委託先が「共有 ID で作業しています」と答えたときの確認事項

委託先が「共有 ID で作業しています」と答えたとき、その場で判断するのは共有の有無ではなく、共有が管理された状態かどうかです。確かめるのは 4 点です。対象のアカウント、パスワードを知っている人の範囲、担当交代時の変更手順、誰がいつ使ったかを残す方法です。答えられなければ、3 つの選択肢から選びます。担当者ごとの発行に切り替える、アクセス管理ツールを挟む、共有 ID で扱う業務範囲を絞る、です。

まず区別すること

共有 ID には 2 種類あります。自社が委託先に渡した共有アカウントと、委託先が自社(委託先)の内部で使っている共有 ID です。どちらかで、委託元にできることが変わります。

自社が渡した共有アカウントであれば、発行に切り替えるか、ツールを挟むかを決められるのは自社です。委託先は渡された 1 つを共有するほかなく、共有をやめる手段を持ちません。自社が渡す形を変えるときの 3 つの型は委託先に自社のアカウントを使わせるときの管理にあります。

委託先の内部の共有 ID であれば、それは委託先の安全管理措置(個人データを守るために行う対策)の問題です。個人情報保護委員会のガイドライン(通則編)の別添は、行わなければならない技術的安全管理措置を挙げています。その一つが、アクセス者の識別と認証(使う人を見分け、本人と確かめること)です。IPA「組織における内部不正防止ガイドライン」第 5 版の対策 7 は、共有 ID と共有のパスワードを使わないよう求めています。利用者ごとの ID を、個別のパスワードで認証する形です。委託元は、自社に求められるものと同等の措置を委託先に求める立場です。この順で確かめたうえで、改善の期限を決めることになります。

4 点の確認手順

4 点は、この順で聞きます。対象が決まらなければ範囲も手順も聞けず、範囲が答えられなければ変更手順は意味を持ちません。

対象のアカウント

どのシステムの、どの ID かを聞きます。自社が渡したものか、委託先のものかも確かめます。答えは自社の一覧と照合でき、一覧にないアカウントなら、渡した記録がない状態です。根拠は、別添の組織的安全管理措置 (3) 取扱状況を確認する手段の整備です。

パスワードを知っている人の範囲

氏名の一覧を出してもらい、退職した人、案件を離れた人、再委託先の人が含まれていないかを見ます。範囲を答えられなければ、誰でも入れる状態と同じです。根拠は、別添の技術的安全管理措置 (2) アクセス者の識別と認証と、IPA「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版です。このガイドラインは、やむを得ず共有 ID を使う場合には、利用した人を特定できる仕組みを勧めています。

担当交代時の変更手順

最後に変えた日、誰が変えるか、変えた後に誰へ配るかを聞きます。自社の共有アカウントなら、自社への依頼の経路も聞きます。最後の変更日が答えられなければ、辞めた人が知ったままの可能性があります。根拠は、別添の技術的安全管理措置 (1) アクセス制御(担当者の範囲の限定)です。

誰がいつ使ったかを残す方法

業務日誌か作業記録か、誰が書き、どれだけの期間残すかを聞きます。記録がなければ、共有 ID の操作を人まで絞れません。根拠は、別添の組織的安全管理措置 (2) 規律に従った運用(業務日誌などによる検証)です。

判断は、自社側のログイン記録と突き合わせられる形かどうかで行います。共有 ID では、システムの記録は ID 単位でしか残りません。委託先の日誌に書かれた作業時間と、自社側のログイン時刻が合っていれば、人まで絞る材料になります。

答えは、チェックシートの備考か、委託先が使うアカウントの一覧に残します。次回の確認では、前回との違いを見ます。共有パスワードで起きやすい変化は、知っている人の範囲が広がることと、最後の変更日が更新されないことの 2 つです。

ある市の事案では、共有していたパスワードが人事異動や退職があっても固定されたままでした。知っている人がどこまで広がっているか、確認できない状態でした。詳しくは無断の再委託先が個人データを持ち出した事案にあります。

確認できないときの選択肢

どれか一つでも答えられないとき、共有のまま続けるわけにはいきません。選択肢は 3 つで、組み合わせて使えます。

ツールを挟む場合、委託先の担当者はパスワードを見ませんが、ツールの導入と登録の手間はかかります。業務範囲を絞る場合は、絞った範囲を委託先が守っているかを確かめる作業が残ります。

業務範囲を絞る選択肢の根拠は、ガイドラインが「委託する業務内容に対して必要のない個人データを提供しないようにすることは当然」としている点です。共有 ID でしか入れないシステムに個人データを置かない。または、共有 ID の権限から個人データの閲覧を外す。どちらも、この考え方に沿います。

委託先の内部の共有 ID については、選択肢は委託先の側にあります。委託元がすることは、改善の内容と期限を決めて契約か覚書に書き、次回の確認で同じ順で聞き直すことです。期限までに改善されなければ、その委託先に個人データを扱わせる範囲を見直します。ガイドライン 3-4-4(3) は、契約で盛り込んだ内容の実施の程度を調べ、委託の内容の見直しも含めて評価することを望ましいとしています。

すべて答えられたときの扱い

すべて答えられ、自社の記録と合っていれば、共有 ID は管理された状態と読めます。それでも、共有が続く限り、記録は ID 単位で、人まで絞るのは日誌との突き合わせに頼ることになります。ユーザーを追加できるシステムがあれば、答えが揃っている委託先でも、発行への切り替えを次の契約更新で検討します。切り替えは委託元の作業で、委託先に頼まなくても進められます。