遺伝子検査の委託先セキュリティをどう評価するか

その一言だけでは、正直まだ何もわかっていないんだ。暗号化と言っても、どの場面の話なのかで意味がまったく違うからね。

大きく2つある。通信しているときの暗号化と、保存しているときの暗号化。通信は暗号化していても、保存先ではそのまま置いてある、ということは普通にあり得る。だから「通信時と保存時、それぞれどうなっていますか」と分けて聞くといいよ。

順番に挙げていこう。まずアプリケーション上のアクセス。誰がどの画面から、どのデータを見られるのか。次に権限管理。役職や職務に応じて権限が分かれているか、退職時に権限が確実に外れるか。

実は事故が起きやすいところなんだ。それからログ。誰がいつ何を見たかの記録が残っているか。ここがポイント！ログは、事故を防ぐためというより、事故が起きたときに範囲を特定するために不可欠なんだよ。

その通り。次にバックアップ。どこに、どのくらいの期間置いているか。バックアップは安全のための仕組みだけれど、同時に、忘れられたデータの置き場所にもなりやすい。

そこが再委託の話だね。解析だけ別の事業者に出している、保管は別のクラウドを使っている、というのはよくあること。それ自体が悪いわけではないけれど、どこまで連鎖しているかを健保が把握できているかどうかが重要なんだ。

そして残り2つ。インシデント対応と削除だよ。事故が起きたとき、誰が、いつまでに、どこへ連絡するのか。健保への一報はどのタイミングか。これを契約前に決めておく。

「本人が削除を希望した場合、何が、いつまでに、どこから消えますか」と聞くといい。解析結果は消えても、検体は残っていることもある。バックアップから消えるまでに時間がかかることもある。法令や契約上、消せない範囲がある場合もあるから、そこも含めて具体的に答えられる事業者は信頼できるよ。

そこが大事なんだ。技術の細かい中身を理解する必要はない。通信、保存、アクセス、権限、ログ、バックアップ、委託と再委託、インシデント対応、削除。この9つは、あくまで最低限の一次評価だと考えてほしい。本格的に見るなら、第三者認証の取得状況、鍵の管理、脆弱性管理、データを国外に置いていないか、漏えい時の報告体制、復旧手順の試験まで踏み込むことになる。それでも、この9つに具体的に答えられるかどうかで、最初のふるい分けはできるよ。