年金個人情報に関する情報セキュリティ対策の実施状況及び年金個人情報の流出が日本年金機構の業務に及ぼした影響等について

ア　日本年金機構において取り扱う個人情報、情報システム等の概要

イ　年金個人情報に関する情報セキュリティ対策の概要

機構は、外部から標的型攻撃（注3）を受けて、その結果、機構LANシステム上の共有フォルダに保存されていた約125万件（対象者約101万人分）の基礎年金番号、氏名等の年金個人情報が27年5月21日から同月23日までの間にインターネットを通じて不正に外部に流出したとしている（以下、この標的型攻撃による年金個人情報の流出を「流出事案」という。）。

（注3）

標的型攻撃　　不正なプログラムを含むファイルを添付するなどしたメールを職員に対して送りつけ、添付ファイルを開封するなどした職員の端末を介してネットワークに不正に侵入するなどのサイバー攻撃

流出事案の発生を踏まえて、機構は、同月29日、機構LANシステムとインターネットとの接続（インターネットメールを除く。）を遮断し、また、6月4日にはインターネットメールとの接続も遮断して、現在に至っている。

そして、流出事案の事実関係、原因の究明等は、厚生労働省に設置された検証委員会による「検証報告書」等の報告書（以下「検証報告書等」という。）に取りまとめられており、その概要については図表3のとおりとなっている。

検証報告書等によれば、機構において、職員への標的型攻撃に対する注意喚起や対応方法の周知徹底が研修等で行われておらず、職員が不審なメールを受け取った場合でも、年金事務所長等の情報セキュリティ責任者に報告されていなかった。また、機構ポリシーには、標的型攻撃への対応の必要性等については記載されていたものの、実施すべき基本的な対策事項等については十分な記載がなかったとされている。そして、流出事案を発生させた直接的な要因は、標的型攻撃を受けた場合における対応については、LANケーブルの抜線以外に具体的な定めがなく、このため、メールの開封の有無や不正なプログラムへの感染の有無等の事態の確認が遅れ、有効な対策が講じられなかったことであるとされている。

また、厚生労働省は、21年9月にインシデント対処手順書を策定した上で、政府の情報セキュリティ対策推進会議においてCSIRT（注4）の体制を整備することが求められたことを受けて、25年2月にCSIRTを設置している。しかし、検証報告書等によれば、機構は、流出事案の発生当時、標的型攻撃を受けた場合の対応手順等を具体的に記載したインシデント対処手順書を策定しておらず、また、CSIRTも設置していなかったなどとされている。

（注4）

CSIRT　　組織内の情報セキュリティ問題を専門に取り扱うインシデント対応チーム

さらに、検証報告書等によれば、流出事案により機構の共有フォルダから流出した年金個人情報約125万件のうち、所要のアクセス制限及びパスワードの設定を行っていたものは約68万件、所要のアクセス制限のみを行っていたものは約53万件、所要のパスワードの設定のみを行っていたものは約2万件となっていて、残りの約2万件については所要のアクセス制限もパスワードの設定も行われていなかったとされている。

厚生労働省は、検証報告書等の指摘を受けて、情報セキュリティ対策の観点からの組織内・組織間連携、リスク認識の強化等を図って流出事案の再発を防止するために、「情報セキュリティ強化等に向けた組織・業務改革」（以下「組織・業務改革報告書」という。）を取りまとめて、図表4のとおり、27年9月18日に公表している。

一方、機構は、27年9月25日に機構法第49条第1項の規定に基づく厚生労働大臣の業務改善命令を受けて、図表5のとおり、業務改善計画を策定して同年12月9日に厚生労働大臣に提出しており、再発防止に向けて機構が既に執った対策及び今後実施する取組を明らかにしているほか、監査部に関する業務を機構の理事長が直接掌理することとするなどの組織改革を実施したとしている。

機構は、流出事案の発生により、年金個人情報の管理に対する国民の信頼を大きく損ねたことから、順次、次のような対応を行っている。

すなわち、機構は、年金個人情報が流出した者（以下「年金個人情報流出者」という。）の基礎年金番号を変更することとし、年金個人情報流出者に対して、年金個人情報の流出に対するおわびを記した文書（以下「おわび文書」という。）、基礎年金番号の変更を通知する文書（以下「基礎年金番号変更通知」という。）等の送付を行っている。そして、これらの対応に必要な経費としては約10億円（注5）が見込まれるとしている。

（注5）

約10億円　　平成28年1月8日衆議院予算委員会において行われた流出事案の対応に要する経費に関する厚生労働大臣の答弁による。

また、機構は、流出事案発生以前には、国民年金保険料の納付実績を向上させることなどを目的として、国民年金保険料の未納者に対して戸別訪問、架電、電話による問合せに対する対応（以下「受電対応」という。）、文書の送付等の納付督励業務を行っていた（図表6参照）。納付督励業務には、機構が自ら実施する業務（以下「機構納付督励業務」という。）と、「競争の導入による公共サービスの改革に関する法律」（平成18年法律第51号）に基づき、機構から委託を受けた民間事業者が実施する業務（以下「市場化納付督励業務」という。）とがある。

機構納付督励業務は、国民年金保険料の未納者に対して戸別訪問、架電、受電対応、特別催告状等の文書の送付等を行うほか、強制徴収に関する一連の手続（強制徴収対象者の選定から換価・配当に至る手続。以下「強制徴収手続」という。）を行うものである。特別催告状とは、未納者の財産の差押えなどについて明記している文書である。そして、強制徴収手続においては、特別催告状の送付等を繰り返し行っても納付の意思を示さない未納者に対して、最終的な自主納付の催告を行う最終催告状が送付されることとなっており、最終催告状の送付後に納付の意思が確認できなかった者に対しては、督促状が送付されることとなっている。

また、市場化納付督励業務は、民間事業者が国民年金保険料の未納者に対して、戸別訪問、架電、受電対応、国民年金制度のお知らせなどの文書の送付等を行うものである。

しかし、流出事案の発生を踏まえ、機構は、年金個人情報流出者に対する対応等に集中して取り組む必要が生じたこと、電話による被保険者等に対する保険料の納付督励等が不審電話と間違えられないようにする必要があることなどを理由として、27年6月に機構本部内の各部署及び年金事務所等に対して通知を発し、通知日以降、一定期間、納付督励業務の一部を行わないこととしていた。そして、図表7のとおり、機構納付督励業務のうち、特別催告状の送付、強制徴収手続等については同年6月8日（一部については6月4日）から同年10月27日までの間、また、受電対応を除く市場化納付督励業務については同年6月2日から同年11月16日までの間、行われなかった（以下、この市場化納付督励業務を行わないこととされた期間を「業務委託中止期間」という。）。

そして、行わないこととしていた納付督励業務については27年11月から再開したものの、厚生労働省では、同年9月から28年2月までの間の国民年金保険料の納付率（保険料納付対象月数のうち納付された月数の割合をいう。以下同じ。）は、1年前に同様の方法で集計した同月の納付率（以下「前年同月納付率」という。）を最大で1ポイント下回ったとしている。この理由について、同省は、同年6月から11月までの約5か月間、納付督励業務の一部を行わなかったことによる影響等を挙げている。一方、同省では、27年度の最終的な納付率は、26年度の納付率63.1％を上回る63.4％になったとしている。この理由について、同省は、当該業務を再開した後、特別催告状の送付等の取組を強化したことなどを挙げている。