委託先ベンダーとの契約、ここが抜けていませんか

医療機関の多くは電子カルテやネットワーク監視を外部ベンダーに委託していますが、委託先のセキュリティ不備が原因の情報漏洩・障害が増加しています。契約更新のタイミングこそ見直しの好機です。

3つの角度

①責任分界の角度

障害発生時の初動対応者、患者への説明責任の所在を契約段階で定義していない例が少なくありません。

②監査の角度

委託先の管理体制を定期確認する仕組みがなければ、契約条項は形骸化します。

③保守アクセスの角度

保守用の権限・ログ・接続手順がルールと仕組み両面で整備されているかが問われます。

契約見直しの実務チェックポイント

1. 障害時の初動対応責任者を契約書上で明記する

2. 保守アクセスの権限範囲とログ保存期間を定義する

3. 委託先自身のセキュリティ監査結果の提出義務を盛り込む

4. 契約終了時のデータ返却・削除手続きを明文化する

保守アカウントが数年間放置されているケースは珍しくありません。チェックすべき項目のテンプレートを持っているだけでも、大きな安心材料になります。

用語集

• 責任分界点: 事故時にどの主体がどこまで責任を負うかの境界。

• 委託先監査: 委託先の管理体制を確認する点検・審査。

• 保守アクセス: ベンダーがシステムの保守のために付与されるアクセス権限。

• 初動対応: インシデント発生直後に行う対応行動。

• SLA(サービスレベル合意): 委託先が提供するサービスの品質・対応時間等について取り決める契約条項。

参照文献

1. [IPA(情報処理推進機構)](https://www.ipa.go.jp/)

2. [厚生労働省](https://www.mhlw.go.jp/)

3. [CISA - Cybersecurity Best Practices](https://www.cisa.gov/topics/cybersecurity-best-practices)

著者プロフィール

丸山 智久｜Envirome, Inc. CEO

生命科学・環境・AI領域の起業家、バイオインフォマティシャン。元『日経バイオテク』外部記者。遺伝子・環境・生体リズムの相互作用から、健康のあり方を問い直しています。

東京医科歯科大学大学院博士課程単位取得退学。医療政策、創薬知的財産、比較ゲノム・分子進化、がん抑制遺伝子、バイオインフォマティクス、AI創薬などを専門領域とし、研究、政策提言、事業化・社会実装を一気通貫で支援しています。

X：@tmzo