よむ、つかう、まなぶ。
【参考資料１－９】「医療情報システムの安全管理に関するガイドライン第6.0版（案）」に関する御意見の募集について (12 ページ)
出典
| 公開元URL | https://www.mhlw.go.jp/stf/newpage_33201.html |
| 出典情報 | 健康・医療・介護情報利活用検討会医療等情報利活用ワーキンググループ（第17回 5／24）《厚生労働省》 |
ページ画像
ダウンロードした画像を利用する際は「出典情報」を明記してください。
低解像度画像をダウンロード
プレーンテキスト
資料テキストはコンピュータによる自動処理で生成されており、完全に資料と一致しない場合があります。
テキストをコピーしてご利用いただく際は資料と付け合わせてご確認ください。
［特集］ 医療機関
等におけるサイ
－
バーセキュリティ
（案）
医療情報システムの安全性を一定以上に維持するためには、想定する読者である「企画管理者」や「担当者 または システム運
用管理者」は、対処するべきリスクとその考え方を示せば適切な技術選択が可能である程度の、情報技術に明るい者で無くては
なりません。これらの担当者が適切な技術選択をできるようにするためには、本文中に具体的技術を記載することを極力避け、
Q&Aに例示するに留めることを徹底すべきであると考えることから、「[特集]医療機関等におけるサイバーセキュリティ(案)」
に記載されている事項は、「企画管理者」や「担当者 または システム運用管理者」が当然読まねばならない他の情報セキュリ
ティ文書に預け、廃するのが適切ではないか。
情報セキュリティ
122 に関する考え方の 他(参考資料)
整理
Ｑ＆Ａ （案）
医療情報システムの安全性を一定以上に維持するためには、想定する読者である「企画管理者」や「担当者 または システム運 今後の検討にあたっての参考とさせていただきます。
用管理者」は、対処するべきリスクとその考え方を示せば適切な技術選択が可能である程度の、情報技術に明るい者で無くては
なりません。これらの担当者が適切な技術選択をできるようにするためには、本文中に具体的技術を記載することを極力避け、
Q&Aに例示するに留めることを徹底すべきであると考えることから、Ｑ＆Ａにおいて一般的な情報セキュリティに関する事項に
ついては記載せず、医療情報システムの安全管理や医療分野における情報セキュリティ特有の事項に絞った記述にすることが適
切ではないか。
情報セキュリティ
経営管理編
123 に関する考え方の
（Governance）
整理
医療機関の非常時に対応すべき責任は非常に重要な事項ではあるものの、医療者に求められるのは医療サービス提供の継続と医
療安全を最優先にする姿勢であり情報セキュリティは決して医療安全に優先しないとの考えから、表１−１ 医療機関等における
１．２ 医療機関等 P4- 責任の「情報セキュリティインシデントの原因・影響等に関する説明責任」の上に、「患者の生命・身体への影響を考慮し、医
療継続を図る責任」という大前提事項であるを明記し、１．２．２【遵守事項】＜説明責任＞①の書き出しを「情報セキュリ
における責任
5
ティインシデントが生じた場合、患者の生命・身体への影響を考慮し、可能な限りの医療継続を図るとともに、その原因や対策
等について」と改訂してはどうか。
情報セキュリティ
121 に関する考え方の 他(参考資料)
整理
情報セキュリティ
124 に関する考え方の －
整理
情報セキュリティ
企画管理編
125 に関する考え方の
（Management）
整理
情報セキュリティ
システム運用編
126 に関する考え方の
（Control）
整理
情報セキュリティ
システム運用編
127 に関する考え方の
（Control）
整理
情報セキュリティ
企画管理編
128 に関する考え方の
（Management）
整理
－
－
ご指摘を踏まえ、経営管理編 1.2.2 遵守事項において、情報
セキュリティインシデントが生じた場合、患者の生命・身体
への影響を考慮し、可能な限りの医療継続を図るべき旨を追
記しました。
経営管理編３．３．２では情報セキュリティ監査を受けうる必要があることを又同編２．２．２ではISMSの実践を謳っており、 御意見として参考にさせていただきます。
その一環として監査をうけることが文全体の整合性を考えると適切であると考えることから以下追記をしてはどうか。
・経営管理編３．３．２の第２項「外部機関による監査」に続いて「ISMS更新審査など」を追記。
・企画管理編３．１．８の１パラ「外部の第三者による方法」に続いて「ISMS更新審査を受審する方法など」を追記。
情報セキュリティの考え方として、情報を外部からアクセスさせるようにして情報の持出を禁ずることが医療情報の紛失・漏示 御意見として参考にさせていただきます。
等の事故を防ぐために効果的であることから、【遵守事項】⑧に「医療機関等において保有する医療情報の医療機関外への不適
８．情報管理（管
切な持ち出しが発生しないよう、医療機関は医療機関外から保有する医療情報に安全にアクセスできる手段を、医療従事者や職
P32
理、持ち出し、破
員等に提供することに努めねばならない。」を、また、８．１．１ 情報管理方針の整備 の１パラの後に、「医療機関等におい
P33
棄等）
て保有する医療情報の医療機関外への持ち出しや、それに伴う情報漏示が発生する可能性を少なくするよう、医療機関は医療機
関外から保有する医療情報に安全にアクセスできる手段を、医療従事者や職員等に提供することに努める必要がある。」と追記
するのはどうか。
１３．ネットワー
【遵守事項】⑬ の１つめは、無線LANにおける利用者認証に最適な方法を記載することで対策を推進しやすくするため「適切な 御意見として参考にさせていただきます。
クに関する安全管 P35 利用者以外に無線 LAN を利用されないようにすること。例えば、認証サーバを利用したWPA2/WPA3エンタープライズによる認証
理措置
(IEEE802.1X認証)を採用する等の対策を実施すること。」としてはどうか。
無線LANにおける利用者認証に最適な方法を記載することで対策を推進しやすくするため、２パラは「無線LAN は無線を用いた 御意見として参考にさせていただきます。
ネットワークであることから、適切な措置を講じないと本来利用が許されない 第三者の利用が生じるほか、侵入者による攻撃
１３．４ 無線 LAN
の利用における対 P40 などを招くリスクがある。また適切な暗号化を講じないと、盗聴や不正ソフトウェアの混入などのリスクも生じるため、例え
ば、認証サーバを利用したWPA2/WPA3エンタープライズによる認証（IEEE802.1X認証）を採用する等の対策を実施すること。」
策
としてはどうか。
８．情報管理（管
理、持ち出し、破
棄等）
１５．技術的な安
全管理対策の管理
情報セキュリティ
システム運用編
129 に関する考え方の
（Control）
整理
１３．ネットワー
クに関する安全管
理措置
情報セキュリティ
システム運用編
130 に関する考え方の
（Control）
整理
１０．医療情報ス
テム・サービス事
業者による保守対
応等に対する安全
管理措置
情報セキュリティ
システム運用編
131 に関する考え方の
（Control）
整理
－
昨今医療機関を対象としたランサムウェア等のサイバー攻撃
事案が発生し、その脅威が高まっていることから、本特集に
おいては、ガイドライン中のサイバーセキュリティに関係す
る部分を要約するとともに、具体例を盛り込むことで、医療
機関等の対策に役立てていただくべく作成したものであり、
原案通りとさせていただきます。
－
診療録管理は、ナースステーション等院内の多くの場所でのアクセスが可能であり、これを閉鎖空間として標記の管理をするな 御意見として参考にさせていただきます。なお、ナースス
どは非現実的かつ今後のさらなる医療DXを進めるためにも、「入退室管理」「施錠」にかかる記載については、現状に即した運 テーションにおける入退室管理についてはQ&A（企Q-54）に記
載があります。
P32 用ができるような記載に変更すべき。
P55
端末IDやセキュリティキーを利用した認証等、技術の進化によりクライアント証明書以外にもクライアント認証をする方法が増 今後の検討事項とさせていただきます。
P34 えているかと思われ、【遵守事項】⑥は「クライアント証明書等を利用したTLS クライアント認証を実施すること」と表現が適
切。
【遵守事項】⑥の書きぶりはSaaSサービスにおいてシステム障害が発生した場合、個別に医療機関様へ許可をいただくことがで 障害時や緊急を要する脆弱性対応などにおいては、事後承認
きないことも想定されるが、どのような対応が望ましいのか。
などによることも想定されるが、個人情報の取扱も含め、保
守に関する手続きについては原則として事前申請・承認を得
P26
ることが望ましいと考えます。
－
本編の読者は、医療機器を管理する部門担当者が多く含まれると想定されることから、厚生労働省「医療機関における医療機器 安全管理ガイドラインで記載されている内容の一部は、「医
のサイバーセキュリティ確保のための手引書」との整合性についても触れながら記述されてはどうか。
療機関における医療機器のサイバーセキュリティ確保のため
の手引書」にも記載されている内容と整合性を持たせたもの
となっております。整合性について記述すべきとのご意見に
つきましては、今後の参考とさせていただきます。
12
等におけるサイ
－
バーセキュリティ
（案）
医療情報システムの安全性を一定以上に維持するためには、想定する読者である「企画管理者」や「担当者 または システム運
用管理者」は、対処するべきリスクとその考え方を示せば適切な技術選択が可能である程度の、情報技術に明るい者で無くては
なりません。これらの担当者が適切な技術選択をできるようにするためには、本文中に具体的技術を記載することを極力避け、
Q&Aに例示するに留めることを徹底すべきであると考えることから、「[特集]医療機関等におけるサイバーセキュリティ(案)」
に記載されている事項は、「企画管理者」や「担当者 または システム運用管理者」が当然読まねばならない他の情報セキュリ
ティ文書に預け、廃するのが適切ではないか。
情報セキュリティ
122 に関する考え方の 他(参考資料)
整理
Ｑ＆Ａ （案）
医療情報システムの安全性を一定以上に維持するためには、想定する読者である「企画管理者」や「担当者 または システム運 今後の検討にあたっての参考とさせていただきます。
用管理者」は、対処するべきリスクとその考え方を示せば適切な技術選択が可能である程度の、情報技術に明るい者で無くては
なりません。これらの担当者が適切な技術選択をできるようにするためには、本文中に具体的技術を記載することを極力避け、
Q&Aに例示するに留めることを徹底すべきであると考えることから、Ｑ＆Ａにおいて一般的な情報セキュリティに関する事項に
ついては記載せず、医療情報システムの安全管理や医療分野における情報セキュリティ特有の事項に絞った記述にすることが適
切ではないか。
情報セキュリティ
経営管理編
123 に関する考え方の
（Governance）
整理
医療機関の非常時に対応すべき責任は非常に重要な事項ではあるものの、医療者に求められるのは医療サービス提供の継続と医
療安全を最優先にする姿勢であり情報セキュリティは決して医療安全に優先しないとの考えから、表１−１ 医療機関等における
１．２ 医療機関等 P4- 責任の「情報セキュリティインシデントの原因・影響等に関する説明責任」の上に、「患者の生命・身体への影響を考慮し、医
療継続を図る責任」という大前提事項であるを明記し、１．２．２【遵守事項】＜説明責任＞①の書き出しを「情報セキュリ
における責任
5
ティインシデントが生じた場合、患者の生命・身体への影響を考慮し、可能な限りの医療継続を図るとともに、その原因や対策
等について」と改訂してはどうか。
情報セキュリティ
121 に関する考え方の 他(参考資料)
整理
情報セキュリティ
124 に関する考え方の －
整理
情報セキュリティ
企画管理編
125 に関する考え方の
（Management）
整理
情報セキュリティ
システム運用編
126 に関する考え方の
（Control）
整理
情報セキュリティ
システム運用編
127 に関する考え方の
（Control）
整理
情報セキュリティ
企画管理編
128 に関する考え方の
（Management）
整理
－
－
ご指摘を踏まえ、経営管理編 1.2.2 遵守事項において、情報
セキュリティインシデントが生じた場合、患者の生命・身体
への影響を考慮し、可能な限りの医療継続を図るべき旨を追
記しました。
経営管理編３．３．２では情報セキュリティ監査を受けうる必要があることを又同編２．２．２ではISMSの実践を謳っており、 御意見として参考にさせていただきます。
その一環として監査をうけることが文全体の整合性を考えると適切であると考えることから以下追記をしてはどうか。
・経営管理編３．３．２の第２項「外部機関による監査」に続いて「ISMS更新審査など」を追記。
・企画管理編３．１．８の１パラ「外部の第三者による方法」に続いて「ISMS更新審査を受審する方法など」を追記。
情報セキュリティの考え方として、情報を外部からアクセスさせるようにして情報の持出を禁ずることが医療情報の紛失・漏示 御意見として参考にさせていただきます。
等の事故を防ぐために効果的であることから、【遵守事項】⑧に「医療機関等において保有する医療情報の医療機関外への不適
８．情報管理（管
切な持ち出しが発生しないよう、医療機関は医療機関外から保有する医療情報に安全にアクセスできる手段を、医療従事者や職
P32
理、持ち出し、破
員等に提供することに努めねばならない。」を、また、８．１．１ 情報管理方針の整備 の１パラの後に、「医療機関等におい
P33
棄等）
て保有する医療情報の医療機関外への持ち出しや、それに伴う情報漏示が発生する可能性を少なくするよう、医療機関は医療機
関外から保有する医療情報に安全にアクセスできる手段を、医療従事者や職員等に提供することに努める必要がある。」と追記
するのはどうか。
１３．ネットワー
【遵守事項】⑬ の１つめは、無線LANにおける利用者認証に最適な方法を記載することで対策を推進しやすくするため「適切な 御意見として参考にさせていただきます。
クに関する安全管 P35 利用者以外に無線 LAN を利用されないようにすること。例えば、認証サーバを利用したWPA2/WPA3エンタープライズによる認証
理措置
(IEEE802.1X認証)を採用する等の対策を実施すること。」としてはどうか。
無線LANにおける利用者認証に最適な方法を記載することで対策を推進しやすくするため、２パラは「無線LAN は無線を用いた 御意見として参考にさせていただきます。
ネットワークであることから、適切な措置を講じないと本来利用が許されない 第三者の利用が生じるほか、侵入者による攻撃
１３．４ 無線 LAN
の利用における対 P40 などを招くリスクがある。また適切な暗号化を講じないと、盗聴や不正ソフトウェアの混入などのリスクも生じるため、例え
ば、認証サーバを利用したWPA2/WPA3エンタープライズによる認証（IEEE802.1X認証）を採用する等の対策を実施すること。」
策
としてはどうか。
８．情報管理（管
理、持ち出し、破
棄等）
１５．技術的な安
全管理対策の管理
情報セキュリティ
システム運用編
129 に関する考え方の
（Control）
整理
１３．ネットワー
クに関する安全管
理措置
情報セキュリティ
システム運用編
130 に関する考え方の
（Control）
整理
１０．医療情報ス
テム・サービス事
業者による保守対
応等に対する安全
管理措置
情報セキュリティ
システム運用編
131 に関する考え方の
（Control）
整理
－
昨今医療機関を対象としたランサムウェア等のサイバー攻撃
事案が発生し、その脅威が高まっていることから、本特集に
おいては、ガイドライン中のサイバーセキュリティに関係す
る部分を要約するとともに、具体例を盛り込むことで、医療
機関等の対策に役立てていただくべく作成したものであり、
原案通りとさせていただきます。
－
診療録管理は、ナースステーション等院内の多くの場所でのアクセスが可能であり、これを閉鎖空間として標記の管理をするな 御意見として参考にさせていただきます。なお、ナースス
どは非現実的かつ今後のさらなる医療DXを進めるためにも、「入退室管理」「施錠」にかかる記載については、現状に即した運 テーションにおける入退室管理についてはQ&A（企Q-54）に記
載があります。
P32 用ができるような記載に変更すべき。
P55
端末IDやセキュリティキーを利用した認証等、技術の進化によりクライアント証明書以外にもクライアント認証をする方法が増 今後の検討事項とさせていただきます。
P34 えているかと思われ、【遵守事項】⑥は「クライアント証明書等を利用したTLS クライアント認証を実施すること」と表現が適
切。
【遵守事項】⑥の書きぶりはSaaSサービスにおいてシステム障害が発生した場合、個別に医療機関様へ許可をいただくことがで 障害時や緊急を要する脆弱性対応などにおいては、事後承認
きないことも想定されるが、どのような対応が望ましいのか。
などによることも想定されるが、個人情報の取扱も含め、保
守に関する手続きについては原則として事前申請・承認を得
P26
ることが望ましいと考えます。
－
本編の読者は、医療機器を管理する部門担当者が多く含まれると想定されることから、厚生労働省「医療機関における医療機器 安全管理ガイドラインで記載されている内容の一部は、「医
のサイバーセキュリティ確保のための手引書」との整合性についても触れながら記述されてはどうか。
療機関における医療機器のサイバーセキュリティ確保のため
の手引書」にも記載されている内容と整合性を持たせたもの
となっております。整合性について記述すべきとのご意見に
つきましては、今後の参考とさせていただきます。
12