７．２．１ 医療機関等の職員による外部からのアクセス
医療機関等の職員がテレワークを含めて自宅等や訪問先などから医療情報システムへアクセスする
ことを許可することもあり得る。この場合、職員からの接続については、
・

接続できる職員に関する事前の許可

・

外部から接続する際の技術的対応

等が挙げられる。事前の許可については、具体的な手続等について、システム運用担当者で手順等を
定めて、外部から接続できる利用者と利用権限の範囲を設定するための手続を行い、その結果を企画
管理者に報告するなどの対応が必要となる。
技術的な対応については、
・

外部からのアクセスに関する認証・認可

・

外部から利用する際のネットワークの要件

・

外部から利用する端末等の要件

等の措置を、システム運用担当者は講じる必要がある。
外部からの認証・認可については、外部の環境から医療機関等が管理するネットワークに接続する
ための認証等を行う措置を講じることが求められる。認証等の要件は、「13．１

医療情報システムに

共通する利用者に関する認証等及び権限」に示す。
外部から利用する場合のネットワークについては、医療機関等が接続先を管理するネットワークに
接続する前に、オープンなネットワークを経由することが想定される。この場合、「１３．１

医療情

報システムに共通する利用者に関する認証等及び権限」に示すオープンなネットワークを利用する場
合の対策を講じたうえで、チャネル・セキュリティが確実に確保される措置を講じることが必要であ
る。
外部から利用する端末等の要件については、医療機関等が管理する端末を使うことが想定されるが、
医療機関等によっては、「９．ソフトウェア・サービスに対する要求事項に対する安全管理措置」に示
す措置を講じて、個人の所有する、あるいは個人の管理下にある端末（ノートパソコン、スマートフ
ォン、タブレット等）の業務利用（Bring Your Own Device：以下「BYOD」という。）など医療機関
等が管理しない端末を使用することも想定される。端末等の要件に関しては、考慮すべき点が 3 つあ
る。
・

PC 等といっても、その安全管理対策を確認するためには一定の知識と技能が必要で、一般の職

員にその知識と技能を要求することは難しい。
・

運用管理規程や手順等で定めたことが確実に実施されていることを説明するためには適切な運

用の点検と監査が必要であるが、外部からのアクセスの状況を点検、監査することは通常は困難
である。
・

医療機関等の管理が及ばない私物の PC や、極端な場合は不特定多数の人が使用する PC を使用

する場合はもちろん、医療機関等が管理する情報機器を使用する場合であっても、異なる環境で
使用していれば想定外の影響を受ける可能性がある。
したがって、職員による外部からのアクセスを行う場合は、利用する PC 等の端末の作業環境内に仮想
的に安全管理された環境を VPN 技術と組み合わせて実現する仮想デスクトップ、あるいはそれと同等
以上の安全性を確保できる方法を検討するなどの対応が求められる。

- 18 -