2024

7 3 ( )

2-2_

1
NTT-EAST Confidential
Confidential
NTT-EAST

(ID)2
NTT-EAST Confidential

3NTT-EAST Confidential
Confidential
NTT-EAST•

1-1

記入内容について 装置バージョン確認とは、実際に医療機関様拠点にお伺いし、回線に紐づく装置のバージョンを確認させていただく調査です。
調査を希望される場合は「調査希望あり」を選択してください。
詳細は次ページ以降の【補足①】を参照してください。
 脆弱性診断では、グローバルIPアドレスを持つ装置に対して、遠隔地からリモート接続により脆弱性調査を実施します。
調査を希望される場合は「調査希望あり」を選択してください。
詳細は7ページ以降の【補足②】を参照してください。
 電子カルテシステムの所属するネットワークとの接続では、各回線が、電子カルテシステムの所属しているネットワークと接続しているかをご確認ください。接続がある回線を本シートに記入し、「あり」を選択してください。
 貴院において院内全体の回線を管理されている方、各部門において回線を管理されている方、ネットワーク構成を把握されている方、電子カルテシステムを管理されている方、保守を依頼しているベンダの方に事実確認をお願いいたします。
4

NTT-EAST Confidential

•

1-2

装置バージョン確認実施内容について

 装置バージョン確認とは、現地調査当日に回線に紐づく装置に作業員がログインし、稼働中のバージョン情報を確認する調査です。
 装置バージョン確認にて「調査希望あり」を選択した場合、以下の内容を実施します。
・現地調査当日に、貴院内に設置された回線に紐づく装置へケーブルを接続し、ログインする。
・ログインした装置についてバージョンを確認し、バージョンの脆弱性やアップデートの必要性について調査する。

5
NTT-EAST Confidential

•

1-3

装置バージョン確認実施の際、貴院へのご依頼事項について

 装置バージョン確認の実施には条件があるため、正しい情報を回線・機器情報記入シート記入してください。
・通信形態にて、「インターネット」、「インターネットVPN」、「閉域網」のいずれかを選択している。(電話回線は対象外)
選択肢についての詳細は次ページ以降の【補足②】を参照してください。
・装置のメーカー、機種名をプルダウンリストより選択している。(8メーカー106機種が対象)
・装置がレンタル装置ではない。(レンタル機器は対象外)
・装置のアカウント/パスワードを「確認済み」である。(アカウント/パスワードが不明な場合、ログインできません) 装置バージョン確認の実施するため、現地調査当日にアカウント/パスワードの確認をお願いします。
・調査実施中に装置にログインする際、アカウント/パスワードを入力していただくよう、ご協力をお願いします。
6
NTT-EAST Confidential•

閉域網のため対象外

1-4

脆弱性診断実施内容について

 脆弱性診断では、グローバルIPアドレスを持つ装置に対して、遠隔地からリモート接続により脆弱性調査を実施します。
実施内容としては、対象装置のグローバルIPアドレスに対してのポートスキャン(TCP/UDP)になります。
ポートスキャンの結果、アクセス可能なポートが見つかった場合には、応答するポートに応じた脆弱性スキャンを実施します。
応答するポートの既知の脆弱性や設定の不備等によるセキュリティ上の問題点がないかを調査し、その結果をご報告させていただきます。
 リモートによる診断のため、インターネットとの通信が可能な回線が対象となります。
対象となる通信形態:インターネット、インターネットVPN (閉域網、電話回線は対象外)※脆弱性診断が実施できる場合の判断基準を【補足②】脆弱性診断実施判断表に記載しますので、ご参照ください。
 また、脆弱性診断の実施による業務影響は発生しない想定です。
7
NTT-EAST Confidential•

閉域網のため対象外

1-5

脆弱性診断実施の際、貴院へのご依頼事項について

 脆弱性診断実施のために、グローバルIPアドレスの確認をお願いします。
グローバルIPアドレスの確認、およびそれが固定IPか動的IPかの確認をしていただき、回線・機器情報記入シートにご記入ください。
※記入方法については、本資料の11ページ「3-1 記入内容について」以降を参照してください。
 グローバルIPアドレスが動的IPだった場合、脆弱性診断当日に医療機関様にてグローバルIPアドレスを確認し、情報の共有をお願いします。
動的IPの場合は事前にシステム担当者や、契約ベンダに、グローバルIPアドレスの確認方法をご確認ください。
 診断実施中は現地での立ち合いは不要ですが、有事の際には担当者様にご連絡を差し上げる場合がございますので、ご了承ください。

8NTT-EAST Confidential•9NTT-EAST Confidential•2

記入内容について 回線情報には、回線事業者と契約をされた際の情報の内、回線の用途、システム名、回線サービス名、回線ID、回線事業者、回線名義をご記入ください。
回線の用途、システム名はプルダウンリストから選択していただけますが、当てはまらない場合はその用途をご記入ください。
 貴院に引き込まれている回線を把握するために、回線サービス名や回線IDの管理が有用となります。
また、光回線を契約されている場合、回線IDは必ず払い出されております。
記入必須ではございませんが、回答へのご協力をお願いします。
 貴院において院内全体の回線を管理されている方、各部門において回線を管理されている方、回線契約を行っている方、保守を依頼しているベンダの方に情報の確認をお願いいたします。
10
NTT-EAST ConfidentialIP•3-1

記入内容について 通信形態には、「インターネット」、「インターネットVPN」、「閉域網」、「電話回線のみ」のいずれかを選択してください。
ー 1回線で複数の通信形態がある場合、各通信形態ごとに行を分けてご記入ください。
ー「閉域網」、「電話回線のみ」を選択した場合、それ以降のグレーアウト記入欄に記入していただく必要はございません。
詳細は次ページ以降の【補足③】を参照してください。
・インターネット＝不特定多数が利用可能な世界規模のネットワークのこと。
・閉域網＝不特定多数が利用できるネットワーク(インターネットなど)と接続されていないネットワークのこと。
(※ネットワーク＝複数のコンピューターが接続されているグループのこと)

VPN IP-VPN

・インターネットVPN＝インターネット内に、疑似的な専用の接続環境をつくる。
(インターネットVPNはインターネットを経由するため、必ずグローバルIPアドレスがございます。)
・IP-VPN＝インターネットを経由せず、専用の接続環境をつくる。
(IP-VPNはインターネットを経由しないため、閉域網となり、グローバルIPアドレスはございません。)
NTT-EAST Confidential11• 各通信形態を選択した場合の記入パターンは以下になる想定ですので、回線・機器情報記入シート作成の際、参考にしてください。

回線・機器情報記入シート 記入欄
IPIP/IPIPFDQN

VPN

12NTT-EAST Confidential

IP•

3-2

記入内容について グローバルIP利用には、グローバルIPアドレスを利用しているか「あり」、「なし」を選択してください。
通信形態にて「インターネット」、「インターネットVPN」を選択した場合、必ず「あり」となります。
ー グローバルIP利用にて、「なし」を選択した場合、それ以降のグレーアウト記入欄に記入していただく必要はございません。
ー グローバルIPアドレスには、「10.0.0.0～10.255.255.255」、「172.16.0.0～172.31.255.255」、「192.168.0.0～192.168.255.255」のいずれかの範囲のIPアドレスを入力しないでください。これらは、プライベートIPアドレスの範囲となります。
 固定IP/動的IPには、グローバルIPアドレスが変動しない「固定IP」か、変動する「動的IP」か選択してください。
グローバルIP利用にて「あり」を選択した場合、必ずどちらかを選択していただく必要がございます。
【追加ご依頼事項】
調査希望の脆弱性診断にて「調査希望あり」を選択し、かつ固定IP/動的IPにて「動的IP」を選択した場合、脆弱性診断の実施日にグローバルIPアドレスを確認の上、記入していただく必要がございます。
記入についての詳細は、本資料15ページの「3-3-2 記入内容について ー動的IPの場合ー」以降を参照してください。
NTT-EAST Confidential

13

IP

•

3-3-1

記入内容について ー固定IPの場合ー 固定IP/動的IPにて、「固定IP」を選択した場合、グローバルIPアドレスには、回線が使用しているグローバルIPアドレスをご記入ください。
グローバルIP利用にて「あり」を選択した場合、必ずグローバルIPアドレスを入力していただく必要がございます。
 脆弱性診断当日記入欄の動的グローバルIP確認、動的グローバルIPアドレスはグレーアウトになりますので、記入していただく必要はございません。

14NTT-EAST Confidential

IP

•

3-3-2

記入内容について ー動的IPの場合ー 固定IP/動的IPにて、「動的IP」を選択した場合、グローバルIPアドレスがグレーアウトになりますので、記入していただく必要はございません。
 脆弱性診断当日記入欄の動的グローバルIP確認、動的グローバルIPアドレスについてグレーアウトが解除され、セルの背景色が変化します。
 動的グローバルIP確認では、動的IPアドレスをもつ回線について、脆弱性診断の実施日のグローバルIPアドレスを確認していただいたかを選択してください。
従って、脆弱性診断の実施日まで記入していただく必要はございません。
 動的グローバルIPアドレスには、動的IPアドレスを持つ回線について、脆弱性診断実施日のローバルIPアドレスを確認したうえで、ご記入ください。
従って、脆弱性診断の実施日まで記入していただく必要はございません。
 脆弱性診断当日記入欄の記入については、次ページの【補足④】を参照してください。
NTT-EAST Confidential

15

IP
•

診断日当日まで、「別紙2-1_医療機関記入依頼書(回線・機器情報等記入)」の動的グローバルIP確認と動的グローバルIPアドレスに記入は不要です。

脆弱性診断当日に、最新版の「別紙2-1_医療機関記入依頼書(回線・機器情報等記入)」で調査希望の脆弱性診断にて「調査希望あり」を選択し、かつ固定IP/動的IPにて「動的IP」を選択している回線について、動的グローバルIP確認に「確認実施済み」、「確認実施不可」のどちらかを選択してください。
(グレーアウトが解除されている回線が対象です。)「確認実施済み」を選択した場合、動的グローバルIPアドレスに、脆弱性診断当日に確認したグローバルIPアドレスを記入してください。
当日の午前11時までに、情報を記入し、ご提出していただけるよう、ご協力をお願いします。

脆弱性診断当日に確認が取れた動的IPアドレスに対して、脆弱性診断を実施いたします。
(固定IPについては、事前に共有いただいたIPアドレスに対して診断を実施いたします。)
NTT-EAST Confidential

16

IP

•

3-3

記入内容について FQDNには、記入していただいたグローバルIPアドレスに対応するFQDNをご記入ください。
ー記入していただく場合、回線に紐づく装置(装置①)に対応したFQDNであるかをご確認の上、ご記入ください。
(回線に紐づく装置(装置①)については、19ページ以降を参照)
 FQDNを入力した場合、プロバイダ情報の記入欄のグレーアウトが解除されますので、プロバイダ情報もご記入ください。
プロバイダ情報には、プロバイダ名とプロバイダ品目をご記入ください。
貴院において院内全体の回線を管理されている方、各部門において回線を管理されている方、回線契約を行っている方、保守を依頼しているベンダの方に情報の確認をお願いいたします。

17
NTT-EAST Confidential•4

記入内容について 回線終端装置設置場所には、各回線を引き込むための装置であるONUやモデムなどの設置場所や設置位置をご記入ください。
棟や階数、部屋名、ラックに設置されている場合は、ラック番号、ユニット番号など、可能な限り詳しい設置場所をご記入ください。
的確な設置場所を事前にご指定いただくことで、当日の作業がスムーズになります。ご協力をお願いします。

18
NTT-EAST Confidential•5-1

記入内容について 装置①では、インターネット回線や回線終端装置に紐づく装置についてご記入ください。
 装置の種類には、「ルーター」、「ファイアウォール/UTM」のうち、使用しているものを選択してください。
 メーカーには、装置の種類の選択内容に対応したメーカーをご記入ください。
装置の種類にて「ルーター」を選択された場合、プルダウンリストより選択することもできます。
 機種名には、装置の種類の選択内容に対応したメーカーをご記入ください。
メーカーをプルダウンリストより選択した場合、対応した機種名より選択することもできます。
 レンタル装置では、装置①が回線/プロバイダ業者よりレンタルしている装置であるか、「はい」、「いいえ」から選択してください。
 ファームウェアバージョンには、装置の種類の選択内容に対応したファームウェアバージョンをご記入ください。
 設置場所には、装置の種類の選択内容に対応した設置場所や設置位置をご記入ください。
棟や階数、部屋名、ラックに設置されている場合は、ラック番号、ユニット番号など、可能な限り詳しい設置場所を記入してください。
的確な設置場所を事前にご指定いただくことで、当日の作業がスムーズになります。ご協力をお願いします。
 アカウント/パスワードでは、装置①にログインするためのアカウント(ログインID)とパスワードを把握されているかを、「確認済」、「未確認」から選択してください。
 貴院において院内全体の回線を管理されている方、各部門において回線を管理されている方、回線の設置に立ち会う方、ネットワーク構成を把握されている方、保守を依頼しているベンダの方に情報の確認をお願いいたします。
 パスワードポリシー確認について、詳細は次ページの【補足⑤】を参照してください。
NTT-EAST Confidential19• 推測されやすい文字列のパスワードを利用していると、犯罪者にネットワーク内に侵入されランサムウェアなどのマルウェアを仕込まれる確率が高まります。
 適切なパスワード管理がサイバーセキュリティ対策につながるため、「パスワードポリシー確認」を実施いたします。
 本事業は、外部接続を中心としたセキュリティの現状把握と今後の課題を各医療機関様に認識いただくことを目的としています。
本事業の回答内容・調査結果が他の事業へ波及したり、医療機関様に不利益や不都合を与えるものではありません。

5-2

記入内容について 桁数では、使用しているパスワードの桁数について、「8桁未満」、「8~12桁」、「13桁以上」から選択していください。
 文字混在では、使用しているパスワードで英数字や記号を組み合わせているか、「混在あり」、「混在なし」から選択してください。
 推測困難な文字列では、使用しているパスワードを知らない人でも推測できるパスワードを使用しているか、「はい」、「いいえ」から選択してください。
例として、ログインIDと同一である場合や既存の単語1語のみである場合などが、推測が容易な文字列として挙げられます。
 工場出荷時の設定から変更しているでは、パスワードを工場出荷時から変更し独自のパスワードにしているか、「はい」、「工場出荷時のパスワードを利用」、「わからない」のいずれかから選択してください。
 他の機器と共通のパスワードを使用しているでは、使用しているパスワードと同一のパスワードを他の装置でも使用しているか、「はい」、「いいえ」、「わからない」から選択してください。
 定期的な変更には、使用しているパスワードを変更しているかをご記入ください。
変更している場合には、「2ヶ月以内」、「6ヶ月以内」、「1年以内」、「1年以上」、「わからない」からあてはまる期間を選択してください。
20
NTT-EAST Confidential•6-1

記入内容について 装置②では、装置①に紐づく装置の中で「ルーター」、「ファイアウォール/UTM」のどちらかに該当する装置がございましたらご記入ください。
 装置の種類には、「ルーター」、「ファイアウォール/UTM」のうち、使用しているものを選択してください。
 メーカーには、装置の種類の選択内容に対応したメーカーをご記入ください。
装置の種類にて「ルーター」を選択された場合、プルダウンリストより選択することもできます。
 機種名には、装置の種類の選択内容に対応したメーカーをご記入ください。
メーカーをプルダウンリストより選択した場合、対応した機種名より選択することもできます。
 レンタル装置では、装置①が回線/プロバイダ業者よりレンタルしている装置であるか、「はい」、「いいえ」から選択してください。
 ファームウェアバージョンには、装置の種類の選択内容に対応したファームウェアバージョンをご記入ください。
 設置場所には、装置の種類の選択内容に対応した設置場所や設置位置をご記入ください。
棟や階数、部屋名、ラックに設置されている場合は、ラック番号、ユニット番号など、可能な限り詳しい設置場所を記入してください。
的確な設置場所を事前にご指定いただくことで、当日の作業がスムーズになります。ご協力をお願いします。
 アカウント/パスワードでは、装置②にログインするためのアカウント(ログインID)とパスワードを把握されているかを、「確認済」、「未確認」から選択してください。
 貴院において院内全体の回線を管理されている方、各部門において回線を管理されている方、回線の設置に立ち会う方、21
ネットワーク構成を把握されている方、保守を依頼しているベンダの方に情報の確認をお願いいたします。
NTT-EAST Confidential•

6-2

記入内容について 桁数では、使用しているパスワードの桁数について、「8桁未満」、「8~12桁」、「13桁以上」から選択していください。
 文字混在では、使用しているパスワードで英数字や記号を組み合わせているか、「混在あり」、「混在なし」から選択してください。
 推測困難な文字列では、使用しているパスワードを知らない人でも推測できるパスワードを使用しているか、「はい」、「いいえ」から選択してください。
例として、ログインIDと同一である場合や既存の単語1語のみである場合などが、推測が容易な文字列として挙げられます。
 工場出荷時の設定から変更しているでは、パスワードを工場出荷時から変更し独自のパスワードにしているか、「はい」、「工場出荷時のパスワードを利用」、「わからない」のいずれかから選択してください。
 他の機器と共通のパスワードを使用しているでは、使用しているパスワードと同一のパスワードを他の装置でも使用しているか、「はい」、「いいえ」、「わからない」から選択してください。
 定期的な変更では、使用しているパスワードを変更しているかをご記入ください。
変更している場合には、「2ヶ月以内」、「6ヶ月以内」、「1年以内」、「1年以上」、「わからない」からあてはまる期間を選択してください。
 貴院において回線を管理されている方、回線に紐づく装置を管理されている方、院内セキュリティを管理されている方、保守を依頼しているベンダの方に情報の確認をお願いいたします。
 その他、入力を希望される内容については備考にご記入ください。
NTT-EAST Confidential

22

23
NTT-EAST Confidential
Confidential
NTT-EAST•

1

記入内容について システム種別には、対象の調査端末が利用しているシステムをご記入ください。
プルダウンリストから選択していただけますが、当てはまらない場合はその用途をご記入ください。
 シンクラ利用は、対象の調査端末がシンクライアント端末(シンクラ)である場合、「はい」を選択してください。
シンクライアント端末(シンクラ)とは、クライアント側の端末(PC)では限られた処理しか行わず、アプリケーションの実行やデータの管理など、ほとんどの処理をサーバー側(仮想デスクトップ)で行う仕組みのことです。

24
NTT-EAST ConfidentialIP•

2

記入内容について 端末ホスト名には、対象の調査端末のホスト名(端末名)をご記入ください。
ー電子カルテシステムとの接続がある端末の選出をお願いします。
ー 部門を分散させることで異なる環境下の端末を調査することができるので、異なる部門毎に端末を選出することを推奨します。
 IPアドレスには、対象の調査端末のIPアドレスをご記入ください。
 設置場所には、対象の調査端末が設置されている場所をご記入ください。
棟や階数、部屋名、ラックに設置されている場合は、ラック番号、ユニット番号など、可能な限り詳しい設置場所をご記入ください。
的確な設置場所を事前にご指定いただくことで、当日の作業がスムーズになります。ご協力をお願いします。
25
NTT-EAST Confidential

IP•

3

※

記入内容について 端末ホスト名には、対象の調査端末のホスト名(端末名)をご記入ください。
 IPアドレスには、対象の調査端末のIPアドレスをご記入ください。

26
NTT-EAST Confidential•4

記入内容について セキュリティ対策製品には、対象の調査端末にインストールされているウイルス対策ソフトやEDRの製品名をご記入ください。
プルダウンリストから選択していただけますが、当てはまらない場合はその用途をご記入ください。
ーウイルス対策ソフトとEDRで別製品を導入している場合を想定し、2製品まで回答できる欄を用意しています。
1製品のみの場合は片側のみ記入し、ウイルス対策ソフトとEDRで異なるセキュリティ対策製品を利用している場合は、それぞれの製品名をご記入ください。
 備考には、調査を実施する際に留意してほしいことがあれば、その内容をご記入ください。
(端末操作可能な時間に制限がある場合 など)
27
NTT-EAST Confidential

28
NTT-EAST ConfidentialConfidential
NTT-EAST•1

記入内容について 「平面図貼り付け」と記入されているセルをクリックし、選択します。
 「挿入」タブをクリック⇒「図」アイコンをクリック⇒「画像」を選択⇒「セルに配置」をクリック⇒「このデバイス」を選択⇒貼り付けたい平面図の画像を選び、貼り付けてください。
29
NTT-EAST Confidential•2

記入内容について 平面図画像を複数枚貼り付けたい場合は、次の貼り付け欄を選択し、必要な枚数文、貼り付け手順を繰り返してください。
 ５枚以上貼り付けが必要な場合は、５枚目と設置場所不明枠の間の１９６行目～５４８行目を選択し、マウスを右クリック⇒再表示を選択し、貼り付け枠を増やしてください。

30
NTT-EAST Confidential•3

記入内容について 画像の貼り付け完了後、調査対象装置や調査対象端末の情報が入った吹き出しアイコンをクリックし、実際の設置場所にドラック＆ドロップして配置します。端末(PC)、回線終端装置(ONU)の吹き出しアイコンは、必ず配置いただくようにお願いします。装置①・装置②(ルータ/UTM/FW)
については、回線・機器情報記入シート「装置バージョン確認」の項目にて「調査希望あり」を選択された場合に、その装置の設置場所情報が必要となるため、可能な限り吹き出しアイコンの配置をお願いします。
 吹き出しアイコンをクリックし、オレンジ色の丸部分をドラッグ＆ドロップすることで、吹き出しのしっぽの位置や⾧さを自由に調節することができます。正確な位置を指定いただくように、調節をお願いします。
 設置場所が不明な装置や端末がある場合は、画面下部にある「設置場所不明枠」に配置をお願いします。
※設置場所が不明なものについては、調査不可となります。可能な限り設置場所を確認し、ご記入ください。
NTT-EAST Confidential

31

32
NTT-EAST Confidential
Confidential
NTT-EAST•(ID)注意事項

 アカウント(ログインID)・パスワードリストは、事務局への提出は不要です。
 対象装置を一覧表示し、アカウント/パスワードの確認が必要な装置、確認状況を管理いただくための補助資料となります。
 「別紙2-1_医療機関情報記入依頼書（回線・機器情報等記入）」を提出いただく際は、「アカウント(ログインID)・パスワードリスト」シートを削除いただくか、空欄のまま提出をお願いします。
 バージョン確認を実施する装置は、現地調査当日までに、アカウント/パスワードを確認いただくようお願いします。
 アカウント/パスワードが不明の場合、調査は不可能となり、現地調査の精度も低下します。
現地調査当日までに忘れずに情報を準備していただくよう、ご協力をお願いします。
NTT-EAST Confidential

33

(•1)

記入内容について メーカー、機種名の欄は、「回線・機器情報記入シート」に記入いただいたメーカー、機種名が自動的に入力されます。
そのため、入力いただく必要がありません。
 アカウント/ログインID、パスワードは、対象装置・端末にログインする際に必要な情報を確認し、ご記入ください。
アカウントやパスワードが不明な場合、システム管理者をはじめ、ベンダなどにも確認をお願いします。
 特権(enable)モードパスワードは、特権(enable)モードなどの切替が必要な装置(ネットワーク機器など)の場合、確認してご記入ください。
 備考の記入は任意です。特記すべき事項があれば、ご記入ください。
34
NTT-EAST Confidential