ⅱ) 不正アクセス行為を防止するため、適切な措置を講じること。介護DBデータの漏洩、滅失、

ⅱ) 不正アクセス行為を防止するため、適切な措置を講じること。介護DBデータの漏洩、滅失、

毀損を防止するため、適切な措置を講じること。

毀損を防止するため、適切な措置を講じること。

①    利用端末の管理

①    利用端末の管理

・介護DBデータを利用するPC等へのアクセスの記録及び定期的なログの確認を行うこと。

・介護DBデータを利用するPC等へのアクセスの記録及び定期的なログの確認を行うこと。

・アクセスの記録は少なくとも取扱者のログイン時刻（信頼できる時刻情報であるこ

・アクセスの記録は少なくとも取扱者のログイン時刻（信頼できる時刻情報であるこ

と。）、アクセス時間及びログイン中に操作した取扱者が特定できること。利用終了後少な

と。）、アクセス時間及びログイン中に操作した取扱者が特定できること。利用終了後少な

くとも１年は保管すること。

くとも１年は保管すること。

・仮にアクセス記録機能がない場合には、業務日誌等で操作の記録（操作者及び操作内容）

・仮にアクセス記録機能がない場合には、業務日誌等で操作の記録（操作者及び操作内容）

を必ず行うこと。

を必ず行うこと。

・介護DBデータを利用するPC等にアクセスログへのアクセス制限を行い、アクセスログの

・介護DBデータを利用するPC等にアクセスログへのアクセス制限を行い、アクセスログの

不当な削除、改ざん、追加などを防止する対策を講じること（※※）。

不当な削除、改ざん、追加などを防止する対策を講じること（※※）。

②    窃視防止の対策等

②    窃視防止の対策等

・窃視防止の対策を実施すること。利用端末でデータ閲覧中の画面が取扱者以外の者の視野

・窃視防止の対策を実施すること。利用端末でデータ閲覧中の画面が取扱者以外の者の視野

に入らないよう、間仕切りの設置・座席配置の工夫、覗き見対策のシートを貼る等。（※

に入らないよう、間仕切りの設置・座席配置の工夫、覗き見対策のシートを貼る等。（※

※）

※）

・介護DBデータを利用するPC等の端末から離席する際には、画面ロック、サインアウト

・介護DBデータを利用するPC等の端末から離席する際には、画面ロック、サインアウト

等、他の者が画面を閲覧又は端末を操作できないような対策を講ずること。（※※）

等、他の者が画面を閲覧又は端末を操作できないような対策を講ずること。（※※）

・介護DBデータを利用中の画面の撮影、録画、スクリーンショットの取得を禁止すること。

・介護DBデータを利用中の画面の撮影、録画、スクリーンショットの取得を禁止すること。

③    不正アクセス対策

③    不正アクセス対策

・介護DBデータを利用・保管するPC等の情報システム機器には、情報漏えい、改ざん等の

・介護DBデータを利用・保管するPC等の情報システム機器には、情報漏えい、改ざん等の

対象にならないように、コンピュータウイルス対策ソフトの導入等の対策をすること。

対象にならないように、コンピュータウイルス対策ソフトの導入等の対策をすること。

・介護DBデータを利用するPC等には適切に管理されていないメディアを接続しないこと。

・介護DBデータを利用するPC等には適切に管理されていないメディアを接続しないこと。

・常時不正なソフトウェアの混入を防ぐ適切な措置をとること。その対策の有効性・安全性

・常時不正なソフトウェアの混入を防ぐ適切な措置をとること。その対策の有効性・安全性

の確認・維持を行うこと。

の確認・維持を行うこと。

・介護DBデータが存在するPCやサーバー等の情報システム機器は、インターネット、学内

・介護DBデータが存在するPCやサーバー等の情報システム機器は、インターネット、学内

LAN、院内LAN等を含む外部ネットワークに接続しないこと（公表物確認時のメール送信を

LAN、院内LAN等を含む外部ネットワークに接続しないこと（公表物確認時のメール送信を

除く。）。

除く。）。

・消去後に当該機器を外部ネットワークに接続する際には、あらかじめコンピューターウイ

・消去後に当該機器を外部ネットワークに接続する際には、あらかじめコンピューターウイ

ルス等の有害ソフトウェアが無いか検索し、IPS機能のあるファイアウォールを導入するなど

ルス等の有害ソフトウェアが無いか検索し、IPS機能のあるファイアウォールを導入するなど

の安全対策に十分配意すること。

の安全対策に十分配意すること。

（５）情報及び情報機器の持ち出し

（５）情報及び情報機器の持ち出し

ⅰ) 提供された介護DBデータの利用、管理及び保管は、事前に承諾された場所でのみ行うことと

ⅰ) 提供された介護DBデータの利用、管理及び保管は、事前に承諾された場所でのみ行うことと

し、外部への持ち出しは行わないこと。ただし、外部委託や共同研究を行う利用者間で生成

し、外部への持ち出しは行わないこと。ただし、外部委託や共同研究を行う利用者間で生成

物の受け渡しが必要な場合には、以下の措置を講じること。

物の受け渡しが必要な場合には、以下の措置を講じること。

・リスク分析を実施し、情報及び情報機器の持ち出しに関する方針を運用管理規程で定める

・リスク分析を実施し、情報及び情報機器の持ち出しに関する方針を運用管理規程で定める

こと。

こと。

・運用管理規程には、持ち出した情報及び情報機器の管理方法、盗難や紛失時の対応を定め

・運用管理規程には、持ち出した情報及び情報機器の管理方法、盗難や紛失時の対応を定め

ること。

ること。

・運用管理規程を取扱者に周知徹底すること。

・運用管理規程を取扱者に周知徹底すること。

・介護DBデータや生成物が格納された情報機器の所在について台帳を用いて管理すること。

・介護DBデータや生成物が格納された情報機器の所在について台帳を用いて管理すること。

・授受に使用する情報機器には暗号化とパスワード保護を行うこと。

・授受に使用する情報機器には暗号化とパスワード保護を行うこと。

・情報の授受に使用する外部記憶媒体についても、使用前に十分なウイルス対策ソフト等に

・情報の授受に使用する外部記憶媒体についても、使用前に十分なウイルス対策ソフト等に

よるチェックを行うこと。

よるチェックを行うこと。

（６）その他の安全管理措置

（６）その他の安全管理措置

ⅰ) 介護DBデータを用いた研究・業務を外部委託するときは、提供申出者は、当該委託を受けた

ⅰ) 介護DBデータを用いた研究・業務を外部委託するときは、提供申出者は、当該委託を受けた

者が講ずる安全管理措置について、適切に確認及び監督を行うこと。

者が講ずる安全管理措置について、適切に確認及び監督を行うこと。

ⅱ) 取扱者以外が介護DBデータを取り扱うことを禁止すること。その他の者へ譲渡、貸与又は他

ⅱ) 取扱者以外が介護DBデータを取り扱うことを禁止すること。その他の者へ譲渡、貸与又は他

の情報との交換等を行わないこと。

の情報との交換等を行わないこと。

ⅲ) プログラムの異常等で、保存データを救済する必要があるとき等、やむをえない事情で外部

ⅲ) プログラムの異常等で、保存データを救済する必要があるとき等、やむをえない事情で外部

の保守要員が介護DBデータを使用・保存する情報機器にアクセスする場合には、罰則のある

の保守要員が介護DBデータを使用・保存する情報機器にアクセスする場合には、罰則のある

就業規則等で裏づけられた守秘契約等の秘密保持の対策を行い、厚生労働省に報告するこ

就業規則等で裏づけられた守秘契約等の秘密保持の対策を行い、厚生労働省に報告するこ

と。

と。

３ 提供申出者及び取扱者の義務

３

提供申出者及び取扱者の義務

提供申出者及び取扱者は、介保法、介保令、介保則及び本ガイドラインの規定に従い、情報

提供申出者及び取扱者は、介保法、介保令、介保則及び本ガイドラインの規定に従い、情報

の適正な管理を徹底することを誓約しなければならない。また、介護DBデータについて、全

の適正な管理を徹底することを誓約しなければならない。また、介護DBデータについて、全

て個人情報の保護に関する法律に規定する個人情報に準じた取扱いを行うこととし、情報セ

て個人情報の保護に関する法律に規定する個人情報に準じた取扱いを行うこととし、情報セ

キュリティマネジメントシステム（ISMS）の実践等、医療情報システムの安全管理に関する

キュリティマネジメントシステム（ISMS）の実践等、医療情報システムの安全管理に関する

ガイドライン（第6.0版 令和５年５月）に定められた措置に準じた措置とすること。

ガイドライン（第6.0版 令和５年５月）に定められた措置に準じた措置とすること。

提供申出者及び取扱者は、介護DBデータの利用に関して知り得た内容をみだりに他人に知ら

提供申出者及び取扱者は、介護DBデータの利用に関して知り得た内容をみだりに他人に知ら

せ、又は承諾された申出書に記載された目的以外に利用してはならない。

せ、又は承諾された申出書に記載された目的以外に利用してはならない。

14