①

医療情報システムに対する不正ソフトウェア混入やサイバー攻撃などに

よるインシデントに対して、以下の対応を行うこと。
－ 攻撃を受けたサーバ等の遮断や他の医療機関等への影響の波及の防止の
ための外部ネットワークの一時切断
－ 他の情報機器への混入拡大の防止や情報漏洩の抑止のための当該混入機

１８．外部からの攻撃に対す
る安全管理措置

器の隔離
－ 他の情報機器への波及の調査等被害の確認のための業務システムの停止
－ バックアップからの重要なファイルの復元（重要なファイルは数世代
バックアップを複数の方式（追記可能な設定がなされた記録媒体と追記不能
設定がなされた記録媒体の組み合わせ、端末及びサーバ装置やネットワーク
から切り離したバックアップデータの保管等）で確保することが重要であ

４．１

必要な対策項目の概要

る）

４．安全管理に必要な対策全般
⑤
15．技術的な対策の管理

⑤ 記録媒体の劣化への対応を図るための一連の運用の流れを運用管理規程に定めるとともに、関係
者に周知徹底すること。

１２．物理的安全管理措置​

記録媒体、ネットワーク回線、設備の劣化による情報の読み取り不能又

は不完全な読み取りを防止するため、記録媒体が劣化する前に、当該記録媒
体に保管されている情報を新たな記録媒体又は情報機器に複写等の情報の保
管措置を講じること。

①
⑥ システム運用に関する安全管理対策として必要な項目を担当者と協働して検討すること。特に医
15．技術的な対策の管理

療情報システムの脆弱性（不正ソフトウェア対策ソフトウェアやサイバー攻撃含む）への対策に関す
る項目については、定期的に見直しを図ること。

８．利用機器・サービスに対
する安全管理措置

８．利用機器・サービスに対
する安全管理措置

システム構築時、適切に管理されていない記録媒体の使用時、外

部からの情報受領時には、コンピュータウイルス等の不正なソフト
ウェアが混入していないか確認すること。適切に管理されていないと
考えられる記録媒体を利用する際には、十分な安全確認を実施し、細
心の注意を払って利用すること。
② 常時不正なソフトウェアの混入を防ぐ適切な措置をとること。ま
た、その対策の有効性・安全性の確認・維持（例えばパターンファイ
ルの更新の確認・維持）を行うこと。
③ 医療情報システムに接続するネットワークのトラフィックにおけ

８．利用機器・サービスに対

る脅威の拡散等を防止するために、不正ソフトウェア対策ソフトのパ

する安全管理措置

ターンファイルやOS のセキュリティ・パッチ等、リスクに対してセ
キュリティ対策を適切に適用すること。
④ メールやファイル交換にあたっては、実行プログラム（マクロ等

８．利用機器・サービスに対
する安全管理措置

含む）が含まれるデータやファイルの送受信禁止、又はその実行停止
の実施、無害化処理を行うこと。なお、保守等でやむを得ずファイル
送信等を行う場合、送信側で無害化処理が行われていることを確認す
ること 。
⑤ 情報機器に対して起動パスワード等を設定すること。設定に当

８．利用機器・サービスに対
する安全管理措置

たっては製品等の出荷時におけるパスワードから変更し、推定しやす
いパスワード等の利用を避けるとともに、情報機器の利用方法等に応
じて必要があれば、定期的なパスワードの変更等の対策を実施するこ
と。
⑥

IoT 機器を利用する場合、次に掲げる対策を実施すること。検査装置等

に付属するシステム・機器についても同様である。
(1) IoT 機器により医療情報を取り扱う場合は、製造販売業者から提供を受
けた当該医療機器のサイバーセキュリティに関する情報を基にリスク分析を
行い、その取扱いに係る運用管理規程を定めること。

８．利用機器・サービスに対

(2) IoT 機器には、製品出荷後にファームウェア等に関する脆弱性が発見さ

する安全管理措置

れることがある。システムやサービスの特徴を踏まえ、IoT 機器のセキュリ
ティ上重要なアップデートを必要なタイミングで適切に実施する方法を検討
し、運用すること。
(3) 使用が終了した又は不具合のために使用を停止したIoT 機器をネット
ワークに接続したまま放置すると不正に接続されるリスクがあるため、対策
を実施すること。
①

医療情報システムに対する不正ソフトウェア混入やサイバー攻撃などに

よるインシデントに対して、以下の対応を行うこと。
－ 攻撃を受けたサーバ等の遮断や他の医療機関等への影響の波及の防止の
ための外部ネットワークの一時切断
－ 他の情報機器への混入拡大の防止や情報漏洩の抑止のための当該混入機

１８．外部からの攻撃に対す
る安全管理措置

器の隔離
－ 他の情報機器への波及の調査等被害の確認のための業務システムの停止
－ バックアップからの重要なファイルの復元（重要なファイルは数世代
バックアップを複数の方式（追記可能な設定がなされた記録媒体と追記不能
設定がなされた記録媒体の組み合わせ、端末及びサーバ装置やネットワーク
から切り離したバックアップデータの保管等）で確保することが重要であ
る）

⑦ 医療機関等において利用するネットワークについて、リスク評価を踏まえつつその選定を担当者
と協働して検討し、その結果を経営層に報告の上、承認を得ること。なお、選定にあたっては、医療
15．技術的な対策の管理

機関等において医療情報システムに関する整備計画等を策定している場合には、これと整合性をとる
こと。また、ネットワークの安全性確保を目的とした実装と運用設計を行った場合には、その内容を

１３．ネットワークに関する
安全管理措置

①

ネットワーク利用に関連する具体的な責任分界、責任の所在の範

【遵守事項】

囲を明らかにし、企画管理者に対して報告すること。

確認の上、経営層に報告し、承認を得ること。

１３．ネットワークに関する
安全管理措置
【遵守事項】

②

セッション乗っ取り、IP アドレス詐称等のなりすましを防止する

ため、原則として医療機関等が経路等を管理する、セキュアなネット
ワークを利用すること。

１３．ネットワークに関する

③

オープンなネットワークからオープンではないネットワークへの

安全管理措置

接続までの間にチャネル・セキュリティの確保を期待してネットワー

【遵守事項】

クを構成する場合には、選択するサービスのチャネル・セキュリティ
の確保の範囲を電気通信事業者に確認すること。
④ オープンではないネットワークを利用する場合には、必要に応じ

１３．ネットワークに関する
安全管理措置
【遵守事項】

てデータ送信元と送信先での、ルータ等の拠点の出入り口・使用機
器・使用機器上の機能単位・利用者等の選択するネットワークに応じ
て、必要な単位で、互いに確認し、採用する通信方式や、採用する認
証手段を決めること。採用する認証手段は、PKI による認証、erberos
のような鍵配布、事前配布された共通鍵の利用、ワンタイムパスワー

１３．ネットワークに関する
安全管理措置
【遵守事項】

ド等、容易に解読されない方法が望ましい。
⑤ ルータ等のネットワーク機器について、安全性が確認できる機器
を利用し、不正な機器の接続や不正なデータやソフトウェアの混入が
生じないよう、セキュリティ対策を実施すること。特にVPN 接続によ
る場合は、施設内のルータを経由して異なる施設間を結ぶ通信経路の
間で送受信ができないように経路を設定すること。
⑥

オープンなネットワークにおいて、IPsec によるVPN 接続等を利

用 せ ず HTTPS を 利 用 す る 場 合 、 TLS のプ ロト コル バー ジョ ンを
TLS1.3 以上に限定した上で、クライアント証明書を利用したTLS クラ
イアント認証を実施すること。ただしシステム・サービス等の対応が
１３．ネットワークに関する
安全管理措置
【遵守事項】

困難な場合にはTLS1.2 の設定によることも可能とする。その際、TLS
の設定はサーバ/クライアントともに「TLS 暗号設定ガイドライン3.0.1
版」に規定される最も安全性水準の高い「高セキュリティ型」に準じ
た適切な設定を行うこと。なお、SSL-VPN は利用する具体的な方法に
よっては偽サーバへの対策が不十分なものが含まれるため、使用する
場合には適切な手法の選択及び必要な対策を行うこと。また、ソフト
ウェア型のIPsec 又はTLS1.2 以上により接続する場合、セッション間
の回り込み（正規のルートではないクローズドセッションへのアクセ
ス）等による攻撃への適切な対策を実施すること。

１３．ネットワークに関する
安全管理措置
【遵守事項】

１３．ネットワークに関する
安全管理措置
【遵守事項】

⑦

利用するネットワークの安全性を勘案して、送信元と相手先の当

事者間で当該情報そのものに対する暗号化等のセキュリティ対策を実
施すること。
⑧

医療機関等で用いる通信において、ネットワーク上で「改ざん」

されていないことを保証すること。またネットワークの転送途中で診
療録等が改ざんされていないことを保証できるようにすること。な
お、可逆的な情報の圧縮・解凍、セキュリティ確保のためのタグ付
け、暗号化・復号等は改ざんにはあたらない。

１３．ネットワークに関する
安全管理措置

⑨

ネットワーク経路でのメッセージ挿入、不正ソフトウェアの混入

【遵守事項】

等の改ざん及び中間者攻撃等を防止する対策を実施すること。

１３．ネットワークに関する
安全管理措置

⑩

施設間の経路上においてクラッカーによるパスワード盗聴、本文

【遵守事項】

の盗聴を防止する対策を実施すること。