メインコンテンツへスキップ
AMPL
お問い合わせ

セキュリティ部門は、何を審査しているのか

審査は敵ではない。チェックシートの7カテゴリ、認証という単語帳（SOC 2・ISO 27001/42001・ISMAP）、Trust Centerの読み方、そして必ず聞かれる10の質問。

  • レッスン 12 / 15
  • 9分

このレッスンで

終わる頃には、次ができるようになります

  • セキュリティ審査のチェックシートが実質7カテゴリに集約されると説明できる
  • SOC 2・ISO27001・ISO42001・ISMAPの認証の違いを使い分けられる
  • ベンダーのTrust CenterとDPAから審査の10の質問に答えを用意できる

ここから組織編です。自分のツールは守れるようになりました。次の壁は組織の審査です。

「便利なAIツールを見つけたので使いたい」と情報システム部門に相談すると、見たこともない質問票が返ってきます。セキュリティ部門は敵ではありません。 彼らが守っているのは患者・職員・診療継続で、あなたと同じものです。

審査で落ちる提案の大半は、危険だから落ちるのではなく質問に答えられる準備がないから落ちます。答えを持って行けば、審査は通す側の仕事に変わります。

ㅤ

審査の正体: チェックシートの7カテゴリ

多くの組織は、新しいクラウドサービスやAIツールの導入時にセキュリティチェックシートを使います。数十から百項目超まであり圧倒されますが、聞いていることは実質7カテゴリに集約されます。

チェックシートの7カテゴリ

1

データの保管場所

国内か海外か。どのクラウド基盤か

2

暗号化

通信時（TLS）と保存時、それぞれの方式

3

アクセス制御

多要素認証・権限管理・誰が中身を見られるか

4

監査ログ

何をどれだけの期間記録しているか

5

インシデント対応

事故発生から通知までの体制と時間

6

再委託先

裏で使っている事業者（サブプロセッサ）は誰か

7

契約終了時

データは返還・削除されるか。その証明は

見覚えがあるはずです。この講座の個人編でやってきたことの組織版です。RLSはアクセス制御、環境変数は暗号化と鍵管理、第5回の漏洩対応はインシデント対応に対応します。

医療機関ではさらに、3省2ガイドラインに基づき、事業者へMDS/SDS（医療情報セキュリティ開示書）という開示書類を求める運用があり、厚労省のサイバーセキュリティ対策チェックリストは立入検査でも確認されます。病院自身が検査される側だからです。

ㅤ

認証は「単語帳」で読める

チェックシートと並んで登場するのが、認証の頭字語たちです。ここは単語帳を一度作れば終わります。

SOC 2 Type II

監査法人が、セキュリティ管理体制が一定期間実際に運用されていたことを検証した報告書

ISO/IEC 27001（ISMS）

情報セキュリティの管理体制が国際規格に適合しているという第三者認証

ISO/IEC 42001

2023年に生まれたAI版のISMS。AIの開発・提供・利用のガバナンス体制の認証

ISMAP

日本政府がクラウド調達のために作った評価制度。政府調達は原則ISMAP登録サービスから

認証の単語帳

なぜ審査側は認証を聞くのか。個別の質問を百問投げる代わりに、第三者がまとめて検証済みという証拠を一枚で確認できるからです。

ㅤ

Trust Centerという「回答集」

ベンダー側の答えは、Trust Centerというページにあります。主要なAI企業が企業審査向けに公開しており、構造はどこもほぼ同じで、先ほどの7カテゴリ＋認証の一覧に対応しています。

例としてAnthropicのTrust Center（trust.anthropic.com）を見ると、SOC 2 Type II・ISO 27001・ISO/IEC 42001の認証、API入出力を学習に使わない契約条件、APIログの既定保持7日、利用しているサブプロセッサの一覧までが公開されています。詳細な監査報告書（SOC 2のフルレポート）は、守秘義務契約のもとで取り寄せられます。

視点

審査の8割は「調べて書き写す」でできている

セキュリティチェックシートは、ゼロから考えて埋めるものではありません。ベンダーのTrust CenterとDPA（データ処理契約）から該当箇所を探して書き写すのが実務です。探し方さえ知っていれば、医師でも埋められます。逆に、Trust Centerを公開していないベンダーは、審査に答える準備がない可能性が高い。それ自体が選定のシグナルになります。

ㅤ

必ず聞かれる10の質問

生成AIツールの導入相談で、セキュリティ部門からほぼ確実に聞かれる10の質問と、準備しておく答えの型です。

明日のアクション

セキュリティ部門の10の質問（答えを用意してから行く）

  1. 入力データは学習に使われるか → エンタープライズ/API契約では既定で不使用。設定と契約条項で証明

  2. データはどこに保存されるか → 基盤クラウドとリージョンを回答。国内限定要件なら国内リージョン対応サービスかISMAP登録から選定

  3. 暗号化は → 通信時TLS・保存時暗号化。Trust Centerの該当箇所を添付

  4. ログの保持期間は → ベンダーの保持ポリシーを回答（例: Anthropic APIは既定7日）

  5. 第三者認証は → SOC 2 / ISO 27001 / ISO 42001の取得状況。必要ならNDAでフルレポート

  6. 再委託先（サブプロセッサ）は → 公開一覧を提示。変更通知の仕組みを確認

  7. インシデント時の通知は → DPAの通知条項を確認し、通知時間を契約で明文化

  8. 解約時のデータは → 削除・返還条項と削除証明の有無

  9. 個人情報保護法の委託先監督（法25条）への対応は → 選定基準・契約・定期的な状況把握の3点セット

  10. 3省2ガイドラインとの整合は → 患者情報は扱わない設計が第一。扱う場合は非学習設定・閉域接続を必須条件に

この10問に答えを持って行く医師は、審査側から見れば「話が通じる、一緒に仕事ができる相手」です。

ㅤ

セルフチェック

1. セキュリティ部門から「入力データは学習に使われますか」と聞かれた。最も適切な回答の型は？

2. ISMAP登録の有無が審査で重視される理由は？

ㅤ

次のレッスン

審査を通す準備はできました。次回はもう一段上、経営層です。経営会議がセキュリティとAIをどんな言葉で評価するのかを、法令と公式ガイドラインの言葉で装備します。2023年から、この話は法的義務の話になっています。

ㅤ

参考・出典

このレッスンは役に立ちましたか？