マイナンバーを守るための対策とは? - ペンタセキュリティ

企業で従業者に情報へのアクセス権限を付与するのは、多くの場合「システム管理者」か「データベース管理者」である。同社はその点でセキュリティの運用を危惧している。

システム管理者は、組織におけるシステムの運用および管理に従事し、データベース管理者は、当該データベースにおける運用や各種問題への対応に従事している。そのため、これらの担当者らは、セキュリティで求められる個人情報にアクセスする権限を持たせる必要もなければ、アクセスする必要自体もない。

それでもシステム管理者とデータベース管理者は、つまり個人情報へのアクセス権限を設定し運用している場合が多い。「システム管理者だから」という単純な論理で、セキュリティ管理者でもないシステム管理者が組織のセキュリティポリシーを総括する大役を背負うケースも珍しくないという。同社は、これこそが実際現場レベルで引き起こされる個人情報保護における最大のリスクであると指摘している。

データベース管理者のDBA(Database Administrator)もセキュリティ管理者との明確な職責分離を実現しなければならない。暗号化したデータは、許可されたユーザーのみがアクセス可能にすべきであり、全権限を持っているDBAでも、セキュリティ管理者からの許可がなければ暗号化データの復号はできないようにすべきであると明言している。