Welcome to the Microsoft presentation toolkit

Size: px

Start display at page:

Download "Welcome to the Microsoft presentation toolkit"

もえりうみのなか
1 years ago
Views:

1 3 省 2 ガイドライン説明資料

2 3 省 2 ガイドラインの概要 2

3 3 省ガイドラインの統合 / 集約従来までのガイドラインの構成 (3 省 3 ガイドライン ) 現在のガイドラインの構成 (3 省 2 ガイドライン ) 医療機関が遵守すべきガイドライン厚生労働省医療情報システムの安全管理に関するガイドライン ( 平成 29 年 : 第 5 版 ) 一部加筆修正厚生労働省医療情報システムの安全管理に関するガイドライン (2021 年 1 月 : 第 5.1 版 ) 経済産業省医療情報システムサービス事業者が遵守すべきガイドライン医療情報を受託管理する情報処理事業者向けガイドライン ( 平成 24 年 2 月 : 第 2 版 ) 総務省クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン ( 平成 30 年 7 月 : 第 1 版 ) 統合経済産業省 / 総務省医療情報を取り扱う情報システムサービスの提供事業者における安全管理ガイドライン (2020 年 8 月 : 第 1 版 ) 3

4 3 省ガイドライン適用対象組織厚生労働省ガイドライン経済産業ガイドライン / 総務省ガイドライン医療に関わる電子的な医療情報を取り扱う医療機関等例病院一般診療所歯科診療所助産所薬局訪問看護ステーション介護事業者医療情報連携ネットワーク運営事業者等医療情報システムサービスの利用組織向け医療情報の処理を行う情報システムサービスを提供する情報処理事業者 / クラウドサービス事業者医療機関等と直接的な契約関係になくても医療機関等に提供する情報システムサービスに必要な資源を担う事業者 (PaaS/IaaS 事業者等 ) 病院一般診療所歯科診療所助産所介護事業者医療情報連携組織体等へ医療情報を電子的に取り扱う情報システムサービス及び当該システムサービスを可能とするシステム資源を提供する全ての事業者が該当医療情報システムサービスの提供組織向け 4

5 3 省ガイドライン適用範囲の概念図厚労省安全管理ガイドラインの対象範囲経済産業省総務省安全管理ガイドラインの対象範囲医療機関等利用医療情報システム ( オンプレミス ) 開発運用業務提供情報システム事業者医療情報サービス Internet を介したサービス提供 ( 間接 / 直接問わず ) 情報サービス事業者 5

6 3 省ガイドラインの基本要件医療機関等の外部に法令上の保存義務が定められる医療介護文書を電子的に保存するに際して医療機関等 / 情報システムサービス提供事業者それぞれの責任のもとで該当文書に個人情報が含まれることの配慮とともに実施すべき要件を整理したもの主だった関連法令や通知等外部保存電子保存個人情報保護診療録等の外部保存に関するガイドライン厚労省通知 : 診療録等を保存する場所についての一部改正について ( 外部保存改正通知 ) 電子媒体の保存によるガイドライン電子署名法 e- 文書法個人情報保護法医療介護関係事業者における個人情報の適切な取扱いのためのガイダンス 3 省ガイドラインとは単なるセキュリティ要件でなく法令 ( コンプライアンス ) 要件でもある 6

7 基本要件に該当する各ガイドラインの対象章ユーザ向けガイドライン事業者向けガイドライン根拠となる主要法令等対応方針厚生労働省安全管理ガイドライン経済産業省 / 総務省安全管理ガイドライン第 6 章情報システムの基本的な安全管理 ( 1) 第 5 章安全管理のためのリスクマネジメントプロセス個人情報保護法リスクベース対応が原則可能第 7 章て電子保存の要求事項につい第 6 章制度上の要求事項 e 文書法リスクベース対応不可 ( ルールベース対応が必要 ) 第 8 章診療録および診療諸記録を外部に保存する際の基準外部保存改正通知第 9 章診療記録をスキャナ等により電子化して保存する場合について e 文書法 1: 電子署名法に係る範囲 (6.12) はルールベースが前提 7

8 適用対象となる文書 3 省ガイドラインが適用される電子情報 ( 文書 ) は基本的に医療に関する患者情報 ( 個人識別情報 ) を含む情報全てが該当しますさらに e 文書法省令や外部保存改正通知の適用対象となる文書は具体的に指定が行われています個人情報保護法の適用対象文書 ( 非法定保存文書を含む ) e 文書法の適用対象文書 ( 法定保存義務のある文書 ) 外部保存改正通知の適用対象文書 ( 法定保存義務のある文書 ) 個人情報保護法 e 文書法省令及び外部保存改正通知の全てが適用される文書 8

9 e 文書法省令 ( 電子保存の 3 原則 ) の適用対象となる医療関連文書医師法 ( 昭和 23 年法律第 201 号 ) 第 24 条の診療録歯科医師法 ( 昭和 23 年法律第 202 号 ) 第 23 条の診療録保健師助産師看護師法 ( 昭和 23 年法律第 203 号 ) 第 42 条の助産録医療法 ( 昭和 23 年法律第 205 号 ) 第 51 条の 2 第 1 項及び第 2 項の規定による事業報告書等及び監事の監査報告書の備置き歯科技工士法 ( 昭和 30 年法律第 168 号 ) 第 19 条の指示書薬剤師法 ( 昭和 35 年法律第 146 号 ) 第 28 条の調剤録外国医師又は外国歯科医師が行う臨床修練に係る医師法第 17 条及び歯科医師法第 17 条の特例等に関する法律 ( 昭和 62 年法律第 29 号 ) 第 11 条の診療録救急救命士法 ( 平成 3 年法律第 36 号 ) 第 46 条の救急救命処置録医療法施行規則 ( 昭和 23 年厚生省令第 50 号 ) 第 30 条の 23 第 1 項及び第 2 項の帳簿保険医療機関及び保険医療養担当規則 ( 昭和 32 年厚生省令第 15 号 ) 第 9 条の診療録等 ( 作成については同規則第 22 条 ) 保険薬局及び保険薬剤師療養担当規則 ( 昭和 32 年厚生省令第 16 号 ) 第 6 条の調剤録 ( 作成については同規則第 5 条 ) 臨床検査技師等に関する法律施行規則 ( 昭和 33 年厚生省令第 24 号 ) 第 12 条の 3 の書類 ( 作成については同規則第 12 条第 14 号及び第 15 号 ) 医療法 ( 昭和 23 年法律第 205 号 ) 第 21 条第 1 項の記録 ( 同項第 9 号に規定する診療に関する諸記録のうち医療法施行規則第 20 条第 10 号に規定する処方せんに限る ) ( 以下中略 ) 薬剤師法 ( 昭和 35 年法律第 146 号 ) 第 26 条第 27 条の処方せん保険薬局及び保険薬剤師療養担当規則 ( 昭和 32 年厚生省令第 16 号 ) 第 6 条の処方せん医療法 ( 昭和 23 年法律第 205 号 ) 第 21 条第 1 項の記録 ( 医療法施行規則第 20 条第 10 号に規定する処方せんを除く ) ( 以下中略 ) 麻薬及び向精神薬取締法 ( 昭和 28 年法律第 14 号 ) 第 27 条第 6 項の処方せん歯科衛生士法施行規則 ( 平成元年厚生省令第 46 号 ) 第 18 条の歯科衛生士の業務記録医師法 ( 昭和 23 年法律第 201 号 ) 第 22 条の処方せん歯科医師法 ( 昭和 23 年法律第 202 号 ) 第 21 条の処方せん保険医療機関及び保険医療養担当規則 ( 昭和 32 年厚生省令第 15 号 ) 第 23 条第 1 項の処方せん診療放射線技師法 ( 昭和 26 年法律第 226 号 ) 第 28 条第 1 項の規定による照射録 9

10 e 文書法省令 ( 電子保存の 3 原則 ) の適用対象となる介護関連文書指定居宅サービス等の事業の人員設備及び運営に関する基準 ( 平成 11 年厚生省令第 37 号 ) 第 73 条の 2 第 2 項の規定による訪問看護計画書及び訪問看護報告書指定居宅サービス等の事業の人員設備及び運営に関する基準 ( 平成 11 年厚生省令第 37 号 ) 第 154 条の 2 第 2 項 ( 第 155 条の 12 において準用する場合を含む ) の規定による短期入所療養介護計画指定居宅サービス等の事業の人員設備及び運営に関する基準 ( 平成 11 年厚生省令第 37 号 ) 第 191 条の 2 第 2 項及び第 192 条の 11 第 2 項の規定による特定施設サービス計画指定介護老人福祉施設の人員設備及び運営に関する基準 ( 平成 11 年厚生省令第 39 号 ) 第 37 条第 2 項の規定による施設サービス計画介護老人保健施設の人員施設及び設備並びに運営に関する基準 ( 平成 11 年厚生省令第 40 号 ) 第 38 条第 2 項の規定による施設サービス計画指定訪問看護の事業の人員及び運営に関する基準 ( 平成 12 年厚生省令第 80 号 ) 第 30 条第 2 項の規定による訪問看護指示書特別訪問看護指示書精神科訪問看護指示書精神科特別訪問看護指示書及び在宅患者訪問点滴注射指示書指定介護予防サービス等の事業の人員設備及び運営並びに指定介護予防サービス等に係る介護予防のための効果的な支援の方法に関する基準 ( 平成 18 年厚生労働省令第 35 号 ) 第 73 条第 2 項の規定による介護予防訪問看護計画書及び介護予防訪問看護報告書指定介護予防サービス等の事業の人員設備及び運営並びに指定介護予防サービス等に係る介護予防のための効果的な支援の方法に関する基準 ( 平成 18 年厚生労働省令第 35 号 ) 第 194 条第 2 項 ( 第 210 条において準用する場合を含む ) の規定による介護予防短期入所療養介護計画指定介護予防サービス等の事業の人員設備及び運営並びに指定介護予防サービス等に係る介護予防のための効果的な支援の方法に関する基準 ( 平成 18 年厚生労働省令第 35 号 ) 第 244 条第 2 項及び第 261 条第 2 項の規定による介護予防特定施設サービス計画指定地域密着型サービスの事業の人員設備及び運営に関する基準 ( 平成 18 年厚生労働省令第 34 号 ) 第 3 条の 40 第 2 項の規定による定期巡回随時対応型訪問介護看護計画及び訪問看護報告書指定地域密着型サービスの事業の人員設備及び運営に関する基準 ( 平成 18 年厚生労働省令第 34 号 ) 第 40 条の 15 第 2 項の規定による療養通所介護計画指定地域密着型サービスの事業の人員設備及び運営に関する基準 ( 平成 18 年厚生労働省令第 34 号 ) 第 128 条第 2 項の規定による地域密着型特定施設サービス計画指定地域密着型サービスの事業の人員設備及び運営に関する基準 ( 平成 18 年厚生労働省令第 34 号 ) 第 156 条第 2 項 ( 第 169 条において準用する場合を含む ) の規定による地域密着型施設サービス計画指定地域密着型サービスの事業の人員設備及び運営に関する基準 ( 平成 18 年厚生労働省令第 34 号 ) 第 181 条第 2 項の規定による居宅サービス計画看護小規模多機能型居宅介護計画及び看護小規模多機能型居宅介護報告書 10

11 外部保存改正通知の適用対象文書下記外部保存改正通知の適用対象文書は以下の通りですなお下線付きの文書は e 文書法省令の適用対象文書にも該当しています医師法 ( 昭和 23 年法律第 201 号 ) 第 24 条に規定されている診療録歯科医師法 ( 昭和 23 年法律第 202 号 ) 第 23 条に規定されている診療録保健師助産師看護師法 ( 昭和 23 年法律 203 号 ) 第 42 条に規定されている助産録医療法 ( 昭和 23 年法律第 205 号 ) 第 46 条第 2 項に規定されている財産目録同法第 51 条の 2 第 1 項に規定されている事業報告書等監事の監査報告書及び定款又は寄附行為同条第 2 項に規定されている書類及び公認会計士等の監査報告書並びに同法第 54 条の 7 において読み替えて準用する会社法 ( 平成 17 年法律第 86 号 ) 第 684 条第 1 項に規定されている社会医療法人債原簿及び同法第 731 条第 2 項に規定されている議事録医療法 ( 昭和 23 年法律第 205 号 ) 第 21 条第 22 条及び第 22 条の 2 に規定されている診療に関する諸記録及び同法第 22 条及び第 22 条の 2 に規定されている病院の管理及び運営に関する諸記録診療放射線技師法 ( 昭和 26 年法律第 226 号 ) 第 28 条に規定されている照射録歯科技工士法 ( 昭和 30 年法律第 168 号 ) 第 19 条に規定されている指示書薬剤師法 ( 昭和 35 年法律第 146 号 ) 第 27 条に規定されている調剤済みの処方せん薬剤師法第 28 条に規定されている調剤録外国医師等が行う臨床修練に係る医師法第 17 条等の特例等に関する法律 ( 昭和 62 年法律第 29 号 ) 第 11 条に規定されている診療録救急救命士法 ( 平成 3 年法律第 36 号 ) 第 46 条に規定されている救急救命処置録医療法施行規則 ( 昭和 23 年厚生省令第 50 号 ) 第 30 条の 23 第 1 項及び第 2 項に規定されている帳簿保険医療機関及び保険医療養担当規則 ( 昭和 32 年厚生省令第 15 号 ) 第 9 条に規定されている診療録等保険薬局及び保険薬剤師療養担当規則 ( 昭和 32 年厚生省令第 16 号 ) 第 6 条に規定されている調剤済みの処方せん及び調剤録臨床検査技師等に関する法律施行規則 ( 昭和 33 年厚生省令第 24 号 ) 第 12 条の 3 に規定されている書類歯科衛生士法施行規則 ( 平成元年厚生省令第 46 号 ) 第 18 条に規定されている歯科衛生士の業務記録高齢者の医療の確保に関する法律の規定による療養の給付の取扱い及び担当に関する基準 ( 昭和 58 年厚生省告示第 14 号 ) 第 9 条に規定されている診療録等高齢者の医療の確保に関する法律の規定による療養の給付の取扱い及び担当に関する基準第 28 条に規定されている調剤済みの処方せん及び調剤録 11

12 適用対象となるデータについて (1/2) 3 省ガイドラインは医療従事者が患者診療処置検査等医学的な目的でアクセスする医療法等が定める法定保存文書を電子的に処理保存する情報システムサービスが適用範囲となります医療従事者が患者診療の目的でアクセスガイドライン適用データ範囲法定保存文書を電子的に処理保存 12

13 適用対象となるデータについて (2/2) 3 省ガイドラインの適用対象文書はいわゆる文書類のみでなくそれらを構成する電子的なデータにも適用される点には留意が必要です例えば医療機器からネットワークを介して収集した電子的な患者の生体データに基づき医師が診療録 ( カルテ ) を作成する場合診療録等作成時に医師が利用したデータにもガイドラインは適用されます ( 利用したデータ自体の信頼性が担保されていなければ診療録の信頼性も担保されないため ) GL 適用対象範囲患者アウトプット患者に関する電子データ利用医師アウトプット GL 適用対象範囲診療録等 ( 法定保存義務のある文書 ) 医療機器 ( ネットワーク通信機能を有する IoT 型機器 ) 医療従事者による医学上の専門的判断の根拠を構成する電子データは適用範囲となる医療情報システムの安全管理に関するガイドライン第 5.1 版に関する Q&A Q41 Q47 Q49 等を参照 13

14 法的な位置付け (1/2) 医療情報システムの安全管理に関するガイドライン第 5.1 版に関する Q&A( 令和 3 年 1 月 ) より抜粋 Q-6 このガイドラインに従いシステム構築をしていたにも関わらず起こった事故について責任のあり方をどのように考えるべきか A このガイドラインは医療情報システムの安全管理及びe- 文書法への適切な対応に関し厚生労働大臣が法を執行する際の基準となるものの一つです技術的なことだけではなく運用を含めた安全対策を示したものでありガイドラインを順守していたと認められる状況下で起こった事故については一定の法的責任を果たしていたということが可能だと考えられます Q-9 1 このガイドラインに違反した場合の罰則等はあるのか 2 ガイドラインを遵守しなかった場合 e- 文書法以外に抵触する法令はあるのか 3 ガイドラインの C. 最低限のガイドラインを実施しなかった場合具体的な罰則規定があるのか A 本ガイドラインは e- 文書法が医療分野において執行される際の指針となりますガイドライン自体に罰則はありませんがガイドラインに違背した状態は法令を遵守していないとみなされる可能性が十分にありますガイドラインの C. 最低限のガイドラインには法令により要求されている事項が列挙されていますしたがってこれに違背することにより e- 文書法に求められる要件を満たすことができていないと認められる場合には医療に関係する多くの法令等に違反したとみなされその罰則が適用されるおそれがあります 3 省ガイドラインの未遵守は法令違反その事実が発覚した場合は罰則が適用される可能性あり 14

15 法的な位置付け (2/2) 地方厚生局による医療機関等 ( 医科歯科保険薬局 ) への個別指導においてもガイドライン未遵守であることは医療機関等への改善対応指導の対象となります 15

16 診療報酬算定要件としての位置付け ~ 医療機関等の目線から厚生労働省 : 医療情報システムの安全管理に関するガイドラインの遵守は医療機関等が報酬算定を行うための施設基準の一部にも含まれていますよって該当する施設基準を申請しながら安全管理 GL が準拠できていない医療機関等は不正請求のリスクを孕んでいます診療録管理体制加算中央病歴管理室が設置されており医療情報システムの安全管理に関するガイドラインに準拠した体制であること医師事務作業補助体制加算 GL に準拠し電子カルテ等が作業補助者の成りすましを防ぐ仕様になっているもしくはそのように運用されていること外部との情報の送受信 ( 地域医療連携 ) に関するもの個人情報を画面上で取り扱う場合はGLに準じること医療情報システムと共通のネットワーク上の端末においてカンファレンスを実施する場合にはGLに対応していること等例 ) 感染防止対策加算服薬情報等提供料退院時共同指導加算在宅患者訪問看護指導料脳卒中ケアユニット入院医療管理料脳波検査判断料オンライン診療等 16

17 診療報酬算定要件としての位置付け ~ 事業者の目線から厚生労働省ガイドラインにて医療機関等には情報システムサービス提供事業者が経産省 / 総務省ガイドラインに遵守していることを管理監督し定期的に報告を受ける義務が求められていますよって医療機関等へ報告可能な態勢を事業者として有さない状況は 1: 事業者が遵守すべきコンプライアンス違反リスク ( 医療機関等との契約違反を含む可能性あり ) 2: ユーザ ( 医療機関等 ) の報酬算定要件を潜在的に侵害し不正請求リスクをユーザに抱えさせるリスク ( さらには未遵守発覚後のレピュテーションリスクユーザ離れリスク等 ) を意味します厚生労働省安全管理ガイドラインの第 8 章 :8-1-2-C: 最低限のガイドライン -2-(3) ( 医療機関等 ) は総務省経済産業省の定めた医療情報を取り扱う情報システムサービスの提供事業者における安全管理ガイドラインを遵守することを契約等で明確に定め少なくとも定期的に報告を受ける等で確認をすること厚労省安全管理ガイドラインが医療機関等に求める法令要件一部報酬算定前提医療機関等情報システム / サービス事業者経済産業省総務省ガイドライン GL 遵守状況の報告遵守契約締結管理監督 2 のリスクエリア 1 のリスクエリア 17

18 よくある誤解 ~ 事業者は 3 省 2 ガイドラインに準拠できるのか当社の医療機関等向け製品は 3 省 2 ガイドラインを遵守しているので医療機関等は安心安全に利用できます! 医療情報システムサービス提供事業者は 3 省 2 ガイドラインのうち経産省総務省ガイドラインのみ遵守可能厚労省ガイドラインは医療機関等のみが遵守できるもの自社製品を 3 省 2 ガイドラインに遵守していると公言する事業者はかえって 3 省 2 ガイドラインのコンセプトを理解していないことを証示していることと同義医療情報システムの安全管理に関するガイドライン第 5.1 版に関する Q&A Q-61 を参照 18

19 よくある質問 1 ~3 省 GL を遵守しないとどうなるの? 3 省 GL って法律じゃないでしょ守らないと何か罰則でもあるの? 3 省ガイドラインは個人情報保護法や e- 文書法等に裏付けされたソフトローインシデント発生時に未遵守であることが発覚すると罰則の対象になる ( 自動車運転時の免許証のようなもの ) 医療機関が診療報酬を請求する際の施設基準にも一部含まれているため未遵守のまま該当基準に基づく報酬請求をした場合不正請求リスクにもつながる 19

20 よくある質問 2 ~ 医療機器は 3 省 GL を遵守する必要はないか? 3 省 GL は医療情報システムを提供する事業者に適用されるもので医療機器の製造事業者には関係ないでしょ医学上の専門的判断の根拠を構成する電子データを外部へ output する医療機器 (SaMD) は 3 省ガイドラインの適用範囲となる外部へのデータ output がなく機器自体で完結した機能を有する場合は適用外とみなせる 20

21 Microsoft サービスにおける経産省総務省 GL への対応情報の提供方針について 21

Microsoft に適用されるガイドライン Microsoft が提供するサービスを最終的に医療機関等に提供することから Microsoft は経産省総務省ガイドラインの対応が必要となります Microsoft 医療情報システム等の提供者 (ITベンダ等) Microsoftが提供するサービス事 ( 本資料における適用対象となるもの ) 業 Microsoftが提供するサービスを用いて

22 Microsoft に適用されるガイドライン Microsoft が提供するサービスを最終的に医療機関等に提供することから Microsoft は経産省総務省ガイドラインの対応が必要となります Microsoft 医療情報システム等の提供者 (ITベンダ等) Microsoftが提供するサービス事 ( 本資料における適用対象となるもの ) 業 Microsoftが提供するサービスを用いて医療情者報システムサービスを開発運用する事業者に提供 IT ベンダ等により開発 / 保守 / 運用される医療情報システムサービス 1IT ベンダ等が提供しこれを医療機関が利用に医提療供機関等医療情報システム等の利用者 ( 医療機関等 ) 1IT ベンダ等が開発した医療情報システムサービスを用いる 2Microsoft のサービスを直接用いる 2 医療機関が開発等しこれを利用医療機関により開発 / 保守 / 運用される医療情報システムサービス 22

23 経産省総務省ガイドラインで求められることリスクマネジメントとリスクコミュニケーションという二つの要素が求められていますリスクマネジメント : ガイドラインの適用対象者がシステムサービスの開発 / 運用 / 保守におけるリスクについて情報流を基に洗い出し適切な対策を講じることリスクコミュニケーション : リスクマネジメントの結果についての共通理解を図りその上で利用者が安全にシステムサービスを利用できるようにコミュニケーションを行うことリスクマネジメントリスクコミュニケーションデータの流れを把握データの流れに潜むリスクを識別事業者が講じているリスク対策や残存リスクを利用者に対して示し利用者との間で共通的な理解を図る識別したリスクへの対策を講じる残存するリスクを把握する Microsoft として適切な安全管理策を講じることが必要利用者が求める情報を開示することが必要 23

24 ガイドライン対応情報提供の考え方 (1/3) 利用者自身もそれぞれガイドラインに対応することが求められますそのため 1Microsoft のサービス自体が安全に管理されていることに加え 2Microsoft サービスを利用する上で GL 準拠に効果的な製品機能は何かという情報を Microsoft が提供すること ( リスクコミュニケーション ) が重要となります Microsoft のサービスが安全に管理されていること GL 遵守のために利用者が利用可能な製品と機能組織的人的な安全管理サービス製品機能 Azure Active Directory Azure Active Directory 認証物理的な安全管理 Azure AD Multi-Factor Authentication Azure AD Privileged Identity Management 認証管理技術的な安全管理 Azure SQL Database データの暗号化データの検出と分類データ保護医療情報システム等の提供者利用者が利用する Microsoft のサービスが安全に管理されていることを把握できる医療情報システム等の提供者利用者が構築するシステム等を安全に管理するために利用可能な製品機能の情報を把握することができる 24

25 ガイドライン対応情報提供の考え方 (2/3) Microsoft は利用者へ様々なサービスを提供しています利用者は個々のニーズに応じてそれらを組み合わせ柔軟かつコストメリットのあるリスク管理策を講じたシステム開発運用が可能です事業者 A が Azure を使って構築する場合事業者 B が Microsoft 365 を使って構築する場合利用可能な機能 : Azure Active Directory によるアクセス制御が可能 Cloud App Security Microsoft の対策 : データセンタに対する厳格な入退管理を実施している利用可能な機能 : Azure SQL Database によりデータ暗号化が可能利用可能な機能 : Cloud App Security によりアプリの条件付きアクセス制御が可能 Microsoft の対策 : Microsoft はお客様のデータを無許可で閲覧することはない 25

26 ガイドライン対応情報提供の考え方 (3/3) Microsoft が講じる安全管理措置の内容や利用者が GL 遵守のために利用可能な機能等に関する情報については一般的に想定されるリスクや対策と紐づける形で情報の提供を行います Microsoft が講じる安全管理措置の内容利用者が GL 遵守のために利用可能な機能等一般的リスク 1 一般的対策 1 MS の対策 1 一般的リスク 1 MS が提供する製品機能 A MS が提供する製品機能 A 一般的対策 4 一般的対策 2 一般的対策 3 MS の対策 2 MS の対策 3 MS が提供する製品機能 F MS が提供する製品機能 A 一般的対策 6 一般的対策 3 一般的リスク 2 一般的対策 4 一般的対策 5 MS の対策 4 MS の対策 5 一般的リスク 2 ー一般的リスク 3 MS が提供する製品機能 D MS が提供する製品機能 A 一般的対策 1 一般的対策 6 一般的リスク 3 一般的対策 6 MS の対策 6 MS が提供する製品機能 C MS が提供する製品機能 A 一般的対策 2 26

27 利用者 ( 情報受領者 ) にとってのメリットこうした情報提供方針を通して利用者が医療情報システム等に関するリスク対応を行う上で必要となる Microsoft の安全管理措置の状況利用可能な機能の情報についてリスクや対応策に紐づいて効率的に把握することを可能とします Azure を使ってシステムを構成しよう事業者 A Microsoft の担当者が勝手にデータにアクセスするリスクがあるな Microsoft が講じる安全管理措置 Microsoft は従業員の不正アクセスを防止する為に自社の運用者が不正に情報を閲覧してしまうリスクがあるな利用可能な Microsoft サービスの製品機能不正閲覧リスク : Azure RBAC の利用が効果的 27

28 Microsoft が講じる安全管理措置の概要 28

29 Microsoft の情報提供 (1Microsoft が講じる安全管理措置 ) 経産省総務省 GL の別紙 2 1 では一般的に想定されるリスク及びその対応策が列挙されています一般的に実施すべき対応策について Microsoft の対応状況を整理しました総務省経産省 GL の別紙 2 に記載されている人的組織的物理的技術的の 3 つの対策の観点毎に大項目ベースで Microsoft が講じている管理措置の概略を記載する ( 次ページ以降参照 ) 別紙 2 1 一般的リスク1 一般的対策 1 一般的対策 2 一般的対策 3 MS の対策 1 MS の対策 2 MS の対策 3 1 別紙 2 旧ガイドラインの対策項目一覧と医療情報安全管理ガイドラインとの対応表 29

30 Microsoftが講じる安全管理措置の概要 1/15 1. 人組織的安全管理措置の概要 1/4 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要 1.1. 規程手順の策定アクセス管理規定情報の廃棄対応情報や機器の組織外への持出に対する対策持ち出した機器や媒体の管理手順機器ソフトウェアの品質管理に係る手順について必要なルールおよび手順は策定整備されています 1.2. 個人情報を含まないテストデータの利用 Microsoftの担当者に顧客データに対する既定のアクセス権が与えられることはなく必要なときにのみ管理者の監視下でアクセス権が付与されます 1.3. 守秘義務に係る契約 Microsoftの従業員はセキュリティトレーニングプログラムに参加し定期的なセキュリティ意識向上に関する最新情報を受け取りますまた Microsoftは従業員との契約に機密保持条項を含めています 1.4. 教育訓練の実施 Microsoft内の該当するすべての従業員は Microsoft Azure が開催するセキュリティトレーニングプログラムに参加し該当する場合は定期的なセキュリティ意識向上に関する最新情報を受け取りますセキュリティ教育は継続的なプロセスでありリスクを最小限に抑えるために定期的に行われます 30

31 Microsoftが講じる安全管理措置の概要 2/15 1. 人組織的安全管理措置の概要 2/4 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要 1.5. 運用状況のモニタリングセキュリティ等のインシデントの発生時にプライバシー法務または経営管理者に通知するエスカレーションおよびコミュニケーション計画が確立されています 1.6. 物理的に情報を搬送する場合の対策個人情報を格納する機器を物理的に搬送することが起こりえない機器を搬送する前にデータが完全に削除される運用としています 1.7. 解析及び第三者提供の制限運用システムに対して意図しないアクセスや変更または承認されていないアクセスや変更が行われるリスクを最小限に抑えるため必要最小限の権限となるよう職務が分離されています 1.8. 情報の破棄に係る記録の提出 Microsoftはベストプラクティスの手順と NIST 準拠の消去ソリューションを使用していますデータを消去できないハードドライブの場合は壊し (つまり切断する) 情報の回復を不可能にする (分解切断粉砕焼却など) 破壊処理を使用します 31

32 Microsoftが講じる安全管理措置の概要 3/15 1. 人組織的安全管理措置の概要 3/4 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要 1.9. 再委託を行う場合の再委託先の管理 Microsoftではオンラインサービス部門は外部委託に当たって Microsoftとお客様の契約と同等のセキュリティ事項を含む契約によって外部委託を行っています非常時に備えた対応 BCPチームはさまざまな損失シナリオに対して定義されたテストスケジュールに従ってサービスに対するビジネス継続性および災害復旧計画のテストを実施しておりますサイバー攻撃等による障害発生時の対応ネットワーク上の責任範囲役割の合意 Microsoftのエンタープライズ向けクラウドサービスは外部の第三者および内部の専門チームにより定期的にセキュリティ診断を受けていますまた利用者はシステムを構成する Azure の各サービスに対する稼働状態操作やイベントのログを保存確認することができます対象外本項目については Microsoftのサービス利用者がMicrosoftより提供される資料を確認した上で医療機関等とコミュニケーションを行うことを求めているものとなるため Microsoftが講じる管理措置は不要となります 32

33 Microsoftが講じる安全管理措置の概要 4/15 1. 人組織的安全管理措置の概要 4/4 経産省総務省ＧＬ別紙2 要求事項大項目機器ソフトウェアの品質管理変化に伴う医療機関等への影響の最小化 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要サービスの提供に使用される資産 (資産の定義にはデータとハードウェアを含む) に関して記録を残しています主要な変更の実装を制御するためのソフトウェア開発およびリリース管理プロセスが確立されていますデータ保持のポリシーと手順は規制法律契約またはビジネス上の要件に従って定義および維持されていますインフラストラクチャデータのバックアップおよび冗長性プログラムは年に 1 度レビューと検証が行われます 33

34 Microsoftが講じる安全管理措置の概要 5/15 2. 物理的安全管理措置の概要 1/3 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要 2.1. 入退管理 Microsoftのデータセンターの施設へのアクセスおよびセンター内の重要なシステムが設置されている部屋へのアクセスは以下のようなセキュリティメカニズムによって制限されます電子カードによるアクセスコントロールキーによるロック共連れ防止機能生体認証デバイス 2.2. 施錠管理鍵管理 2.1.入退管理を参照 2.3. 不正な侵入の監視データセンター内のビデオカメラでは施設周辺や建物の玄関すべてのサーバーラックの前方と後方を監視していますデータセンターの各階を退出するときに再び全身の金属検査によるスクリーニングを通過する必要があります 34

35 Microsoftが講じる安全管理措置の概要 6/15 2. 物理的安全管理措置の概要 2/3 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要 2.4. バックアップ施設における対策 Microsoftクラウドサービスにはレプリケーション機能が含まれており Microsoftデータセンター内で障害が発生した場合にお客様のデータが損失するのを防ぐことができます 2.5. 個人所有物の持ち込み制限可搬型記憶装置等については通常の運用プロセスでは使用しません例外的に可搬型記憶装置を使用する場合には追加の承認プロセスをとることを契約書 OST に記載しています入館者は全身の金属検査によるスクリーニングに合格する必要があります未承認のデータが把握されないままデータセンターを入退館するリスクを低減するためにデータセンターの各階には承認されたデバイスしか持ち込みできません 2.6. 機器の盗難への対策重要な機器はカードリーダマントラップケージや施錠されたキャビネットへの物理的アクセスのメカニズムが適用されており権限をもつ利用者しか機器へアクセスできないようになっています 35

36 Microsoftが講じる安全管理措置の概要 7/15 2. 物理的安全管理措置の概要 3/3 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要 2.7. 覗き見への対策アクセスは職務によって制限されるため必要な担当者だけにお客様のアプリケーションやサービスを管理する権限が与えられます物理的なアクセス権限では以下の複数の認証とセキュリティのプロセスを利用しますバッジとスマートカード生体スキャナー継続的なビデオ監視データセンター環境への物理アクセスの際の 2 要素認証 2.8. 災害等への対策サービス提供に関連する機器は盗難や火事煙水ほこり振動地震電子的な干渉などの環境的なリスクから保護された環境に配置されていますデータセンターを保護するために以下を含む環境の管理を実施しています温度管理冷暖房換気および空調 (HVAC) 火災検知および抑制システム電力管理システム 36

37 Microsoftが講じる安全管理措置の概要 8/15 3. 技術的安全管理措置の概要 1/8 経産省総務省ＧＬ別紙2 要求事項大項目 3.1. 利用者認証の実装 3.2. アクセス権限の管理 3.3. ID パスワードの管理 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要 Microsoft開発者および運用者によるアクセスにはワンタイムパスワードあるいは電子証明書による二要素認証を実施していますまた特権の利用は記録され監査されています運用システムに対して意図しないアクセスや変更または承認されていないアクセスや変更が行われるリスクを最小限に抑えるため必要最小限の権限となるよう職務が分離されています医療情報とそれ以外の情報を区分しアクセス制御が可能であり医療情報を許可なく閲覧できないようにするための権限設定等の対策が規定されています開発者および運用担当者はMicrosoftアカウントおよび自己署名付き証明書により認証を行い不正なアクセスの使用防止アクセス権限確認を講じていますパスワードについては以下の管理措置を講じていますパスワードが有効である間はそれらが判読できなくなるような方法で保存パスワードの定期更新 8 文字以上のパスワードの設定無効または有効期限の切れた ID を他の個人が使用できない等 37

38 Microsoftが講じる安全管理措置の概要 9/15 3. 技術的安全管理措置の概要 2/8 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要 3.4. ログの取得と検証 Microsoftでは利用者の活動機器で発生したイベントシステム障害システム使用状況等を記録したログを作成することが規定されていますサービスに対する利用者の行った操作に関してのアクティビティログを提供し利用者はそれを確認することができますシステム保守などに従事する者のアカウントで行った作業等はアクセスした個人情報が特定できる形でログ等により記録されます 3.5. 不正プログラムへの対策定期的に最新の脅威についての情報収集に努め導入している不正プログラム対策ソフトウェアの対応範囲を確認し対策漏れが無いことを確認しています悪意のあるアクティビティやサービスへの不正侵入を検出しログを検証するための不正プログラムへの対策が行われています 3.6. 端末やサーバの堅牢化ウェブブラウザの接続するサーバは業務上必要なサーバに限定されていますサーバ機器等への同時ログオンユーザ数 OS アカウント等に適切な上限を設けています業務上不必要なアプリケーションをインストールしないように定められています 38

39 Microsoftが講じる安全管理措置の概要 10/15 3. 技術的安全管理措置の概要 3/8 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要 3.7. 機器ソフトウェアの脆弱性への対応手配するソフトウェアおよびハードウェアについてはセキュリティに妥協することのない機能を持ったものであることを確認することが社内規定で決められていますオペレーティングシステムのアップグレードセキュリティパッチの適用を行う場合医療情報システム等に対する影響を評価し試験結果を確認してから必要な処置を行うよう定められています 3.8. ネットワーク上のアクセス制御外部からの不正アクセス等の対応としてファイアウォールパケットフィルタリングにより偽装トラフィックや不適切なブロードキャスティングなどはできないようになっています外部からの不正アクセス対策として複数の手段による多層的な予防措置を行っているほか検出抑制回復手段を合わせて使用しています 3.9. 不正な通信の検知や遮断接続ネットワーク境界にはネットワーク上の不正なイベントの検出あるいは不正なトラフィックを遮断する制御が実施されています悪意のある活動やサービスの信頼境界を超えた侵入を監視する監視システムが機能しています 39

40 Microsoftが講じる安全管理措置の概要 11/15 3. 技術的安全管理措置の概要 4/8 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要外部へ持ち出す機器や情報の管理 Microsoftのエンタープライズ向けクラウドサービスで使用する記憶装置は Microsoftデータセンター内で厳重な管理下に置かれて運用されています記憶装置の故障利用年数の経過などの理由によりセキュリティ管理領域外に記憶装置を移動する場合記憶装置の状態に合わせて破棄あるいは消去を行います仮想デスクトップやMDM MAMによる情報漏洩への対策 Microsoftでは従業員を対象としたポリシートレーニングと定期的なセキュリティアップデートを含む情報セキュリティ教育及び意識向上プログラムが確立されております未登録の電子媒体の接続制限本番環境へのアクセスは適切な資格情報を使用した認証を必要とする定義済みのインターフェースを介して制御されています 40

41 Microsoftが講じる安全管理措置の概要 12/15 3. 技術的安全管理措置の概要 5/8 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要暗号化電子署名の利用顧客情報が送受信される内部通信は SSLとTLSを使用して保護されております利用者が使用する管理クライアント機器と Microsoftクラウドサービスの管理システム間の通信は全てTLS 1.2 により暗号化されますリモートメンテナンスのアクセス管理ネットワークレベルのコンポーネントへのアクセスには 2 要素認証 (RSA SecurID) が必要であり Microsoft企業ネットワークにリモートで接続するユーザーは 2 要素認証によってセットアップされる直接アクセスを使用します電子署名を利用する場合の管理対象外文書診療録等の文書に対する電子署名医師等の記名/押印に代わる機能については Microsoftが提供している機能がないため対象外とします 41

42 Microsoftが講じる安全管理措置の概要 13/15 3. 技術的安全管理措置の概要 6/8 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要改竄防止検知策の実装開発者運用者のソースコードライブラリへのアクセスは権限が与えられたスタッフおよび契約業者のスタッフに制限されています権限が与えられたスタッフおよび契約業者のスタッフは自身の業務の遂行のためにアクセスする必要があるワークスペースにのみアクセス権限が与えられますソースコードライブラリに対する変更の詳細を記録した監査ログが保持され定期的な監査中に確認されます患者ごとの情報の管理各オンラインサービスの顧客データは論理的または物理的に他のオンラインサービス顧客のデータから分離されております利用目的に応じた応答時間の確保対象外本項目については Microsoftのサービス利用者がセキュリティリファレンス等の資料を確認した上で医療機関等とコミュニケーションを行うことを求めているものとなるため Microsoftが講じる管理措置は不要となります 42

43 Microsoftが講じる安全管理措置の概要 14/15 3. 技術的安全管理措置の概要 7/8 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要冗長化による障害対策各装置における障害対応として以下を実施しております利用者が冗長構成を取ることを可能にするサービス可用性セット可用性ゾーン Azure Site Recovery を提供ハードウェア死活監視および障害時自動切替オペレーティングシステム死活監視および障害時再起動ネットワーク死活監視および障害時冗長経路へ自動切替プロセス監視および障害時再起動システム障害時の措置重要なコンポーネントは冗長性を備えて設計されていますハードウェアおよびシステムの障害を検出した場合顧客サービスを自動的に復元いたしますセキュリティや可用性に影響を与える可能性のある潜在的な変更や事象を管理し顧客に通知しております 43

44 Microsoftが講じる安全管理措置の概要 15/15 3. 技術的安全管理措置の概要 8/8 経産省総務省ＧＬ別紙2 要求事項大項目 Microsoftが講じる安全管理措置 Microsoftが講じる管理措置概要バックアップ及びリストアの管理 Microsoftではデータバックアップを含むデータ処理およびストレージの地理的領域はお客様にて決定することができますさらに遠隔地へのバックアップは資産管理のために追跡および管理されておりますシステム更改に備えた互換性確保 AES-256 をはじめとする幅広い種類の暗号化機能が用意されており利用者は自分のニーズに最適なソリューションを選択できます 44

45 Microsoft サービスの利用者が GL へ効率的効果的に対応するために利活用可能な製品機能の情報提供について 45

Microsoft の情報提供 (2 想定されるリスクとリスクに対応するための製品機能 ) 経産省総務省 GL の別紙 2 1 で列挙されているリスクに対して Microsoft サービス 2 の利用者が効果的且つ効率的に対応するために利活用可能な製品及びその機能を各サービス毎に整理していますこれにより各製品機能を利用することでどのように GL

46 Microsoft の情報提供 (2 想定されるリスクとリスクに対応するための製品機能 ) 経産省総務省 GL の別紙 2 1 で列挙されているリスクに対して Microsoft サービス 2 の利用者が効果的且つ効率的に対応するために利活用可能な製品及びその機能を各サービス毎に整理していますこれにより各製品機能を利用することでどのように GL に効果的に対応できるのかを把握することが可能となります別紙 2 1 総務省経産省 GL の別紙 2 に記載されている対策項目で対応できるリスクシナリオ例に対して利用することで効率的にリスク対応が可能となる製品機能を列挙各機能毎の目線から各機能を利用することによりどのように GL 対応が可能となるかを整理一般的リスク 1 MS が提供する製品機能 A MS が提供する製品機能 A 一般的対策 4 1 別紙 2 旧ガイドラインの対策項目一覧と医療情報安全管理ガイドラインとの対応表 2 Microsoft Azure, Microsoft 365, Microsoft Dynamics 365, Microsoft Power Platform の 4 サービスが該当 MS が提供する製品機能 F MS が提供する製品機能 A 一般的対策 6 一般的対策 3 46

47 資料の構成 (2 想定されるリスクとリスクに対応するための製品機能 ) 資料の構成とその内容利用可能な Microsoft サービスの製品機能シートシートに含まれる内容リスクシナリオと対応する製品機能大項目 / 小項目 / 別紙 2 で記載されているリスクシナリオ例リスクに対応可能な製品機能一般的に想定される対策やリスクとして別紙 2 1 で例示されている対策群及びリスクを一覧化各リスクに対応する上で医療情報システム等の提供者あるいは医療機関等が用いることが有益となる製品機能について各サービス毎に一覧化製品 / 製品概要 / 製品リンク / 提供機能名 / 提供機能概要 / 参考リンク各リスクに対応するための製品サービス及び機能を一覧化しその概要を記載サービス別詳細要求事項に対する各機能の利用意義該当する機能を利用することで経産省総務省 GL や厚労省 GL に対してどのように対応することができるのかを記載対応する項目機能を利用することで遵守することに寄与する別紙 2 1 又は厚労省 GL の項目を列挙 1 別紙 2 旧ガイドラインの対策項目一覧と医療情報安全管理ガイドラインとの対応表 47

Ⅰ バイタルリンク利用申込書 ( 様式 1-1)( 様式 ) の手続バイタルリンクを利用する者 ( 以下システム利用者という ) は小松島市医師会長宛にあらかじめ次の手順による手続きが必要になります新規登録手続の手順 1 <システム利用者 ( 医療介護事業者 )>

Ⅰ バイタルリンク利用申込書 ( 様式 1-1)( 様式 ) の手続バイタルリンクを利用する者 ( 以下システム利用者という ) は小松島市医師会長宛にあらかじめ次の手順による手続きが必要になります新規登録手続の手順 1 <システム利用者 ( 医療介護事業者 )> 医療介護連携情報ネットワークバイタルリンク利用における個人情報の適切な取扱いの手引き平成 29 年月日版一般社団法人小松島市医師会 Ⅰ バイタルリンク利用申込書 ( 様式 1-1)( 様式 2-1 2-2) の手続バイタルリンクを利用する者 ( 以下システム利用者という ) は小松島市医師会長宛にあらかじめ次の手順による手続きが必要になります新規登録手続の手順 1