田辺総合法律事務所

TA N A B E & PA RT N E R S

2020.11.18 医療ISAC デジタル・フォレンジック研究会「医療」分科会 共催「医療機関向けランサムウェア対応検討ガイダンス」の解説

ランサムウェアへのセキュリティ対応の法的側面

田辺総合法律事務所
弁護士 吉 峯 耕 平
1

田辺総合法律事務所

TA N A B E & PA RT N E R S

1. セキュリティの基準
2. ランサムウェアへの法的対応

2

田辺総合法律事務所

TA N A B E & PA RT N E R S

3田辺総合法律事務所

TA N A B E & PA RT N E R S

3省2ガイドラインと法律の関係
医師法24条個情法20条
独個法7条

その他の保存義務

媒体要件

場所要件

e-文書法

個条例
個情法改正後は直接関係なし

e-文書法省令

外部保存通知医療情報安全管理GL
クラウド

事業者安全管理GL
4

田辺総合法律事務所

TA N A B E & PA RT N E R S
1999 電子媒体通知

2000

2003

2002 外部保存通知

個人情報保護法

2004 e-文書法

医療情報システム
安全管理GL

2010

2007第2版
2008第3版
2009第4版
2010第4.1版

2005

2008

医療情報
受託管理GL

2008

2009

ASP・SaaS
医療情報GLASP・SaaS情報
セキュリティGL

2010 1.1版
2012 第2版

2013第4.2版
2016第4.3版
2017第5版

2018

2020

2020
2021第5.1版

クラウド医療情報GL

医療情報事業者GL一層の整合性確保も検討

5

田辺総合法律事務所

TA N A B E & PA RT N E R S

医療情報安全管理GLの項目
組織安全管理対策（6.3）

物理的安全対策（6.4）①組織体制整備
②規程等の整備と運用③医療情報の取扱台帳の整備④安全管理対策の評価、見直し及び改善⑤情報や情報端末の外部持ち出しに関する規則等の整備⑥リモートアクセス端末等の管理規程⑦事故又は違反への対処①入退館管理②盗難、覗き見等の防止③機器・装置・情報媒体等の物理的保護措置（盗難、紛失防止）

技術的安全対策（6.5）①利用者の識別・認証②情報の区分管理とアクセス権限の管理③アクセスの記録④不正ソフトウェア対策⑤ネットワーク上からの不正アクセス⑥医療等分野におけるIoT機器の利用

人的安全対策（6.6）
ア 従事者への安全管理措置①秘密保持契約②定期的な教育訓練③退職後の守秘義務
イ 委託業者への安全管理措置①秘密保持契約②作業者・作業内容・作業結果の確認（医療情報システムにアクセスする場合）③作業後の定期的なチェック（医療情報システムにアクセスしない場合）④再委託の安全対策

その他
・情報の破棄（6.7）
・情報システムの改造と保守（6.8）
・情報及び情報機器の持ち出し（6.9）
・災害、サイバー攻撃等の非常時の対応（6.10）
・外部と個人情報を含む医療情報を交換する場合の安全管理（6.11）

6田辺総合法律事務所

TA N A B E & PA RT N E R S

事業者ガイドラインの目次概要
1. 本ガイドラインの基本方針
1.1.
1.2.
1.3.

本ガイドライン策定の経緯
本ガイドラインの策定方針
本ガイドラインの構成

2. 本ガイドラインの対象
2.1.
2.2.

本ガイドラインが対象とする医療情報と事業者
医療情報システム等の代表的な提供形態

3. 医療情報の安全管理に関する義務・責任
3.1.
3.2.

法律関係
医療情報システム等のライフサイクルにおける義務と責任

4. 対象事業者と医療機関等の合意形成
4.1.
4.2.
4.3.
4.4.

医療機関等へ情報提供すべき項目
医療機関等との役割分担の明確化
医療情報システム等の安全管理に係る評価
第三者認証等の取得に係る要件

5. 安全管理のためのリスクマネジメントプロセス
5.1.
5.2.

リスクマネジメントの実践
リスクアセスメント及びリスク対応の実施例

6. 制度上の要求事項

7

田辺総合法律事務所

TA N A B E & PA RT N E R S

プライバシーと個人情報保護法制
個人の権利利益

プライバシー権
名誉権その他の人格的利益
経済的利益
……

個人情報保護法制

主体ごと

個人情報保護法

民間企業・私立大学

独立行政法人
個人情報保護法

国立病院・国立大学
ナショナルセンター

個人情報保護条例 公立病院

令和3年改正で個情法に一本化
8

田辺総合法律事務所

TA N A B E & PA RT N E R S

プライバシーは民法の世界（不法行為による損害賠償）
第七百九条 故意又は過失によって他人の権利又は法律上保護される利益を侵害した者は、これによって生じた損害を賠償する責任を負う。
• 基本的に明文のルールはこれだけ• 裁判所が柔軟に解釈する• 個人情報保護法制と比べて実質的9田辺総合法律事務所

TA N A B E & PA RT N E R S

医療・医学研究分野全体での位置づけ
プライバシー・不法行為
個人情報保護法制

ナショナルセンター
国立病院・大学病院

公立病院

個情法

独個法

個条例

研究倫理指針医療介護ガイダンス

企業

民間病院
民間診療所

権利利益の保護3省2GL
10

田辺総合法律事務所

TA N A B E & PA RT N E R S

令和3年改正（三法統合）の後
プライバシー・不法行為
個人情報保護法制

企業

民間病院
民間診療所

権利利益の保護ナショナルセンター
国立病院・大学病院

公立病院

個人情報保護法

研究倫理指針医療介護ガイダンス

3省2GL
11

田辺総合法律事務所

TA N A B E & PA RT N E R S

個人情報保護法のルールとセキュリティ基準
プライバシーのルール
取得のルール
利用目的のルール
第三者提供のルール
開示・訂正のルール

個人情報

個人情報

個人情報

保有個人情報個人データ

保有個人情報保有個人データ

保有個人情報セキュリティのルール
安全管理措置基準

個人データ

保有個人情報適切かつ必要な措置
12田辺総合法律事務所

TA N A B E & PA RT N E R S

セキュリティ関係の条文
個人情報保護法（安全管理措置）第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（従業者の監督）
第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
（委託先の監督）
第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

独立行政法人個人情報保護法（安全確保の措置）
第七条 独立行政法人等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の適切な管理のために必要な措置を講じなければならない。

13

田辺総合法律事務所

TA N A B E & PA RT N E R S

事業者GL図3 善管注意義務と守秘義務•

安全管理義務・民事責任は診療契約・委託契約上の善管注意義務と守秘義務に由来する
14

田辺総合法律事務所

TA N A B E & PA RT N E R S

3つの「責任」

Accountability
Responsibility
Liability

いわゆる説明責任

安全管理義務
義務違反

事後的な責任（民事責任）
15

田辺総合法律事務所

TA N A B E & PA RT N E R S

安全管理義務と民事責任
患者等
不法行為責任
契約責任
不法行為責任

診療契約

委託契約等

医療機関等

契約責任
不法行為責任対象事業者•

安全管理義務も民事責任も、重複する•

責任分界とは、委託元の単独分担と委託元・受託先重複分担の境界である

16

田辺総合法律事務所

TA N A B E & PA RT N E R S

責任分界（点）の概念・イメージ

P

患者H

医療機関等

A

対象事業者

B

対象事業者

C

対象事業者

P

H

A

B

C

Hの管理責任（義務）の範囲

Aの管理責任（義務）の範囲

17

田辺総合法律事務所

TA N A B E & PA RT N E R S

安全管理義務の内実 ―― ISMSの国際規格
ISO/IEC 27000

概要と定義

ISO/IEC 27001

要求事項

JIS Q 27000

JIS Q 27001

ISO27000シリーズの概要を示し、用語を定義している。

ISMSを実施するプロセスの全体像を示している。
クラウドサービス

ISO/IEC 27002
JIS Q 27002

管理策の実践

リスク対応の中の管理策の選定・実施・管理について詳細な規範を示している。特定分野についての規格として、クラウドサー
ビスについてのISO/IEC27017、27018、健康情報についてISO/IEC27799がある。

ISO/IEC 27017
JIS Q 27017

クラウドサービス（個人情報）

ISO/IEC 27018
健康情報

ISO/IEC 27799
18

田辺総合法律事務所

TA N A B E & PA RT N E R S

情報セキュリティマネジメントのサイクル①基本方針の策定
情報セキュリティリスクに対する基本方針を定める。

②リスクアセスメント
組織の保有する資産（情報）をリストアップして、リスクを特定する。リスクの大きさ（影響の程度×発生可能性）を分析し、受容可能かどうかを決定する（リスク評価）。
リスク特定→リスク分析→リスク評価のプロセスを、リスクアセスメントと呼ぶ。

③リスク対応リスクへの対応（Risk Treatment）を決定する。一般的には、①管理策（Control）の適用、②リスク受容、③リスク回避、④リスク移転の選択肢があるとされる。管理策は、ISO/IEC 27001附属書Aに、管理目的と対応してリストアップされている。

④継続的改善情報セキュリティ体制は、PDCAサイクル等によって、継続的に改善することを要する。そのために、マネジメントレビューや監査も必要となる。

19

田辺総合法律事務所

TA N A B E & PA RT N E R S

対象事業者の説明義務
医療機関等と事業者（元請・下請）において、契約がルールとなるのが原則個情法も適切な契約を通じた委託者の監督を求めている
合意形成が極めて重要
医療機関等は情報セキュリティの専門性を有さないため、事業者の情報提供・協力が必須
20

田辺総合法律事務所

TA N A B E & PA RT N E R S

対象事業者の説明義務
医療機関等は、上記①〜③（※）のために適切に情報を取得する必要がある。しかし、医療機関等は医療の専門機関であって、セキュリティについての専門性は乏しいことが十分に想定される。これに対し、対象事業者は、医療機関等に対し専門的な医療情報システム等を提供する事業者であり、セキュリティに関する専門的な知識・経験・人材を擁しているべきである。
このような専門性の格差に鑑みて、対象事業者は、医療機関等に対し、委託契約又は信義則に基づく付随義務として、医療機関等が患者に対する安全管理義務を履行するために必要な情報を適時適切に提供する義務（以下、「説明義務」という。）を負う 。
※①適切な委託先の選定、②委託契約の締結、③委託先における個人データ取扱状況の把握

行政機関のガイドラインにおいて委任契約または信義則に基づく説明義務の存在を明記したもので、かなり踏み込んだ記載
21