健康で豊かな国民生活を保健医療福祉情報システムが支えますサイバーセキュリティに対するJAHISの取り組み

２０２３年２⽉１５⽇
⼀般社団法⼈保健医療福祉情報システム⼯業会
戦略企画部
部⻑ 並川寛和ⓒ JAHIS 2023

JAHISの概要
一般社団法人保健医療福祉情報システム⼯業会（Ｊａｐａｎｅｓｅ Ａｓｓｏｃｉａｔｉｏｎ ｏｆ Ｈｅａｌｔｈｃａｒｅ Informａtｉon Ｓｙｓｔｅｍｓ ｉｎｄｕｓｔｏｒｙ)

略称：「ジェイヒス」◆設⽴目的︓

１．標準化の推進、技術の向上、品質及び安全性確保
２．産業界の健全な発展と国⺠の保健・医療・福祉に寄与◆事業内容︓

１．標準化の推進とその普及のための活動
２．政策･制度等に関する意⾒具申
３．研究会、講演会、展示会開催を通じた知識の交流と普及
４．海外との交流、国際協調の推進
５．⼯業統計の整備
６．政府の政策への協⼒（委託事業、補助事業等）◆会員数︓

３８３社（２０２３年２⽉１⽇ 現在）ⓒ JAHIS 2023

2サイバーセキュリティに対するJAHISの対応
近年は医療機関に対するランサムウェアによる重篤な被害が発⽣し、マスコミでも⼤きく報道されている。
JAHISではセキュリティ委員会を中⼼に関係機関等と協⼒し各種啓発活動を実施している。

セキュリティ関連のJAHIS標準類を多数発⾏保存が義務付けられた診療録等の電⼦保存ガイドライン︓電⼦保存・外部保存システムにおけるベンダーの技術的対策を規定（2022年6⽉改定の際に安全管理GL5.2版の内容を反映し、サイバーセキュリティ対策も具体化）
ヘルスケア分野における監査証跡のメッセージ標準規約︓医療情報システムにおける監査証跡としてのメッセージを規定
製造業者/サービス事業者による医療情報セキュリティ開示書ガイド︓安全管理GL対応状況を自ら説明するための開示書を規定（安全管理GL5.2版対応に向け改定作業を実施中）
リモートサービスセキュリティガイドライン︓リモート保守などのサービスを実施する際のサービサーとして考慮すべき事項を規定（2022年4⽉改定の際に安全管理GL5.2版との整合を確認）
HPKI対応ICカードガイドライン︓HPKI証明書をICカードに格納した場合のHPKIへのアクセスメソッドを規定
ヘルスケアPKIを利⽤した医療⽂書に対する電⼦署名規格︓HPKIを利⽤して否認防⽌のための電⼦署名の⼿続きを規定
HPKI電⼦認証ガイドライン︓HPKIを利⽤して本人確認などの認証を⾏う際の考慮すべき事項を規定
シングルサインオンにおけるセキュリティガイドライン︓シングルサインオンの要求事項とリスクアセスメントの考え⽅を記載
セキュアトークン実装ガイド・機器認証編︓医療機関内おける無線接続機器の機器認証のための考慮事項を記載
セキュアトークン実装ガイド・ノード認証編︓医療機関内、施設間などにおけるノード認証のための考慮事項を記載

会員向け啓発活動や支援活動

リモートサービスセキュリティガイドライン対応「ISMS準拠リスクアセスメントテンプレート」の公開し、サンプルSLA、サンプルSDSを発⾏予定
MDS・SDS書き⽅セミナーの開催による会員への啓発
毎年6⽉に開催するセキュリティ標準化セミナーにてセキュリティ関連JAHIS標準類の啓発活動を実施
毎年3回開催の新人教育セミナーのセキュリティ教材にバックアップの考え⽅を詳述

関係各所への協⼒や支援活動

医療セプターオブザーバーとして重要インフラレターなど会員各社へ情報発信
審査支払基⾦に対するオンライン資格確認等のセキュリティリスクアセスメント支援
⽇本薬剤師会による薬剤師啓発⽤ｅラーニングコンテンツ開発への協⼒
医機連サイバーセキュリティTFに対する委員派遣による医療機器のサイバーセキュリティ対応検討への協⼒ⓒ JAHIS 2023

3

JAHIS標準類策定における考え⽅と対応例
レギュレーションにおいては、厚⽣労働省の安全管理GLを遵守することを念頭に置き、安全管理GLと整合性を取った規約、ガイドラインを制定する

スタンダードにおいては、ISOとの整合性を確保するため、JAHIS標準類のISOへの提案や、ISO規格のJAHIS標準類への取り込みを実施する⼯業会組織であるため、視点はあくまでベンダーの視点であり、医療サービサーや情報システムサービサーの視点ではない
近年の課題
JAHIS会員が情報システムサービサーとなる事例が多く、クラウドに関する安全管理GLへの準拠性を示す開示書の策定要望やリモート保守における適正な対応が求められている課題を受けた対応

JAHIS標準「製造業者による医療情報セキュリティ開示書ガイド」を 「製造業者/サービス事業者による医療情報セキュリティ開示書ガイド」に改定
しHELICS標準化指針に採択ⓒ JAHIS 2023

課題を受けた対応

JAHIS標準「リモートサービスセキュリティガイドライン」に基づくリスクアセスメントの普及啓発活動を実施し、リモート保守のみならず様々なリモートサービスのリスクアセスメントに活⽤
4

JAHIS標準「製造業者/サービス事業者による医療情報セキュリティ開示書」ガイド
製造業者/サービス事業者の医療情報システムのセキュリティ機能に関する説明の標準的記載⽅法（書式）を定めた物。 最新版 Ver 4.0。
構成・チェックリスト（はい、いいえ、対象外で回答し、説明は備考欄に記載）
・チェック項目に関する記入⽅法の解説（Q＆A集も別途⽤意）

製造事業者向けMDS(Manufacturer Disclosure Statement)は、安全管理GLの各章の「C.
最低限のガイドライン」の技術的対策項目について、サービス事業者向けSDS:(ServicerDisclosure Statement）は、運⽤も含めた対策項目について、対応状況を記載する。
策定にあたっては、JAHIS/JIRAの合同WGにオブザーバとしてJEITA、ASPICのメンバーを加え、医療情報システム関連の業界団体が結集して検討を実施している。
（JIRA︔⽇本画像医療システム⼯業会、JEITA︓電⼦情報技術産業協会、ASPIC︓⽇本クラウド産業協会）

5ⓒ JAHIS 2023

「製造業者/サービス事業者による医療情報セキュリティ開示書」ガイド
医療機関等が新規システムやサービスを導入する際に安全管理GL準拠のために必要な事項をMDS（製造業者向け）、SDS（サービス事業者向け）を⽤いて確認する。

ⓒ JAHIS 2023

6

「製造業者/サービス事業者による医療情報セキュリティ開示書」ガイド
MDS作成支援のため、一般的な構成と考えられるサンプルシステムを構成し、それに対応したサンプルMDSを作成している。JAHISのWebページに公開するとともに啓発セミナー等でサンプルの解説を⾏い、会員各社の自社製品のMDS作成作業が円滑に⾏えるよう支援している。

サンプルMDSにおける想定システム（電⼦カルテ）の構成例
保守サイト

サンプルチェックシートの想定システム︓電⼦カルテ

保守用
クライアント・NTPサービス
・リモートアクセス・セキュリティパッチ

病院内設備

IP-VPN

中・⼤規模病院を想定

保守専用LAN

バックアップ
ディスク

リモート保守専用
クライアント

電⼦カルテ
データベースＲＡＩＤシステムやミラーシステム【対象外】
クライアントPC本体
およびそのOS

電⼦カルテサーバ
クラスタシステム
院内LAN

クライアント クライアント クライアント クライアント
スキャナ

診察室

病棟

事務課

7

ⓒ JAHIS 2023

リモートサービスセキュリティガイドライン
本ガイドラインでは、医療機関内の情報機器・システムを遠隔保守するケースのモデル 化を⾏い、そのモデルに対して ISMS（Information Security Management System）の⼿法に従ったリスクマネジメントの実施例を示す。それにより、医療機関の管理者、および遠隔保守を⾏うベンダが、実施例を参考にリスクアセスメントを実施することにより、情報資産を安全かつ効率的に保護することができるようになることを期待している。
策定にあたっては、JIPDEC（一般財団法人⽇本情報経済社会推進協会）と連携し、JAHIS標準改定作業の際にはISMSの最新動向・規格の内容の確認などで連携を実施。
ポイント︓・標準的なリモート保守モデルを定義（予防保守、ソフトウェア改定、故障対応、監視）・JISQ27001︓2014ならびにJISQ27002︓2014に対応したリスクアセスメントを実施
・汎⽤的なリモートサービスのリスクアセスメントに利⽤可能なテンプレートを作成
利活⽤例︓
・医療情報システムベンダー各社のリモート保守のリスクアセスメントに活⽤・オンライン資格確認のリスクアセスメントのベースに本ガイドラインを活⽤・電⼦処⽅箋のリスクアセスメントのベースに本ガイドラインを活⽤・ISO/TS11633-1︓2019、ISO/TR11633-2:2021として2分冊されてISO規格化ⓒ JAHIS 2023

8

サンプルモデルに対応したSLA例とSDS例の作成
リモート保守サービスの適正化に向けたリモート保守サービサ支援活動として、標準的なサービスモデルに基づくSLA例ならびに当該SLAに基づくSDS例を作成し、各社のリモート保守サービス設計を支援する活動を⾏う。（近⽇公開予定）（ SLA: Service Level Agreement SDS: Servicer Disclosure Statement ）保守サイト

サンプルチェックシートの想定システム︓電⼦カルテ

保守用
クライアント・NTPサービス
・リモートアクセス・セキュリティパッチ

病院内設備

IP-VPN

中・⼤規模病院を想定

保守専用LAN

バックアッ
プ
ディスク

リモート保守専用
クライアント

電⼦カルテ
データベースＲＡＩＤシステムやミラーシステム【対象外】
クライアントPC本体
およびそのOS

電⼦カルテサーバ
クラスタシステム
院内LAN

クライアント クライアント クライアント クライアント
スキャナ

診察室

病棟

事務課

リモート保守のサンプルモデルでは、MDSで⽤いられた電⼦カルテシステムに対するリモート保守を⾏う
サービスを前提にSLAとSDSが作成されており、MDSと整合を取ることで会員各社の理解を促進するようにしている。
9ⓒ JAHIS 2023

リモート保守サンプルモデルに対応したSLA
リモート保守サービスのサンプルSLA作成に当たっては業界において比較的一般的と考えられるサービス条件を設定し、その条件を踏まえたうえで、総務省・経済産業省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」別紙１のSLA参考例をベースとして作成している。

SLA参考例の項目と考え⽅、SLA参考例の具体的記載内容、リモート保守のSLAサンプルを並べて記載。必要に応じて解説の追記を実施し、会員各社のサービスにカスタマイズしやすいように配慮している。
ⓒ JAHIS 2023

10

リモート保守サンプルモデルに対応したSDS
リモート保守サービスのサンプルSLAに基づきそれと合致するサンプルSDSを提供することで会員各社のSDS作成をより円滑に⾏えるよう支援している。

注︓現⾏のサンプルSDSは5.1版対応となっているが、ＪＡＨＩＳ標準の改定に合わせて最新版に対応するようアップデートしていく予定である。

11ⓒ JAHIS 2023

会員各社へのサイバーセキュリティ啓発ポイント••••サイバー攻撃は引き⾦事象でそれによって起こるのは医療情報システムの異常である
医療情報システムの異常＝医療事故ではない
通常の情報セキュリティ対策で対処可能であればインシデントとして事態は収束する異常が⽣じたシステムを起因とする医療安全問題が発⽣した場合にアクシデントとなる
医療情報システムの異常に対する対策と引き⾦事象の予防の両⽅の対策が必要

引き⾦事象の予防はサイバーセキュリティを意識した対策が必要（セキュリティに100%はない→予防は発⽣確率を下げることが目的）

事象が起きた後は、やることは従来と一緒でサイバー攻撃に特化したものはない（例︓電⼦カルテデータの破壊はハードウェアの故障、従業員によるミスや悪意による削除でも発⽣する）

⾏うべき対策はサイバーセキュリティに特化したものだけではなく、常⽇頃から様々なセキュリティのリスクを踏まえた対応が必要

会員各社への依頼事項

・自社が提供するシステム・サービスに対する脆弱性の把握と可及的速やかな対応
・医療機関等からの問い合わせや相談に対する適切な対応と情報開示
・昨今の情報セキュリティ事故を踏まえた適切なシステム・サービス設計ⓒ JAHIS 2023

12

JAHISから会員各社への発信• 厚⽣労働省、内閣官房内閣サイバーセキュリティセンター（NISC)等からのセキュリティに関する通知を会員各社へ随時発信• 2023/1/17にJAHIS会員各社へ全員メールを発信– 医療機関の現場での声掛け、目視確認を呼びかけ

医療機関はすべてのVPN装置を把握していないことが多い

会員各社への依頼事項• サーバー室やONU近辺の目視確認• 自社導入製品だけではなく、他社導入製品に関しても声がけ

医療機関、ベンダーが一体となり、サイバーセキュリティ対策に⽴ち向かう流れへ
13ⓒ JAHIS 2023

JAHIS 2030ビジョン（データ循環型社会）

サイバーセキュリティへの対応が不可⽋

https://www.jahis.jp/about/contents_type=13ⓒ JAHIS 2023

14

健康で豊かな国民生活を保健医療福祉情報システムが支えます

一歩踏み出し、一言出しゃばり医療機関、ベンダーが共になってサイバーセキュリティに対する風⼟の醸成を︕︕

ご清聴ありがとうございましたⓒ JAHIS 2023