従業員の個人情報漏洩はなぜ重大なのか｜マイナンバー・給与・評価を含む「最高機密」の守り方

顧客情報の漏洩は多くの企業が強く警戒しています。ところが、自社の従業員の個人情報については、「社内のデータだから」という安心感から、顧客情報ほど厳格に扱われていないケースが少なくありません。しかし、人事・労務部門が日々扱っている従業員情報は、マイナンバーや給与、人事評価といった、他のどの業務データよりも機微な情報を含んでいます。

本記事では、従業員の個人情報漏洩がなぜ重大なのか、人事データがどのような意味で「最高機密」と言えるのかを整理し、実際に漏洩が起きる場面と、企業に求められる対策を解説します。そのうえで、人事データを自社の管理下で守り続けるための選択肢の一つとして、オンプレミス型の人事・労務管理システム「ADPS（アドプス）」をご紹介します。

従業員の個人情報は「最高機密」である

企業が保有する情報は、公開情報から極秘情報まで、重要度に応じて分類して管理するのが基本です。この分類で考えたとき、従業員の個人情報はどこに位置づけられるでしょうか。扱っている情報の中身を見ていくと、人事データは企業の中でも最も厳格に守るべき「最高機密」に該当することが分かります。

マイナンバー：法律で厳格な管理が義務づけられた情報

従業員のマイナンバーは、源泉徴収や社会保険の手続きのために企業が必ず取得する情報です。マイナンバー法（番号法）では、利用目的の限定、取得・保管・廃棄に関する安全管理措置、取扱担当者の限定などが企業に義務づけられており、漏洩した場合には個人情報保護委員会への報告や本人への通知が必要になります。一般的な個人情報よりも一段厳しい管理が法律で求められている、特別な情報です。

オンプレミス型のADPSマイナンバーはこちら

給与：本人の生活と直結する情報

給与や賞与の金額、銀行口座、扶養家族の情報、住宅ローン控除や生命保険料控除といった年末調整の情報は、従業員本人の経済状況や家庭の事情をそのまま映し出します。社内で漏れれば従業員間の不信や人間関係の悪化を招き、社外に漏れれば詐欺やなりすましに悪用されるおそれがあります。本人にとっては、誰にも知られたくない情報の筆頭と言えるでしょう。

オンプレミス型のADPS給与はこちら

評価・健康情報：本人の尊厳に関わる情報

人事評価や昇格・降格の記録、懲戒歴、休職や傷病手当金の申請、健康診断やストレスチェックの結果、ハラスメント相談の記録などは、本人のキャリアや尊厳に深く関わる情報です。健康情報や病歴は個人情報保護法上の「要配慮個人情報」にも該当し、取得や第三者提供に本人の同意が求められるなど、特に慎重な取り扱いが求められます。評価や処遇に関する情報は、たとえ社内であっても、本人と限られた関係者以外が目にすべきものではありません。

長期間・大量・多くの人が関わるというリスク

さらに人事データには、構造的なリスクがあります。入社から退職まで、場合によっては退職後も数十年にわたって蓄積され続けること。従業員全員分、グループ企業であれば数千人・数万人分がひとつのシステムに集まること。そして、人事担当者だけでなく各部門の管理職、給与計算の委託先、社会保険労務士など、多くの関係者が参照することです。情報の機微さに加えて、この「長期・大量・多関係者」という性質が、人事データを最高機密として扱うべき理由になっています。

従業員の個人情報が漏洩するとどうなるか

従業員情報の漏洩は、顧客情報の漏洩と同じく、企業にとって深刻な事態です。むしろ、被害者が自社の社員であるという点で、影響はより身近で、長く尾を引くものになります。

従業員本人への影響

マイナンバーや口座情報が流出すれば、本人は詐欺やなりすましの被害に遭うリスクを抱え続けることになります。給与や評価、健康情報が社内で広まれば、職場での人間関係や本人のキャリアに影響が及びます。住所や家族構成の流出は、ストーカー被害やDV被害者の所在発覚など、本人や家族の安全に関わる事態につながることもあります。

オンプレミス型のADPSマイナンバーはこちら

企業への影響

個人情報保護法では、要配慮個人情報の漏洩や、1,000人を超える漏洩などが発生した場合、個人情報保護委員会への報告と本人への通知が義務づけられています。マイナンバーの漏洩についても同様の報告義務があります。これらに加え、従業員からの損害賠償請求、監督官庁からの指導、取引先や採用市場での信用低下など、影響は多方面に及びます。

見落とされがちなのが、従業員との信頼関係への影響です。会社に預けた自分の情報が守られなかったという事実は、従業員のエンゲージメントを大きく損ないます。「自社の社員の情報すら守れない会社」という評価は、採用活動や定着にも長期的な影を落とします。顧客情報の漏洩が「取引」の信頼を損なうものだとすれば、従業員情報の漏洩は「組織そのもの」の信頼を損なうものだと言えるでしょう。

従業員の個人情報が漏洩する典型的な場面

では、従業員情報はどのような場面で漏洩しているのでしょうか。原因は大きく「外部からの攻撃」「社内での不正・ミス」「委託先や外部サービス」の3つに分けられます。自社がどの場面に対して手薄なのかを知ることが、対策を考える出発点になります。

外部からのサイバー攻撃

ランサムウェアによるデータの窃取・暗号化、標的型メールによるIDやパスワードの詐取、VPN機器やサーバーの脆弱性を突いた不正アクセスなどです。人事データは攻撃者にとって価値が高く、人事システムや人事部門の端末が狙われることも珍しくありません。

社内での不正・人的ミス

給与明細や源泉徴収票を別の従業員に送ってしまう誤送信、従業員名簿の入ったPCやUSBメモリの紛失、共有フォルダの権限設定ミスによる意図しない公開などは、人事部門で特に起きやすいミスです。また、権限を持つ担当者による不正閲覧や、退職者による情報の持ち出しといった内部不正も、実際に多く発生しています。「見ようと思えば誰でも見られる」状態は、それ自体が漏洩の入口です。

委託先や外部サービスでの事故

給与計算や社会保険手続きの委託先、利用しているクラウドサービスの側で発生する漏洩も増えています。委託先でのランサムウェア被害やサービスの設定不備、事業者側の不正アクセスなど、自社の目の届かない場所で起きる事故は、発生の把握も事後の対応も難しくなります。従業員情報をどこまで社外に出しているのかを、企業は正確に把握しておく必要があります。

最高機密としての従業員情報の守り方

従業員情報を最高機密として扱うためには、「扱う人を絞る」「扱う場所を絞る」「扱った記録を残す」の3つを徹底することが基本です。

扱う人を絞る：職務に応じたアクセス制御

誰がどの情報を見られるのかを、役職や部門、業務内容に応じて細かく定めます。各部門の管理職は自部門の基本情報のみ、給与情報は給与担当者のみ、マイナンバーは手続き担当者のみ、健康情報は産業保健スタッフと限られた担当者のみ、といった具合です。異動や退職の際には速やかに権限を見直し、定期的に棚卸しを行います。

扱う場所を絞る：データの所在と経路の管理

従業員情報を保存してよい場所と、アクセスできる経路を限定します。個人の端末やUSBメモリへの保存を禁止し、メールへの添付を制限し、社外に出す情報は必要最小限にとどめます。人事データを管理するシステムをどのネットワーク上に置き、どこからアクセスできるようにするかは、漏洩リスクを左右する重要な設計判断です。

扱った記録を残す：ログの取得と点検

「誰が、いつ、どの従業員の情報を、どのように操作したか」を記録し、定期的に点検します。記録が残っていることが周知されていれば、不正閲覧の抑止力になります。万が一漏洩が疑われた際にも、影響範囲を迅速に特定し、報告・通知の義務を果たすことができます。

人を育てる：教育と手続きの整備

仕組みと並行して、従業員情報を扱う担当者への教育も欠かせません。マイナンバーや要配慮個人情報の取り扱いルール、標的型メールの見分け方、送信前の確認手順などを定期的に周知し、模擬メール訓練などで定着度を確認します。入社時の誓約、異動時の権限変更、退職時のアカウント停止とデータ返却といった、人の動きに合わせた手続きを整えておくことも、内部不正の抑止につながります。

仕組みで守る：システムの役割

これらの対策を、担当者の注意力やルールの周知だけで維持するのは困難です。Excelや紙での管理では、項目単位のアクセス制御も、操作ログの取得もできません。従業員情報を最高機密として守り続けるには、アクセス制御・所在管理・ログ管理を仕組みとして備えた人事・労務管理システムが土台になります。

人事データを自社の管理下に置き続ける、ADPSという選択肢

人事・労務管理システムには、サービス事業者のサーバーでデータを管理するクラウド型と、自社のサーバーに構築してデータを自社内で管理するオンプレミス型があります。それぞれに利点と責任があり、一方が無条件に安全というわけではありません。ただ、「マイナンバー・給与・評価を含む最高機密を、どこで、誰の管理のもとで保管するのか」という問いに対して、オンプレミス型には「自社の管理下に置き続けられる」という明確な答えがあります。

ADPS（アドプス）とは

「ADPS（アドプス）」は、人事・給与・就業の業務を統合的に管理するオンプレミス型の人事・労務管理システムです。カシオグループで培った人事業務のノウハウをもとに開発され、長年にわたり多くの企業にご利用いただいています。

最高機密を守る観点から見たADPSの特長

ADPS（アドプス）は自社サーバーに構築するため、従業員の基本情報からマイナンバー、給与、評価まで、人事データを社外に出さずに管理できます。データの所在を自社で把握・説明でき、社内ネットワークに閉じた運用にすれば、外部から到達できる面を小さくできます。ISMSなどの社内規程に基づく統制を、自社の責任のもとで一貫して行える点も特長です。

利用者ごとに閲覧・更新できる情報の範囲を設定でき、部門の管理職には担当範囲の情報だけを、給与情報は給与担当者だけが扱えるようにする、といった「扱う人を絞る」運用を実現します。操作の履歴を記録する仕組みと組み合わせることで、不正閲覧の抑止と、万が一の際の追跡性の確保につながります。

さらに、企業ごとに異なる給与体系や人事制度に合わせたカスタマイズ、既存の社内システムとの連携にも柔軟に対応します。導入時の要件定義から運用後の保守・法改正対応まで、人事労務業務に精通したスタッフが支援することで、システムと運用の両面から、従業員情報を最高機密として守る体制づくりをお手伝いします。

まとめ

従業員の個人情報は、マイナンバー・給与・評価・健康情報といった、本人の生活と尊厳に直結する情報を含む、企業にとっての最高機密です。漏洩すれば、従業員本人への被害、法令上の報告義務、損害賠償や信用低下、そして従業員との信頼関係の毀損という、重い結果を招きます。

守り方の基本は、「扱う人を絞る」「扱う場所を絞る」「扱った記録を残す」の3つを、仕組みとして徹底することです。そして、その土台となる人事・労務管理システムを選ぶ際には、「この最高機密をどこで、誰の管理のもとで保管するのか」という視点を持つことが大切です。従業員情報を自社の管理下に置き続けたいとお考えの企業は、オンプレミス型の人事・労務管理システム「ADPS」という選択肢も、ぜひご検討ください。