ストレスチェックのデータはどう守られるのか

ストレスチェックの回答と結果は、個人情報保護法上の要配慮個人情報にあたります。心身の状態に関する情報であり、本人の意図しない形で知られると、評価や配置に影響しかねないためです。

さらに労働安全衛生法は、事業者が本人の同意なく個人のストレスチェック結果を取得することを禁じています（第66条の10第2項）。法令上、結果を取り扱ってよいのは実施者と実施事務従事者であり、人事部門ではありません。なお本サービスでは、画面から個人結果を閲覧できるのは実施者ポータルのロールに限っています（実施事務従事者は受検の運営を担い、結果は見られません）。

つまりストレスチェックのシステムには、「外部からの攻撃を防ぐ」だけでなく「社内の人にも見せない」という、通常の業務システムには無い要件があります。ここを製品の作りで担保できているかが、選定時の分かれ目になります。

受検者の端末とサーバーの間の通信は、TLS 1.2以上のHTTPSに限定しています。暗号化されていない経路での接続は受け付けません。

社内ネットワークからでも自宅のWi-Fiからでも扱いは同じです。受検者が自宅のスマートフォンから回答する運用でも、通信経路の心配は要りません。

回答内容と得点は、データベースへ書き込む前にAES-256-GCMという方式で暗号化しています。これは金融機関や政府機関でも採用されている標準的な方式です。

重要なのは「どこで暗号化するか」です。データベース製品側の暗号化だけに頼ると、データベースに接続できる立場の人にはそのまま内容が読めてしまいます。Zeneはアプリケーション側で暗号化してから保存しているため、データベースを直接参照しても、回答と得点は意味を成さない文字列にしか見えません。

復号に使う鍵はデータベースとは別の場所で管理し、保存された暗号文と一緒には置いていません。バックアップファイルが単体で流出しても、そこから回答内容と得点を取り出すことはできない構成です。

ただし、高ストレス判定に該当したかどうかのフラグだけは暗号化していません。実施者が面接指導の対象者を絞り込む検索に使うためで、暗号化すると法定業務である対象者の選定ができなくなります。この項目については、データベースを直接参照できる立場の人には読めるという前提で、アクセス権限の限定と操作記録で守っています。

暗号化していても、暗号文そのものを別の行へコピーされると、「Aさんの結果」の場所にBさんの暗号文が入り込む可能性が残ります。どちらも正しい鍵で復号できてしまうため、暗号化だけでは気づけません。

Zeneは暗号化するデータの中に、それが誰の・どの実施回のものかを一緒に書き込んでいます。読み出すときに、置かれている場所と中身が一致するかを突き合わせ、食い違えばエラーとして扱い、その結果を表示しません。

封筒に宛名を書いておき、開けるときに宛先と照合するのに似た仕組みです。中身を入れ替えても宛名までは書き換えられないため、取り違えが起きたまま気づかずに進むことがありません。

この仕組みを導入する前に保存されたデータには宛名が書かれておらず、照合できません（照合を必須にすると過去の結果が読めなくなるためです）。宛名付きへ書き換える作業は今後の課題としています。

技術的な暗号化で守れるのは「権限の無い人がデータそのものに触れた場合」です。正規の画面から正規にログインした人に何を見せるかは、別の設計で決まります。ストレスチェックではむしろこちらが本体です。

Zeneでは実施者ポータルと管理者ポータルを分け、個人結果を閲覧する権限は実施者側のロールにしか持たせていません。管理者がこの権限を自分に付け替えることもできないようにしています。管理画面の設定で切り替えられる項目ではなく、権限の構造そのものとして分けているためです。

少人数の部署では、平均値と役職や性別を組み合わせるだけで個人が推測できてしまいます。そのためZeneは、集計対象が10人に満たない集団を集団分析の画面と出力から自動的に除外します。

実施者が「今回だけ見たい」と設定で解除できる項目にはしていません。運用の都合で外せる作りにすると、外した状態が既定になっていきます。

ログイン、設定やデータの変更、エクスポート、個人結果の閲覧といった操作を監査ログとして記録しています。人事担当者の側から見ると、「管理者が従業員データを取り込んだこと」も「受検者が自分の結果を開いたこと」も、あとから確認できるということです。

一覧や集計を見ただけの操作は、原則として記録していません。受検期間中は画面を開くたびに記録が積み上がり、本当に見るべき操作が埋もれてしまうためです。記録の対象は、データが変わる操作と、外部へ持ち出される操作に絞っています。

万一の問い合わせや調査で「誰がいつ何をしたか」を示せることは、暗号化と同じくらい実務上の意味があります。事故が起きなかったことを証明する手段でもあるためです。

システムの守りが十分でも、データが外へ出る場面は運用の中にあります。ここは製品ではなく運用で押さえる部分です。

選定時にベンダーへ確認しておくとよい観点を挙げます。Zeneについては、それぞれセキュリティ設計書と個人情報取扱委託契約書のテンプレートに記載しています。