人事労務システムには、従業員の氏名や住所、給与、家族、健康に関する情報などが集まります。
利用する機能によっては、口座情報やマイナンバーを取り扱うこともあるため、利便性だけで製品を選ぶことはできません。
一方で、機能表にある暗号化や認証方式を確認するだけでも、十分な対策にはなりません。
誰がどの情報を閲覧し、異動や退職時に権限をどう変更するかまで含めて運用する必要があります。
今回は、人事労務システムの選定と導入後に確認したいセキュリティ対策を解説します。
人事労務システムでセキュリティが重要な理由
機微な従業員情報が集まる
人事労務業務では、雇用契約、勤怠、給与、社会保険手続きなどを通じて、多様な個人情報を扱います。
情報が漏えいすると、従業員本人の権利や生活へ影響が及ぶおそれがあるだけでなく、企業には事実確認や関係者への対応も生じます。
まず、導入予定のシステムにどの情報を保存するのかを洗い出し、情報の性質と量に応じた安全管理措置を検討することが大切です。
便利だからという理由だけで、利用目的のない書類や画像まで登録しないようにします。
クラウドでも利用企業の責任が残る
クラウド型の人事労務システムでは、サーバーやアプリケーションの保護を提供事業者が担う部分があります。
しかし、利用企業側にも、適切な製品と委託先を選び、権限を設定し、従業員へ取扱方法を周知する役割があります。
個人情報保護委員会も、クラウドの人事労務サービスの利用に関して、扱う個人データの性質や量に応じた措置に加え、個人データの取扱いを委託する場合には委託先を適切に監督するよう注意喚起しています。
提供事業者へ任せれば終わりと考えず、双方の責任範囲を確認しましょう。
選定時は何を確認する？
認証方法とアクセス制御
最初に、利用者をどのように認証し、不正なログインを防ぐかを確認します。
多要素認証の有無、パスワードの条件、接続元の制限、一定時間操作がない場合の自動ログアウトなどが確認項目です。
また、従業員、上司、人事労務担当者、システム管理者ごとに、閲覧・登録・承認・出力の権限を分けられるかも重要です。
部署単位の権限だけでは、兼務者や複数拠点の管理者に過剰な閲覧権限が付く場合があるため、自社の組織構造で設定できるかを確かめます。
データ保護と操作記録
通信時と保存時の暗号化、バックアップの取得方法、障害時の復旧方針を確認します。
データを出力した人や設定を変更した人を追える操作ログも、問題が起きた際の調査に役立ちます。
ただし、ログを保存しているだけではなく、どの操作が記録され、利用企業が確認できるのかを把握する必要があります。
契約終了時にデータをどの形式で取り出せるか、提供事業者側のデータがいつ削除されるかも、移行や解約を見据えた確認事項です。
提供事業者と契約内容
第三者認証やセキュリティに関する公開資料は、提供事業者の管理体制を確認する材料になります。
加えて、データの保管場所、再委託の有無、事故発生時の連絡、サービス停止時の対応、責任分担を契約や利用規約で確認します。
認証を取得していることだけで安全性を判断せず、自社が預ける情報に対して必要な措置があるかを見ることが重要です。
機能追加や契約変更によって取扱範囲が変わる可能性もあるため、導入後に情報を確認する窓口も把握しておきましょう。
導入後の安全な運用を整える方法
権限を必要最小限に保つ
本稼働前に、職務ごとに必要な権限を整理し、閲覧できる従業員と情報の範囲を限定します。
異動、昇格、休職、退職があった場合は、発令日や最終出勤日など自社で定めた時点に合わせて権限を変更・停止する流れを作ります。
共通アカウントを複数人で使うと操作した人を特定しにくくなるため、原則として個人ごとのアカウントを使用します。
定期的に権限一覧を確認し、不要になった管理者権限やテスト用アカウントを残さないことも大切です。
端末と出力データも管理する
システム上のデータを守っていても、出力したCSVや給与資料を個人端末へ保存したり、誤った宛先へ送ったりすれば漏えいにつながります。
利用できる端末、持ち出し、ダウンロード、印刷、共有方法についてルールを決めましょう。
テレワークや外出先で利用する場合は、画面を第三者に見られない環境や端末紛失時の連絡方法も周知します。
人事労務担当者だけでなく、承認者や従業員本人が扱う画面とデータも対象にします。
事故対応と教育を継続する
不審なログイン、誤送信、端末紛失などが起きた際に、誰へ報告し、アカウント停止や影響範囲の確認を誰が行うかを定めます。
連絡先が分からなければ初動が遅れるため、提供事業者と社内責任者の窓口を一覧にしておきます。
また、導入時だけでなく、機能変更や担当者交代の際にも取扱ルールを説明し、事例を使った教育を行うことが有効です。
利用状況や事故の記録を基に、安全管理措置を定期的に見直しましょう。
まとめ
人事労務システムのセキュリティは、認証や暗号化などの機能だけでは判断できません。
保存する情報、提供事業者の管理体制、契約条件を確認し、権限変更、端末、出力データ、事故対応まで含めて運用を整えることが重要です。
みらいパートナーズでは、社会保険労務士と社内SEが連携し、人事労務上の規程や業務フローを踏まえたシステム選定、設定、導入後の運用を支援しています。
自社で扱う従業員情報と担当者の役割に合うセキュリティ運用を整理したい場合は、ご相談ください。
