への導入におけるとの接続に係るネットワーク連携のパターンの参考例
はじめに 医療機関等 S 等での問い合わせ傾向を踏まえて への導入におけるとの接続に係るネットワーク連携のパターンの参考例の整理を行いました また 等の機能をに搭載 ( もしくは等端末にを搭載 ) する連携パターン例も示します なお への導入に当たっては 連携パターンを参考の上 にて 医療情報の安全管理に関するガイドライン第 5 版 に準拠し 必要なセキュリティ対策を行ってください 2
IP-VP 〇導入後想定 : 基本的な構成例 ( が 1 台もしくは複数台のケース ) 技術解説書 1.0 版図 2.3.2-2 2 3 基本的な構成例 ( が1 台のケース )( が複数台のケース ) からの変更点 オンライン請求端末 ~の間をHBからルータBに変更 内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策をルータBで担うため 記載削除 ルータAにて実現する仕組みを具体的な記載に修正 2 つの異なる接続方式 ( 院内 基金 IPv6) に接続するため ネットワークインターフェースカード (IC) の追加等による LA ポートを増設 ( 数千円 ~) する 等からへリクエストを投げる形とし 内に一時格納された資格情報 / 薬剤情報 / 特定健診情報を取得する 端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除する 端末 調剤端末 調剤 自動再来受付機 病院のみ ルータ A ( 院内 / 局内 ) オンライン請求端末 ルータ B : オンライン資格確認用 オンライン請求とオンライン資格確認等を同時に利用しない前提 セッション方向 とは 起点からの方向を指しているものであり 情報のやり取りは双方向で行われる PPPoE セッション () IPoE セッション (IPv6) 閉域 IP 網 新規にルータBを導入し 以下の仕組みを実現する 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能の有効化 への接続のための PPPoEパススルー設定 上記仕組みを実現する方法については ルータBを用いる方法以外にも の判断に応じて適宜ご検討ください IPv6 現存 若しくは新規ルータ A を用いて以下の仕組みを実現する と接続するためのルーティングの設定 等からへの通信を許可し から等への通信を拒否するためのステートフルインスペクション機能の有効化 上記仕組みを実現する方法については ルータ A を用いる方法以外にも の実情に応じて適宜ご検討ください ネットワークセッション方向 PPPoE セッション IPoE セッション 3
IP-VP 〇導入後想定 : オンライン請求と資格確認を一台の端末で実施する場合の構成例 技術解説書 1.0 版図 2.3.2 4 オンライン請求未対応の施設がオンライン請求と併せて開始する場合の構成例からの変更点 オンライン請求端末 ~の間をHBからルータBに変更 内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策をルータBで担うため 記載削除 ルータAにて実現する仕組みを具体的な記載に修正 2 つの異なる接続方式 ( 院内 基金 /v6) に接続するため ネットワークインターフェースカード (IC) の追加等による LA ポートを増設 ( 数千円 ~) する 等からへリクエストを投げる形とし 内に一時格納された資格情報 / 薬剤情報 / 特定健診情報を取得する 端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除する / オン請求端末 端末 調剤端末 調剤 自動再来受付機 病院のみ PPPoE セッション () ルータ A ( 院内 / 局内 ) ルータ B : オンライン資格確認用 オンライン請求とオンライン資格確認等を同時に利用しない前提 セッション方向 とは 起点からの方向を指しているものであり 情報のやり取りは双方向で行われる IPoE セッション (IPv6) 閉域 IP 網 新規にルータBを導入し 以下の仕組みを実現する 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能の有効化 への接続のための PPPoEパススルー設定 上記仕組みを実現する方法については ルータBを用いる方法以外にも の判断に応じて適宜ご検討ください IPv6 現存 若しくは新規ルータ A を用いて以下の仕組みを実現する と接続するためのルーティングの設定 等からへの通信を許可し から等への通信を拒否するためのステートフルインスペクション機能の有効化 上記仕組みを実現する方法については ルータ A を用いる方法以外にも の実情に応じて適宜ご検討ください ネットワークセッション方向 PPPoE セッション IPoE セッション 4
IP-VP 〇導入後想定 : に等の機能を搭載する場合の構成例 等がの要件である S(Windows10 IoT Enterprise LTSC 2019 等 ) で動作するかベンダで確認 対応する必要あり 等とアプリケーション等が干渉する可能性があるため 動作検証する必要あり 等のバージョンアップやセキュリティパッチ対応の度にベンダにて対応いただく (Windows10 IoT Enterprise 2019 LTSC 等 ) のアプリケーション等で実施しているのと同様に 一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい PPPoE セッション () ルータ 閉域 IP 網 : オンライン資格確認用 オンライン請求用 の構成によって サーバ等を設置する構成もあり の要件である S とは において満たすべき要件 に示している S を指す の構成としてサーバ等を設置している場合 ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う IPoE セッション (IPv6) 新規にルータを導入し 以下の仕組みを実現する 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能の有効化 への接続のための PPPoE パススルー設定 内部ネットワークからは特定の接続先のみアクセスできるよう通信許可設定を実施し 不正な外部への接続を制限する 上記仕組みを実現する方法については ルータを用いる方法以外にも の判断に応じて適宜ご検討ください ネットワーク PPPoE セッション IPoE セッション IPv6 5
IP-VP 〇導入後想定 : 等端末にの機能を搭載する場合の構成例 において満たすべき要件以外のマイナンバーカード処理ソフト オンライン資格確認等連携ソフトが動作する対象 S Windows10Pro Windows10 Enterprise SAC Windows10 IoT Enterprise SAC < 補足 > サポート対象 S について S におけるサポートライフサイクルやサポート期間 での利用状況を踏まえて Windows S を選定している ( 令和 2 年 8 月時点 ) ネットワーク PPPoE セッション IPoE セッション 等とアプリケーション等が干渉する可能性があるため 動作検証する必要あり 等のバージョンアップやセキュリティパッチ対応の度にベンダにて対応いただく 等端末 (Windows10Pro 等 ) のアプリケーション等で実施しているのと同様に 一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい PPPoE セッション () ルータ : オンライン資格確認用 オンライン請求用 の構成によって サーバ等を設置する構成もあり の構成としてサーバ等を設置している場合 ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う 閉域 IP 網 IPoE セッション (IPv6) 新規にルータを導入し 以下の仕組みを実現する 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能の有効化 への接続のための PPPoE パススルー設定 内部ネットワークからは特定の接続先のみアクセスできるよう通信許可設定を実施し 不正な外部への接続を制限する 上記仕組みを実現する方法については ルータを用いる方法以外にも の判断に応じて適宜ご検討ください IPv6 6
〇導入後想定 : 基本的な構成例 ( が 1 台もしくは複数台のケース ) ( ルータ型 ) 技術解説書 1.0 版図 2.3.2-6 2 7 基本的な構成例 ( が1 台のケース )( が複数台のケース ) からの変更点 ルータ型であるため オンライン請求端末 ~の間をHBからルータBに変更 内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策を現存するルータBで担うため 記載削除 での通信接続方式がのみであり 通信経路の物理的対策は不要となったため ネットワークインターフェースカードの追加を削除 ルータAにて実現する仕組みを具体的な記載に修正 ネットワークセッション方向 IPsec トンネル オンライン請求端末 ルータ B 等からへリクエストを投げる形とし 内に一時格納された資格情報 / 薬剤情報 / 特定健診情報を取得する 端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除する 端末 調剤端末 調剤 自動再来受付機 病院のみ ルータ A ( 院内 / 局内 ) IPsec を構成するルータにおいて 外部ネットワークからのアクセスが制限されていることを確認する 現存 若しくは新規ルータ A を用いて以下の仕組みを実現する と接続するためのルーティングの設定 等からへの通信を許可し から等への通信を拒否するためのステートフルインスペクション機能の有効化 上記仕組みを実現する方法については ルータ A を用いる方法以外にも の実情に応じて適宜ご検討ください : オンライン資格確認用 オンライン請求とオンライン資格確認等を同時に利用しない前提 セッション方向 とは 起点からの方向を指しているものであり 情報のやり取りは双方向で行われる 7
〇導入後想定 : オンライン請求未対応の施設がオンライン請求と併せて開始する場合の構成例 ( ルータ型 ) 技術解説書 1.0 版図 2.3.2 8 オンライン請求未対応の施設がオンライン請求と併せて開始する場合の構成例からの変更点 ルータ型であるため オンライン請求端末 ~の間をHBからルータBに変更 上記に伴い ルータにて通信経路を振り分けるため LAポート差し抜き運用の記載を削除 内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策を現存するルータBで担うため 記載削除 での通信接続方式がのみであり 通信経路の物理的対策は不要となったため ネットワークインターフェースカードの追加を削除 ルータAにて実現する仕組みを具体的な記載に修正 ネットワークセッション方向 IPsecトンネル / オン請求端末 ルータ B 等からへリクエストを投げる形とし 内に一時格納された資格情報 / 薬剤情報 / 特定健診情報を取得する 端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除する 端末 調剤端末 調剤 自動再来受付機 病院のみ ルータ A ( 院内 / 局内 ) : オンライン資格確認用 オンライン請求とオンライン資格確認等を同時に利用しない前提 セッション方向 とは 起点からの方向を指しているものであり 情報のやり取りは双方向で行われる IPsec を構成するルータにおいて 外部ネットワークからのアクセスが制限されていることを確認する 現存 若しくは新規ルータ A を用いて以下の仕組みを実現する と接続するためのルーティングの設定 等からへの通信を許可し から等への通信を拒否するためのステートフルインスペクション機能の有効化 上記仕組みを実現する方法については ルータ A を用いる方法以外にも の実情に応じて適宜ご検討ください 8
〇導入後想定 : に等端末の機能を搭載する場合の構成例 ( ルータ型 ) ネットワーク IPsec トンネル 等がの要件である S(Windows10 IoT Enterprise LTSC 2019 等 ) で動作するかベンダで確認 対応する必要あり 等とアプリケーション等が干渉する可能性があるため 動作検証する必要あり 等のバージョンアップやセキュリティパッチ対応の度にベンダにて対応いただく (Windows10 IoT Enterprise 2019 LTSC 等 ) のアプリケーション等で実施しているのと同様に 一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい ルータ IPsecを構成するルータにおいて 外部ネットワークからのアクセスが制限されていることを確認する 内部ネットワークからはHISPR 適合性評価を取得したIPsecに のみ接続する設定になっているこ とを確認する : オンライン資格確認用 オンライン請求用 の構成によって サーバ等を設置する構成もあり の要件である S とは において満たすべき要件 に示している S を指す の構成としてサーバ等を設置している場合 ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う 9
〇導入後想定 : 等端末にの機能を搭載する場合の構成例 ( ルータ型 ) において満たすべき要件以外のマイナンバーカード処理ソフト オンライン資格確認等連携ソフトが動作する対象 S Windows10Pro Windows10 Enterprise SAC Windows10 IoT Enterprise SAC < 補足 > サポート対象 S について S におけるサポートライフサイクルやサポート期間 での利用状況を踏まえて Windows S を選定している ( 令和 2 年 8 月時点 ) ネットワーク IPsec トンネル 等とアプリケーション等が干渉する可能性があるため 動作検証する必要あり 等のバージョンアップやセキュリティパッチ対応の度にベンダにて対応いただく 等端末 (Windows10Pro 等 ) のアプリケーション等で実施しているのと同様に 一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい ルータ IPsec を構成するルータにおいて 外部ネットワークからのアクセスが制限されていることを確認する 内部ネットワークからは HISPR 適合性評価を取得した IPsec に のみ接続する設定になっていることを確認する : オンライン資格確認用 オンライン請求用 の構成によって サーバ等を設置する構成もあり の構成としてサーバ等を設置している場合 ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う 10
〇導入後想定 : 基本的な構成例 ( が 1 台もしくは複数台のケース ) ( クライアント型 /PC キー型 / SB キー型 ) 技術解説書 1.0 版図 2.3.2-6 2 7 基本的な構成例 ( が1 台のケース )( が複数台のケース ) からの変更点 ルータ型であるため オンライン請求端末 ~の間をHBからルータBに変更し 実現する仕組みを具体的に記載 内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策を現存するルータBで担うため 記載削除 での通信接続方式がのみであり 通信経路の物理的対策は不要となったため ネットワークインターフェースカードの追加を削除 ルータAにて実現する仕組みを具体的な記載に修正 ネットワークセッション方向 IPsec トンネル 等からへリクエストを投げる形とし 内に一時格納された資格情報 / 薬剤情報 / 特定健診情報を取得する 端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除する 端末 調剤端末 調剤 自動再来受付機 病院のみ ルータ A ( 院内 / 局内 ) オンライン請求端末 ルータ B : オンライン資格確認用 オンライン請求とオンライン資格確認等を同時に利用しない前提 セッション方向 とは 起点からの方向を指しているものであり 情報のやり取りは双方向で行われる ルータBの設置がない場合 新規にルータB を導入し 以下の仕組みを実現する 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能の有効化 上記仕組みを実現する方法については ルータBを用いる方法以外にも の判断に応じて適宜ご検討ください 現存 若しくは新規ルータ A を用いて以下の仕組みを実現する と接続するためのルーティングの設定 等からへの通信を許可し から等への通信を拒否するためのステートフルインスペクション機能の有効化 上記仕組みを実現する方法については ルータ A を用いる方法以外にも の実情に応じて適宜ご検討ください 11
〇導入後想定 : オンライン請求未対応の施設がオンライン請求と併せて開始する場合の構成例 ( クライアント型 /PC キー型 / SB キー型 ) 技術解説書 1.0 版図 2.3.2 8 オンライン請求未対応の施設がオンライン請求と併せて開始する場合の構成例からの変更点 ルータ型であるため オンライン請求端末 ~の間をHBからルータBに変更し 実現する仕組みを具体的に記載 上記に伴い ルータにて通信経路を振り分けるため LAポート差し抜き運用の記載を削除 内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策を現存するルータBで担うため 記載削除 での通信接続方式がのみであり 通信経路の物理的対策は不要となったため ネットワークインターフェースカードの追加を削除 ルータAにて実現する仕組みを具体的な記載に修正 ネットワークセッション方向 IPsec トンネル / オン請求端末 ルータ B 等からへリクエストを投げる形とし 内に一時格納された資格情報 / 薬剤情報 / 特定健診情報を取得する 端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除する 端末 調剤端末 調剤 自動再来受付機 病院のみ ルータ A ( 院内 / 局内 ) : オンライン資格確認用 オンライン請求とオンライン資格確認等を同時に利用しない前提 セッション方向 とは 起点からの方向を指しているものであり 情報のやり取りは双方向で行われる ルータBの設置がない場合 新規にルータBを導入し 以下の仕組みを実現する 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能の有効化 上記仕組みを実現する方法については ルータBを用いる方法以外にも の判断に応じて適宜ご検討ください 現存 若しくは新規ルータ A を用いて以下の仕組みを実現する と接続するためのルーティングの設定 等からへの通信を許可し から等への通信を拒否するためのステートフルインスペクション機能の有効化 上記仕組みを実現する方法については ルータ A を用いる方法以外にも の実情に応じて適宜ご検討ください 12
〇導入後想定 : に等端末の機能を搭載する場合の構成例 ( クライアント型 /PC キー型 / SB キー型 ) ネットワーク IPsec トンネル 等がの要件である S(Windows10 IoT Enterprise LTSC 2019 等 ) で動作するかベンダで確認 対応する必要あり 等とアプリケーション等が干渉する可能性があるため 動作検証する必要あり 等のバージョンアップやセキュリティパッチ対応の度にベンダにて対応いただく (Windows10 IoT Enterprise 2019 LTSC 等 ) のアプリケーション等で実施しているのと同様に 一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい ルータ ルータの設置がない場合 新規にルータを導入し 以下の仕組みを実現する 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能オンライン資格の有効化確認等 内部ネットワークからは特定の接続先の みアクセスできるよう通信許可設定を実 施し 不正な外部への接続を制限する 上記仕組みを実現する方法については ルータを用いる方法以外にも の判断に応じて適宜ご検討ください : オンライン資格確認用 オンライン請求用 の構成によって サーバ等を設置する構成もあり の要件である S とは において満たすべき要件 に示している S を指す の構成としてサーバ等を設置している場合 ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う 13
〇導入後想定 : 等端末にの機能を搭載する場合の構成例 ( クライアント型 /PC キー型 / SB キー型 ) において満たすべき要件以外のマイナンバーカード処理ソフト オンライン資格確認等連携ソフトが動作する対象 S Windows10Pro Windows10 Enterprise SAC Windows10 IoT Enterprise SAC < 補足 > サポート対象 S について S におけるサポートライフサイクルやサポート期間 での利用状況を踏まえて Windows S を選定している ( 令和 2 年 8 月時点 ) ネットワーク IPsec トンネル 等とアプリケーション等が干渉する可能性があるため 動作検証する必要あり 等のバージョンアップやセキュリティパッチ対応の度にベンダにて対応いただく 等端末 (Windows10Pro 等 ) のアプリケーション等で実施しているのと同様に 一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい ルータ ルータの設置がない場合 新規にルータを導入し 以下の仕組みを実現する 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能オンライン資格の有効化確認等 内部ネットワークからは特定の接続先の みアクセスできるよう通信許可設定を実 施し 不正な外部への接続を制限する 上記仕組みを実現する方法については ルータを用いる方法以外にも の判断に応じて適宜ご検討ください : オンライン資格確認用 オンライン請求用 の構成によって サーバ等を設置する構成もあり の構成としてサーバ等を設置している場合 ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う 14