介護ソフト・クラウドのセキュリティで確かめる項目｜契約前に委託先へ聞く10項目と法令の根拠【2026年】

なぜ事業所が提供元のセキュリティを確かめるのか：委託先の監督（法第25条）

個人情報保護法第25条は、個人データの取扱いの全部または一部を委託する事業者に、「委託を受けた者に対する必要かつ適切な監督」を義務づけています。介護ソフトやクラウドの提供元が、記録・計画書・請求のデータを預かって処理するなら、提供元はこの「委託先」です。通則編（3-4-4）は、監督の中身として、①適切な委託先の選定 ②委託契約の締結 ③委託先における個人データの取扱状況の把握、の3つを挙げ、委託先の安全管理措置が法第23条で委託元に求められるものと「少なくとも同等」であることを、あらかじめ確認するよう求めています。

通則編は「監督を行っていない事例」も示しています。安全管理措置の状況を契約時にもその後も把握せずに委託し、委託先が漏えいした場合や、必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が漏えいした場合がそれにあたります。提供元のセキュリティを確かめずに契約し、そこで漏えいが起きると、提供元だけでなく事業所の監督も問われる、という構造です。厚生労働省のガイダンスも、医療・介護関係事業者が介護報酬の請求に係る事務などを委託する場合に、安全管理措置を契約に盛り込んで受託者の義務とし、業務が適切に行われていることを定期的に確認することを求めています。

クラウドには、提供元が預かったデータの中身を取り扱わない契約のものもあります。個人情報保護委員会のQ&A（Q7-53・Q7-54）は、契約条項で提供元がサーバーに保存された個人データを取り扱わない旨が定められ、適切にアクセス制御を行っている場合は委託にあたらず、法第25条の監督義務は課されないとしつつ、その場合も利用する事業者が自ら果たすべき安全管理措置の一環として、適切な措置を講じる必要があるとしています。また、保守の一部として個人データを取り扱う（不具合の再現に個人データを使うなど）なら委託にあたります（Q7-55）。どちらにしても、事業所が確かめる項目は変わりません。

なお、JPCERT/CCは2026年10月8日、国内の組織で不正アクセスによる個人情報の漏えいが相次いでいるとして注意喚起を出し、既知の脆弱性を狙った攻撃や、設定ファイル・バックアップファイルの窃取、ほかのシステムから盗んだAPIキーの悪用などを原因に挙げています。事業所が自分で守れる範囲は限られ、預け先のシステムの守りをどう確かめるかが問われています。

契約前に確かめる10項目

1. 二要素認証（職員のログイン）

通則編の別添「講ずべき安全管理措置の内容」は、技術的安全管理措置として「アクセス者の識別と認証」を求め、手法の例にユーザーID・パスワード・磁気・ICカード等を挙げています。二要素認証そのものを義務にはしていません。ただ、訪問先や自宅から使うクラウドでは、パスワードが1つ漏れればどこからでも入れるため、スマートフォンの確認コードなど2つ目の要素があるかで守りの厚さが変わります。製品によって、標準で全員に必須にできるもの、管理者だけのもの、追加料金のものがあるので、範囲まで聞きます。

2. データの保管場所（国内か）

通則編は、外国において個人データを取り扱う場合、その国の個人情報保護制度を把握した上で安全管理措置を講じることを求めています（「外的環境の把握」）。個人情報保護委員会のQ&Aは、クラウドの提供元やサーバーが外国にある場合、事業所は保有個人データの安全管理のために講じた措置として、その外国の名称を本人の知り得る状態に置く必要があり、国を特定できないときは、特定できない旨と理由、参考となる情報を示す必要があるとしています。保管先が国内なら、この手間はありません。「国内のデータセンター」とだけ書かれ、バックアップの保管先が別の国という例もあるので、バックアップを含めて聞きます。

3. AI機能がある製品は、入力した記録を学習に使うか

通則編（3-6-3）は、委託先は委託された業務以外に個人データを取り扱うことはできないとしています。音声入力や記録の要約、ケアプランの下書きなどのAI機能で、事業所が入力した内容を提供元やAIの開発元がモデルの改良に使うことは、事業所の業務のための処理とは別の使い方になり得ます。介護の記録は病歴や障害の事実（要配慮個人情報）を含みます。当サイトが公式サイトで確かめた範囲でも、匿名化のうえ学習に使うと規約に明記する製品と、学習には使わないと明記する製品の両方がありました。使う場合は、匿名化の方法と、事業所の設定で止められるかを聞きます。

4. アクセスログ

通則編の別添は、組織的安全管理措置として「個人データの取扱状況を確認する手段の整備」を求め、技術的安全管理措置の手法の例に「ログ等の定期的な分析により、不正アクセス等を検知する」ことを挙げています。漏えいやそのおそれが分かったとき、通則編が「漏えい等事案が発覚した場合に講ずべき措置」として求める影響範囲の特定には、誰のデータに誰がいつ触れたかの記録が要ります。ログが提供元の内部にしかなく、事業所が見られない製品では、問い合わせの往復で時間がかかります。保存期間もあわせて聞きます。

5. バックアップと復旧

法第23条の安全管理措置は、漏えいだけでなく「滅失又は毀損」の防止も含みます。運営基準は、利用者へのサービス提供に関する記録を、完結の日から2年間保存することを事業所に求めています（指定居宅サービス等の運営基準第39条、訪問介護の例）。提供元の障害で記録が消えれば、この義務を果たせなくなるのは事業所です。バックアップの頻度、保管先が元のサーバーと別の場所か、障害のときに何時間で復旧する想定か、事業所側でデータを書き出せるかを聞きます。

6. 第三者認証（ISMS・プライバシーマーク・ISMAP）

通則編は、委託先の選定にあたって、委託先の安全管理措置が法第23条と同等であることを、別添の各項目が確実に実施されることについて「あらかじめ確認」するよう求めています。ISMS（ISO/IEC 27001）やプライバシーマーク（JIS Q 15001）、ISMAP（政府情報システムのためのセキュリティ評価制度）は、第三者がその組織の体制を審査した結果で、この確認の手段の1つです。ただし、認証は組織の仕組みに対するもので、二要素認証の有無など個々の製品の設定までは保証しません。会社単位の認証が多いので、その製品の運用が認証の範囲に含まれるかも聞きます。

7. 再委託の範囲

通則編（3-4-4）は、委託先が再委託を行う場合、委託元は再委託する相手方・業務内容・取扱方法について委託先から事前報告を受けるか承認を行い、委託先が再委託先に対して監督を果たすことを確認することが望ましいとしています。監督を行っていない事例には、再委託の条件を指示せず、委託先が再委託した結果、再委託先が漏えいした場合も挙げられています。厚生労働省のガイダンスも、再委託の可否と、文書による事前報告または承認の手続を契約に定めることが望ましいとしています。クラウドの介護ソフトは、データセンター、AIの開発元、保守会社など、複数の再委託先を使うのがふつうです。どこまでを知らされるかを聞きます。

8. 事故時の連絡期限

提供元で漏えいが起きたとき、個人情報保護委員会に報告するのは委託元である事業所です。法第26条第1項のただし書きにより、委託先は委託元に通知すれば自分の報告義務を免れ、通則編（3-5-3-5）はその通知の時期を、委託先が事態を知ってから「概ね3〜5日以内」としています。事業所の速報の期限は、事業所が事態を知ってから概ね3〜5日以内なので、提供元からの連絡が遅れれば、そのぶん事業所の対応は後ろにずれます。契約に連絡の期限が無い製品では、ここが曖昧なまま始まることになります。クラウドの提供元が個人データを取り扱わない契約の場合も、Q&A（Q6-22）は、契約等に基づいて利用する事業者に通知するなどの対応を提供元に求めています。漏えいが起きたあとの手順は個人情報漏えいの報告手順の記事にまとめました。

9. 解約時のデータの削除と返却

厚生労働省のガイダンスは、委託契約に盛り込む個人情報の取扱いに「委託終了後の個人データの取扱いも含む」と明記しています。通則編の別添も、物理的安全管理措置として「個人データの削除及び機器、電子媒体等の廃棄」を求めています。解約のときに、記録と計画書をどの形式（CSVなど）で返すか、返却の期限と費用、提供元側のデータ（バックアップを含む）をいつ消すか、消したことの証明を書面で出すかを聞きます。返却の形式は、次のソフトに取り込めるかにも関わります（乗り換えの記事）。

10. 契約書・約款にそれらが書いてあるか

通則編（3-4-4）は、委託契約に、双方が同意した安全管理措置の内容と、委託先における取扱状況を委託元が合理的に把握できることを盛り込むことが望ましいとしています。ガイダンスも、安全管理措置の内容を契約に盛り込み受託者の義務とすることを求めています。営業担当の口頭の説明は、担当者が替われば残りません。上の9項目が、契約書・利用規約・SLA・セキュリティに関する公開文書のどこに書いてあるかを確かめ、書いてなければ覚書で補います。

契約したあとも：定期的な確認

通則編は、委託先の取扱状況を把握するため、定期的に監査を行うなどして契約で盛り込んだ内容の実施の程度を調査し、委託の内容の見直しを含めて評価することが望ましいとしています。ガイダンスは、受託者の取扱いに疑義が生じたとき（利用者からの申出があった場合を含む）は、説明を求め、必要に応じて改善を求めるよう求めています。年に1回、提供元のお知らせページで認証の更新、利用規約・プライバシーポリシーの改定、再委託先の変更を確かめ、記録に残しておくのが現実的な形です。

当サイトの各製品のページには「セキュリティ」の節があり、二要素認証・ISMS・ISMAP・プライバシーマーク・データの保管場所・再委託の明記・入力データのAI学習への利用の7項目を、公式サイトの記載だけで確かめた結果を載せています（公式サイトに書かれていない項目は「記載なし」、まだ確かめていない項目は「未確認」）。介護ソフトの比較と比較表では、第三者認証の列で並べて見られます。選び方の全体は介護ソフトの選び方の記事、管理者向けの整理は事業所の管理者向けページにあります。

よくある質問

提供元がプライバシーマークを持っていれば、ほかの項目は確かめなくてよいですか

確かめます。プライバシーマークやISMSは、組織の個人情報保護・情報セキュリティの仕組みを第三者が審査したもので、通則編が求める「委託先の安全管理措置が同等であることの確認」の手段の1つにはなります。ただし、二要素認証の有無、データの保管場所、AIの学習への利用、事故時の連絡期限といった個々の製品の設定や契約条件までは保証しません。

クラウドの介護ソフトの提供元は、必ず「委託先」になりますか

場合によります。個人情報保護委員会のQ&A（Q7-53）は、契約条項で提供元がサーバーに保存された個人データを取り扱わない旨が定められ、適切にアクセス制御を行っている場合は、委託にあたらないとしています。ただし、その場合も利用する事業所は自らの安全管理措置として適切な措置を講じる必要があり（Q7-54）、保守の一部として個人データを扱うなら委託にあたります（Q7-55）。実際には、サポートの際に提供元の担当者が事業所のデータを見る製品が多いので、契約条項で確かめてください。

二要素認証が無い製品は使ってはいけませんか

法令や通則編は、二要素認証を義務にしていません。通則編の技術的安全管理措置が求めるのは「アクセス者の識別と認証」で、手法の例はユーザーID・パスワード等です。二要素認証が無い製品を使うなら、パスワードの長さと使い回しの禁止、使う端末の制限、アクセスログの確認など、ほかの手段で補い、その内容を事業所の規程に書きます。

いま使っているソフトでも、確かめ直す必要がありますか

あります。通則編が「監督を行っていない事例」に挙げるのは、安全管理措置の状況を「契約締結時及びそれ以後も適宜把握せず」委託した場合です。契約時に確かめていても、提供元がAI機能を追加した、データセンターを変えた、再委託先が増えた、ということは起きます。この記事の10項目を、更新や契約の見直しのときに提供元へ聞き直してください。