セキュリティ要件
• 情報管理に関しては、政府統一基準群や医療安全性ガイドライン、本事業における情報セキュリティに関
する取り決め事項に従った情報管理を行う必要があり、定期的な監査を検討する。
• 海外リージョンとIPファイヤーウォールによりネットワークアクセスを遮断できること。
• ISMAP（政府のクラウド安全性評価）への登録を行っている、もしくは登録申請中であること。
• セキュリティ監視や検知・遮断のために必要なファイヤーウォールをクラウド上に配置できること。
• データアクセスに関するログ保管、ログを活用した相関分析ルールによる不審な挙動の監視や発報の仕組
みを検討すること。その際、誤検知の最適化のための相関分析の定期的な最適化を自動的に行うための最
適な方法を検証すること。
• セキュリティ検知にあたっては、クラウドサービスは、ペイロード（ネットワークを通過するパケット通
信の内容）は確認も検知もできないことと、ログベースでの監視であるため、完全なリアルタイムな把握
ではないことを回避するための方法も検証すること。
• インシデントが発生してから切り分け、対策、報告を行うためのセキュリティ対策意思決定プロセスをよ
り早く行うための自動化と、誤検知や過検知を回避し、最適な方法で検知を行うための方法も構築し、検
証すること。
• 利用者がコンピュータウイルスに感染した場合などのペナルティ、監査について具体的なプロセスを設定
すること。
• 臨床に直結する業務フローを扱う領域においては、クラウド（外部保存、外部アクセス）を利用すること
を考慮し、医療情報システムの安全管理に関するガイドラインで求められる事柄（データアクセスへの多
要素認証、VPN、Cookie取得等Webアプリケーションにおけるセキュリティデザインや脆弱性の修正、無
害化等）を満たすべく、複数の構成案を比較検証し、事業におけるセキュリティ確保や性能確保、データ
品質の確保を徹底できるように、課題や改善事項を導出すること。

32