なお、選定にあたっては、外部委託事業者のセキュリティ対策状況を確認す
ることが必要です。例えば、「医療情報を取り扱う情報システム・サービスの
提供事業者における安全管理ガイドライン」における「サービス仕様適合開示
書」や「『製造業者/サービス事業者によるによる医療情報セキュリティ開示書』
ガイド」によって、外部保存を受託する事業者におけるセキュリティ対応状況
の概要を確認することができるため、サービスの性質等、必要に応じてその提
供を求めることなどが有効です。
外部保存されている医療情報は、保存される情報やその目的に応じて厚生労
働省等、所管する行政機関の調査等に供するため、提出等を行う必要が生じう
ることから、これを円滑に実現できることが求められます。そのため外部保存
の受託事業者の選定にあたっては、国内法の適用があることや、逆にこれを阻
害するような国外法の適用がないことなどを確認し、適切に判断した上で選定
することが求められます。

企７章第⑥条
企Ｑ－２7

A

ISMS 認証を取得している事業者に対して、根拠資料を求めること
はできるのか。

例えば、ISMS 認証を取得している事業者の選定に際して、選定対象となる
事業者が管理しているリスクに応じて、適合性を示す資料の提供を求めてく
ださい。

40