よむ、つかう、まなぶ。
「（別紙2）統合前ガイドラインにおける対策項目一覧と医療情報安全管理ガイドライン6.0版の対応表」 (25 ページ)
出典
| 公開元URL | https://www.soumu.go.jp/menu_news/s-news/01ryutsu06_02000359.html |
| 出典情報 | 「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン第1.1版（案）」に対する意見募集の結果及び当該ガイドラインの公表（7／7）《総務省》 |
ページ画像
ダウンロードした画像を利用する際は「出典情報」を明記してください。
低解像度画像をダウンロード
プレーンテキスト
資料テキストはコンピュータによる自動処理で生成されており、完全に資料と一致しない場合があります。
テキストをコピーしてご利用いただく際は資料と付け合わせてご確認ください。
別紙2
統合前ガイドラインにおける対策項目一覧と医療情報安全管理ガイドライン6.0版の対応表
対策項目
大項目
小項目
対策項目で対応できる
No.
内容
区分
①-9
認可されていない利用者あるいは第三者がロ
〇
リスクシナリオ例
関連する医療情報安全管理ガイドライン要求事項
編
項番
区分
内容
グオンを試みた際に「パスワードが異なりま
す」と表示すると当該ID が存在していること
を知る手がかりとなるため、「認証に失敗し
ました」、あるいは単にログオンプロンプト
を再表示するといった特段の情報を与えない
ようなメッセージのみの表現に留めることが
望ましい。
①-10
緊急時の作業のため、規定時間外にログオン
〇
を行う必要が発生した場合の妥当な承認プロ
セスを策定することが望ましい。
①-11
医療情報システム等に許可なくアクセスされ
◎
た疑いがあるとき又はパスワードが第三者に
知られた可能性がある場合には、直ちにパス
ワードを変更あるいはアカウントを無効化し
管理者に通知する。
①-12
利用者が変更あるいは退職した際には、ただ
◎
ちに当該作業者 ID を利用停止とする。
①-13
不要な利用者の ID が残っていないことを定
システム運用編
◎
２．システム設計・運用に必要
な規程類と文書体系
②
【遵守事項】
システム運用編
ビス事業者による保守対応等に
③
【遵守事項】
対する安全管理措置
②特権IDの最小限の利
②-1
用及び作業実施内容の
特権 ID の発行は必要な最小限のものに留め
◎
記録
特権IDが不正利用又は乗っ取られるこ
作が行われる。
１３．医療情報システムの利用
者に関する認証等及び権限
編
特権使用者に昇格可能な利用者の ID を制限
◎
する。
システム運用編
②-3
特権の使用時には作業実施内容を記録する。
◎
②-4
管理端末以外からの特権 ID による直接ログ
◎
１３．医療情報システムの利用
者に関する認証等及び権限
等）、及びシステム責任者・関係者一覧（設置事業者、保守事業者等含む）を作成
書体系
し、常に最新の状態を維持すること。
③
保守を実施するためにサーバに事業者の作業員（保守要員）がアクセスする際に
は、保守要員の専用アカウントを使用させ、個人情報へのアクセスの有無並びに個人
報にアクセスした場合の対象個人情報及び作業内容を記録すること。なお、これは利用
編
対応等に対する安全管
情報にアクセスした場合の対象個人情報及び作業内容を記録すること。なお、これは
理措置
利用者を模して操作確認を行う際の識別・認証についても同様である。
医療情報システムの管理権限や、医療情報システム、情報機器等で用いるID等の安
１３．医療情報システ
利用される管理権限の種類とそのID、利用が認められている者等を管理して一覧化する
企画管理編
よう指示すること。システム等で用いるID等については、担当者に安全性の確認を指示
【遵守事項】
医療情報システムに関する全体構成図（ネットワーク構成図・システム構成図
システム運用 ビス事業者による保守
①
リスク評価に基づいて、医療情報システムにおける利用者の認証等及びアクセス権
限に関する規程を整備し、管理すること。
ムの利用者に関する認
証等及び権限
し、必要に応じて認証に関する情報の変更等を指示すること。
②-2
②
用に必要な規程類と文
１０．システム・サー
保守を実施するためにサーバに事業者の作業員（保守要員）がアクセスする際に
全管理を行うこと。管理権限については、担当者に対して、医療情報システムにおいて
【遵守事項】
２．システム設計・運
は、保守要員の専用アカウントを使用させ、個人情報へのアクセスの有無並びに個人情
⑥
システム運用編
システム運用
者を模して操作確認を行う際の識別・認証についても同様である。
とにより、広範囲での不正な閲覧・操
る。
等）、及びシステム責任者・関係者一覧（設置事業者、保守事業者等含む）を作成し、
常に最新の状態を維持すること。
１０．医療情報システム・サー
期的に確認する。
医療情報システムに関する全体構成図（ネットワーク構成図・システム構成図
１３．医療情報システ
企画管理編
ムの利用者に関する認
証等及び権限
⑥
医療情報システムの管理権限や、医療情報システムや情報機器等で用いるID等に
関する安全管理を行うこと。医療情報システムの管理権限については、担当者に対し
て、医療情報システムにおいて利用される管理者権限の種類とそのID、利用が認めら
れている者等などを管理し、一覧化するよう指示すること。また情報機器等が利用す
るIDなどについては、担当者に安全性の確認を指示し、必要に応じて認証に関する情
報の変更等を指示すること。
①
リスク評価に基づいて、医療情報システムにおける利用者の認証等及びアクセス
権限等に関する規程を整備し、管理すること。
オンを禁止する。
②-5
特権の種類に応じてアカウントを分離し、
〇
ファイルやディレクトリに対するアクセスを
制限することが望ましい。
②-6
医療情報システム等の機能として可能であれ
〇
ば、特権 ID で使用可能なコマンド及びユー
ティリティについて業務上必要な最低限の範
囲に制限し、重要なコマンド、ユーティリ
ティ及びログについて改竄、削除など不正な
行為を防止することが望ましい。
③パスワードの管理・
③-1
運用
各利用者は自身のパスワードを秘密にし、パ
◎
スワードを記録する必要がある場合は、安全
パスワードやパスワードファイルが漏
洩した場合に、不正利用される。
な場所に保管して、他者による閲覧、修正、
廃棄等のリスクから保護する。
システム運用編
③-2
医療情報システム等及びソフトウェアを使用
１４．認証・認可に関する安全
管理措置
【遵守事項】
②
利用者の識別・認証にユーザ
ID
システム運用 １４．認証・認可に関
②
編
の情報を、本人しか知り得ない状態に保つよう対策を実施すること。
する安全管理措置
利用者の識別・認証にユーザIDとパスワードの組み合わせを用いる場合、それら
とパスワードの組み合わせを用いる場合、それ
らの情報を、本人しか知り得ない状態に保つよう対策を実施すること。
システム運用 １４．認証・認可に関
②
編
の情報を、本人しか知り得ない状態に保つよう対策を実施すること。
する安全管理措置
利用者の識別・認証にユーザIDとパスワードの組み合わせを用いる場合、それら
◎
する前に、製造ベンダが設定したデフォルト
システム運用
のアカウント及びメンテナンス用のアカウン
編
ト等の棚卸を行い、必要のないアカウントに
③-3
パスワードはハッシュ値での保存、暗号化
◎
等、パスワードを容易に復元できない形で情
報を保管する。
③-4
パスワードに関連するデータを保存するファ
－
イルを暗号化して保存する等の保護策を採用
システム運用編
する。また、一般の作業者による閲覧を制限
する。
は、直ちに当該IDを無効化し、予め策定した
手順に基づき、新規のログイン情報の再発行
を行い、利用者に速やかに通知する。
類推されやすいパスワードを使用させないよう、設定可能なパスワードに制限を設
１４．認証・認可に関する安全
管理措置
【遵守事項】
◎
１４．認証・認可に関
とともに、どのような手法で本人確認を行ったのかを台帳に記載（本人確認を行った書
する安全管理措置
－
医療情報システムのシステム運用担当者であっても、利用者のパスワードを推定で
きないようにすること（設定ファイルにパスワードが平文で記載される等があってはな
らない）。
25/39
類推されやすいパスワードを使用させないよう、設定可能なパスワードに制限を
－
テムのシステム運用担当者がパスワードを変更する場合には、利用者の本人確認を行う
パスワードの変更を含む適切な処置を講じること。
－
医療情報システム内のパスワードファイルは、パスワードを暗号化（不可逆変換
によること）した状態で、適切な手法で管理・運用すること。
利用者のパスワードの失念や、パスワード漏洩のおそれなどにより、医療情報シス
得ない方法で通知すること。なお、パスワード漏洩のおそれがある場合には、速やかに
パスワードを利用者認証に使用する場合、次に掲げる対策を実施すること。
－
医療情報システム内のパスワードファイルは、パスワードを暗号化（不可逆変換に
類等のコピーを添付）すること。また、変更したパスワードは、利用者本人以外が知り
⑥
設けること。
よること）した状態で、適切な手法で管理・運用すること。
に対するデジタル署名の付与及び検証、ファ
正な第三者からの攻撃による場合を含む）に
－
－
イルのハッシュ値の取得及び検証、ファイル
パスワード等の情報の漏洩が生じた場合（不
パスワードを利用者認証に使用する場合、次に掲げる対策を実施すること。
けること。
◎
イルの真正性及び完全性を保つために、ファ
③-5
⑥
利用者のパスワードの失念や、パスワード漏洩のおそれなどにより、医療情報シ
ステムのシステム運用担当者がパスワードを変更する場合には、利用者の本人確認を
行うとともに、どのような手法で本人確認を行ったのかを台帳に記載（本人確認を
行った書類等のコピーを添付）すること。また、変更したパスワードは、利用者本人
以外が知り得ない方法で通知すること。なお、パスワード漏洩のおそれがある場合に
は、速やかにパスワードの変更を含む適切な処置を講じること。
－
医療情報システムのシステム運用担当者であっても、利用者のパスワードを推定
できないようにすること（設定ファイルにパスワードが記載される等があってはなら
ない）。
統合前ガイドラインにおける対策項目一覧と医療情報安全管理ガイドライン6.0版の対応表
対策項目
大項目
小項目
対策項目で対応できる
No.
内容
区分
①-9
認可されていない利用者あるいは第三者がロ
〇
リスクシナリオ例
関連する医療情報安全管理ガイドライン要求事項
編
項番
区分
内容
グオンを試みた際に「パスワードが異なりま
す」と表示すると当該ID が存在していること
を知る手がかりとなるため、「認証に失敗し
ました」、あるいは単にログオンプロンプト
を再表示するといった特段の情報を与えない
ようなメッセージのみの表現に留めることが
望ましい。
①-10
緊急時の作業のため、規定時間外にログオン
〇
を行う必要が発生した場合の妥当な承認プロ
セスを策定することが望ましい。
①-11
医療情報システム等に許可なくアクセスされ
◎
た疑いがあるとき又はパスワードが第三者に
知られた可能性がある場合には、直ちにパス
ワードを変更あるいはアカウントを無効化し
管理者に通知する。
①-12
利用者が変更あるいは退職した際には、ただ
◎
ちに当該作業者 ID を利用停止とする。
①-13
不要な利用者の ID が残っていないことを定
システム運用編
◎
２．システム設計・運用に必要
な規程類と文書体系
②
【遵守事項】
システム運用編
ビス事業者による保守対応等に
③
【遵守事項】
対する安全管理措置
②特権IDの最小限の利
②-1
用及び作業実施内容の
特権 ID の発行は必要な最小限のものに留め
◎
記録
特権IDが不正利用又は乗っ取られるこ
作が行われる。
１３．医療情報システムの利用
者に関する認証等及び権限
編
特権使用者に昇格可能な利用者の ID を制限
◎
する。
システム運用編
②-3
特権の使用時には作業実施内容を記録する。
◎
②-4
管理端末以外からの特権 ID による直接ログ
◎
１３．医療情報システムの利用
者に関する認証等及び権限
等）、及びシステム責任者・関係者一覧（設置事業者、保守事業者等含む）を作成
書体系
し、常に最新の状態を維持すること。
③
保守を実施するためにサーバに事業者の作業員（保守要員）がアクセスする際に
は、保守要員の専用アカウントを使用させ、個人情報へのアクセスの有無並びに個人
報にアクセスした場合の対象個人情報及び作業内容を記録すること。なお、これは利用
編
対応等に対する安全管
情報にアクセスした場合の対象個人情報及び作業内容を記録すること。なお、これは
理措置
利用者を模して操作確認を行う際の識別・認証についても同様である。
医療情報システムの管理権限や、医療情報システム、情報機器等で用いるID等の安
１３．医療情報システ
利用される管理権限の種類とそのID、利用が認められている者等を管理して一覧化する
企画管理編
よう指示すること。システム等で用いるID等については、担当者に安全性の確認を指示
【遵守事項】
医療情報システムに関する全体構成図（ネットワーク構成図・システム構成図
システム運用 ビス事業者による保守
①
リスク評価に基づいて、医療情報システムにおける利用者の認証等及びアクセス権
限に関する規程を整備し、管理すること。
ムの利用者に関する認
証等及び権限
し、必要に応じて認証に関する情報の変更等を指示すること。
②-2
②
用に必要な規程類と文
１０．システム・サー
保守を実施するためにサーバに事業者の作業員（保守要員）がアクセスする際に
全管理を行うこと。管理権限については、担当者に対して、医療情報システムにおいて
【遵守事項】
２．システム設計・運
は、保守要員の専用アカウントを使用させ、個人情報へのアクセスの有無並びに個人情
⑥
システム運用編
システム運用
者を模して操作確認を行う際の識別・認証についても同様である。
とにより、広範囲での不正な閲覧・操
る。
等）、及びシステム責任者・関係者一覧（設置事業者、保守事業者等含む）を作成し、
常に最新の状態を維持すること。
１０．医療情報システム・サー
期的に確認する。
医療情報システムに関する全体構成図（ネットワーク構成図・システム構成図
１３．医療情報システ
企画管理編
ムの利用者に関する認
証等及び権限
⑥
医療情報システムの管理権限や、医療情報システムや情報機器等で用いるID等に
関する安全管理を行うこと。医療情報システムの管理権限については、担当者に対し
て、医療情報システムにおいて利用される管理者権限の種類とそのID、利用が認めら
れている者等などを管理し、一覧化するよう指示すること。また情報機器等が利用す
るIDなどについては、担当者に安全性の確認を指示し、必要に応じて認証に関する情
報の変更等を指示すること。
①
リスク評価に基づいて、医療情報システムにおける利用者の認証等及びアクセス
権限等に関する規程を整備し、管理すること。
オンを禁止する。
②-5
特権の種類に応じてアカウントを分離し、
〇
ファイルやディレクトリに対するアクセスを
制限することが望ましい。
②-6
医療情報システム等の機能として可能であれ
〇
ば、特権 ID で使用可能なコマンド及びユー
ティリティについて業務上必要な最低限の範
囲に制限し、重要なコマンド、ユーティリ
ティ及びログについて改竄、削除など不正な
行為を防止することが望ましい。
③パスワードの管理・
③-1
運用
各利用者は自身のパスワードを秘密にし、パ
◎
スワードを記録する必要がある場合は、安全
パスワードやパスワードファイルが漏
洩した場合に、不正利用される。
な場所に保管して、他者による閲覧、修正、
廃棄等のリスクから保護する。
システム運用編
③-2
医療情報システム等及びソフトウェアを使用
１４．認証・認可に関する安全
管理措置
【遵守事項】
②
利用者の識別・認証にユーザ
ID
システム運用 １４．認証・認可に関
②
編
の情報を、本人しか知り得ない状態に保つよう対策を実施すること。
する安全管理措置
利用者の識別・認証にユーザIDとパスワードの組み合わせを用いる場合、それら
とパスワードの組み合わせを用いる場合、それ
らの情報を、本人しか知り得ない状態に保つよう対策を実施すること。
システム運用 １４．認証・認可に関
②
編
の情報を、本人しか知り得ない状態に保つよう対策を実施すること。
する安全管理措置
利用者の識別・認証にユーザIDとパスワードの組み合わせを用いる場合、それら
◎
する前に、製造ベンダが設定したデフォルト
システム運用
のアカウント及びメンテナンス用のアカウン
編
ト等の棚卸を行い、必要のないアカウントに
③-3
パスワードはハッシュ値での保存、暗号化
◎
等、パスワードを容易に復元できない形で情
報を保管する。
③-4
パスワードに関連するデータを保存するファ
－
イルを暗号化して保存する等の保護策を採用
システム運用編
する。また、一般の作業者による閲覧を制限
する。
は、直ちに当該IDを無効化し、予め策定した
手順に基づき、新規のログイン情報の再発行
を行い、利用者に速やかに通知する。
類推されやすいパスワードを使用させないよう、設定可能なパスワードに制限を設
１４．認証・認可に関する安全
管理措置
【遵守事項】
◎
１４．認証・認可に関
とともに、どのような手法で本人確認を行ったのかを台帳に記載（本人確認を行った書
する安全管理措置
－
医療情報システムのシステム運用担当者であっても、利用者のパスワードを推定で
きないようにすること（設定ファイルにパスワードが平文で記載される等があってはな
らない）。
25/39
類推されやすいパスワードを使用させないよう、設定可能なパスワードに制限を
－
テムのシステム運用担当者がパスワードを変更する場合には、利用者の本人確認を行う
パスワードの変更を含む適切な処置を講じること。
－
医療情報システム内のパスワードファイルは、パスワードを暗号化（不可逆変換
によること）した状態で、適切な手法で管理・運用すること。
利用者のパスワードの失念や、パスワード漏洩のおそれなどにより、医療情報シス
得ない方法で通知すること。なお、パスワード漏洩のおそれがある場合には、速やかに
パスワードを利用者認証に使用する場合、次に掲げる対策を実施すること。
－
医療情報システム内のパスワードファイルは、パスワードを暗号化（不可逆変換に
類等のコピーを添付）すること。また、変更したパスワードは、利用者本人以外が知り
⑥
設けること。
よること）した状態で、適切な手法で管理・運用すること。
に対するデジタル署名の付与及び検証、ファ
正な第三者からの攻撃による場合を含む）に
－
－
イルのハッシュ値の取得及び検証、ファイル
パスワード等の情報の漏洩が生じた場合（不
パスワードを利用者認証に使用する場合、次に掲げる対策を実施すること。
けること。
◎
イルの真正性及び完全性を保つために、ファ
③-5
⑥
利用者のパスワードの失念や、パスワード漏洩のおそれなどにより、医療情報シ
ステムのシステム運用担当者がパスワードを変更する場合には、利用者の本人確認を
行うとともに、どのような手法で本人確認を行ったのかを台帳に記載（本人確認を
行った書類等のコピーを添付）すること。また、変更したパスワードは、利用者本人
以外が知り得ない方法で通知すること。なお、パスワード漏洩のおそれがある場合に
は、速やかにパスワードの変更を含む適切な処置を講じること。
－
医療情報システムのシステム運用担当者であっても、利用者のパスワードを推定
できないようにすること（設定ファイルにパスワードが記載される等があってはなら
ない）。