事業者に確認すべき質問リスト｜良い回答と危うい回答の見分け方

セキュリティに詳しい職員がいなくても、良い質問を投げることはできます。そして質問さえ適切であれば、返ってきた回答から事業者の実態はかなり見えます。逆に、質問が曖昧であれば、どれだけ丁寧な事業者でも曖昧な回答しか返せません。

本記事は、医療機関がシステム事業者に投げる質問を、そのまま使える形でまとめたものです。5つの領域について、それぞれの質問に「なぜ聞くのか」「良い回答」「危うい回答」を付けました。この記事の表をコピーして、提案依頼や既存委託先の棚卸にお使いいただけます。

質問を体系的なチェックシートに仕立てる方法は ベンダーへのセキュリティチェックシート、仕様書への落とし込みは 医療情報システムの調達要件にセキュリティを入れる で扱っています。本記事は、その前段——会議の席や提案依頼の質問欄で、口頭でも投げられる形を目指しています。

免責：本記事は一般的な情報提供です。「危うい回答」はあくまで追加確認を要するサインであり、それ自体が事業者の不適格を意味するものではありません。ガイドラインの要求事項は厚生労働省および経済産業省・総務省の公表資料が正本です。

この質問リストの使い方

3つだけ、前提を共有させてください。

1. 「危うい回答」＝失格ではない

危うい回答は、その場で深掘りすべきサインです。たとえば「アクセスできるのは2名です」という回答は、少人数で管理が行き届いているのか、共有アカウントで実態が見えていないのかで意味が正反対になります。表の右列は、次の質問を出すためのトリガーとして使ってください。

2. 回答者を記録する

誰が答えたかで回答の重みが変わります。営業担当の推測なのか、技術部門が確認した回答なのか。口頭で聞いた場合も、後日書面での回答を依頼しておくと、認識の齟齬が減ります。

3. 回答を契約に反映させる

質問して終わりにすると、翌年から回答が形式的になります。「アクセス可能者は5名」「通知は検知から2時間以内」と答えたなら、それを仕様書や覚書に転記してください。回答が契約になると知った事業者は、書けないことを書かなくなります。

1. 体制と責任者について聞く

認証については、保有の有無より適用範囲を必ず確認してください。基盤クラウドの認証を自社の証明として提示する提案書も実際にあります。認証の仕組みと適用範囲の考え方は ISMS（ISO/IEC 27001）とは、ISMS適用範囲の決め方 をご覧ください。

2. データの所在と取扱いについて聞く

3行目の人数を聞く質問は、この記事で最も費用対効果が高い質問です。5名と答える事業者と40名と答える事業者では、リスクの性質が違います。そして人数を即答できること自体が、アクセス権を管理している証拠になります。

外部保存の制度面については 医療情報の外部保存の要件、クラウド特有の論点は クラウド事業者の選定基準 をご覧ください。

3. インシデント時の対応について聞く

3行目の通知の基準は、この領域で最も重要な質問です。「重大なものはご連絡します」という回答は、重大かどうかの判断が事業者側にあるという意味です。不正アクセスの試行を検知した段階で知らせるのか、実害が確認されてからなのか——ここを契約前に合意しておかないと、御院が事態を知るタイミングを事業者に委ねることになります。

SLAの設計は SLAと責任分界の書き方、院内側の備えは 医療機関のインシデント対応計画 で扱っています。

4. 委託・再委託について聞く

「クラウドサービスの利用を含めて」の一文が、この領域の質問の質を決めます。これがないと、多くの事業者は自社の判断で「再委託」の範囲を狭く解釈します。悪意ではなく、業界の慣行としてクラウド利用を再委託と呼ばない文化があるためです。連鎖全体の見方は 医療機関のサプライチェーンリスク にまとめました。

5. 契約終了時について聞く

この領域の質問は、導入の検討段階で聞くことに意味があります。更改が近づいてから聞いても、条件を変える余地はほとんど残っていません。移行時のリスクは 電子カルテ更新時のセキュリティ要件、移行の実務は 電子カルテのデータ移行ガイド をご覧ください。

回答を比較するときの視点

複数の事業者から回答が返ってきたら、点数化する前に次の観点で並べてください。

最後にもうひとつ。質問に対して「そこまで聞かれたのは初めてです」と言われることがあります。 これは事業者を責める材料ではなく、医療機関側が要求水準を示せていなかったことの表れでもあります。発注側が具体的に聞くようになることが、業界全体の水準を押し上げます。事業者がこれに応えようとするとき、体制を第三者に証明する手段のひとつが ISMS認証取得支援 のような認証取得です。

まとめ

この質問リストを使ううえで押さえるべき点は次のとおりです。

1. 「危うい回答」は失格ではなく、深掘りのトリガーとして使う
2. 最も費用対効果が高いのは「当院のデータにアクセスできるのは何名か」。数は誤魔化しにくい
3. インシデント領域では「通知の基準」を必ず聞く。基準がなければ、知るタイミングを事業者に委ねることになる
4. 再委託は「クラウドサービスの利用を含めて」と付けなければ出てこない
5. 契約終了時の質問は、導入の検討段階で聞く。更改直前では条件を変えられない
6. 回答は契約に転記する。これが翌年以降の回答の質を決める

質問リストを作り、複数社の回答を並べ、差を読み取る作業は、片手間で回せるものではありません。既存委託先の棚卸から始めたい、次期更改に向けて質問票を整備したいといった場合は、お問い合わせ からご相談ください。

参考・出典

• 医療情報システムの安全管理に関するガイドライン｜厚生労働省
• 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
• 個人情報保護委員会
• 情報処理推進機構（IPA）
• 情報マネジメントシステム認定センター（ISMS-AC）

※ガイドラインの要求事項は改定により変わります。質問項目は最新の公表資料に照らして定期的に見直してください。