にはどのように利用するのか。
Ａ

安全管理ガイドラインでは、偽サーバへの対策が不十分なものが多いた
め、医療情報システムでは原則として使用するべきではないとしています。
しかし SSL-VPN についてもクライアント型と呼ばれるものについては、
「専用のクライアントソフトがインストールされた端末との間でのみアクセ
スする。つまり、誤って偽サーバに接続することがなく、また内部サーバに
アクセスできる端末も厳格に制限できるため、端末に IPsec-VPN ソフト
をインストールして構成するモバイル型の IPsec-VPN に近い形での運用
形態」が可能とされています（
「TLS 暗号設定ガイドライン 3.01 版」
IPA）。
従って、SSL-VPN を利用する場合には、6.11 章の C.10 に記載されて
いるクライアント証明書を利用した TLS クライアント認証や「高セキュリ
ティ型」に準じた適切な設定を行った上で例外的にクライアント型の SSLVPN などの利用によることが考えられます。

Ｑ－３８

「ルータ等のネットワーク機器は、安全性が確認できる機器を利用
し、施設内のルータを経由して異なる施設間を結ぶ VPN の間で送受
信ができないように経路を設定すること。安全性が確認できる機器と
は、例えば、ISO15408 で規定されるセキュリティターゲット又は
それに類するセキュリティ対策が規定された文書が本ガイドラインに
適合していることを確認できるものをいう。」とあるが、
① ソフトウェアは、安全性の確認対象から外れるのか。
② 安全性を確認するための方法は他にないか。

Ａ
①

ここでいうソフトウェアが「ルータ等のネットワーク機器の機能をソフ
トウェアで実現しているもの」を指すのであれば、その当該ソフトウェア
に対して安全性が確認できる必要があります。「ルータ等のネットワーク機
器」を「当該ソフトウェア」に読み替えてご対応ください。
② ISO/IEC 15408 で認証された機器を導入することが必須ではありませ
ん。このガイドラインが求める安全対策のための要求事項を、導入を検討
している機器ベンダに示して、回答を求めてください。満足する回答が得
られれば、安全性が確認された機器と判断していただいて結構です。

21