ITトレンドがおすすめする製品・サービス
- ■ログイン・アクセス制御の方式別
- ■情報の保護方法別
- 利用者ごとに閲覧・操作の権限を設定できる：サイレコ、ez-GoV、KING OF TIME 人事労務
- マイナンバーの閲覧履歴を確認できる：ジョブカン労務HR
- マイナンバーの破棄までシステム上で扱える：人事労務freee
- ■第三者認証別
労務管理システムで守るべき情報とリスク
セキュリティ対策を考える前に、労務管理システムにどのような情報が集まり、どのような経路で漏えいや改ざんが起こり得るかを整理しておくことが大切です。守る対象とリスクがわかると、必要な機能を絞り込めます。
マイナンバーや口座情報などの機微な情報
労務管理システムには、氏名や住所に加えて、マイナンバー、給与の振込口座、扶養家族の情報、健康保険や年金の番号などが登録されます。休職や労災の手続きでは、病気やけがに関する情報を扱う場合もあります。
これらは本人の生活や家族にも関わる情報であり、漏えいすると従業員との信頼関係や企業の信用に影響します。特にマイナンバーは番号法で利用目的が限定されており、ほかの個人情報より厳しい管理が求められます。
想定される主なリスク
リスクは外部からの攻撃だけではありません。パスワードの使い回しによる不正ログイン、権限設定の誤りで閲覧範囲を超えた情報が見えてしまう状態、誤った宛先への書類送付など、社内の運用に起因するものもあります。
また、退職者のアカウントが残ったままになる、出力したCSVファイルが共有フォルダに放置されるといった管理上のすき間も、情報が外に出る経路になり得ます。システムの機能と運用の両面から対策を考えましょう。
労務管理システムのセキュリティ機能
労務管理システムのセキュリティ機能は、誰がログインできるか、ログインした人が何を見られるか、何をしたかを記録できるかの3つに分けて確認すると整理しやすくなります。製品ごとの対応状況は資料で確認しましょう。
ログイン認証とアクセス制限
不正ログインを防ぐには、パスワードだけに頼らない認証方式を選べるかが確認ポイントです。多要素認証は、パスワードに加えてスマホに届く確認コードなどを組み合わせて本人を確かめる仕組みです。
ほかにも、社内で使うほかのサービスと同じIDでログインできるシングルサインオン、会社のネットワーク以外からの接続を制限するIPアドレス制限などがあります。自社の働き方にあう方式を選べるか確認しましょう。
項目単位の閲覧権限
労務管理システムでは、担当者によって見てよい情報の範囲が異なります。例えば、手続き担当者には住所や保険の情報を見せ、給与額や口座番号は給与担当者だけに限定するといった設定です。
権限を画面や機能の単位だけでなく、項目単位や部署単位で細かく設定できるかは製品によって差があります。管理職に部下の情報を一部だけ公開したい場合なども想定し、自社の組織にあわせた権限を組めるか確認しておきましょう。
操作ログと暗号化
操作ログは、誰がいつどの情報を閲覧・変更・出力したかを記録する機能です。不審な操作に気づくきっかけになるほか、問題が起きたときに原因を調べる材料にもなります。ログの保存期間や、管理者が検索・出力できるかも確認しましょう。
暗号化は、通信中のデータと保存されたデータを第三者が読めない形にする対策です。通信の暗号化に加え、保存データやバックアップも暗号化されているかを、ベンダーの資料で確かめておくと安心です。
マイナンバー管理で求められる安全管理措置
マイナンバーを含む情報は、番号法と個人情報保護委員会のガイドラインにもとづいて安全管理措置を講じる必要があります。労務管理システムでマイナンバーを扱う場合に確認したい点を紹介します。
番号法とガイドラインの考え方
個人情報保護委員会は「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」を公表しています。同ガイドラインでは、取扱規程等の策定に加え、組織的・人的・物理的・技術的な安全管理措置を講じることを求めています。あわせて、基本方針の策定も重要とされている点に留意しましょう。
システムを導入すれば、これらがすべて満たされるわけではありません。取扱担当者の範囲を決めることや、規程にもとづく運用は企業側の役割です。システムはそのうち技術的な措置を支える道具と考え、社内の規程とあわせて整備しましょう。
利用目的以外での閲覧を防ぐ設定
マイナンバーは、社会保険や税の手続きなど法律で定められた目的にしか利用できません。そのため、従業員の基本情報とは分けて保管し、取扱担当者だけが閲覧できるようにする設計が望まれます。
労務管理システムによっては、マイナンバーの閲覧や出力のたびに操作ログを残す仕組みや、画面上で番号を伏せて表示する設定を備えているものもあります。どこまで対応しているかは製品ごとに確認しましょう。
不要になった番号の削除・廃棄
ガイドラインでは、法令で定められた保存期間を過ぎたマイナンバーは、できるだけ速やかに削除または廃棄することが求められています。退職者の番号をいつまでも残しておくことは避けなければなりません。
システム上で退職者の番号を一括削除できるか、削除した記録を残せるかを確認しておくと、運用の負担を減らせます。削除の時期や判断の手順は、社内の取扱規程にも明記しておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で労務管理システムの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
クラウド型の安全性をベンダー資料で確かめる方法
クラウド型の労務管理システムは、データを提供会社のサーバで管理します。社内からは設備を直接確認できないため、公開資料や問い合わせでセキュリティ体制を確かめることが重要です。
第三者認証の取得状況
客観的な判断材料として、第三者認証の取得状況があります。代表例は、情報セキュリティの管理体制に関するISO/IEC 27001（ISMS）や、クラウドサービスに関するISO/IEC 27017です。個人情報の取り扱いに関するプライバシーマークもあります。
認証は取得した範囲が決まっているため、労務管理システムのサービスが対象に含まれているかも確認しましょう。認証の有無だけで安全性が決まるわけではないため、ほかの項目とあわせて判断することが大切です。認証の名称や対象範囲は、提供会社の公式サイトや認証機関の公開情報で確認できます。
データの保管場所とバックアップ
データを保管するデータセンターの所在地や、バックアップの取得頻度と保管先も確認したい項目です。災害や障害に備え、離れた拠点にバックアップを置いているかどうかで、復旧にかかる時間や失われるデータの範囲が変わる場合があります。
あわせて、障害が起きた際の連絡方法や、情報漏えいなどの事故時に提供会社がどのように報告・対応するかも確認しましょう。利用規約やサービスレベルに関する資料に記載されていることがあります。記載がない場合は、導入前に問い合わせて回答を得ておくと安心です。
自社側で担うセキュリティ運用
どれほど機能が備わっていても、設定や運用が適切でなければ情報は守れません。労務管理システムのセキュリティを保つために、自社側で継続して行いたい取り組みを紹介します。
アカウントと権限の定期的な見直し
異動や退職、担当業務の変更があると、本来不要な権限が残ることがあります。年に数回など時期を決めて、アカウントの一覧と付与している権限を確認し、不要なものを停止・変更しましょう。
見直しを特定の担当者1人に任せると、確認漏れや引き継ぎの問題が起こりやすくなります。人事労務部門と情報システム部門で役割を分け、確認した結果を記録に残す運用にすると、継続しやすくなります。
社内ルールの整備と教育
データの出力や印刷をしてよい場面、出力したファイルの保管と削除の方法、私物端末からの利用可否などを社内ルールとして定めておきます。ルールは文書にして、担当者が交代しても同じ運用を続けられるようにしましょう。
また、担当者だけでなく、システムに個人情報を入力する従業員にも、パスワード管理や不審なメールへの注意を呼びかけることが大切です。導入時と年に1回程度など、定期的に案内する機会を設けると効果が期待できます。
セキュリティ対策で比べる労務管理システム・関連サービス一覧
ログイン認証やアクセス制御、マイナンバーの扱い方など、各製品のセキュリティ面の特徴を一覧にしました。自社のセキュリティ基準にあう製品を絞り込む際の参考にしてください。
| 製品名 | 特徴 |
|---|---|
| XOLOGY住民税 | IPアクセス制御や多要素認証、SSO連携を搭載した住民税通知書の電子配付サービス |
| カオナビ労務 | 2段階認証やIPアドレス制限、SSOに対応。データベース二重化や自動バックアップも備える |
| ハーモス労務給与 | IPアドレスによるアクセス制限や第三者による定期的な脆弱性診断を提供している |
| ジョブカン労務HR | マイナンバーの閲覧履歴や情報の変更・削除履歴を確認でき、IPアドレス制限にも対応 |
| ez-GoV | 総合管理者・事業所管理者などの権限設定とシングルサインオンに対応した電子申請サービス |
| サイレコ | 自分や部下などの情報へのアクセス権を細かく設定でき、従業員情報を一元管理できる |
| KING OF TIME 人事労務 | データベースの二重化などの対策を掲げ、権限管理やマイナンバー管理の機能を備える |
| 人事労務freee | マイナンバーの収集・保管・利用・破棄までをクラウド上で完結できる |
| クラリネット | ISMSを取得したデータセンターで個人情報を管理。電子申請や給与明細など8種類のアプリを提供 |
| LoMe | ISMSを取得した中小企業向けの労務管理システム。PC・タブレット・スマホで利用できる |
| 社労法務システム | オンプレミス版のマイナンバー管理オプションは、番号を社外に出さずに届出書へ付加できる |
認証・アクセス管理や個人情報保護を支える労務管理システム
多要素認証やIPアドレス制限、権限設定、操作履歴、マイナンバー管理などのセキュリティ対策を備えた労務管理システムを紹介します。詳しい仕様や認証の適用範囲は、各製品の公開資料や提供企業への問い合わせで確認しましょう。
XOLOGY住民税
- 人事部門は３ステップで配付完了。紙作業から解放され業務効率化
- 従業員は画面の指示に従って２ステップ。スマホやPCから閲覧可能
- XOLOGY（ソロジー）住民税のみの単独利用が可能。簡単スタート
さくら情報システム株式会社が提供する「XOLOGY住民税」は、eLTAXから取得した住民税特別徴収税額通知書のデータを従業員へ配付するクラウドサービスです。IPアクセス制御や多要素・多段階の認証、シングルサインオン連携の機能を搭載しています。従業員は個別のパスワードを取得してから通知書をダウンロードする手順のため、ファイルをそのまま送る方法とは異なる配付の流れを組めます。管理者は従業員の閲覧状況を一覧で確認できます。既存の人事給与システムを残したまま、単独で利用できる点も特徴です。
カオナビ労務
- 入社手続きをペーパーレス化して大幅に工数削減
- 年末調整の記入や書類回収もオンラインでかんたん便利に
- 労務手続きで人材情報を一元化し、評価やスキルと一緒に管理可能
株式会社カオナビが提供する「カオナビ労務」は、2段階認証やIPアドレス制限などのログイン対策を備えた、クラウド型の労務管理システムです。シングルサインオンやパスワード強度の設定にも対応しています。全データのSSL/TLS暗号化通信やデータベースの二重化、データの自動バックアップにも対応しています。セキュリティ認証欄の記載は、ISO/IEC 27001・27017やプライバシーマーク、ISMAPです。入社手続きでは、マイナンバーもセキュアな環境で収集・管理できます。
ハーモス労務給与
- 労務・給与業務がすべてシステム内で完結
- 大量の給与計算・社会保険手続きを一括処理
- 従業員が直接入力できる柔軟なフォーム設計
株式会社ビズリーチが提供する「ハーモス労務給与」は、労務手続きから給与計算、明細発行までをまとめて扱えるクラウドサービスです。セキュリティ面では、SSL暗号化通信の採用や第三者による定期的な脆弱性診断、IPアドレスによるアクセス制限の提供、バックアップとウイルス対策を掲げています。セキュリティ認証欄にはISO/IEC 27001・27017とプライバシーマークが記載されています。マイナンバー管理にも対応しており、給与の情報まで同じ環境で管理したい企業が比較しやすい製品です。
ジョブカン労務HR
- シリーズ導入25万社以上！電話・メール・チャットで無料サポート
- 入退社・年末調整・ストレスチェック等幅広い業務を自動・効率化
- 人事労務まわりの紙書類ゼロへ、電子申請も利用可能！
株式会社DONUTSが提供する「ジョブカン労務HR」は、情報の変更履歴やマイナンバーの閲覧履歴を管理者が確認できる労務管理システムです。削除の履歴も残るため、誰がいつ情報を扱ったかを把握できます。事前に設定したIPアドレス以外からのログインを制限する機能や、SSLによる暗号化通信も備えています。ジョブカンシリーズは、ISO/IEC 27001の要求事項と、ISO/IEC 27017にもとづくISMSクラウドセキュリティ認証の要件に適合しているとしています。操作の記録を残したい企業の候補です。
ez-GoV
- e-Gov電子申請をオンラインで完結し労務業務を効率化
- 入退社・社会保険などの労務手続きを電子申請に対応
- CSV申請や申請書検索で電子申請業務を効率化
株式会社ASJが提供する「ez-GoV」は、利用者ごとの操作範囲を決めたうえでe-Gov電子申請を進められる労務手続きのクラウドサービスです。総合管理者や事業所管理者などの権限を設定できます。主な機能にはシングルサインオンも含まれています。セキュリティ対策として、ISMSの国際規格であるJIS Q 27001（ISO/IEC 27001）の認証を取得しています。社会保険や雇用保険の電子申請を複数の担当者で分担しながら、それぞれの操作範囲を絞りたい企業の候補です。
サイレコ
- 入社手続き、給与明細発行、台帳作成などの労務業務を効率化！
- ストレスチェックの実施や面談記録などの情報も管理可能
- 給与計算や勤怠管理システムと連携し、従業員情報を一元管理
株式会社アクティブアンドカンパニーが提供する「サイレコ」は、従業員の情報を集めて一元管理するクラウド型の労務管理システムです。自分や部下などの情報へのアクセス権を細やかに設定でき、管理者のマスターログインと従業員ログインも分けて設定できます。従業員は自身の情報を閲覧・修正できるため、担当者が代わりに入力する場面を減らせます。ストレスチェックの実施や面談記録など、取り扱いに注意が必要な情報もあわせて管理するため、閲覧範囲を立場ごとに分けたい企業の選択肢です。
KING OF TIME 人事労務
- 入社手続き、給与明細の発行など労務担当者の業務を軽減します。
- 勤怠や給与と連携し、スムーズな一元管理を実現できます。
- データベースの二重化など万全のセキュリティ対策。
株式会社ヒューマンテクノロジーズが提供する「KING OF TIME 人事労務」は、データベースの二重化などのセキュリティ対策を掲げる労務管理システムです。入社手続きやマイナンバー管理などに対応しており、管理者用機能には権限管理が含まれます。マイナンバーは従業員から申請してもらう仕組みで、本人確認書類などの画像をアップロードでき、登録の進捗もひと目で確認できます。セキュリティ認証欄にはISO/IEC 27001とプライバシーマークが記載されています。法改正への対応は年3回の無料バージョンアップで行われます。
人事労務freee
- 労務手続きからマイナンバー、給与計算を一元化
- 勤怠、給与とも一気通貫で業務効率化
- マイナンバーの収集、保管、利用、破棄までがクラウド上で完結
フリー株式会社が提供する「人事労務freee」は、入社から給与計算、マイナンバー管理、保険手続きまでを一気通貫で扱うクラウド型の労務管理システムです。マイナンバーの収集、保管、利用、破棄までをクラウド上で完結できるため、紙の書類を保管・廃棄する手間を減らせます。入退社の手続きでは、従業員からクラウド上で必要な情報を集め、書類を自動で作成できます。退職者の番号の削除まで含めて、マイナンバーの取り扱いをシステム上でそろえたい企業の候補です。
クラリネット （益田人事労務事務所）
- ISMS取得データセンターで個人情報管理
- 20年以上の経験に基づく信頼性の高いシステム
- 労働実務事例研究と様式ダウンロードが可能
LoMe （フューチャーテクノロジー・コンサルティング株式会社）
- 全機能がいつでもどこでも利用可能
- 機能画面クリックで操作イメージ動画を視聴可能
- 300社以上の導入実績とISMSを取得した安心のセキュリティ
社労法務システム （株式会社日本シャルフ）
- オールインワンのASP、機能を抜き出せるオンプレから選択可能！
- オプションでマイナンバー管理システムとAPI連携！
- 社労士事務所中心に規模を問わない30年の導入実績！
まとめ
労務管理システムのセキュリティは、ログイン認証や項目単位の閲覧権限、操作ログ、暗号化といった機能と、自社で定める運用ルールを組み合わせて守るものです。マイナンバーを扱う場合はガイドラインにもとづく安全管理措置も必要です。クラウド型では第三者認証やバックアップ体制を資料で確かめましょう。自社の基準を満たす製品を比較したい方は、資料請求を活用してください。
