医療機関向け手引書 V33B

190

る必要があります。IT インフラを整備しこれを維持管理するための方針や情報共有につい

191

てのポリシーを明確にするとともに、医療セプター等の ISAOｓ（情報共有分析機関）から

192

の情報を常に確認し、自施設で必要になる対策があれば実施すること、および対策が必要

193

になる可能性について医療機器事業者等に確認することが求められます。医療セプターで

194

は、NISC（内閣セイバーセキュリティセンター）や厚生労働省と連携し、サイバーセキュ

195

リティに関する情報共有や演習、訓練等の活動を行っています。医療機関には、医療関係

196

団体との連携等によりこれらの活動に積極的に参画することが推奨されます。

197

また、サイバーセキュリティインシデントが発生した場合の対応手順についても予め定め、

198

関係者に周知しておくことが必要です。

199

②IT インフラの構築とネットワーク構成図等の整備

200

医療機関では医療機器の使用環境としての IT インフラを整備する必要があり、そのために

201

は安全管理ガイドラインに従って医療情報システムの情報セキュリティの確保のための体

202

制を構築し、維持管理することが必要です。

203

医療機関内で医療情報システムや医療機器がどのようなネットワークを構成し、接続され

204

ているかを視覚化したネットワーク構成図やサーバー構成図、システム機能構成図を作成

205

し、関係者への説明や状況の把握・理解のために使用します。

206

ネットワーク構成図等には、機器の物理的な配置を把握するための情報と、通信の流れや

207

相互接続関係を把握するための情報を含める必要があり、必要に応じて逐次更新します。

208

［ネットワーク構成図等に含める情報の例］

209

・ネットワークに接続される可能性のあるすべての医療情報システム・医療機器

210

・配置されているフロアや部屋、ラック等

211

・スイッチ、ルーターなどの物理配線や接続ポート

212

・インターネットへの接続経路や接続形式、設定

213

・ファイアウォール、VPN

214

・IP アドレス、サブネット

215

・物理、仮想サーバー

216

・サーバーのホスト名、役割

217

③

関係者の教育

218

医療機関は施設内のすべての関係者に対して、自施設の医療機器のサイバーセキュリティ

219

に関するポリシー、医療セプター等からの情報で必要なもの、サイバーセキュリティイン

220

シデントが発生した場合の対応手順等について教育し、周知しておくことが必要です。

221

厚生労働省のウェブサイトにも「医療機関向けセキュリティ教育支援ポータルサイト」が

222

開設され、
「医療機関等向けサイバーセキュリティ研修用動画」等も公開されており、参考

223

にすることが出来ます。

224
225
226

４－２．医療機器の導入時
①医療機器に関する情報の確認

227

医療機器事業者から提供される情報が、自施設におけるサイバーセキュリティ確保のため

228

に十分であることを確認し、必要な場合にはネットワーク構成図等を更新します。

8 / 19