事務連絡

令和４年３月７日

公益社団法人

日本精神科病院協会

御中

厚生労働省医政局研究開発振興課
医 療 情 報 技 術 推 進 室

病院における医療情報システムのバックアップデータ及びリモートゲートウェイ装置に係る調査について（再依頼）

日頃より医療分野のサイバーセキュリティ対策に関し、格別の御配慮を賜り、厚く御礼申し上げます。
標記調査については、貴会のお力添えもあり、多数の病院からご回答をいただいたところです。一方で、昨今の海外情勢を踏まえ、医療分野においてもサイバー攻撃事案のリスクが非常に高まっています。
厚生労働省では、病院におけるサイバー攻撃のリスクを正確に把握するため、前回調査にてご回答をいただけなかった病院に対し、再度調査をすることといたしました。
調査方法については、前回調査に引き続き、別紙回答要領に基づき、医療機関等情報支援システム（G-MIS）を用いて行うこととしておりますので、貴会におかれては、貴会関係者に本調査についてご周知いただくとともに、対象医療機関への円滑かつ正確な報告の促進をお願い申し上げます。

【対象】
第１回調査（１月 27 日（木）～２月 14 日（月））にて未回答の病院。
※1 対象病院に対してのみ G-MIS より通知される予定です。
※2 なお、未回答の病院とは、「第１回調査において一時保存のまま回答されていない病院」も含まれます。
【期間】
３月８日（火）～３月 24 日（木）【回答方法】
別紙回答要領に基づき、G-MIS 上にて回答。
【照会先】① 調査の内容に関すること
厚生労働省医政局研究開発振興課医療情報技術推進室 担当者：岸本
080-1039-2621（公用携帯）
対応時間：10 時～17 時（ただし、土日祝日及び 11 時 30 分～12 時 30 分を除く）② G-MIS のログインや操作に関すること
G-MIS 事務局
0570-783-872
対応時間：9 時～17 時（土日祝日を除く）【備考及び注意事項】
 調査については第１回調査と同一項目で実施します。
 項目は同一ですが、異なるデータベース上で処理を行うため、第１回調査で一時保存された回答は、原則として再利用できません。
 第１回調査にご回答いただいた病院において、提出された回答に不備等がある場合の修正については、①へご連絡ください。

事務連

絡

令和４年３月７日

各

都 道 府 県
保健所設置市 衛生主管部（局）
特別 区

御中

厚生労働省医政局研究開発振興課
医 療 情 報 技 術 推 進 室

病院における医療情報システムのバックアップデータ及びリモートゲートウェイ装置に係る調査について（再依頼）

日頃より医療分野のサイバーセキュリティ対策に関し、格別の御配慮を賜り、厚く御礼申し上げます。
標記調査については、関係各位のお力添えもあり、多数の病院からご回答をいただいたところです。一方で、昨今の海外情勢を踏まえ、医療分野においてもサイバー攻撃事案のリスクが非常に高まっています。
厚生労働省では、病院におけるサイバー攻撃のリスクを正確に把握するため、前回調査にてご回答をいただけなかった病院に対し、再度調査をすることといたしました。
調査方法については、前回調査に引き続き、別紙回答要領に基づき、医療機関等情報支援システム（G-MIS）を用いて行うこととしておりますので、都道府県におかれては、管内の保健所設置市及び特別区等の関係機関と連携し、対象医療機関への円滑かつ正確な報告の促進をお願い申し上げます。
なお、保健所設置市及び特別区におかれては、本事務連絡の内容について御了知いただ
くとともに、都道府県と連携して御対応くださいますようお願い申し上げます。

【対象】
第１回調査（１月 27 日（木）～２月 14 日（月））にて未回答の病院。
※1 対象病院に対してのみ G-MIS より通知される予定です。
※2 なお、未回答の病院とは、「第１回調査において一時保存のまま回答されていない病院」も含まれます。
【期間】
３月８日（火）～３月 24 日（木）【回答方法】
別紙回答要領に基づき、G-MIS 上にて回答。
【照会先】① 調査の内容に関すること
厚生労働省医政局研究開発振興課医療情報技術推進室 担当者：岸本
080-1039-2621（公用携帯）
対応時間：10 時～17 時（ただし、土日祝日及び 11 時 30 分～12 時 30 分を除く）② G-MIS のログインや操作に関すること
G-MIS 事務局
0570-783-872
対応時間：9 時～17 時（土日祝日を除く）【備考及び注意事項】
 調査については第１回調査と同一項目で実施します。
 項目は同一ですが、異なるデータベース上で処理を行うため、第１回調査で一時保存された回答は、原則として再利用できません。
 第１回調査にご回答いただいた病院において、提出された回答に不備等がある場合の修正については、①へご連絡ください。

別紙

病院における医療情報システムのバックアップデータ及びリモートゲートウェイ装置に係る調査に係る回答要領
依頼事項
 本回答要領に基づき、病院における医療情報システムのバックアップデータ及びリモートゲートウェイ装置に係る調査（以下「本調査」という。）の設問に回答してください。
 回答に当たっては、提出後の修正等作業をできるだけ防ぐだめ、必ず本回答要領を確認してください。


技術的な質問・用語等については、院内担当者だけでなく、システム設置事業者や保守事業者への照会等も活用して回答してください。

【電子カルテシステムのバックアップに係る質問関係】
１．回答者の情報回答者の氏名、所属、連絡先を記載してください。なお、後日内容の確認のため、厚生労働省より回答者に対し連絡をさせていただく可能性があります。
２．セキュリティ責任者を設置しているか
システム障害時の対応や、問題発生の原因調査、セキュリティ対策訓練に関して責任がある、セキュリティ責任者を職員として配置しているか。また、セキュリティ責任者を医療情報システムの責任者とは、別に、配置しているか。
回答を選択してください。
３．医療情報システムの安全管理に関するガイドライン及びそれを基としたチェックリスト等を活用しているか。
厚生労働省が定めている、

医療情報システムの安全管理に関するガイドライン
同ガイドラインを基にした「医療機関のサイバーセキュリティ対策チェックリスト」及び「医療情報システム等の障害発生時の対応フローチャート」を活用しているか回答を選択してください。
（参考）
医療情報システムの安全管理に関するガイドライン 第 5.1 版（令和 3 年 1月）https://www.mhlw.go.jp/stf/shingi/0000516275.html

別紙

４．システム障害発生時等において詳細な緊急対応手順を整備し、定期的に訓練しているか
システム障害時や不正アクセスが顕在化した際に、速やかに連絡するべき者（※）を院内に平時から確認・周知することが必須です。障害や不正の発生個
所特定のための分析や切り分けの具体的な技術手順、代替措置のための機器や環境整備、緊急対応のための技術的措置に必要な設計資料やマニュアル、認証等の情報を常時最新化し、緊急対応が発生した際に対応が可能な状態である
か、また、それらの情報を医療情報システムの担当者と導入事業者が一体となって定期的に点検しているか、回答を選択してください。
（※）具体的には、医療情報システムの完全管理に関するガイドラインに記載されている
医政局研究機発振興課医療情報技術推進室 03-3595-2430
情報処理推進機構 情報セキュリティ安心相談窓口 03-5978-7509の他、必要に応じて事業者、捜査機関等にも適切に情報提供すること。

５．電子カルテシステムを使用しているか診療録の記載・保存を電子カルテシステムで行っているか回答を選択してください。なお、本問でいう電子カルテシステムとは、オーダリングシステム
オーダリング機能、画像管理等の部門システム及び診療録を電子的に記録する機能を備えた統合的な医療情報システムを指します。なお、電子カルテシステムを使用していない場合は、７．までは回答不要となります。

６．電子カルテシステムのバックアップデータは作成しているか
サイバー攻撃や災害等で電子カルテシステムのデータが消失又は使用不可能な状態（暗号化等）になった場合でも、バックアップデータを作成し、診療におおきな支障がないように復旧が可能となるように定期的にテストを行っているか回答を選択してください。

別紙

７．バックアップデータは世代管理しているか
電子カルテシステムのバックアップデータについて、世代管理をしているか回答を選択してください。ただし、具体的な管理方法までを問うものではありません。
なお、世代管理とは最新のバックアップデータだけでなく、それ以前のバックアップデータも管理することを指します。例えば、１日１回バックアップデータを作成している環境で「３世代管理」といえば、３日前までのデータまでさかのぼれることが可能となります。
８．バックアップデータについて、サイバー攻撃による汚損や破壊、火災や自然災害による消失等同時災害を回避する方法で管理しているか
作成しているバックアップデータについて、例えば遠隔地のサーバに保管、世代ごとにオフラインで保存するなど、不測の事態に備えた保管方法をとっているか回答を選択してください。ただし、具体的な管理方法まで問うものではありません。
９．バックアップデータの漏洩対策を講じているか
作成しているバックアップデータが仮にサイバー攻撃等を受け漏洩する事態が起こった場合等においても、解読できないような対策（暗号化や秘密分散管理等）を講じているか回答を選択してください。ただし、具体的な管理方法まで問うものではありません。

別紙【リモートゲートウェイ装置に係る質問関係】
本項目については、回答に当たり院内のサーバ室等を確認し、リモートゲートウェイ装置（以下、「VPN 装置」という）が存在するか確認してください。
１０．VPN 装置が存在するか。
医療情報システム（※）の保守点検等を目的とし、事業者とシステムを接続するために VPN 装置を設置している場合が多々あります。
システム設置業者や保守業者などに照会し、当該機器が設置されているか回答を選択してください。設置されていない場合は、以降の設問は回答不要となります。
（※）医療情報システムとは、オーダリングシステム、電子カルテシステム、レセプト電算システム（審査請求受付も含む）、画像・検査等の各部門シ
ステム、地域医療ネットワークシステム、PHR 等、病院における診療を補助するためのシステム全般を指します。
１１．VPN 装置のメーカー名、型番、台数を全て記載すること
上記で確認した VPN 装置について記載してください。（記述方式）
１２．内閣サイバーセキュリティセンター（NISC）や厚生労働省の注意喚起を基に VPN 装置のアップデートを適切に行っているか
NISC や厚生労働省では、医療セプターや都道府県・地方厚生局宛にサイバーセキュリティ対策に係る情報を提供しています。それらの情報を基に、VPN装置のアップデートを適切に行っているか、回答を選択してください。
（参考）
内閣サイバーセキュリティセンターランサムウェア特設ページ
https://security-portal.nisc.go.jp/stopransomware/
１３．VPN 装置へのアクセス元 IP アドレスを保守業者等に制限しているか
VPN 装置への不正アクセスを防ぐため、アクセス元 IP アドレスを制限しているか、回答を選択してください。保守業者がアクセスするだけで機能を果たせると考えられ、それ以外のアクセスについては制限されるのが一般的です。保守事業者に照会し、現状を確認してください。

別紙

１４．VPN 装置へのアクセス記録を定期的に分析・監査しているか不正アクセス防止の観点から VPN 装置へのアクセスをログ等に記録し、かつ、記録に不正な傾向がないか定期的に（例えば年 1 回）分析・監査をしているか回答を選択してください。
サイバー攻撃を受けた医療機関においても、不正アクセスの記録が残っていることがあり、それらを把握することができていれば被害を防げていた可能性もあります。