年金個人情報に関する情報セキュリティ対策の実施状況及び年金個人情報の流出が日本年金機構の業務に及ぼした影響等について

前記のとおり、機構ポリシーは、厚労省ポリシーに準拠して定められたもので、統一基準の改正等に伴い厚労省ポリシーが改正された場合には、厚労省ポリシーの改正内容に準拠して改正されることとなっている。そして、厚労省ポリシーの27年4月28日の改正では、直近の統一基準の改正で標的型攻撃対策の強化が盛り込まれたことから、標的型攻撃に備えて実施すべき基本的な対策事項等が追加されている。

厚労省ポリシーの改正については、厚生労働省政策統括官付情報政策担当参事官室（28年6月21日以降はサイバーセキュリティ担当参事官室。以下「情報参事官室」という。）が所掌している。そして、機構は、同省所管法人であることから、従来、機構の監督部局である同省年金局（以下「年金局」という。）を通じて、厚労省ポリシーの改正に関する情報を入手している。

そこで、機構が設立された22年1月以降、流出事案の発生前の27年4月までの間における機構ポリシーの改正の状況についてみたところ、図表8のとおり、厚労省ポリシーの改正から一定の期間を要しており、厚労省ポリシーの改正後速やかに機構ポリシーが改正されない場合には統合ネットワーク内でセキュリティ水準の異なる期間が生ずるなどしてしまうのに、機構ポリシーが厚労省ポリシーの改正後速やかに改正されてきたとは言い難い状況となっていた。

機構ポリシーが速やかに改正されてきたとは言い難い状況となっていた点について、情報参事官室は、統一基準等の改正があった場合、機構を含む各所管法人等においては、自らその統一基準等の改正内容等を確認するなどしてそれぞれの情報セキュリティポリシーの改正を行うこととしていると認識しており、機構ポリシーの改正に当たり、機構が年金局を通じて厚労省ポリシーの改正内容等に関する情報を入手して以降にその改正作業を行っているとは認識していなかったとしている。また、年金局は、機構に対して厚労省ポリシーの改正内容等に関する情報を提供していたものの、機構ポリシーの改正の時期や内容について確認することとしていなかったとしている。さらに、機構は、機構の内部規程上、機構ポリシーの改正事務について所掌が明確でなかったなどとしている。

(ア)　厚生労働省の機構に対する監査の実施状況

(イ)　機構における内部監査の実施状況

(ウ)　機構の監査部における情報セキュリティの不備への対応状況

情報参事官室は、従来、省内の職員に対して、不審メールが送付されてきた場合の対処等について注意喚起等を行っていたほか、独立行政法人等を所管する部局に対しては、所管法人に対しても同様の注意喚起を行うよう依頼していたとしている。

しかし、年金局は、前記のとおり厚生労働省と同じく統合ネットワークを利用している機構に対して、不審メールが送付されてきた場合の対処等についての注意喚起等を十分に行っていなかった。

そして、検証報告書等によれば、同省は、流出事案の発生する前月の27年4月22日、年金局等において流出事案と類似の標的型攻撃を受けていたのに、機構に対してその情報を伝えておらず、機構に対しても同様の標的型攻撃が行われる可能性があるなどの注意喚起等を行っていなかったとされている。

前記のとおり、共有フォルダ要領によれば、年金個人情報については、共有フォルダに保存することが原則として禁止されており、年金個人情報を共有フォルダに保存することができるのは、業務上の必要がある場合の例外的な措置とされている。また、機構が職員に対して実施しているリスク・コンプライアンス研修の配布資料（27年4月版）によれば、機構LANシステムに接続するLAN専用PC等（以下「専用PC」という。）のハードディスクには個人情報を保存しないこととされていることなどから、年金個人情報についてもハードディスクには保存しないこととなっていると認められる。

しかし、流出事案発生後の機構における年金個人情報の保存状況等についてみたところ、27年12月から28年6月までの間に会計実地検査を実施した8年金事務所等（注8）において、専用PCのハードディスクに年金個人情報が保存されていることが確認された。このうち、大手前年金事務所においては、計22ファイル、3,790件の年金個人情報が専用PCのハードディスクに保存されていたことから、これらの年金個人情報の保存履歴等について確認したところ、計16ファイル、2,464件については、流出事案の発生前（25年8月等）から28年6月の会計実地検査時まで継続して専用PCのハードディスクに保存されていた。専用PCは、流出事案発生時点までインターネットに接続されており、そのハードディスクに保存されていた年金個人情報が外部に流出する危険性は、共有フォルダに保存されている年金個人情報と同様であったと認められる。

そこで、28年6月に会計検査院は、機構に対して、機構本部及びこれらの8年金事務所等を含む全国の年金事務所等において同様に専用PCのハードディスクに保存されている年金個人情報の有無、及び年金個人情報が保存されている場合にはその件数について調査し、報告するよう求めた。これに対して、機構は、機構本部及び全国の年金事務所等の専用PCのハードディスクに保存されていた年金個人情報については、同年8月から同年9月までの間に、今後とも業務上保有する必要があるものを年金個人情報を保存するために新たに設置した共有フォルダ（以下「専用フォルダ」という。）に移し替えるなどした上で全て削除したと会計検査院に報告した。以上のことから、機構本部及び全国の年金事務所等の専用PCのハードディスクに保存されていた年金個人情報の有無及びその件数については不明な状況となっている。

その後、28年10月及び同年11月にそれぞれ実施した機構本部及び高崎広域事務センターに対する会計実地検査において、上記のとおり、機構は、専用フォルダに移し替えるなどした上で全て削除したとしていたのに、専用PCのハードディスクに年金個人情報等が保存されていることが確認された。

これらを踏まえて、機構は、28年8月当時に専用PCのハードディスクに保存されていた年金個人情報の有無等について現時点で可能な調査を行うとともに、専用PCのハードディスクに保存されている年金個人情報等の状況についても調査するなどとしている。

（注8）

8年金事務所等　　東京事務センター、盛岡、松戸、幕張、中央、大手前、高松東、浦添各年金事務所

前記のとおり、機構は、流出事案の発生に対応するための新たな業務の実施に要する経費として約10億円が見込まれるとしている。

そして、機構において取りまとめた当該経費の支出額は、図表9のとおり計10億8379万余円となっており、これらの経費は、年金個人情報流出者に対するおわび、問合せ対応等に要する経費に限定されている。

そこで、流出事案が発生したことにより支出されたと考えられる経費及びその支出額についてみたところ、図表10のとおり、上記以外の経費も見受けられ、支出額は計4730万余円となる。

また、厚生労働省においても、年金個人情報の流出を口実とする犯罪の発生を防止するためのチラシの配布等のために2738万余円、流出事案の発生を踏まえて同省に設置された検証委員会の委員手当等として1949万余円、計4687万余円を支出しており、上記の機構による支出額と合算すると計9418万余円となる。

機構は、図表11のとおり、流出事案の発生の対応に要する経費に充てるために各種の経費を削減した結果、計11億0276万円の財源をねん出したとしている。

しかし、ねん出したとしている財源の中には、年金事務所の新築移転の延期等のため27年度には支出されないものの、28年度以降において支出する必要があるものが含まれていると認められた。

おわび文書、基礎年金番号変更通知等の送付状況等についてみたところ、次のような状況となっていた。

機構は、27年6月以降、年金個人情報流出者1,014,653人を対象として、おわび文書を普通郵便により送付している。そして、宛て先不明等により返送された場合には、住基情報（住民基本台帳ネットワークにおける住所変更の有無等の情報。以下同じ。）、市区町村への照会等により現住所を確認していて、新たな住所が判明した場合には、改めておわび文書の再送付等を行っている。また、同年8月には、これらのおわび文書が返送されてこなかった者や戸別訪問等によりおわび文書を届けることができた者等の計972,539人を対象として、基礎年金番号の変更処理を行い、その処理結果については順次、基礎年金番号変更通知等を簡易書留郵便で送付している。そして、宛て先不明等の場合には、上記と同様に、住基情報を確認するなどして再送付している。

また、おわび文書又は基礎年金番号変更通知等が返送された者等の計62,554人（うち年金受給者計6,988人）については、今後、年金事務所等に来訪したときに、流出事案について説明した上、基礎年金番号変更通知等を直接手渡すなどして対応することとしている。

一方、機構は、年金支給を適切に行うため、年金受給者の生存又は死亡の事実（以下「生存等の事実」という。）について、住基情報等により確認している。また、年金受給者が施設に入所していることなどによりその所在を確認できず、住基情報等によっても生存等の事実が確認できない場合には、毎年、現況届の提出を受けて確認している。

そして、機構は、25年8月に、住民票上は死亡しているのに親族から年金受給者が生存しているとする現況届が提出され、年金の不正受給が行われていた事案があったことを踏まえ、26年2月から、現況届の提出により生存等の事実を確認している一定年齢以上の年金受給者については、住民票の住所、実際に住んでいる住所等を記載する年金受給権者現況申告書の提出、戸別訪問の実施等により改めてその生存等の事実を確認している。そして、死亡を確認した者又は戸別訪問を実施しても生存の事実を確認できなかった者については、年金支給の差止めを行い、過払いが判明した場合は債務者に対してその返還を求めるなどしていて、その取組状況を27年12月に公表している。

しかし、前記のおわび文書又は基礎年金番号変更通知等が返送された者のうち年金受給者計6,988人に対する年金支給の状況についてみたところ、おわび文書及び基礎年金番号変更通知等の返送後の住基情報による確認、市区町村に対する照会や戸別訪問の実施によっても年金受給者の所在が確認できないのに、機構は、これらの者の生存等の事実について更に確認しないまま年金支給を継続していた。

機構においては、年金支給を適切に行うために、おわび文書等が返送されていて年金受給者の所在が確認できないという情報を有効に活用し、その生存等の事実を確認することなどについて検討する必要があったと認められる。

(ア)　国民年金保険料を徴収する権利の時効消滅の状況

(イ)　特別催告状の送付の状況

機構は、図表15のとおり、26年度に、6民間事業者との間で26年10月から29年9月までを委託期間とする契約10件、27年5月から30年9月までを委託期間とする契約13件、計23件の市場化納付督励業務に関する委託契約（以下「市場化納付督励業務委託契約」という。）を締結しており、その契約金額については計215億0390万余円となっている。

27年度分の委託費の支払状況等についてみたところ、前記のとおり、流出事案の発生を踏まえて、機構は、27年6月2日に民間事業者に対して受電対応以外の市場化納付督励業務を行わないよう求めていて、業務委託中止期間がその後の約5か月間に及んでいたのに、委託費の支払に当たっては、従前どおり、市場化納付督励業務委託契約に係る委託契約書（以下「委託契約書」という。）の第27条の約定に基づき、業務委託中止期間を含む27年5月から28年4月までの1年間に係る委託費計66億2112万余円を12等分して、民間事業者に対して毎月、当該額を支払っていた。

なお、機構は、委託費については市場化納付督励業務の実績（国民年金の被保険者に係る国民年金保険料が実際に納付された月数等の合計）に応じた増減を行うものとする委託契約書第7条の約定に基づき、民間事業者が業務委託中止期間中に業務を実施しなかったことによる27年度の実績の減少も踏まえて委託費の精算を行うなどとして、28年10月に、民間事業者6社のうち5社に対して、27年度分の支払済みの委託費計2億3122万余円の返還を求めている。

27年9月に組織・業務改革報告書が公表されてから28年9月までの間における再発防止の取組の進捗状況についてみたところ、図表16のとおり、厚生労働省は、同省の情報セキュリティ対策を向上するために、サイバーセキュリティについて専門的に対応するための組織改革、厚労省ポリシー等の見直し、統合ネットワーク等において高度な標的型攻撃に対応するための改修等を行うなどしていた。

また、厚生労働省は、機構への指導等の強化について、27年10月から機構の経営企画部に職員を常駐させ、業務についてのモニタリングを実施しているほか、機構ポリシー等の情報セキュリティに関する諸規程等の整備を一元的に所掌している情報管理対策室に、28年7月から年金局の職員を常駐させ、これらの規程やインシデント対処手順書の整備状況や改正内容についての確認を行うなどしていた。

そして、厚生労働省は、機構への監査の強化について、監査室が行う監査の範囲を機構の全ての情報システムとする見直しを行い、27年11月から監査を行うとともに、28年9月に厚生労働省及び機構の職員によって構成される連絡会議を設置し、双方の監査で把握した情報セキュリティに関する課題の確認やその改善計画の進捗状況のフォローアップを行うこととした。

27年12月に業務改善計画が提出されてから28年9月までの間における再発防止の取組の進捗状況についてみたところ、図表17のとおり、機構は、同年4月に最高セキュリティアドバイザーを設置するとともに、年金個人情報の管理・運用を行う領域をインターネットから完全に分離した年金情報システムの構築に向けた取組を進めるなどしていた。

そして、機構は、27年10月に新設された機構ポリシー等の情報セキュリティに関する諸規程等の整備を情報管理対策室が一元的に所掌した上で、厚労省ポリシーに準拠した機構ポリシーの改正を同時期に実施するとともに、28年2月にインシデント対処手順書を策定していた。また、機構は、情報セキュリティ対策に関する各種ルールに対する職員の理解を深め、確実に遵守させるため、同年8月に、職員が業務上守るべき主な事項やインシデント発生時の対応等が記載された手引を策定して配布するとともに、同年9月に全職員の受講を必須とした情報セキュリティ研修を開催した。

機構は、28年4月に情報セキュリティ監査の専門チームを設置し、情報セキュリティ監査の監査体制を整備していた。