人事システムのセキュリティは何を確認する？選定に使えるチェックリスト

人事システムのセキュリティは、認証・アクセス権限、データ保護、操作ログ、バックアップ、事業者の管理体制、契約終了時の対応を確認します。機能の有無だけでなく、標準・オプションの区分、自社で必要な設定、回答の根拠資料まで記録することが重要です。

本記事では、クラウド型人事システムの導入・乗り換えを検討する担当者に向けて、選定に使えるチェックリストと、未確認・未対応項目の判断手順を紹介します。

人事システムのセキュリティは、機能・契約・自社運用をセットで確認する

人事システムを選ぶ際は、「機能があるか」「どの条件で利用できるか」「自社で運用できるか」の3点を確認しましょう。

例えば、アクセス権限を設定できても、部署単位でしか制限できない場合と、給与・評価などの項目単位で制限できる場合では、自社の運用への適合性が異なります。必要な機能がオプションなら、追加費用や設定作業も選定条件に含める必要があります。

IPAの「クラウドサービス安全利用の手引き」でも、サービス提供事業者と利用者がそれぞれの役割と責任に応じた対策を実施する考え方が示されています。出典：IPA「クラウドサービス安全利用の手引き」

確認を始める前に、次の内容を整理してください。

• 登録する情報：従業員の基本情報、給与、評価、異動履歴など
• 利用する人：人事担当者、部門管理者、従業員、外部委託先など
• 許可する操作：閲覧、登録、変更、削除、ファイル出力など
• 利用する環境：社内端末、在宅勤務用端末、スマートフォンなど

この整理をもとに、自社が譲れない必須要件を決めてから候補サービスを比較すると、機能名だけに左右されにくくなります。

導入前のセキュリティチェックリスト｜確認資料まで記録する

以下は、公的な安全管理の考え方を踏まえ、人事システムの選定用に整理した確認項目です。すべての機能を一律の法的義務とするものではありません。扱う情報や利用環境に応じて、必要な水準を設定してください。

確認表には、次の記録欄を設けると社内で共有しやすくなります。

認証・権限管理は、役割別の閲覧・変更・出力まで確認する

まず確認したいのは、本人を適切に確認できることと、業務に必要な範囲へアクセスを限定できることです。

認証では、多要素認証の有無だけでなく、管理者への適用を必須にできるか、認証に使う端末を紛失した場合にどう復旧するかまで確認しましょう。不正ログイン対策の基本は、IPAの公式情報も参考になります。出典：IPA「不正ログイン対策特集ページ」

デモでは、自社の運用に近い役割を設定して確認します。例えば「評価者は担当する従業員の評価だけを閲覧できる」「給与情報の出力は指定担当者に限定する」といった条件です。

画面表示だけでなく、検索結果や出力ファイルにも同じ制限が反映されるかを見ると、確認漏れを減らせます。検証には実在する従業員情報ではなく、テスト用データを使用しましょう。

データ保護は、通信・保存・連携・持ち出しを分けて確認する

「暗号化に対応している」という説明を受けた場合は、何が対象なのかを確認します。通信時の暗号化と、保存されたデータの暗号化は別の確認項目です。

また、人事システムから出力したCSVファイルや、外部システムへ送信したデータも確認範囲に含めましょう。

APIとは、システム同士がデータをやり取りするための仕組みです。連携先がある場合は、送信する項目、連携用アカウントの権限、認証情報の管理者も決めておきます。

CSV出力については、「出力できるか」に加え、出力後の保管場所、共有方法、削除の担当まで整理してください。システム内の権限制御と、取り出したファイルの管理をつなげることが大切です。

ログ・バックアップは、記録と復旧の条件まで確認する

操作ログは、誰がいつ何をしたかを確認するための記録です。「ログを取得している」という回答だけでは、自社が調べたい操作を追跡できるか判断できません。

SLAは、サービスの品質や対応条件について定める合意です。稼働率の数字だけでなく、障害時にどのような対応を受けられるかを確認します。

バックアップでは、サービス全体の障害に備える仕組みと、利用者が誤って削除した情報を戻す対応を分けて質問しましょう。復元できる単位や依頼条件が、自社の想定と合うかが判断のポイントです。

事業者・契約は、認証範囲・事故連絡・解約後の削除まで確認する

サービス提供元については、認証の有無に加えて、実際に契約するサービスが認証範囲に含まれるかを確認します。事故や解約の際に、どこまで対応してもらえるかも契約前に整理しておきましょう。

詳しい診断報告などが一般公開されていない場合は、秘密保持契約の下で確認できる資料や、概要説明の提供可否を問い合わせます。非公開という理由だけで不適合とせず、必要な判断材料を入手できるかを見極めてください。

解約時には、従業員の基本情報だけでなく、添付書類や履歴も移行対象になるか確認しましょう。返却期限と削除時期を合わせて確認すると、移行が終わる前にデータを取り出せなくなる事態を避けやすくなります。

確認結果は、必須要件・根拠資料・残課題で判定する

チェック項目の「対応済み」の数だけで導入可否を決めるのは適切ではありません。多数の項目を満たしていても、自社の必須要件が未達なら、導入の前提を見直す必要があります。

人事・情報システム・法務で確認し、担当者と期限を決める

確認は、次の5段階で進めると整理しやすくなります。

1. 登録データと利用者を整理する
   人事担当者が、扱う情報と必要な操作を洗い出します。
2. 必須要件を決める
   情報システム・セキュリティ担当者と技術面を確認し、契約や法令の判断が必要な事項は法務担当者へ相談します。
3. 同じ質問表で回答を集める
   候補サービスごとに質問内容を変えず、提供条件と根拠資料をそろえます。
4. 資料・契約・動作を照合する
   説明資料に記載された機能が、契約するプランや実際の設定で利用できるかを確かめます。
5. 残課題を整理して承認を得る
   対応策、費用、担当者、期限、導入判断の承認者を記録します。

専任の情報システム部門がない場合も、人事担当者だけで判断を抱えず、社内の責任者や外部の専門家へ確認できる体制を用意しましょう。

「未確認」を「対応済み」にせず、代替策と承認条件を残す

確認結果は、次の4区分で管理できます。

例えば、「管理者の多要素認証を必須にする」という自社要件を設定した場合、次のように記録します。

※上記は記録方法を示す例であり、特定サービスの仕様ではありません。

将来の実装予定は、現在利用できる機能と分けて記録します。代替策を採用する場合も、誰が実施し、どのようなリスクが残るかを明確にしてください。社内承認があっても、法的義務への対応を省略できるわけではありません。

個人情報の確認条件は、データの種類と契約内容で変わる

個人データを扱う個人情報取扱事業者には、個人情報保護法第23条に基づく必要かつ適切な安全管理措置が求められます。従業者の監督は第24条、個人データの取扱いを委託する場合の委託先の監督は第25条に定められています。

具体的な対策は、取り扱うデータの性質・量、事業の規模やリスクなどを踏まえて検討します。出典：個人情報保護委員会「通則編」3-4

クラウド利用の委託該当性は、事業者の取扱実態で確認する

クラウドに個人データを保存することだけを理由に、すべての利用が個人データの取扱いの委託になるわけではありません。提供事業者が個人データを取り扱うことになっているかが判断の基準です。

契約上取り扱わない旨が定められ、適切なアクセス制御が行われている場合などは、個人データの提供に該当しないとされます。出典：個人情報保護委員会「Q7-53」

ただし、委託先の監督義務が課されない場合でも、利用企業自身の安全管理措置は必要です。出典：個人情報保護委員会「Q7-54」

選定時には、「クラウドなので委託に当たる」と決めつけず、契約条項と保守時のアクセス実態を照合しましょう。保存先やアクセス元が海外にある場合の取扱いも含め、個別の法的判断は法務担当者や弁護士、個人情報保護委員会の相談窓口に確認してください。

マイナンバー・健康診断結果等を扱う場合は確認を追加する

マイナンバーを含む特定個人情報を扱う場合は、番号法に基づく取扱範囲や安全管理措置の確認が必要です。登録できる項目があるという理由だけで保存せず、対象事務と取扱担当者を明確にします。出典：個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」

また、病歴や健康診断の結果などは要配慮個人情報に該当します。給与・評価情報などと法的な分類を混同せず、閲覧者や利用目的を個別に整理しましょう。出典：個人情報保護委員会「通則編」2-3

なお、2026年7月17日には改正個人情報保護法が公布されています。公布と施行は異なるため、改正事項を現在の義務として一括して扱わず、実際の導入時点で適用される規定を確認してください。出典：個人情報保護委員会「令和8年改正個人情報保護法について」

人事システムのセキュリティ確認でよくある質問

ISMS認証があれば、個別の確認は不要ですか？

個別の確認は必要です。 認証を判断材料にしながら、自社が利用するサービスの対象範囲や設定条件を確認します。

ISMSクラウドセキュリティ認証は、通常のISMS認証に加え、クラウドサービス固有の管理策が導入・実施されていることを認証する制度です。出典：ISMS-AC「ISMSクラウドセキュリティ認証」

認証の取得と、自社が必要とする権限設定やログ保存期間を満たすかどうかは分けて確認しましょう。認証書の対象範囲、有効性、契約するサービスとの対応を確認したうえで、チェックリストを使って個別要件を照合します。

操作ログの保存期間は何年にすべきですか？

自社に適用される法令・業界要件、監査方針、調査上の必要性を確認して決めます。 本記事では、すべての人事システムに共通する保存年数は設定していません。

まず「どの操作を、どの期間さかのぼって確認する必要があるか」を整理してください。そのうえで、サービス内の保存期間、延長の可否、期限前の出力方法、出力後の保管場所を確認します。

ログ自体にも利用者や操作内容の情報が含まれるため、閲覧できる担当者と削除のルールも決めておきましょう。

サイレコを検討する場合も、標準仕様とオプションを照合する

サイレコの料金ページでは、セキュリティに関する標準仕様とオプションが次のように案内されています。

サイレコ「料金プラン」

サイレコのセキュリティページでは、パスワードポリシーとして長さ・文字種類・ログイン失敗時の制限などを設定できること、接続元IPアドレス制限は管理者機能だけにも適用できることが説明されています。また、ISMSクラウドセキュリティ認証（ISO/IEC 27017）の取得と対象範囲も掲載されています。サイレコ「セキュリティ」

選定時は、これらの公開仕様を自社の要件と照合し、必要なオプションや設定を確認してください。操作ログ、復旧条件、解約後のデータ削除など、公開情報だけでは判断できない項目は、個別に確認してから判定しましょう。

まとめ｜未確認項目を解消してから導入可否を判断する

人事システムのセキュリティを確認する際は、認証・権限管理から、データ保護、ログ、復旧、契約終了時の対応までを一通り点検しましょう。

選定を進めるポイントは、機能の有無に加えて、根拠資料、利用条件、自社の担当者を記録することです。未確認項目を明確にし、追加の回答や動作確認を通じて、自社の必須要件を満たせるか判断してください。

サイレコを検討している方は、標準仕様とオプションを確認したうえで、公開情報だけでは判断できない項目をお問い合わせください。

サイレコのセキュリティ仕様を確認する
個別の要件を問い合わせる