人事システム・給与システムの共有 ID の問題

人事システムや給与システムには、給与・マイナンバー・評価の情報があります。管理者アカウント(強い権限を持つ ID)を複数の人で共有すると、その情報を誰が見て、誰が変えたかを ID から示せなくなります。個人情報保護法の安全管理措置(個人データを守るために行う対策)、番号法(マイナンバー法)の安全管理措置、上場企業の内部統制の 3 つが、それぞれ別の言い方で同じことを問います。

管理者アカウントが共有される場面

人事・給与のシステムで管理者アカウントが共有されるのは、たとえば次の場面です。管理者アカウントが 1 つで、人事と情報システム部門が同じパスワードで入る。給与計算を社会保険労務士や給与計算の委託先に任せていて、委託先の担当者にも同じ ID を渡している。年末調整や入社の繁忙期に、応援の担当者へ管理者の ID を教える。管理者アカウントは全従業員の情報を見られ、権限の設定そのものを変えられる ID なので、共有の影響は一般の担当者アカウントより広くなります。

個人情報保護法で問われること

従業員の情報は、氏名で検索できる集まりなので個人データに当たると読めます。個人情報保護委員会のガイドライン(通則編)の別添が求める措置のうち、管理者アカウントの共有に直接関わるのは次の 4 項目です。

24 条の監督の対象になる従業者に派遣社員やパート社員が含まれることは、オンボーディング・オフボーディング(アカウントの観点)とはにまとめています。社会保険労務士や給与計算の委託先に ID を渡す場合は、個人データの取扱いの委託に当たれば 25 条の委託先の監督の側になります(要点は委託先の監督とは)。4 項目を共有アカウント・退職者・委託先に当てはめた表は個人情報保護法の安全管理措置をアカウント管理に当てはめるにあります。

番号法で加わること

給与システムにマイナンバーが入っていれば、番号法の安全管理措置が重なります。番号法 12 条は、個人番号利用事務等実施者に、個人番号の漏えい、滅失、毀損の防止その他の適切な管理のために必要な措置を求めています。個人情報保護委員会の「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」は、これを個人情報保護法に加えて全ての事業者に課される措置と説明しています。検討の手順の中では、個人番号を扱う事務に従事する「事務取扱担当者」を明確にしておかなければならない、としています。

中小規模事業者(従業員 100 人以下。一定の場合を除く)には別の対応方法が示されていて、機器に備わっているユーザーアカウント制御(利用者ごとにログインを分ける機能)で担当者を限定することが望ましい、とあります。規模が小さくても、人ごとに分けることが前提です。番号法は委託についても、委託先の監督(11 条)と再委託の許諾(10 条)を定めています。

内部統制で問われること

上場企業とその準備をしている会社では、財務報告に関わるシステムの管理が IT 全般統制として評価されます(定義はIT 全般統制(ITGC)とは)。金融庁の企業会計審議会が定める「財務報告に係る内部統制の評価及び監査に関する実施基準」は、IT に係る全般統制の具体例を挙げています。その 1 つが「内外からのアクセス管理などシステムの安全性の確保」です。給与システムが評価の範囲に入る会社では、管理者権限を誰がいつ使ったかを示すことになります。管理者アカウントを共有していると、設定を変えた人も、給与の数字を直した人も、記録の上では同じ管理者です。

主要な人事・給与サービスの権限の仕組み

SmartHR とマネーフォワード クラウド給与について、公式ヘルプで確かめられることを整理します。確かめるのは 4 点です。権限の種類、権限を細かく分ける方法、操作の記録、使えなくする操作です。ここに挙げていないサービスも、公式ヘルプでこの 4 点を確かめます。

SmartHR

権限の種類は、システム標準権限(管理者・事務担当者・メンバー・退職者・情報システム担当者)とカスタム権限です。細かく分けるにはカスタム権限を使い、アカウントごとに利用できる機能と扱える従業員情報の範囲を独自に設定します。一部の機能は管理者権限でのみ使えます。操作の記録は監査ログです。従業員情報の作成・変更・削除、マイナンバーの閲覧・編集などの重要な操作を保持し、誰が・何を・いつ・どのように変えたかが分かります。確認は共通設定の監査ログから行います。使えなくする操作については、公式ヘルプがログインを求めるため、公開されている部分には書かれていません。

マネーフォワード クラウド給与

既定の権限の種類は 2 つです。給与担当者は「すべての機能を使用し操作を行うことができます」で、従業員は自分の給与・賞与明細を確認できます。細かく分けるには「権限パターンの追加・管理」で、業務に関する権限とシステムに関する権限をまとめた権限パターンを作り、給与担当者ごとに設定します。この機能の利用にはコンタクトセンターへの問い合わせが要ります。操作の記録は、公式ヘルプに記述がありません。使えなくする操作は 2 つで、「メンバーの追加・管理」でメンバーを削除すると即座にログインできなくなり、「ログイン権限失効日」を設定すると、その日以降ログインできません。

共有が残っているのは運用の選択

SmartHR もマネーフォワード クラウド給与も、担当者ごとにアカウントは作れます。これらのサービスで管理者アカウントが共有されているなら、サービスの制約ではなく運用の選択で残っています。担当者を人ごとに登録し、管理者に当たる権限を持つ人を絞り、退職時は本人のアカウントを止める、という形に置き換えられます。マネーフォワード クラウド給与の「ログイン権限失効日」のように、退職日を先に入れておける機能があれば、止め忘れを減らせます。

共有をやめられないときに用意するもの

管理者アカウントが 1 つしか作れないシステムや、委託先に渡す ID は、共有のまま残ります。共有のまま使うときに決めることは担当者ごとに分けられないアカウントの扱いにまとめています。人事・給与のシステムでまず要るのは、使った人の記録です。IPA の中小企業ガイドライン付録 5 の規程サンプルは、管理者権限を持つ共有アカウントへのアクセスについても書いています。アクセスログの取得により使用者を特定できるようにする、という文例です(6.2.2)。方法の選び方は共有アカウントを複数人で安全に使う方法の比較にあります。