病薬連携トライアル運用セキュリティポリシー
１ 総則
１．１ 目的本セキュリティポリシーは、PHR を活用した次世代型地域医療連携システム（以下、「本システム」という。
）による地域レベルでの本格運用に向けて、病薬連携トライアル運用（実証又は試行）を行うにあたり、システムの運用と管理の安全に関わる基本事項を規定し、本システムの安全かつ適正な管理を図ることを目的とする。

１．２ 適用範囲
本セキュリティポリシーは、本システムの運用と管理に係る事項に適用する。

２

管理体制と責任者の責務(1) 事業管理者• 青森県病院事業管理者をこれに充てる。
• 事業管理者は、トライアル運用の円滑な推進を目的として、本事業の統括・管理を行う。
(2) トライアル運用実施責任者の設置• 事業管理者が選任する者を、トライアル運用実施責任者に充てる。
• トライアル運用実施責任者は、本事業の運営が円滑に執り行われるよう各種調整業務を行う。
• トライアル運用実施責任者は、参加施設の登録に関する事務取扱を実施し、登録状況について事業管理者に報告する。
(3) 運用管理責任者の設置• 事業管理者は、個人情報の取り扱いなど、患者等、利用者ならびに参加施設・サービス提供事業者等からの相談・苦情を受け付けし、適切かつ迅速な対応を行う運営事務局を設置し、その責任者として運用管理責任者を選任する。
• 運用管理責任者は、ネットワークやセキュリティ技術、関連法令等に精通した者とする。
(4) 管理責任者• 各参加施設に管理責任者を置く。
• 管理責任者は各施設の経営責任者が選任するものを充てるものとし、NOBORI サービス申込書に氏名を記載することを基本とする。
• 管理責任者は、本システムのサービス提供事業者から交付された各施設管理者権限を管理し、自施設の本システム利用者及びその電子証明書の管理を行う。
• 管理責任者は、自施設の利用者に本システムを正しく利用するための教育・指導をする責務を負う。
• 管理責任者は、施設内で起きた個人情報の不適正利用及び本システムの不具合等の事象を運用管理責任者へ報告する義務を負う。

(5) サービス提供事業者• 本システムのサービス提供事業者は、NOBORI PHR サービスの提供事業者である PSP 株式会社であり、その役割と責務、権利義務は、本セキュリティポリシーに定めがある場合を除き、参加施設が別途締結する利用規約に基づく。

３ 運営事務局
３．１ 運営事務局の設置(1) 運用管理責任者は、個人情報の取り扱いおよび本システムの運営等に関して、患者等や利用者等ならびに参加施設・サービス提供事業者等からの相談・苦情を受け付けし、適切かつ迅速な対応を行う運営事務局を運営する。
(2) 運営事務局は、以下の基本業務を行う。
① 別途定めるトリアージ基準に基づく問合せへの対応② よくある質問事例集の作成(3) 運営事務局のサポート日と時間は以下のとおりとする。
９：００〜１５：３０（土日祝日除く平日）(4) 運営事務局の場所等
名称 ：青森県立中央病院医療連携部 PHR 事業推進室
住所 ：青森市東造道２−１−１
電話 ：０８０−３２５４−３６５９

３．２ サポートデスクの設置(1) 運用管理責任者は、本システムの安全かつ円滑な運用を目的として、適切かつ迅速な対応を行うサポートデスクを設置し、運営するものとする。
(2) サポートデスクは以下のサポート業務、監視業務を行うものとする。
・本システムの操作に関する事項
・本システムの障害に関する事項
・本システムの稼働状況の監視、障害検知
・本システムの障害に関する事象の切り分け、復旧作業
・本システムへの不自然な時間や場所からのアクセス監視・障害記録およびその是正処置を含むシステムの運用管理記録を作成、保管し、運用管理責任者の指示に従い、適時報告する。
・その他、本システムの運用に必要なメンテナンス作業。
(3) サポートデスクは運営事務局からの問い合わせへの対応、システム障害発生時の運営事務局への速やかな情報共有を行う。
(4) サポートデスクの場所等
相談窓口：PSP 株式会社 NOBORI PHR サポート住所：東京都港区港南 1 丁目 2 番 70 号 品川シーズンテラス 25 階

３．３ 災害・事故対策体制
運用管理責任者は、緊急時及び災害時の連絡、復旧体制等を定め、文書化し、運用管理にかかわる関係者に周知を行う。

３．４ 教育・訓練(1) 運用管理責任者は、本システムの取り扱いについてマニュアルを整備し、運用管理に携わる関係者に周知を行う。
(2) 運用管理責任者は、本システムの運用管理に携わる関係者に個人情報の保護およびセキ
ュリティに関する教育を行うものとする。
(3) 運用管理責任者は、各施設の管理責任者が、その職員に行う個人情報の保護およびセキュリティに関する教育に関し、協力の依頼があった場合はこれに協力するものとする。

４検討会議(1) 本トライアル運用に係る検討会議として、PHR を活用した病薬連携トライアル会議を設置する。
(2) 本会議の構成員は、トライアル運用実施責任者、運用管理責任者、各参加施設の管理責任者、青森市薬剤師会とする。
(3) 本会議には、各参加施設の実務担当者の参加を妨げない。

５

病薬連携トライアル運用の参加施設(1) 本トライアル運用は、国内の他地域で運用実績のあるシステムを利用するものではなく、本圏域で初めて運用される、言わば完成途上のシステムで実施するものである。サポー
ト要員も限られ、速やかなサポート対応も困難であることが想定されるため、本トライ
アル運用は、原則として以下の NOBORI PHR サービスを情報提供施設として導入している施設と、その門前薬局に限定して始めることとする。
① 病院（情報提供施設）
・青森県立中央病院
・あおもり協立病院・芙蓉会村上病院② 薬局
・青森調剤薬局
・中央調剤薬局 県病前支店
・サカエ薬局 県病前・メガ調剤薬局 東青森店
・大野あけぼの薬局
・テック調剤薬局 浜田店③ 健診施設（情報提供施設）
・青森県総合健診センター

６

責任分界点

本トライアル運用に係る責任分界点は次のとおりとし、情報提供施設、サービス提供事業者、薬局は自己の責任範囲においてセキュリティ対策等の責任を負う。
(1) 情報提供施設とサービス提供事業者
情報提供施設にサービス提供事業者が設置する専用アプライアンスとする。
(2) 薬局とサービス提供事業者
サービス提供事業者が薬局に提供するポータルサイトとする。
【責任分界点イメージ図】
情報提供施設
責任範囲

LANセグメント

７

サービス提供事業者
責任範囲

専⽤ｱﾌﾟﾗｲｱﾝｽ

サービス提供事業者
クラウド環境薬局
責任範囲

ﾎﾟｰﾀﾙｻｲﾄ

LANセグメント

本システムの利用者等の責務(1) 参加施設及び参加施設の利用者は、本セキュリティポリシー及び関係法令、ガイドライン等を遵守するとともに、利用者は管理責任者の指示に従わなければならない。
(2) 参加施設及び参加施設の利用者は本システムを活用した地域での医療連携を推進するため、本システムの普及に努めなければならない。

８禁止行為

本トライアル運用参加施設及び参加施設の利用者は、次の各号に定める行為をしてはならないものとする。
(1)情報の改ざん行為や他の者になりすまして本システムを利用する行為(2)各種法令やガイドラインにおいて禁止されている不法行為や公序良俗に反する行為(3)業務以外の目的で患者情報を閲覧したり、収集する行為(4)本トライアル運用の実施を妨げる行為や、第三者又は委託先等の著作権その他の知的財産権を侵害する行為(5)営業活動その他営利を目的とする行為や許可されない第三者を本トライアル運用に参加させる行為（本システムのお知らせ・チャット機能を通じた誘客や顧客の引き抜き行為を含む）(6)本システムにアクセスするためのアカウント情報（ID・パスワード等）を不適切に管理する行為(7)管理責任者が発行するアカウント情報（ID・パスワード等）を利用者本人以外の者に利用させる行為(8)管理責任者が管理する業務端末以外で本システムを利用する行為

(9)本システムから得られた基本医療情報及び専門医療情報を口頭で伝えたり、印刷配布する行為(10)CD、DVD、HDD、USB メモリ等（以下「可搬型記録媒体」という。
）に本システムから入手した情報（スクリーンショット含む）を複製する行為(11)本システムを通じて入手した情報について、あらかじめ事業管理者が承認した場合を除いて許可なく複製・公開・提供すること（学会・論文などへの発表・投稿等を含む）(12)本システムの信用を傷つけ、又は本トライアル運用に参加する施設全体の不名誉となるような行為(13)その他、事業管理者が不適切と判断した行為

９

禁止行為等に対する措置

トライアル運用実施責任者は、参加施設及び参加施設の利用者が、法令等に違反した場合、本セキュリティポリシーに定める義務及び責任を果たさなかった場合、又は禁止行為を行い、指導又は警告にもかかわらず改善が認められない場合は、事業管理者に報告し、事業管理者の判断において、ID・パスワードの取り消しを行い、当該参加施設及び参加施設の利用者の本システムへの参加を強制的に解除できるものとする。

１０

本人確認

(1) 情報提供施設が、患者等の PHR アプリに医療情報や健診情報等を提供するときは、身分証明書、診察券、受診者番号等の複数の個人を識別できる情報で本人確認を行う。薬局が、かかりつけ登録の受入をするときも同様の取り扱いとする。
(2) サービス提供事業者は、情報提供施設および薬局が本人確認する際に、複数の基本情報等とマッチングする方法などにより誤登録等を回避するためのサポート機能を提供する。

１１

医療機関での同意取得(1) 参加施設は本システムを通じて、患者の医療情報や健診情報等を閲覧する場合には明示的に患者の同意を得なければならない。
(2) 医療情報や健診情報等の提供元となる情報提供施設においては、院内掲示等により医療情報や健診情報等の利用目的を明示し、患者から明示的に留保の意思表示がない場合には黙示の同意があったものとする。
(3) 医療情報や健診情報等の提供先となる医療機関においては、患者への医療の提供のために必要な範囲で、本システムより医療情報や健診情報等を閲覧することについて、明示的に患者の同意を得た上で照会し閲覧すること。この場合の「明示的に患者の同意」を得る方法については、文書による方法のほか、口頭による方法等も認められるものであること。ただし、その際には口頭等により同意を得たことについて診療録等に記録しておくこと。

１２ 共有情報
１２．１ 情報の種類
本システムでは、以下の種類の情報を取り扱う。
(1) 基本医療情報
・PHR アプリで患者が閲覧できる情報。当該情報は PHR アプリを用いて家族等や医療機関に共有できる。
・当該情報は、次の方法により PHR アプリに登録できる。
① PHR アプリに情報提供施設を登録し当該施設で身分証明書等による認証を受けることで入手する方法② マイナポータルから入手する方法③ PHR アプリに直接記録する方法(2) 専門医療情報
・患者は PHR アプリで閲覧できないが、患者が PHR アプリでかかりつけ登録することで当該医療機関に開示される情報。
・当該情報は各情報提供施設から提供される。患者は PHR アプリに情報提供施設を登録し当該施設で身分証明書等による認証を受けることで当該情報の共有が可能となる。
・専門医療情報の開示について患者等から問い合わせを受けた場合は各情報提供施設において、カルテ開示請求をすることをお願いする。

１２．２共有の種類

本システムでは、以下の種類の共有で情報を取り扱う。
(1) 一時共有
・PHR アプリを用いて、15 分間限定で医療機関に共有できる。
・基本医療情報のみが共有対象となる。専門医療情報は共有対象とはならない。
(2) 固定共有
・PHR アプリを用いて、かかりつけ登録することで共有される。かかりつけ登録を解除するまで情報は永続的に共有される。
・基本医療情報に加え、専門医療情報も共有対象となる。
(3) 家族共有・PHR アプリを用いて、家族等に共有できる。当該共有を解除するまで情報は永続的に共有される。
・基本医療情報のみが共有対象となる。専門医療情報は共有対象とはならない。

１３

PHR ユーザー向けマニュアルの公開

患者等の PHR ユーザー向けマニュアルを、以下の URL に公開する。更新等があった場合は、PHR お知らせ機能等を活用し周知する。
■PHR アプリの使い方 https://aomori-kenbyo.jp/nobori/howto/

１４

リスク管理

(1) 参加施設は、医療情報の重要性及び医療の継続性並びに経営資源の投入及びリスク管理対策の実施の継続可能性等を鑑みて、定期的にリスクを評価しなければならない。
(2) 検討会議は、参加施設からのリスク評価結果を受け定期的に本システムの運用管理に関わる全体リスク評価を行い、リスク管理方針を決定する。
(3) 検討会議は、継続的に、リスク評価、当該評価を踏まえたリスク管理方針の決定、当該方針にも基づくリスク管理を実施する。

１５

監査体制

(1) 事業管理者は、本セキュリティポリシーおよび関連規程等への準拠性に対する内部監査を実施し、必要に応じて外部監査を実施するものとする。
(2) 監査の実施にあたっては、別途定める情報セキュリテイ監査実施要綱によるものとする。

１６

セキュリティポリシーの公開

本セキュリティポリシーは、本トライアル運用に参加する施設およびその利用者、患者又はその代理者に公開するものとする。

１７

セキュリティポリシーの見直し

本セキュリティポリシーは、PHR ユーザおよび各参加施設の本システム利用者等からの苦情、緊急事態の発生、検討会議、その他からの指摘等で、システムの機能、運用状況等に問題がある場合には、必要な是正の実施及び予防の実施を行うため、事前の了解なく本セキュリティポリシーを見直すことがある。

１８

セキュリティポリシーの施行日

本セキュリティポリシーは、令和５年１１月２８日より施行する。