別紙2

統合前ガイドラインにおける対策項目一覧と医療情報安全管理ガイドライン6.0版の対応表
対策項目

対策項目で対応できる

大項目

小項目

No.

内容

区分

リスクシナリオ例

3.15. 電子署名を利用す

①信頼できる第三者機

①-1

医療情報システム等において電子署名を利用

◎

信頼できる第三者機関と同等の厳格さ

る場合の管理

関が発行した電子証明

する場合、保健医療福祉分野PKI 認証局の発

で本人確認や署名の検証が行われな

書の利用

行する署名用電子証明書等の信頼できる第三

い。

関連する医療情報安全管理ガイドライン要求事項
編

項番

区分

内容

①法令で署名又は記名・押印が義務付けられた文書において、記名・押印を電子署名に
代える場合、以下の条件を満たす電子署名を行うこと。
1.以下の電子証明書を用いて電子署名を施すこと
(1)「電子署名及び認証業務に関する法律」（平成12年法律第102号）第２条第１項に規

者機関が発行した電子証明書を利用する。

①

定する電子署名を施すこと。なお、これはローカル署名のほか、リモート署名、立会人

名に代える場合、以下の条件を満たす電子署名を行うこと。

型電子署名の場合も同様である。

1. 以下の電子証明書を用いて電子署名を施すこと

(2)法令で医師等の国家資格を有する者による作成が求められている文書については、以

(1) 「電子署名及び認証業務に関する法律」（平成12年法律第102号）第２条第１項

下の（a）～（c）のいずれかにより、医師等の国家資格の確認が電子的に検証できる電

の電子署名を施すこと。なお、これはローカル署名のほか、リモート署名、立会人型

子証明書を用いた電子署名等を用いること。

電子署名の場合も同様である。

(a)厚生労働省「保健医療福祉分野における公開鍵基盤認証局の整備と運営に関する専門

(2) 法令で医師等の国家資格を有する者による作成が求められている文書について

家会議」において策定された準拠性監査基準を満たす保健医療福祉分野PKI認証局の発行

は、以下の（a）～（c）のいずれかにより、医師等の国家資格の確認が電子的に検証

する電子証明書を用いて電子署名を施すこと。

できる電子署名等を用いること。

保健医療福祉分野PKI認証局は、電子証明書内に医師等の保健医療福祉に係る資格を格
企画管理編

１４．法令で定められた記名・
押印のための電子署名

【遵守事項】

納しており、その資格を証明する認証基盤として構築されている。したがって、この保
健医療福祉分野PKI認証局の発行する電子署名を活用すると電子的な本人確認に加え、同

法令で署名又は記名・押印が義務付けられた文書において、記名・押印を電子署

企画管理編

時に、医師等の国家資格を電子的に確認することが可能である。

１４．法令で定められ

(a) 厚生労働省「保健医療福祉分野における公開鍵基盤認証局の整備と運営に関する

た記名・押印のための

専門家会議」において策定された準拠性監査基準を満たす保健医療福祉分野PKI認証

電子署名

局の発行する電子証明書を用いて電子署名を施すこと。
(b) 厚生労働省「保健医療福祉分野における電子署名等環境整備専門家会議」におい

ただし、当該電子署名を施された文書を受け取る者が、国家資格を含めた電子署名の検

て策定された評価基準を満たし、評価認定を受けた事業者の発行する電子証明書等を

証を正しくできることが必要である。

用いて電子署名を施すこと。

(b)認定認証事業者（電子署名法第2条第3項に定める特定認証業務を行う者として主務大

(c) 「電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律」

臣の認定を受けた者をいう。以下同じ。）又は認証事業者（電子署名法第2条第2項の認

（平成14年法律第153号）に基づき、平成16年1月29日から開始されている公的個人

証業務を行う者（認定認証事業者を除く。）をいう。）の発行する電子証明書を用いて

認証サービスを用いることも可能であるが、その場合、その署名用電子証明書に係る

電子署名を施すこと。その場合、当該電子署名を施された文書を受け取る者が、医師等

電子署名に紐づく医師等の国家資格が検証時に電子的に確認できること、当該電子署

の国家資格の確認を電子的に検証でき、電子署名の検証を正しくできることが必要であ

名を施された文書を受け取る者が公的個人認証サービスを用いた電子署名を検証でき

る。事業者（認証局あるいは立会人型電子署名の場合は電子署名サービス提供事業者を

ることが必要である。

いう。以下「14．法令で定められた記名・押印のための電子署名」において同じ。）を
選定する際には、事業者が次に掲げる事項を適切に実施していることについて確認する
こと（ローカル署名のほか、リモート署名、立会人型電子署名の場合も同様）。
②電子署名を施す場合

②-1

電子署名を施す情報に対しては、タイムスタ

◎

・事業者による利用者の実在性、本人性及び利用者個人の申請意思の確認に当たって

電子署名を行う機器等の時刻情報が改

のタイムスタンプの付

ンプを付与する。この場合には、タイムスタ

竄されることで、電子署名付与時点の

与

ンプの内容･検証方法について、医療機関等

時刻及び当該時刻以降の改竄の有無が

と合意する。

証明できない。

2. 法定保存期間等の必要な期間、電子署名の検証を継続して行うことができるよう、必
要に応じて電子署名を含む文書全体にタイムスタンプを付与すること

１４．法令で定められ

2. 電子署名を含む文書全体にタイムスタンプを付与すること

(1) タイムスタンプは、第三者による検証を可能にするため、「時刻認証業務の認定に 企画管理編

た記名・押印のための

3. 法定保存期間等の必要な期間、電子署名の検証を継続して行うことができるよう、

関する規程」に基づき認定された事業者（認定事業者）が提供するものを使用するこ

電子署名

と。なお、一般財団法人日本データ通信協会が認定した時刻認証事業者（タイムビジネ

必要に応じて電子署名を含む文書全体にタイムスタンプを付与すること

スに係る指針等で示されている時刻認証業務の基準に準拠し、一般財団法人日本データ
企画管理編

１４．法令で定められた記名・
押印のための電子署名

【遵守事項】

通信協会が認定した時刻認証事業者。以下「認定時刻認証事業者」という。）について
は、令和４年以降、国による認定制度に順次移行する予定であることから、当面の間、
認定時刻認証事業者によるものを使用しても差し支え無い。
(2) 法定保存期間中、タイムスタンプの有効性を継続できるようにするための対策を実

②-2

タイムスタンプを付与した情報を取り扱う場

施すること。

◎

(3) タイムスタンプの利用や長期保存に関しては、今後も、関係府省の通知や指針の内

合に、法定保存年限内における当該タイムス

容や標準技術、関係ガイドラインに留意しながら適切に対策を実施すること。

タンプの有効性を検証する方法、対応方法等

(4) タイムスタンプを付与する時点で有効な電子証明書を用いること。

について、医療機関等と合意する。
②-3

タイムスタンプを付与した情報を取り扱う場

◎

合に、当該情報を長期保存する場合に講じる
対策等について、医療機関等と合意する。
③タイムスタンプを付

③-1

タイムスタンプを付与した情報を取り扱う場

与する時点で有効な電

合に、電子証明書の失効前の電子署名の有効

子証明書の使用

性を担保するためのタイムスタンプの付与方

◎

タイムスタンプ付与時点で電子署名を

2. 法定保存期間等の必要な期間、電子署名の検証を継続して行うことができるよう、必

検証することができない。

要に応じて電子署名を含む文書全体にタイムスタンプを付与すること
(1) タイムスタンプは、第三者による検証を可能にするため、「時刻認証業務の認定に

法等について、医療機関等と合意する。

関する規程」に基づき認定された事業者（認定事業者）が提供するものを使用するこ
と。なお、一般財団法人日本データ通信協会が認定した時刻認証事業者（タイムビジネ
スに係る指針等で示されている時刻認証業務の基準に準拠し、一般財団法人日本データ
通信協会が認定した時刻認証事業者。以下「認定時刻認証事業者」という。）について
企画管理編

１４．法令で定められた記名・
押印のための電子署名

【遵守事項】

は、令和４年以降、国による認定制度に順次移行する予定であることから、当面の間、
認定時刻認証事業者によるものを使用しても差し支え無い。

企画管理編

(2) 法定保存期間中、タイムスタンプの有効性を継続できるようにするための対策を実

１４．法令で定められ

2. 電子署名を含む文書全体にタイムスタンプを付与すること

た記名・押印のための

3. 法定保存期間等の必要な期間、電子署名の検証を継続して行うことができるよう、

電子署名

必要に応じて電子署名を含む文書全体にタイムスタンプを付与すること

１５．技術的な安全管

⑪

理対策の管理

に、具体的な手順の作成と実施を担当者に指示すること。

９．ソフトウェア・

③

サービスに対する要求

管理するための手順を作成し、これに従い必要な措置を講じ、企画管理者に報告する

事項

こと。

施すること。
(3) タイムスタンプの利用や長期保存に関しては、今後も、関係府省の通知や指針の内
容や標準技術、関係ガイドラインに留意しながら適切に対策を実施すること。
(4) タイムスタンプを付与する時点で有効な電子証明書を用いること。

3.16. 改竄防止・検知策

①ソフトウェアの改竄

の実装

防止・検知策の実装

不正な改竄を受けていないことを検証するた
①-1

◎

ソフトウェアの改竄により、意図しな

め、定期的にソフトウェアの整合性検査（改

い情報の虚偽入力、書き換え、消去及

竄検知）を実施する。

び混同が生じる。

不正なソフトウェアの書き換えリスクを避け

企画管理編

導入する際、ソフトウェアに対する改竄防

システム運用編

止、検知策を実施する。
3.17. 患者ごとの情報の

①患者ごとに情報を管

管理

理する機能の実装

①-1

医療情報システム等には、受託する医療情報

管理

【遵守事項】

⑪

情報機器、ソフトウェアの品質管理に関する対応を運用管理規程で定めるととも

に、具体的な手順の作成と実施を担当者に指示すること。

企画管理編

◎

を患者等ごとに管理できる機能を含める。

９．ソフトウェア・サービスに
対する要求事項

③
【遵守事項】

の相互関係がすぐに明らかにできな

医療情報システムで利用するシステム、サービス、情報機器等の品質を定期的に管

理するための手順を作成し、これに従い必要な措置を講じ、企画管理者に報告するこ
と。

各種媒体に分散管理された患者の情報
い。

④
企画管理編

８．情報管理（管理、持ち出
し、破棄等）

【遵守事項】

システム運用
編

④

医療機関等における医療情報の管理状況を把握し、経営層の承認を得ること。管理

状況の把握のため、医療機関等で保有する医療情報について定期的な棚卸や管理実態の
確認を行うこと。特に患者に関する情報は、患者ごとに識別できるよう、管理するこ

企画管理編

と。
システム運用編
①-1

医療機関等が医療情報システム等を利用する

3.18. 利用目的に応じた

①医療情報システム等

応答時間の確保

の利用目的に応じた応

際の、応答時間（一般的な表示速度、検索結

ことで医療情報システム等の利用目的

答時間の確保

果の表示時間等）について、医療機関等と合

に支障が生じる。

意する。

情報機器、ソフトウェアの品質管理に関する対応を運用管理規程で定めるととも

◎

るため、開発したソフトウェアを運用施設に
①-2

１５．技術的な安全管理対策の

◎

４．リスクアセスメントを踏ま
えた安全管理対策の設計

①
【遵守事項】

企画管理者の指示に基づき、医療機関等で取り扱う情報を適切に管理するための手

順等を作成し、運用すること。その際、情報種別による重要度を踏まえるほか、患者情
報については、患者ごとに識別できるような措置を講じること。

システム運用
編

情報の表示や検索等の応答時間が長い
システム運用編

９．ソフトウェア・サービスに
対する要求事項

【遵守事項】

④

医療情報システムの目的に応じて速やかに検索表示又は書面に表示できるよう措置

を講じること。

36/39

システム運用
編

医療情報システムで利用するシステム、サービス、情報機器等の品質を定期的に

医療機関等における医療情報の管理状況を把握し、経営層の承認を得ること。管

８．情報管理（管理、

理状況の把握のため、医療機関等で保有する医療情報について定期的な棚卸や管理実

持ち出し、破棄等）

態の確認を行うこと。特に患者に関する情報は、患者ごとに識別できるよう、管理す

４．リスクアセスメン

ること。
①

企画管理者の指示に基づき、医療機関等で取り扱う情報を適切に管理するための

トを踏まえた安全管理

手順等を作成し、運用すること。その際、情報種別による重要度を踏まえるほか、患

対策の設計

者情報については、患者ごとに識別できるような措置を講じること。

９．ソフトウェア・
サービスに対する要求
事項

④

医療情報システムの目的に応じて速やかに検索表示又は書面に表示できるよう措

置を講じること。