ITトレンドがおすすめする製品・サービス
- ■アクセス制御の方式別
- ■提供会社の第三者認証別
- ISMS認証（ISO/IEC 27001）取得：Talentio、HERP Hire、Liny HR、カオナビ採用、sonar ATS by HRMOS、SmartHR、JobSuite CAREER、i-web
- プライバシーマーク取得：Talentio、Liny HR、カオナビ採用、JobSuite CAREER、i-web
- クラウドセキュリティ認証（ISO/IEC 27017）取得：sonar ATS by HRMOS、HERP Hire
採用管理システムで守るべき情報と起こりうるリスク
セキュリティ対策を考える前に、採用管理システムにどのような情報が集まり、どのような経路で漏えいが起こりうるかを整理します。守る対象とリスクがわかると、必要な設定や確認項目を絞り込めます。
応募書類と面接評価に含まれる情報
採用管理システムには、氏名や連絡先、学歴や職歴のほか、顔写真付きの履歴書や職務経歴書が保存されます。さらに、面接官が書いた評価コメントや選考結果の理由など、応募者本人にも開示していない社内の判断材料も蓄積されます。
中途採用では、現職の企業名や年収といった、本人が勤務先に知られたくない情報も含まれます。こうした情報が社外に出ると、応募者に不利益が生じるだけでなく、企業の信用にも関わるため、扱う情報の重さを社内で共有しておきましょう。
漏えいにつながる経路
応募者情報の漏えいは、外部からの不正アクセスだけで起こるものではありません。パスワードの使い回しによるなりすましログイン、権限を持たない社員による閲覧、履歴書ファイルをメールに添付した際の誤送信など、複数の経路が考えられます。
システムの機能で防げる部分と、社内ルールや教育で補う部分を分けて考えることが大切です。例えば、応募書類の受け渡しをシステム上で完結させれば、メール添付による誤送信の機会を減らせます。
面接官や紹介会社ごとのアクセス権限の分け方
採用管理システムには、人事担当者のほか、面接官や部門の責任者、人材紹介会社など立場の異なる利用者がいます。全員に同じ範囲を見せるのではなく、業務に必要な範囲だけを表示する権限設計がセキュリティの基本です。
担当する候補者だけを見せる設定
面接官には、自分が担当する候補者の情報と評価入力の画面だけを表示する設定が考えられます。他部署の求人に応募した候補者や、選考を終えた過去の応募者まで閲覧できる状態は、業務上の必要がない限り避けたいところです。
求人ごと、選考段階ごとに閲覧範囲を絞れるかは、採用管理システムの製品によって異なります。自社の組織や選考体制を前提に、どの単位で権限を分けたいかを整理し、資料やデモ画面で設定できる範囲を確認しましょう。
人材紹介会社など社外の利用者の扱い
人材紹介会社が採用管理システムに直接ログインして候補者を推薦する運用では、社外の利用者にもアカウントを発行します。この場合、紹介会社には自社が推薦した候補者の選考状況だけを表示するなど、閲覧範囲を限定する設定が欠かせません。
取引を終えた紹介会社のアカウントが残っていると、意図しない閲覧につながる恐れがあります。契約の終了時にアカウントを停止する手順を決め、定期的に利用者の一覧を見直す運用にしておきましょう。
個人情報の項目ごとの表示制限
同じ候補者の情報でも、項目によって見せる相手を分けたい場合があります。例えば、現在の年収や希望年収は人事担当者だけが見られるようにし、面接官には職務経歴と評価項目だけを表示するといった設定です。
項目単位で表示を制御できない製品では、必要のない項目を入力しない運用で補う方法もあります。そもそも選考に必要のない情報を集めないことが、漏えい時の影響を小さくする対策にもつながります。
採用管理システムのログイン認証と操作ログ
権限を適切に分けても、IDとパスワードが第三者に知られれば、なりすましによる閲覧を防げません。ログイン時の本人確認を強める設定と、誰が何をしたかを後から追える操作ログを組み合わせて備えましょう。
多要素認証とシングルサインオン
多要素認証は、パスワードに加えてスマートフォンに届く確認コードなど、別の要素で本人を確認する仕組みです。パスワードが漏れた場合でも、別の要素がなければログインできないため、なりすましの対策として有効です。
シングルサインオン（SSO）は、社内で使っている認証の仕組みに採用管理システムのログインをまとめる方法です。退職者のアカウントを社内の認証側で停止すれば採用管理システムにも入れなくなるため、アカウント管理の漏れを減らせます。対応する認証サービスは製品ごとに確認しましょう。
アクセス元の制限
IPアドレスによるアクセス制限は、社内ネットワークなど許可した場所からのみログインを認める設定です。社外からの不正なログインの機会を減らせる一方、面接官が在宅勤務中や外出先から評価を入力できなくなる場合があります。
利便性との兼ね合いを考え、人事担当者は社内からのみ、面接官は多要素認証を条件に社外からも許可するなど、利用者ごとに条件を分けられるかを確認しましょう。設定の変更は情報システム部門と相談して決めることが大切です。
操作ログの保存と確認
操作ログは、誰がいつどの候補者の情報を閲覧し、出力したかを記録する機能です。不審な操作があった際に原因や影響範囲を調べる手がかりとなり、記録が残ること自体が不適切な操作の抑止にもつながります。
ログの保存期間や、管理者が検索・出力できる範囲は製品ごとに異なります。大量のデータ出力など、注意すべき操作を通知する機能があるかもあわせて確認し、ログを定期的に確認する担当を複数人で決めておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で採用管理・選考管理システムの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
提供会社のセキュリティ体制を確かめる方法
クラウド型の採用管理システムでは、応募者情報を提供会社のサーバーに預けます。自社の設定だけでなく、提供会社がどのような体制でデータを管理しているかも、公開資料や問い合わせで確認しておきましょう。
第三者認証の取得状況
提供会社のセキュリティ体制を測る材料の一つが、第三者機関による認証です。ISMS認証（ISO/IEC 27001）は情報セキュリティの管理の仕組みを、プライバシーマークは個人情報の取り扱い体制を、それぞれ第三者が審査する制度です。
ただし、認証の対象範囲が会社全体なのか、特定の部門やサービスに限られるのかは提供会社によって異なります。採用管理システムを提供する部門やサービスが対象に含まれているかまで確認しておくとよいでしょう。
セキュリティチェックシートへの回答
社内のセキュリティ審査で、提供会社にチェックシートへの回答を求める企業もあります。通信やデータの暗号化、データセンターの所在地、バックアップの取得頻度、脆弱性診断の実施状況などは、製品間で比べやすい確認項目です。
回答に時間がかかる場合もあるため、比較の早い段階で依頼しておくと、選定の日程に余裕が生まれます。回答内容に不明な点があれば、情報システム部門とともに提供会社へ追加で確認しましょう。
データの保管場所と委託先の管理
応募者データがどの国や地域のデータセンターに保管されているか、提供会社がサーバーの運用を別の事業者に委託しているかも確認したい項目です。保管場所によっては、社内規程で求められる条件を満たさない場合があります。
個人情報保護法では、個人データの取り扱いを委託する場合、委託元は委託先に対して必要かつ適切な監督を行うことが求められています。提供会社との契約内容や、再委託先の管理方法について、資料や問い合わせで確認しておきましょう。
応募者情報の漏えいが起きたときの対応手順
対策を重ねても、漏えいの可能性をゼロにすることはできません。万が一の際に慌てず対応できるよう、事実確認から報告、再発防止までの流れを事前に決め、関係者で共有しておくことが大切です。
影響範囲の特定と社内への報告
漏えいの疑いがある場合は、まず操作ログやアクセス記録を確認し、対象となった応募者の範囲と情報の項目を特定します。クラウド型の場合は、提供会社に調査への協力を依頼し、ログの提供を受けられるかを確認しましょう。
調査と並行して、人事部門の責任者や情報システム部門、法務部門へ報告します。誰に、どの順番で連絡するかを事前に決めておくと、初動の遅れを防げます。担当者の不在に備え、連絡先は複数人分を用意しておきましょう。
個人情報保護委員会への報告と本人への通知
個人情報保護法では、一定の条件にあたる漏えいについて、個人情報保護委員会への報告と本人への通知が義務とされています。条件には、不正アクセスなど不正の目的による漏えいや、1,000人を超える個人データの漏えいなどが含まれます。報告には期限が定められているため、条件にあたるかを速やかに判断する必要があります。
報告の要否や手続きに迷う場合は、個人情報保護委員会の公式情報を確認し、法務部門や専門家へ相談しましょう。応募者への説明では、漏えいした情報の内容と今後の対応を誠実に伝えることが求められます。
認証と権限で比べる採用管理システムの一覧
採用管理システムのセキュリティ機能や提供会社の第三者認証は、製品ごとに異なります。この記事で紹介する製品の特徴を一覧で比べてみましょう。
| 製品名 | 特徴 |
|---|---|
| Talentio | 権限に応じた閲覧・ダウンロード制限やSSOに対応。ISO27001とPマークを取得 |
| HERP Hire | IPアドレス制限とSAMLによるSSOに対応。ISMSとクラウドセキュリティ認証を取得 |
| Liny HR | 二段階認証やIPアドレス制限に対応。ISO/IEC 27001とPマークを取得 |
| カオナビ採用 | 部署や役職に応じた権限設定が可能。ISO/IEC 27001とPマークを取得 |
| sonar ATS by HRMOS | ISO/IEC 27001・27017・27701を取得。新卒・中途の応募者を一元管理できる |
| SmartHR | ISO/IEC 27001とSOC 2に対応。採用から入社手続きまで同じ仕組みで管理 |
| JobSuite CAREER | ISO/IEC 27001とPマークを取得。セキュリティ関連の有償オプションも用意 |
| i-web | ISO/IEC 27001やプライバシーマークなどを取得。新卒・キャリア採用を一元管理 |
| Reworks cloud | サーバーを24時間365日無停止で監視し、過去2週間分のデータ復元に対応 |
| リクオプ | 5つのISO認証を取得した、アルバイト・パート採用向けの採用管理システム |
応募者情報の管理体制を確かめたい製品
ここでは、閲覧権限やログイン認証の設定、提供会社の第三者認証を確認しやすい製品を紹介します。操作ログの保存期間やデータの保管場所は、各社の資料やセキュリティチェックシートへの回答で確かめてください。
Talentio
- 複数の流入経路からの応募も一括管理が可能！
- 複数ベンダーのカレンダーと連携が可能。日程調整も自動で可能
- 現場の面接官も使いやすい簡単な操作画面で採用が”ラク”になる
jinjer株式会社が提供する「Talentio」は、面接官や担当者ごとに見せる情報を分けたい企業で比べやすい採用管理システムです。権限に応じて候補者情報の閲覧やダウンロードを制限でき、GoogleやMicrosoftによるシングルサインオンにも対応しています。通信はSSL/TLSで暗号化され、日次のフルバックアップも取得される仕組みです。提供会社はISO/IEC 27001とプライバシーマークを取得しています。
HERP Hire
- AIが選考と面接評価を支援し質と速度を向上
- Slack等から書類確認や評価入力を完結
- DataHubで採用指標を自在に可視化し意思決定を支援
株式会社HERPが提供する「HERP Hire」は、ログインできる場所と認証の方法を絞り込みたい企業で検討しやすい採用管理システムです。IPアドレス制限とSAMLによるシングルサインオンに対応し、定期的なセキュリティ診断も実施されています。ISMS認証とISMSクラウドセキュリティ認証を取得しているほか、生成AIの提供事業者に情報が学習されないことを保証しています。
Liny HR
- LINEですべて完結！選考移行率・内定承諾率の向上を実現
- 定期的なコンテンツ配信と個別対応により内定辞退を防止
- 説明会や面接の日程調整を完全に自動化！コア業務に注力可能
ソーシャルデータバンク株式会社が提供する「Liny HR」は、LINEで候補者とやり取りしながら、管理画面へのアクセスも厳しく管理したい企業に向く採用管理ツールです。二段階認証やIPアドレス制限、アクセスコントロール、Google reCAPTCHA、SSL暗号化などのセキュリティ対策を備えています。ISO/IEC 27001とプライバシーマークを取得し、Amazon Web Servicesの環境で提供されています。
カオナビ採用
- 紙・PDF・エクセルなどに散らばった候補者データを一元化
- 募集ポジションごとの 進捗管理で、現場・人事が 円滑に連携
- 各求人媒体から 候補者情報を自動取り込み
株式会社カオナビが提供する「カオナビ採用」は、紙やPDF、表計算ソフトに散らばった候補者情報を一か所に集め、見られる人を限定したい企業で検討しやすい製品です。候補者情報をクラウド上で一元化し、部署や役職に応じた権限設定で個人情報を管理できます。提供会社はISO/IEC 27001とプライバシーマークを取得しています。各求人媒体からの候補者情報の自動取り込みにも対応しています。
sonar ATS by HRMOS
- 大手、中小企業の規模問わず累計導入数が2,500件以上の実績
- 求人募集、応募者管理、面接日程調整などのあらゆる業務を効率化
- 求人媒体、適性検査、社内チャットツール、他各種サービスと連携
Thinkings株式会社が提供する「sonar ATS by HRMOS」は、提供会社の認証取得状況を社内のセキュリティ審査の材料にしたい企業で比べやすい採用管理システムです。ISO/IEC 27001に加え、クラウドサービスのセキュリティに関するISO/IEC 27017、プライバシー情報の管理に関するISO/IEC 27701を取得しています。新卒・中途の応募者をまとめて管理でき、ステータス更新にあわせた自動メール配信で対応漏れや誤送信を減らせます。
SmartHR
- 履歴書や面接評価などの選考過程を一元管理
- 採用決定から入社手続きの流れもスムーズに
- 選考時の評価データを、入社後の配置や育成に活用可能
株式会社SmartHRが提供する「SmartHR」は、採用から入社後の人事情報までを同じ仕組みで管理し、情報の受け渡しを減らしたい企業で検討したい製品です。候補者の書類や選考結果を一元管理でき、採用が決まった候補者はそのまま従業員として登録できます。採用担当から労務担当への情報連携もシステム上で進められます。セキュリティ認証はISO/IEC 27001とSOC 2に対応しています。
JobSuite CAREER
- 【機能美を追求】教育コスト抑え、現場ですぐに使いこなせる設計
- 【シンプルなUI】必要な情報にすぐアクセス、業務の負担を軽減
- 【採用プロセスの多角的分析】採用活動の改善ポイントを可視化
株式会社ＮＳＤデジタルソリューションズが提供する「JobSuite CAREER」は、セキュリティ対策を追加しながら使いたい企業が比べやすい中途採用向けのシステムです。ISO/IEC 27001とプライバシーマークを取得しており、セキュリティ関連などの有償オプションも用意されています。人材紹介会社からは専用画面を通じて登録者情報を受け付けられるため、紹介会社とのやり取りをシステム上にまとめられます。
i-web
- 導入シェアNo.1の実績と信頼。使いやすい操作性と充実のサポート
- 業界初、リクナビ・キャリタス就活自動連携 その他多数媒体対応
- 業務効率化機能＋分析ツールや採用サイト制作ツールも標準搭載
株式会社ヒューマネージが提供する「i-web」は、複数の第三者認証を確認したうえで新卒・キャリア採用の基盤を選びたい企業で検討しやすい採用管理システムです。ISO/IEC 27001、ISO/IEC 20000、ISO 9001、プライバシーマークを取得しています。応募者向けマイページを標準搭載しており、適性検査の受検や面接予約などの手続きをマイページ上で進められます。
リクオプ （HRソリューションズ株式会社）
- ウェブ解析士100名以上在籍
- 5つのISO認証を取得した堅牢なセキュリティ
- 1,700件以上の機能リリース実績あり。
まとめ
採用管理システムのセキュリティは、面接官や紹介会社ごとの閲覧権限、多要素認証やアクセス元の制限、操作ログ、提供会社の第三者認証やチェックシートの回答をあわせて確認します。漏えい時の報告手順まで決めておけば、万が一の際にも落ち着いて対応を進められます。権限設定や認証の方式は採用管理・選考管理システムの製品ごとに異なるため、資料請求して比較検討してください。
