一例を示す図である。

マイナンバー基盤導入前は、図７に示すように、システム管理者Ａ（ＳＡ１）と総務部担当者Ａ（ＰＣ１）とが居て、総務部担当者Ａ（ＰＣ１）がセキュリティＤＢ１０６ａにアクセスしたい場合は、システム管理者Ａ（ＳＡ１）から総務部担当者Ａ（ＰＣ１）に（１）アクセス権限が付与され、（２）ユーザーマスタＵＭに総務部担当者Ａ（ＰＣ１）のユーザーＩＤとパスワードを登録することで、（３）総務部担当者Ａ（ＰＣ１）は、セキュリティＤＢ１０６ａに対してアクセスが可能となる。この場合の総務部担当者Ａ（ＰＣ１）のアクセス権限は、「一般」権限となる。

本実施形態に係るマイナンバー基盤導入時点では、図８に示すように、システム管理者Ａ（ＳＡ１）と個人番号管理者Ａ（ＰＡ１）と総務部担当者Ａ（ＰＣ１）が居る。ここで、セキュリティＤＢ１０６ａのユーザーマスタＵＭを見ると、個人番号管理者Ａ（ＰＡ１）のユーザーＩＤとパスワードがビルトインユーザとして追加されているが、セキュリティＤＢ１０６ａに対するアクセス権限が設定されていないため（権限「なし」）、個人番号管理者Ａ（ＰＡ１）はセキュリティＤＢ１０６ａに対してアクセスすることができない。

一方、図８に示すマイナンバーＤＢ１０６ｂのマイナンバーユーザーマスタＭＵＭに対しては、個人番号管理者Ａ（ＰＡ１）のユーザーＩＤとパスワードがビルトインユーザとして追加され、権限も「管理者」となっているため、個人番号管理者Ａ（ＰＡ１）のみマイナンバーＤＢ１０６ｂに対してアクセスすることが可能となる。これに対し、システム管理者Ａ（ＰＡ１）と総務部担当者Ａ（ＰＣ１）は、マイナンバーユーザーマスタＭＵＭに登録されていないためアクセス権限が無く、マイナンバーＤＢ１０６ｂにアクセスすることができない。なお、図８におけるセキュリティＤＢ１０６ａ、あるいは、マイナンバーＤＢ１０６ｂの「権限」の種類には、「管理者」、「一般」、「なし」と表現されているが、実際にはより細かいセキュリティ設定を行うことができる。例えば、「権限あり」、「権限なし」、「禁止」の他、アクセス権者、業務用途、操作内容、データ範囲、あるいは使用期間等に応じて細かくセキュリティ設定を行うこともできる。

システム管理者Ａ（ＳＡ１）が個人番号管理者に対してジョブ操作権限を付与する場合は、図９−１に示すように、システム管理者Ａ（ＳＡ１）は、ログイン画面でユーザーＩＤとパスワードを入力してログインすると、メニュー画面が表示され、その中からユーザー登録画面を選択して表示させる。表示されたユーザー登録画面は、図８のユーザーマスタＵＭと同じ状態である。システム管理者Ａ（ＳＡ１）は、「ＮｕｍｂｅｒＭａｎａｇｅｒ」と表示された個人番号管理者Ａ（ＰＡ１）のユーザーＩＤを図９−１の上図のユーザーマスタＵＭに示す「ＮｕｍｂｅｒＭａｎａｇｅｒＡ」に変更すると共に、個人番号管理者Ｂ（ＰＡ２）のユーザーＩＤ「ＮｕｍｂｅｒＭａｎａｇｅｒＢ」を新たに作成して、パスワードと共に登録する。この時、個人番号管理者Ａ（ＰＡ１）も個人番号管理者Ｂ（ＰＡ２）も権限設定を行っていないため、何れも権限は「なし」となる。そこで、システム管理者Ａ（ＳＡ１）は、権限設定画面を使って、個人番号管理者Ａ（ＰＡ１）と個人番号管理者Ｂ（ＰＡ２）に対しマイナンバー系ジョブの操作権限と、日常使用するジョブの操作権限を付与することで、図９−１の下図のユーザーマスタＵＭの権限が何れも「一般」となる。しかし、システム管理者Ａ（ＳＡ１）は、個人番号管理者Ｂ（ＰＡ２）に対してマイナンバーＤＢ１０６ｂに対するアクセス権限を設定することはできない。

そこで、図９−１の個人番号管理者Ａ（ＰＡ１）に加えて個人番号管理者Ｂ（ＰＡ２）もマイナンバーＤＢ１０６ｂに対するアクセス権限を設定する場合の手順について図９−２で説明する。個人番号管理者Ａ（ＰＡ１）は、ログイン画面でユーザーＩＤとパスワードを入力してログインし、メニュー画面から個人番号管理者のみ使用可能なジョブとして、個人番号権限設定画面を選択して表示させる。ここで、個人番号管理者Ａ（ＰＡ１）は、個人番号管理者Ｂ（ＰＡ２）のユーザーＩＤとパスワードを図９−２の上図のマイナンバーユーザーマスタＭＵＭに登録し、個人番号の「管理者」としての権限を付与する。そして、個人番号管理者Ａと個人番号管理者Ｂは、パスワード変更画面を使って、図９−２の下図のユーザーマスタＵＭとマイナンバーユーザーマスタＭＵＭにおけるパスワードを各個人番号管理者の固有のパスワードに変更する。この場合、入力した現在のパスワードが更新前の値と一致した場合のみ本人確認ができるため、更新が可能となる。これにより、個人番号管理者Ｂ（ＰＡ２）にも個人番号の「管理者」としての権限を付与することができる。

システム管理者Ａ（ＳＡ１）と個人番号管理者Ａ（ＰＡ１）と総務部担当Ａ（ＰＣ１）が居る場合に、図９−２の示す設定に基づいて運用を開始すると、図１０に示すように、システム管理者Ａ（ＳＡ１）の権限は、ユーザー登録／変更／削除と、ユーザーのパスワード強制変更と、ユーザーの無効化（使用停止）と、ジョブ操作権限を付与することができる。そして、システム管理者Ａ（ＳＡ１）は、セキュリティＤＢ１０６ａには「管理者」としてのアクセス権限を持っているが、マイナンバーＤＢ１０６ｂに対するアクセス権限は持っていない。また、個人番号管理者Ａ（ＰＡ１）は、マイナンバーへの操作権限を付与する権限を持っている。そして、個人番号管理者Ａ（ＰＡ１）は、セキュリティＤＢ１０６ａには「一般」権限により日常使用するジョブの操作権限でアクセス可となり、マイナンバーＤＢ１０６ｂには「管理者」としての操作権限でアクセス可となる。また、総務部担当Ａ（ＰＣ１）は、セキュリティＤＢ１０６ａには「一般」権限によりアクセス可となるが、マイナンバーＤＢ１０６ｂには権限が無いためアクセス不可となる。このように、システム管理者Ａ（ＳＡ１）が持つジョブ操作権限付与と、個人番号管理者Ａ（ＰＡ１）が持つマイナンバーへの操作権限の付与により、ユーザーマスタＵＭとマイナンバーユーザーマスタＭＵＭにおける権限設定が行われるが、設定によってはシステム管理者であってもマイナンバーＤＢ１０６ｂにアクセスすることができない。

（マスタに対するセキュリティ設定内容）
次に、図１１から図１２−３を参照して、マスタに対するセキュリティ設定内容の具体例について説明する。図１１は、セキュリティＤＢにおけるユーザーマスタの設定内容の一例を示す図である。図１２−１は、マイナンバーＤＢの利用セキュリティの一設定例を示す図である。図１２−２は、マイナンバーＤＢの操作セキュリティとレコードセキュリティの一設定例を示す図である。図１２−３は、マイナンバーＤＢの用途セキュリティの一設定例を示す図である。

セキュリティＤＢ１０６ａのユーザーマスタＵＭに登録されるユーザーＩＤは、図１１に示すように、通常ジョブで使用可能なセキュリティＤＢ１０６ａに対してシステム管理者、個人番号管理者、東京や大阪の総務担当者、あるいは経理担当者が登録され、各ユーザーに応じたジョブ操作権限によりセキュリティＤＢ１０６ａにアクセスすることができる。

また、マイナンバーＤＢ１０６ｂを利用可能とする人を制限するため（利用セキュリティ）、アクセス権が許諾されたユーザーのユーザーＩＤをマイナンバーユーザーマスタＭＵＭに登録する。図１２−１の上図では、個人番号管理者の他、東京や大阪の総務担当者が登録されている。この場合もマイナンバー基盤のセキュリティ設定は、登録された個人番号管理者および総務のメンバーのみが使用可能となる｛要件１−（１）｝。図１２−１の下図では、マイナンバーユーザーマスタＭＵＭをグループ単位で紐付けるマイナンバーユーザーグループマスタＭＧＭであり、マイナンバーユーザーマスタＭＵＭに登録されたメンバーをグループ化し、その構成メンバーと紐付けることにより、グループ単位でのアクセス権設定が可能となる。

また、図１２−２の上図では、マイナンバーＤＢ１０６ｂを操作内容（照会、追加、変更、削除）に応じてアクセス権を設定した操作セキュリティ設定マスタが示され、図１２−２の下図では、会社や事業所ごとに扱えるデータ範囲の制限を可能にするレコードセキュリティ設定マスタの登録例を示している。操作セキュリティ設定マスタは、図１２−２の上図に示すように、各ユーザーグループ名に対して操作内容（照会、追加、変更、削除）毎にアクセス権が設定されている。例えば、東京総務用ユーザーグループのセキュリティ要件は、東京のデータは照会／追加／変更／削除可能であって｛要件２−（１）｝、大阪のデータは照会のみ使用可能としている｛要件２−（２）｝。また、大阪総務用ユーザーグループのセキュリティ要件は、大阪のデータは照会／追加／変更／削除可能とし｛要件３−（１）｝、東京のデータはアクセス不可としている｛要件３−（２）｝。

さらに、図１２−２の下図に示すレコードセキュリティ設定マスタは、扱える個人番号データの範囲を、東京事業所でしか扱えないものと、大阪事業所でしか扱えないものに絞り込むことにより、取り扱えるデータ範囲に制限をかけることができる。

図１２−３に示す用途セキュリティ設定マスタは、業務用途や利用期間に応じて扱えるデータ範囲に制限をかけるものである。例えば、用途が源泉徴収票の総務＿源泉徴収用ユーザーグループの場合のセキュリティ要件は、図１２−３に示すように、源泉徴収票でのアクセスは、１２／１〜１／３１に限定し｛要件１−（２）｝、東京総務担当者は源泉徴収票でのみ使用可能であり｛要件２−（３）｝、大阪総務担当者は源泉徴収票でのみ使用可能であるとする｛要件３−（３）｝。また、資格取得届でのアクセスは、１１／１〜２／２８に限定し｛要件１−（３）｝、東京総務担当者は、資格取得届でのみ使用可能とし｛要件２−（４）｝、大阪総務担当者は、資格取得届でのみ使用可能とする｛要件３−（４）｝ 。このように、用途セキュリティ設定マスタを用いることにより、業務用途や利用期間に応じて扱えるデータ範囲に制限をかけることができる。

（特定個人情報管理装置の通常運用動作から不正対応動作まで）
ここで、図１３から図１５を参照して、特定個人情報管理装置の通常運用動作について説明する。図１３は、個人番号管理者による通常運用時の運用フローの一例を示す図である。図１４は、マイナンバーＤＢに対してアクセス権がないユーザーによる通常運用時の運用フローの一例を示す図である。図１５は、本人によるパスワード変更時の運用フローの一例を示す図である。図１６−１は、悪意のシステム管理者Ａが個人番号管理者のパスワードを不正に変更した場合の運用フローの一例を示す図である。図１６−２は、悪意のシステム管理者Ａが個人番号管理者になりすまして不正にログインした場合の運用フローの一例を示す図である。図１７−１は、システム管理者Ｂによる不正後の立て直しの運用フローの一例を示す図である。図１７−２は、システム管理者Ｂと共に個人番号管理者Ａが不正後の立て直しを行う運用フローの一例を示す図である。

マイナンバー基盤を管理する個人番号管理者Ａ（ＰＡ１）は、図１３に示すように、ログイン画面でユーザーＩＤとパスワードを入力してログインした後、メニュー画面から使用したいジョブを選択する。ここでは、個人番号管理者Ａ（ＰＡ１）は、権限設定画面から通常ジョブを使用する場合、個人番号管理者Ａ（ＰＡ１）が使用できる機能は、図１３のセキュリティＤＢ１０６ａの権限設定に依存する。つまり、セキュリティＤＢ１０６ａのユーザーマスタに設定された個人番号管理者Ａ（ＰＡ１）の権限は、「一般」であって、その権限の範囲で通常ジョブを使用することができる。

また、個人番号管理者Ａ（ＰＡ１）がマイナンバー系ジョブを使用する場合、個人番号管理者Ａ（ＰＡ１）が使用できる機能は、図１３に示すセキュリティＤＢ１０６ａの権限設定に依存すると共に、マイナンバーＤＢ１０６ｂの権限設定に依存し、かつ、セキュリティＤＢ１０６ａのユーザーマスタＵＭのパスワードと、マイナンバーＤＢ１０６ｂのマイナンバーユーザーマスタＭＵＭのパスワードとが一致する必要がある。このような条件を付けた理由は、後述するようにシステム管理者がマイナンバーＤＢに対して不正アクセスを試みた場合に、これを防止できるようにするためである。

例えば、図１４に示すように、マイナンバーＤＢ１０６ｂに対してアクセス権のない総務部担当者Ａ（ＰＣ１）、あるいは、システム管理者Ａ（ＳＡ１）が既存のログイン画面を使ってログインした後、メニュー画面から通常ジョブを使用した場合は、セキュリティＤＢ１０６ａの権限設定に依存する。つまり、総務部担当者Ａ（ＰＣ１）は、ユーザーマスタＵＭを見ると、「一般」権限であり、システム管理者Ａ（ＳＡ１）は、「管理者」権限である。

また、メニュー画面からマイナンバー系ジョブを使用する場合は、マイナンバーＤＢ１０６ｂの権限設定に依存するが、図１４のマイナンバーユーザーマスタＭＵＭに示すように、総務部担当者Ａ（ＰＣ１）もシステム管理者Ａ（ＳＡ１）も権限が設定されていないため、使用することができない。つまり、マイナンバーＤＢ１０６ｂの使用に関しては、情報システム内における特権ユーザーであるシステム管理者Ａ（ＳＡ１）であっても個人番号管理者が権限設定を行わない限り使用することができない。

そして、個人番号管理者Ａ（ＰＡ１）は、図１５に示すパスワード変更画面を使って、ユーザーマスタＵＭとマイナンバーユーザーマスタＭＵＭにおけるパスワードを変更することができる。つまり、パスワード変更画面において、個人番号管理者Ａが入力した現在のパスワードが、更新前のパスワードと一致すると、本人確認ができるため、新たなパスワードに更新することができる。

ここで、システム管理者Ａ（ＳＡ１）が悪意を持ってマイナンバーＤＢ１０６ｂへ不正アクセスを試みた場合、システム管理者Ａ（ＳＡ１）は、図１６−１に示すように、ログイン画面でユーザーＩＤとパスワードを入力してログインし、メニュー画面から使用したいジョブを選択する。例えば、システム管理者Ａ（ＳＡ１）が通常ジョブを使用する場合は、管理者としてセキュリティＤＢ１０６ａに対する全権限を持っている。しかし、全権限を持っているシステム管理者Ａであっても、マイナンバー系ジョブを選択した場合は、そのままでは権限が無いため、マイナンバーＤＢ１０６ｂに対してアクセスすることができない。

そこで、システム管理者Ａ（ＳＡ１）は、担当者のパスワード忘れなどでパスワードを初期化する機能を悪用し、個人番号管理者Ａのパスワードを強制的に変更した場合、初期化できるのはセキュリティＤＢのユーザーマスタのパスワードに限られ、マイナンバーＤＢのマイナンバーユーザーマスタのパスワードまでは変更されない。しかし、システム管理者Ａは、図１６−２に示すように、個人番号管理者になりすましてログインしようとすると、個人番号管理者のユーザーＩＤと初期化したパスワードをログイン画面で入力することによりログインすることができ、既存のメニュー画面が表示される。個人番号管理者Ａになりすましたシステム管理者Ａ（ＳＡ１）が通常ジョブを使用する場合は、セキュリティＤＢ１０６ａで権限設定された「一般」権限で使用することができる。しかし、個人番号管理者Ａになりすましたシステム管理者Ａ（ＳＡ１）がマイナンバー系ジョブを使用する場合は、図１６−１に示すように、セキュリティＤＢ１０６ａのユーザーマスタＵＭのパスワードと、マイナンバーＤＢ１０６ｂのマイナンバーユーザーマスタＭＵＭのパスワードとが一致しないため、やはりマイナンバー系ジョブを使用することができない。このように、本実施形態に係る特定個人情報管理装置１００は、悪意を持ったシステム管理者Ａ（ＳＡ１）からの不正アクセスを確実に防止することができる。

次に、上記したシステム管理者Ａ（ＳＡ１）が不正アクセスを行った後のシステムの復旧手順について簡単に説明する。不正を行ったシステム管理者Ａ（ＳＡ１）とは別のシステム管理者Ｂ（ＳＡ２）は、図１７−１に示すように、ログイン画面でユーザーＩＤとパスワードを入力してログインし、メニュー画面からユーザー登録画面を表示させる。ここで不正に変更されたパスワードを復旧させるためには、変更された個人番号管理者Ａ（ＳＡ１）のパスワードを「ａｂｃｄｅ」に強制変更する必要がある。しかし、システム管理者Ｂ（ＳＡ２）が強制変更できるパスワードは、セキュリティＤＢ１０６ａのユーザーマスタＵＭのみで、マイナンバーＤＢ１０６ｂのマイナンバーユーザーマスタＭＵＭのパスワードまでは変更できない。このため、個人番号管理者Ａが図１７−２に示すように、ログイン画面でユーザーＩＤとパスワードを入力してログインし、パスワード変更画面でシステム管理者Ｂ（ＳＡ２）が強制変更したパスワード「ａｂｃｄｅ」を現在のパスワードに入力し、「ｐａｓｓ２」を新しいパスワードに入力して変更する。続いて、個人番号管理者Ａは、新たなマイナンバーパスワード同期処理画面を表示させて、マイナンバーＤＢ１０６ｂにアクセス出来ていた時の旧パスワード「ｐａｓｓ１」と、同期させる新パスワード「ｐａｓｓ２」を入力して更新し、個人番号管理者Ａ（ＳＡ１）のセキュリティＤＢ１０６ａのパスワードと、マイナンバーＤＢ１０６ｂのパスワードとを一致させることにより、元の状態に復旧させることが可能となる。

［４．本実施形態のまとめ及び他の実施形態］
以上説明したように、本実施形態に係る特定個人情報管理装置１００により、機密情報であるマイナンバーなどの特定個人情報の漏洩を防ぐとともに、その管理を厳密に行うことで不正リスクを最小限に抑えることができる。特に、情報システム内では、全ての特権を持ったシステム管理者と独立した個人番号管理者を配置し、特定個人情報を格納するマイナンバーＤＢへのアクセス管理を専属で行っている。また、特定個人情報へアクセスする際には、システム管理者と個人番号管理者が共に許可した者のみをアクセス可能とすることで、機密情報の漏洩を防いでいる。さらに、本実施形態に係る特定個人情報管理装置１００は、個人番号管理者がアクセス権者（利用セキュリティ）、業務用途（用途セキュリティ）、操作内容（操作セキュリティ）、データ範囲（レコードセキュリティ）といった多次元のセキュリティ設定を行って可能なアクセスを絞り込むことで、不正リスクを最小限に抑え、特定個人情報に対する詳細なアクセスコントロールが可能となった。

本発明は、上述した実施形態以外にも、特許請求の範囲に記載した技術的思想の範囲内において種々の異なる実施形態にて実施されてよいものである。

例えば、実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。

また、本明細書中や図面中で示した処理手順、制御手順、具体的名称、各処理の登録データや検索条件等のパラメータを含む情報、画面例、データベース構成については、特記する場合を除いて任意に変更することができる。

また、特定個人情報管理装置１００に関して、図示の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。

例えば、特定個人情報管理装置１００が備える処理機能、特に制御部にて行われる各処理機能については、その全部または任意の一部を、ＣＰＵおよび当該ＣＰＵにて解釈実行されるプログラムにて実現してもよく、また、ワイヤードロジックによるハードウェアとして実現してもよい。尚、プログラムは、本実施形態で説明した処理を情報処理装置に実行させるためのプログラム化された命令を含む一時的でないコンピュータ読み取り可能な記録媒体に記録されており、必要に応じて特定個人情報管理装置１００に機械的に読み取られる。すなわち、ＲＯＭまたはＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）などの記憶部などには、ＯＳと協働してＣＰＵに命令を与え、各種処理を行うためのコンピュータプログラムが記録されている。このコンピュータプログラムは、ＲＡＭにロードされることによって実行され、ＣＰＵと協働して制御部を構成する。

また、このコンピュータプログラムは、特定個人情報管理装置１００に対して任意のネットワークを介して接続されたアプリケーションプログラムサーバに記憶されていてもよく、必要に応じてその全部または一部をダウンロードすることも可能である。

また、本実施形態で説明した処理を実行するためのプログラムを、一時的でないコンピュータ読み取り可能な記録媒体に格納してもよく、また、プログラム製品として構成することもできる。ここで、この「記録媒体」とは、メモリーカード、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）カード、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＥＥＰＲＯＭ（登録商標）（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＭＯ（Ｍａｇｎｅｔｏ−Ｏｐｔｉｃａｌ ｄｉｓｋ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、および、Ｂｌｕ−ｒａｙ（登録商標） Ｄｉｓｃ等の任意の「可搬用の物理媒体」を含むものとする。

また、「プログラム」とは、任意の言語または記述方法にて記述されたデータ処理方法であり、ソースコードまたはバイナリコード等の形式を問わない。なお、「プログラム」は必ずしも単一的に構成されるものに限られず、複数のモジュールやライブラリとして分散構成されるものや、ＯＳに代表される別個のプログラムと協働してその機能を達成するものをも含む。なお、実施形態に示した各装置において記録媒体を読み取るための具体的な構成および読み取り手順ならびに読み取り後のインストール手順等については、周知の構成や手順を用いることができる。

記憶部に格納される各種のデータベース等は、ＲＡＭ、ＲＯＭ等のメモリ装置、ハードディスク等の固定ディスク装置、フレキシブルディスク、及び、光ディスク等のストレージ手段であり、各種処理やウェブサイト提供に用いる各種のプログラム、テーブル、データベース、及び、ウェブページ用ファイル等を格納する。

また、特定個人情報管理装置１００は、既知のパーソナルコンピュータまたはワークステーション等の情報処理装置として構成してもよく、また、任意の周辺装置が接続された当該情報処理装置として構成してもよい。また、特定個人情報管理装置１００は、当該装置に本実施形態で説明した処理を実現させるソフトウェア（プログラムまたはデータ等を含む）を実装することにより実現してもよい。

更に、装置の分散・統合の具体的形態は図示するものに限られず、その全部または一部を、各種の付加等に応じてまたは機能負荷に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。すなわち、上述した実施形態を任意に組み合わせて実施してもよく、実施形態を選択的に実施してもよい。

本発明は、特に、情報システム内においてマイナンバーなどの機密性の高い特定個人情報を取り扱う場合などにおいて有用である。

１００ 特定個人情報管理装置
１０２ 制御部
１０２ａ システム処理部
１０２ａ−１ システム権限設定部
１０２ｂ マイナンバー処理部
１０２ｂ−１ マイナンバー権限設定部
１０２ｃ 業務処理部
１０４ 通信インターフェース部
１０６ 記憶部
１０６ａ セキュリティＤＢ
ＵＭ ユーザーマスタ
１０６ｂ マイナンバーＤＢ
ＭＵＭ マイナンバーユーザーマスタ
１０６ｃ ビジネスＤＢ
１０８ 入出力インターフェース部
１１２ 入力装置
１１４ 出力装置
２００ サーバ
３００ ネットワーク

次に、上記したシステム管理者Ａ（ＳＡ１）が不正アクセスを行った後のシステムの復旧手順について簡単に説明する。不正を行ったシステム管理者Ａ（ＳＡ１）とは別のシステム管理者Ｂ（ＳＡ２）は、図１７−１に示すように、ログイン画面でユーザーＩＤとパスワードを入力してログインし、メニュー画面からユーザー登録画面を表示させる。ここで不正に変更されたパスワードを復旧させるためには、変更された個人番号管理者Ａ（ＰＡ１）のパスワードを「ａｂｃｄｅ」に強制変更する必要がある。しかし、システム管理者Ｂ（ＳＡ２）が強制変更できるパスワードは、セキュリティＤＢ１０６ａのユーザーマスタＵＭのみで、マイナンバーＤＢ１０６ｂのマイナンバーユーザーマスタＭＵＭのパスワードまでは変更できない。このため、個人番号管理者Ａが図１７−２に示すように、ログイン画面でユーザーＩＤとパスワードを入力してログインし、パスワード変更画面でシステム管理者Ｂ（ＳＡ２）が強制変更したパスワード「ａｂｃｄｅ」を現在のパスワードに入力し、「ｐａｓｓ２」を新しいパスワードに入力して変更する。続いて、個人番号管理者Ａは、新たなマイナンバーパスワード同期処理画面を表示させて、マイナンバーＤＢ１０６ｂにアクセス出来ていた時の旧パスワード「ｐａｓｓ１」と、同期させる新パスワード「ｐａｓｓ２」を入力して更新し、個人番号管理者Ａ（ＰＡ１）のセキュリティＤＢ１０６ａのパスワードと、マイナンバーＤＢ１０６ｂのパスワードとを一致させることにより、元の状態に復旧させることが可能となる。

Claims (1)

1. 記憶部と制御部とを備え、情報システム内において特定個人情報の管理を行う特定個人情報管理装置であって、
   前記情報システムには、情報システム全体を管理するシステム管理者と、前記特定個人情報を専属で管理する特定個人情報管理者とを配置し、
   前記記憶部は、
   前記特定個人情報を記憶する特定個人情報記憶手段
   を備え、
   前記制御部は、
   前記特定個人情報記憶手段に対するアクセス権限の設定を行うアクセス権限設定手段
   を備え、
   前記アクセス権限設定手段は、前記特定個人情報管理者によってのみ前記特定個人情報記憶手段へのアクセス権限の設定を可能にすること、
   を特徴とする特定個人情報管理装置。

Images