課題④：医療機関が管理する資源において、一部の資源に対する脆弱性対策が、他の資源
の可用性に影響を与える可能性がある場合に、安全性の判断ができない。
◼ 脆弱性情報の確認・報告 【推奨される対応例 Part2 参考1】
医療情報システムに関連する新たなセキュリティ上の脆弱性について、 (独) 情報処理推進機構（IPA）等が公表する情報その他の
情報を継続的に収集すること（又は合理的な範囲で収集に努めること）、および脆弱性発見時の医療機関への報告や対策の実
施を行うこと等を取り決める。

◼ ＯＳやアプリケーション、ハードウェアの保守の実施 【推奨される対応例 Part2 参考6】
システムを構成する機器、ソフトウェア、クラウドサービス等については、保守契約に基づき事業者による保守（セキュリティパッチの適用
等）がなされるよう取り決める。オープンソースソフトウェア等の汎用ソフトウェアを使用する際も、脆弱性情報等のチェックやその対応に
ついても取り決める。

◼ セキュリティ対策の見直し提案 【Part2 A12】
情報セキュリティの最新情勢に鑑みて、安全管理上必要であれば、事業者において自発的に対策の見直しを行い、医療機関に提案
することを取り決める。
優先すべき資源の判断
生じ得るリスクへの対応

医療情報システムの責任者

システム、機器等の脆弱性対策の組合せによる
可用性への影響に関する情報等の共有、
代替的なリスク低減・回避方策の提案

クラウドサービス
インターネット
電カル等
アプリケーション
OS等のパッチ対応され
ると、プログラムが動かな
くなる

事業者
クラウドサービス
事業者
脆弱性対策のため、OS等
のパッチ対応が必要

OS等のパッチに対
する対応プログラム

電カルベンダー
© 2021 NTT DATA INSTITUTE OF MANAGEMENT CONSULTING, Inc.

6