組織的管理策は附属書Aの4テーマのうち最大で、37項目あります。93管理策の4割がここに集まっており、ISMS構築の作業量という意味でも重心です。そして、技術ではなく文書と運用でしか満たせない領域でもあります。ここを後回しにすると、審査直前に規程を量産することになり、運用実態と合わない紙束が出来上がります。
一方で、37項目を一つずつ読んで対応表を埋めていくやり方は勧めません。管理策は独立した37個のタスクではなく、いくつかの塊に分かれていて、塊ごとに「作るもの」がほぼ決まっているからです。塊で捉えれば、成果物は8つ程度の文書群に収束します。
本記事では、A.5の37項目を8つのグループに束ね、それぞれ何を求めているのか、実務で何を作ることになるのか、ヘルスケア事業者にとってどこが効くのかを整理します。全体像は 附属書A 2022年版｜93管理策と4テーマの全体像 をご覧ください。
免責：本記事は一般的な情報提供です。管理策の題名・要求の本文は規格の正文に記載されています。本記事では著作権に配慮し、逐語の引用はせず、要求の趣旨を当社の言葉で説明しています。実際の適用判断は ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料に基づいて行ってください。
37項目を8つのグループで捉える
まず全体像です。以下の8グループで、A.5の37項目はほぼ覆えます。
| グループ | 狙い | 実務での主な成果物 |
|---|---|---|
| ① 方針とガバナンス | 誰が何を決め、誰が責任を負うかを確定する | 情報セキュリティ方針、下位規程体系、体制図、職務分掌表 |
| ② 資産と情報の分類 | 守るべきものを特定し、扱い方を機密度で分ける | 情報資産台帳、分類・ラベル付け基準、利用許容範囲の規程、返却手続 |
| ③ アクセスの方針 | 「誰が何にアクセスできるか」を方針として定める | アクセス制御方針、ID管理手続、権限付与・棚卸の記録 |
| ④ 委託先とクラウド | 外部に預けた部分の責任と管理水準を担保する | 委託先管理規程、評価チェックシート、契約条項、委託先一覧 |
| ⑤ 脅威情報と外部連携 | 外の動きを継続的に取り込む | 脅威情報の収集・展開の手順、連絡先一覧、参加団体の記録 |
| ⑥ インシデント管理 | 起きたときに止まらず、学習する | インシデント対応計画、報告フロー、証拠保全手順、事例台帳 |
| ⑦ 事業継続 | 情報セキュリティの観点から事業を止めない | BCP、ICT継続性の要件と試験記録、復旧目標 |
| ⑧ 法令遵守と点検 | 守るべき外部要求を特定し、守れているかを確認する | 法令・契約要求一覧、記録保護の基準、独立レビュー記録 |
この8つの成果物群が揃えば、A.5の対応はほぼ形になります。逆に言えば、37個の管理策に対して37個の文書を作る必要はありません。管理策と文書は多対多の関係にあり、1つの規程が5〜6の管理策をまとめて満たすことは普通にあります。
土台をつくる：方針・資産・アクセスの3グループ
① 方針とガバナンス
求められているのは、情報セキュリティについて組織として何を決めたのかが、承認された文書として存在すること、そしてその決定を誰が担うのかが明確であることです。方針を作るだけでなく、下位の規程との関係、定期的な見直し、役割の割り当て、職務の分離までが一続きの要求になっています。
実務で作るのは、最上位の情報セキュリティ方針と、その下にぶら下がる個別規程の体系です。ここで重要なのは方針の枚数ではなく、方針と実際の運用が一致していること。ひな形をそのまま使うと「当社は入退室記録を保管する」と書いてあるのにオフィスがない、といった矛盾が生じます。
職務の分離については、少人数組織では完全な分離が難しい場面が出ます。この論点は 人的管理策8項目の読み方 で扱っています。
② 資産と情報の分類
このグループは、情報資産台帳という一つの成果物に収束します。求められているのは、守るべき情報と設備を特定し、それぞれに管理責任者を割り当て、機密度に応じた分類を与え、その分類に応じた取扱い（保管・転送・持ち出し・返却）のルールを定めることです。
ヘルスケア事業者で効くのは分類の設計です。患者由来の情報を一律に最高機密として扱うと、開発環境でのテストデータ利用や、統計処理した匿名データの取扱いまで過剰に縛られて、現場が回らなくなります。少なくとも次の区分は分けておくと運用が楽になります。
- 個人が特定できる医療情報（要配慮個人情報を含む）
- 仮名加工・匿名加工された医療情報
- 顧客（医療機関）の運用情報・設定情報
- 自社の営業・技術情報
- 公開情報
台帳の作り方の詳細は 情報資産の洗い出しと台帳の作り方 をご覧ください。
③ アクセスの方針
A.5に含まれるアクセス関連の管理策は、方針レベルの話です。実装（特権ID、多要素認証、端末制御）はA.8の技術的管理策側にあります。ここで求められるのは、業務上の必要性に基づいて権限を与えるという原則、ID のライフサイクル（発行・変更・削除）、認証情報の管理、そして権限の定期的な見直しです。
審査で最も突かれるのは最後の「見直し」です。付与の記録はあるが棚卸の記録がない、という状態が非常に多い。退職者のアカウントが残っていた、異動後も前部署の権限が残っていた、という不適合は定番です。四半期に一度でよいので、棚卸を実施した記録を残す運用を最初から組み込んでください。
技術側の実装は 技術的管理策34項目の読み方、医療機関側での権限設計は アクセス権限設計と特権ID管理 で扱います。
外部との関係：委託先・クラウド・脅威情報
④ 委託先とクラウドサービス
2022年版ではクラウドサービスの利用が管理策として明示されました。これはヘルスケアSaaS事業者にとって直接効く変更です。自社がクラウド上でサービスを提供している場合、IaaS/PaaS事業者は委託先であり、その選定・契約・監視・終了までが管理対象になります。
このグループで求められているのは概ね次の流れです。
- 委託先に情報を預けるときの方針を定める
- 契約にセキュリティ要求を織り込む
- ICTサプライチェーン（委託先のさらに先）まで視野に入れる
- 委託先のサービス提供状況を継続的に監視・レビューする
- 委託先の変更や契約終了時の手順を定める
ヘルスケア事業者が苦労するのは3番目です。医療機関から見れば自社が委託先であり、自社が使っているクラウドは再委託先にあたります。医療機関側は3省2ガイドラインに基づいて再委託先の管理状況まで確認してくることがあるため、「どこまでを誰が管理しているか」を一枚で説明できる資料を先に作っておくと、営業局面でそのまま使えます。
責任分界の考え方は 責任共有モデルで考えるAI電子カルテのセキュリティ設計、医療機関側の要求水準は 医療機関のクラウドセキュリティ を参照してください。委託先管理の実務は 外部委託先管理｜チェックシートと契約条項 にまとめています。
⑤ 脅威情報と外部連携
脅威インテリジェンスの収集・分析・活用は2022年版で追加された管理策です。「どこかから情報を買え」という意味ではありません。求められているのは、自社に関係のある脅威情報を継続的に取り込み、判断に使う仕組みがあることです。
小規模組織であれば、次の程度でも運用として成立します。
- JPCERT/CC・IPA の注意喚起を定期購読し、担当者が週次で確認する
- 利用しているクラウド事業者・OSS のセキュリティアドバイザリを購読する
- 確認した結果を、対応要否の判断とともに記録に残す
重要なのは記録です。「見ています」では審査で説明できません。月次で「今月の脅威情報と対応要否」を1ページにまとめる運用にしておけば、この管理策と、後述の事業継続・インシデント管理の一部が同時に埋まります。
当局・専門団体との連絡については、インシデント発生時の通報先（所轄官庁、JPCERT/CC、個人情報保護委員会、顧客である医療機関）を一覧にしておけば足ります。発生してから調べるのでは遅いという趣旨です。
起きたときと、守るべき外部要求
⑥ インシデント管理
このグループは5〜6項目が集まっており、A.5の中でも密度が高い部分です。求められている流れは、計画 → 報告 → 評価と区分 → 対応 → 学習 → 証拠の収集。とくに「評価と区分」と「学習」が抜けやすい。
| 段階 | 求められていること | 作るもの |
|---|---|---|
| 計画 | 役割・連絡経路・判断基準を事前に決める | インシデント対応計画、連絡網 |
| 報告 | 従業者が事象を報告できる経路がある | 報告フォーム、報告手順（人的管理策とも重なる） |
| 評価と区分 | 事象か、インシデントか。重大度をどう決めるか | 区分基準、初動判断シート |
| 対応 | 決めた手順で封じ込め・復旧する | 対応記録、顧客・当局への通知記録 |
| 学習 | 再発防止に反映する | 振り返り記録、是正処置報告書 |
| 証拠 | 法的手続に耐える形で保全する | 証拠保全手順、保全記録 |
医療情報を扱う事業者の場合、顧客である医療機関への通知タイミングと内容が契約で決まっていることが多いので、対応計画にその条件を書き込んでおく必要があります。「契約では4時間以内に一次報告」と決めておきながら、社内の連絡網が夜間休日に機能しない、という設計ミスは実際に起こります。
手順の作り方は インシデント対応手順の作り方（事業者）、医療機関側の計画は 医療機関のインシデント対応計画 をご覧ください。
⑦ 事業継続
情報セキュリティの観点からの事業継続と、ICTの継続性（復旧目標・冗長化・試験）が含まれます。ポイントは、BCPを別途持っている組織なら、それを引用して接続すれば足りることです。ISMSのために新しいBCPを書き起こす必要はありません。
ヘルスケアSaaSで問われるのは復旧目標の現実性です。RTO（目標復旧時間）を4時間と宣言しておきながら、実際にはバックアップからの復元を試したことがない、という状態は不適合になります。年1回でよいので復旧試験を実施し、記録を残す。この記録は医療機関への提案時にもそのまま使えます。詳細は 事業継続計画（BCP）とISMSの接続 で扱います。
⑧ 法令遵守と点検
最後のグループは、外部要求の特定（法令・規制・契約）、知的財産の保護、記録の保護、個人情報保護、そして情報セキュリティの独立したレビューと方針・手順の順守確認です。
ヘルスケア事業者が一覧に入れるべき外部要求は、一般的な事業者より多くなります。個人情報保護法（要配慮個人情報の扱い）、医療法・医師法まわりの要請、次世代医療基盤法（該当する場合）、薬機法（SaMDの場合）、そして契約上引き受けている3省2ガイドライン準拠。これを一覧表にして、それぞれ自社のどの規程で対応しているかを紐づけるのがこの管理策の実務です。
「独立したレビュー」は内部監査でほぼ充足できますが、監査員が自分の担当領域を監査していないことが条件になります。少人数組織ではここが成立しにくいため、外部の内部監査員を使う選択肢が現実的です。
まとめ
- A.5の37項目は8つのグループに束ねられ、成果物も8つ程度の文書群に収束する。37個の文書は不要
- 土台は方針・資産台帳・アクセス方針。ここが揺れると上に積んだものがすべて揺れる
- 資産の分類は医療情報を一律最高機密にしない。仮名加工・匿名加工との区別が運用を軽くする
- 2022年版で明示されたクラウドサービス利用は、再委託先まで含めた説明資料に落とす
- 脅威情報は「見ている」では不十分。月次1ページの記録にする
- インシデント管理は「評価と区分」「学習」が抜けやすい。顧客への通知条件を契約から逆算して計画に書く
- 権限の棚卸記録、復旧試験記録、独立レビュー記録——記録がない管理策は、実施していないのと同じに見える
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。組織的管理策は文書量が最も多い領域ですが、規程・台帳・チェックシートのひな形を提供し、御社の事業構造に合わせて調整する形で進められます。内部監査責任者・内部監査員も当社が担えるため、独立レビューの要件も満たせます。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。
全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド、採否の記載方法は 適用宣言書（SoA）の書き方 をあわせてご覧ください。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- ISO/IEC 27002 Information security controls｜ISO
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 注意喚起｜JPCERT コーディネーションセンター
- 個人情報保護委員会
※管理策の解釈、および適用除外の可否は、規格の改定や審査機関の運用によって変わり得ます。最新の取扱いは規格本文および認定機関・審査機関の公表資料をご確認ください。