医療情報システムの安全管理に関するガイドライン
第6.0版主な改定ポイント（概要）
外部委託、外部サービスの利用に関する整理

ネットワーク境界防御型思考／ゼロトラストネットワーク型思考

クラウドサービスに医療情報システムの運用管理を、すべてを外部に任せる場合

ゼロトラストの思考を取り入れることで、個々の外部からの侵入にも
適切な対応が可能となります。

小規模医療機関等

医療情報システム等
提供事業者

クラウドサービス

外部との接続制限の
ほか、院内のシステムに
アクセスするすべての
通信も監視しよう！

電子カルテ
（SaaS）

PaaS

委託

IaaS

閉域システム

クラウドサービスに医療情報システムの一部を運用管理を外部に任せる場合
大規模医療機関等

医療情報システム等
提供事業者

クラウドサービス
自主開発・運用

IaaS

保守・運用

災害、サイバー攻撃、システム障害等の非常時に対する対応や対策
非常時場面ごとのバックアップの考え方の違い（例）

非常時への対応と
言っても、場面ごとで
対応内容が違うんだ！

医療機関等の
業務継続の考え方も、
非常時の場面ごとに
考えないと･･･。

院内
ネットワーク

自主開発した
システム

PaaS

委託

大規模災害に備えて
バックアップは分散して
保存しよう。

ランサムウェアなどの
対策として、書き換え不可で
複数のバックアップを
しておこう。

障害対策として、すぐに復旧
できる対応にてシステムの
長期停止を避けよう。

外部から入って攻撃
しようと思ったが、
うまく攻撃できない！

通信監視
本人確認を要する場面での運用（eKYCの活用）の検討
医療情報システムの
利用者認証に、マイ
ナンバーカード等が
使えるかな？

医療機関等で管理
されていないものを
使っても大丈夫かな？
医療機関等
内部

身元認証が
しっかりしている
認証方法を使うなら、
安全性が高いかな？

医療情報
システム
利用者認証
認証確認
マイナンバーカード

外部認証機関

1