・モバイル端末等を使って医療機関等の外部から接続する場合
の 3 つの場合について、それぞれ接続先の医療機関等のネットワーク構成や経路設計によっ
て、意図しない情報漏えいが起こる可能性について留意し、確認する責務がある。
医療機関等になるか又は双方の分担となるかを契約等で明らかにする必要がある。その
際の考え方としては「(1)医療機関等における留意事項」では主に情報内容が脅威に対応す
るオブジェクト・セキュリティについて解説したが、ここでは通信経路上での脅威への対応
であるチャネル・セキュリティについて解説する。
ネットワークを介して外部と医療情報を交換する場合の選択すべきネットワークのセ
キュリティについては、責任分界点を明確にした上で、医療機関における留意事項とは異な
る視点で考え方を整理する必要がある。ここでいうネットワークとは、医療機関等の情報送
信元の機関の外部ネットワーク接続点から情報を受信する機関の外部ネットワーク接続点
までや、業務の必要性から従業員に外部からのアクセスを許可した場合、患者等からのアク
セスを許可した場合等における外部から医療機関等の医療情報システムにアクセスする接
続点までのことを指し、医療機関等の内部で構成される LAN は対象としていない。ただし、
4.2 章でも触れたとおり、医療機関等には、接続先の医療機関等のネットワーク構成や経路
設計によって、意図しない情報漏えいが起こる可能性について留意し、確認する責務がある。
ネットワークを介して外部と医療情報を交換する際のネットワークを構成する場合、ま
ず、医療機関等は交換しようとする情報の機密性の整理をする必要がある。基本的に医療情
報をやり取りする場合、確実なセキュリティ対策が必須であるが、例えば、予約システムが
扱う再診予約情報のように機密性の高くない情報に対して過度のセキュリティ対策を施す
と、高コスト化や現実的でない運用を招く結果となる。つまり、情報セキュリティに対する
リスク分析を行った上で、コスト・運用に対して適切なネットワークを選択する必要がある。
この整理を実施した上で、ネットワークにおけるセキュリティの責任の所在が、電気通信事
業者又は情報処理事業者となるか、医療機関等になるか又は双方の分担となるかを契約等
で明らかにする必要がある。その際の考え方としては、大きく次の 2 つに類型化される。
・ 電気通信事業者とクラウドサービス事業者がネットワーク経路上のセキュリティを担保
する場合
電気通信事業者とクラウドサービス事業者が提供するネットワークサービスのうち、
これらの事業者がネットワーク上のセキュリティを担保した形で提供するネットワー
ク接続形態であり、多くは後述するクローズドなネットワーク接続である。また、現在
はオープンなネットワーク接続であっても、Internet-VPN サービスのような通信経路が
暗号化されるネットワークとして電気通信事業者が提供するサービスも存在する。
このようなネットワークの場合、医療機関等は、通信経路上におけるセキュリティに
関する管理責任の大部分をこれらの事業者に委託できる。もちろん自機関等においては、
善管注意義務を払い、組織的・物理的・技術的・人的安全管理等の規程に則り、自機関

52