医療機関・薬局への導入におけるオンライン資格確認等システムとの接続に係るネットワーク連携のパターンの参考例

はじめに
•
•

医療機関等ONS等での問い合わせ傾向を踏まえて、医療機関・薬局への導入におけるオンライン資格確認等システムとの接続に係るネットワーク連携のパターンの参考例の整理を行いました。また、レセプトコンピュータ等の機能を資格確認端末に搭載（もしくはレセプトコンピュー
タ等端末にアプリケーションソフト等を搭載）する連携パターン例も示します。
なお、医療機関・薬局への導入に当たっては、連携パターンを参考の上、医療機関・薬局にて「医療情報システムの安全管理に関するガイドライン第５版」に準拠し、必要なセキュリティ対策を行ってください。

2

IP-VPN〇導入後想定：基本的な構成例（資格確認端末が1台もしくは複数台のケース）【技術解説書1.0版 図2.3.2-2、2₋3 基本的な構成例（資格確認端末が１台のケース）（資格確認端末が複数台のケース）からの変更点】• オンライン請求端末～ONUの間をHUBからルータBに変更。
• 資格確認端末内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策をルータBで担うため、記載削除。
• ルータAにて実現する仕組みを具体的な記載に修正。
凡例：

2つの異なる接続方式（院内IPv4、基金IPv6）に接続するため、ネットワークイン
ターフェースカード(NIC)の追加等によるLANポートを増設（数千円~）する。

医療機関・薬局
顔認証付き
カードリーダー

アプリ
ケーション
ソフト等

レセプトコンピュータ等か
ら資格確認端末へリク
エストを投げる形とし、資格確認端末内に一時格納された資格情報/薬剤情報/特定健診情報を取得する。
※端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除す
る。

ルータB

電子
証明書

レセプトコンピュータ（サーバ）
電子カルテシステム/
調剤システム端末
電子カルテシステム/
調剤システム（サーバ）
自動再来受付機※病院のみ

IPv４
PPPoEセッション(IPv4) （オンライン請求）
O
N
U

閉域IP網

オンライン請求システム

IPoEセッション(IPv6)
ルータA

レセプトコンピュータ
端末

支払基金・国保中央会

オンライン請求端末

資格確認端末ネットワークセッション方向
PPPoEセッション
IPoEセッション

新規にルータBを導入し、以下の仕組みを実現する。
• 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能の有効化
オンライン資格• オンライン請求システムへの接続のための確認等システム
PPPoEパススルー設定
IPv６※上記仕組みを実現する方法については、（オンライン資格確認等）
ルータBを用いる方法以外にも、医療機関・薬局の判断に応じて適宜ご検討ください。

IPv４（院内/局内）現存、若しくは新規ルータAを用いて以下の仕組みを実現する。
• 資格確認端末と接続するためのルーティングの設定• レセプトコンピュータ等から資格確認端末への通信を許可
し、資格確認端末からレセプトコンピュータ等への通信を拒否するためのステートフルインスペクション機能の有効化※上記仕組みを実現する方法については、ルータAを用いる方法以外にも、医療機関・薬局の実情に応じて適宜ご検討ください。

ハードウェア※ 電子証明書：オンライン資格確認用電子証明書※ 「セッション方向」とは、起点からの方向を指しているものであり、情報のやり取りは双方向で行われる※ IP-VPN回線業者によってはオンライン請求で利用しているPPPoEセッションを利用しIPv4接続方式でオンライン資格確認等システムへ接続する※ 資格確認端末に顔認証付きカードリーダーおよび汎用カードリーダーの両方を接続している場合マイナンバーカードによる資格情報照会は実施できないため、1台のみ接続する

システム

3

IP-VPN〇導入後想定：オンライン請求と資格確認を一台の端末で実施する場合の構成例【技術解説書1.0版 図2.3.2₋4 オンライン請求未対応の施設がオンライン請求と併せて開始する場合の構成例からの変更点】• オンライン請求端末～ONUの間をHUBからルータBに変更。
• 資格確認端末内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策をルータBで担うため、記載削除。
• ルータAにて実現する仕組みを具体的な記載に修正。
凡例：
ネットワーク
2つの異なる接続方式（院内IPv4、基金IPv4/v6）に接続するため、ネットワー
クインターフェースカード(NIC)の追加等によるLAN
ポートを増設（数千円~）する。

セッション方向
PPPoEセッション
IPoEセッション
顔認証付き
カードリーダー※端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除す
る。

ルータB

電子
証明書

レセプトコンピュータ（サーバ）
電子カルテシステム/
調剤システム端末
電子カルテシステム/
調剤システム（サーバ）
自動再来受付機
※病院のみ

O
N
U

閉域IP網

オンライン請求システム

IPoEセッション(IPv6)
ルータA

レセプトコンピュータ
端末

支払基金・国保中央会
IPv４（オンライン請求）

PPPoEセッション(IPv4)

資格確認端末/オン請求端末
アプリ
ケーション
ソフト等

レセプトコンピュータ等か
ら資格確認端末へリク
エストを投げる形とし、資格確認端末内に一時格納された資格情報/薬剤情報/特定健診情報を取得する。

医療機関・薬局

新規にルータBを導入し、以下の仕組みを実現する。
• 外部ネットワークからのアクセスを制限するためのス
テートフルインスペクション機能の有効化• オンライン請求システムへの接続のためのPPPoEパ
オンライン資格
ススルー設定確認等システム※上記仕組みを実現する方法については、ルータBをIPv６用いる方法以外にも、医療機関・薬局の判断に応じ（オンライン資格確認等）て適宜ご検討ください。

現存、若しくは新規ルータAを用いて以下の仕組みを実現する。
• 資格確認端末と接続するためのルーティングの設定• レセプトコンピュータ等から資格確認端末への通信を許可し、資格確認端末からレセプトコンピュータ等への通信を拒否するため
IPv４のステートフルインスペクション機能の有効化（院内/局内） ※上記仕組みを実現する方法については、ルータAを用いる方法
以外にも、医療機関・薬局の実情に応じて適宜ご検討ください。

※ 電子証明書：オンライン資格確認用電子証明書
ハードウェア※ 「セッション方向」とは、起点からの方向を指しているものであり、情報のやり取りは双方向で行われる※ IP-VPN回線業者によってはオンライン請求で利用しているPPPoEセッションを利用しIPv4接続方式でオンライン資格確認等システムへ接続する※ IPv6接続方式にて同一端末で「オンライン資格確認等システム」と「オンライン請求システム」を同時利用は、わずかに遅延が発生する可能性があるため、非推奨
IPv4接続方式の場合は IP-VPN回線事業者に確認の上設定する※ 資格確認端末に顔認証付きカードリーダーおよび汎用カードリーダーの両方を接続している場合マイナンバーカードによる資格情報照会は実施できないため、1台のみ接続する

システム

4

IP-VPN〇導入後想定：資格確認端末にレセプトコンピュータ等の機能を搭載する場合の構成例

凡例：

医療機関・薬局
レセプトコンピュータ等が資格確認端末の要件であるOS（Windows10
IoT Enterprise LTSC
2019等）で動作するか
システムベンダで確認・対応する必要あり。

顔認証付き
カードリーダー

支払基金・国保中央会

資格確認端末レセプトコンピュータ等とア
プリケーション等が干渉する可能性があるため、動作検証する必要あり。
※レセプトコンピュータ等のバージョンアップやセキュ
リティパッチ対応の度にシ
ステムベンダにて対応いた
だく。

アプリ
ケーション
ソフト等

電子
証明書

IPv４
（オンライン請求）

PPPoEセッション(IPv4)（Windows10 IoTEnterprise 2019 LTSC等）
レセプト
コンピュータ

資格確認端末のアプリ
ケーション等で実施しているのと同様に、一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい。

ネットワークPPPoEセッション
IPoEセッション

ルータ

O
N
U

オンライン請求
システム

閉域IP網

IPoEセッション(IPv6)
新規にルータを導入し、以下の仕組みを実現する。
• 外部ネットワークからのアクセスを制限するためのス
テートフルインスペクション機能の有効化• オンライン請求システムへの接続のためのPPPoEパ
オンライン資格
ススルー設定確認等システム• 内部ネットワークからは特定の接続先のみアクセス
IPv６
できるよう通信許可設定を実施し、不正な外部へ （オンライン資格確認等）の接続を制限する。
※上記仕組みを実現する方法については、ルータを用いる方法以外にも、医療機関・薬局の判断に応じて適宜ご検討ください。

ハードウェア※ 電子証明書：オンライン資格確認用電子証明書、オンライン請求用電子証明書※ レセプトコンピュータの構成によって、サーバ等を設置する構成もあり※ 資格確認端末の要件であるOSとは、「資格確認端末において満たすべき要件」に示しているOSを指す※ レセプトコンピュータの構成としてサーバ等を設置している場合、ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う※ IP-VPN回線業者によってはオンライン請求で利用しているPPPoEセッションを利用しIPv4接続方式でオンライン資格確認等システムへ接続する※ 資格確認端末に顔認証付きカードリーダーおよび汎用カードリーダーの両方を接続している場合マイナンバーカードによる資格情報照会は実施できないため、1台のみ接続する

システム

5

IP-VPN〇導入後想定：レセプトコンピュータ等端末に資格確認端末の機能を搭載する場合の構成例
資格確認端末において満たすべき要件以外のマイナンバーカード処理ソフト・オンライン資格確
認等連携ソフトが動作する対象OS• Windows10Pro• Windows10 Enterprise SAC• Windows10 IoT Enterprise SAC＜補足＞
サポート対象OSについて、OSにおけるサポートライフサイクル
やサポート期間、医療機関・薬局での利用状況を踏まえて、
Windows OSを選定している。
（令和2年8月時点）

凡例：

医療機関・薬局

顔認証付き
カードリーダー（Windows10Pro等）

レセプトコンピュータ等とア
プリケーション等が干渉する可能性があるため、動作検証する必要あり。
※レセプトコンピュータ等のバージョンアップやセキュ
リティパッチ対応の度にシ
ステムベンダにて対応いた
だく。

アプリ
ケーション
ソフト等

電子
証明書

支払基金・国保中央会

IPv４（オンライン請求）

PPPoEセッション(IPv4)

レセプトコンピュータ等端末

レセプト
コンピュータ

資格確認端末のアプリ
ケーション等で実施しているのと同様に、一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい。

ネットワークPPPoEセッション
IPoEセッション

ルータ

O
N
U

オンライン請求
システム

閉域IP網

IPoEセッション(IPv6)
新規にルータを導入し、以下の仕組みを実現する。
• 外部ネットワークからのアクセスを制限するためのス
テートフルインスペクション機能の有効化• オンライン請求システムへの接続のためのPPPoEパ
オンライン資格
ススルー設定確認等システム• 内部ネットワークからは特定の接続先のみアクセス
IPv６
できるよう通信許可設定を実施し、不正な外部へ （オンライン資格確認等）の接続を制限する。
※上記仕組みを実現する方法については、ルータを用いる方法以外にも、医療機関・薬局の判断に応じて適宜ご検討ください。

※ 電子証明書：オンライン資格確認用電子証明書、オンライン請求用電子証明書※ レセプトコンピュータの構成によって、サーバ等を設置する構成もあり※ レセプトコンピュータの構成としてサーバ等を設置している場合、ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う※ IP-VPN回線業者によってはオンライン請求で利用しているPPPoEセッションを利用しIPv4接続方式でオンライン資格確認等システムへ接続する

ハードウェアシステム

6

IPsec+IKE（ルータ型）〇導入後想定：基本的な構成例（資格確認端末が1台もしくは複数台のケース）【技術解説書1.0版 図2.3.2-6、2₋7 基本的な構成例（資格確認端末が１台のケース）（資格確認端末が複数台のケース）からの変更点】• ルータ型であるため、オンライン請求端末～ONUの間をHUBからルータBに変更。
• 資格確認端末内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策を現存するルータBで担うため、記載削除。
• 資格確認端末での通信接続方式がIPv4のみであり、通信経路の物理的対策は不要となったため、ネットワークインターフェースカードの追加を削除。
• ルータAにて実現する仕組みを具体的な記載に修正。
凡例：

医療機関・薬局
顔認証付き
カードリーダー

レセプトコンピュータ等か
ら資格確認端末へリク
エストを投げる形とし、資格確認端末内に一時格納された資格情報/薬剤情報/特定健診情報を取得する。
※端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除す
る。

ルータB

電子
証明書

レセプトコンピュータ（サーバ）

電子カルテシステム/
調剤システム（サーバ）
自動再来受付機※病院のみ

IPv４（オンライン請求）
O
N
U

インターネット

IPsecを構成するルータにおいて、外部ネットワークからのアクセスが制限されていることを確認する。

レセプトコンピュータ
端末

電子カルテシステム/
調剤システム端末

支払基金・国保中央会
オンライン請求端末

資格確認端末
アプリ
ケーション
ソフト等

ルータA
IPv４
（院内/局内）ネットワークセッション方向
IPsecトンネル

オンライン請求システム

オンライン資格
IPv４
確認等システム（オンライン資格確認等）

現存、若しくは新規ルータAを用いて以下の仕組みを実現する。
• 資格確認端末と接続するためのルーティングの設定• レセプトコンピュータ等から資格確認端末への通信を許可し、資格確認端末からレセプトコンピュータ等への通信を拒否するためのステートフ
ルインスペクション機能の有効化※上記仕組みを実現する方法については、ルータAを用いる方法以外にも、医療機関・薬局の実情に応じて適宜ご検討ください。

ハードウェア※ 電子証明書：オンライン資格確認用電子証明書※ 「セッション方向」とは、起点からの方向を指しているものであり、情報のやり取りは双方向で行われる※ 資格確認端末に顔認証付きカードリーダーおよび汎用カードリーダーの両方を接続している場合マイナンバーカードによる資格情報照会は実施できないため、1台のみ接続する

システム

7

IPsec+IKE（ルータ型）〇導入後想定：オンライン請求未対応の施設がオンライン請求と併せて開始する場合の構成例【技術解説書1.0版 図2.3.2₋8 オンライン請求未対応の施設がオンライン請求と併せて開始する場合の構成例からの変更点】• ルータ型であるため、オンライン請求端末～ONUの間をHUBからルータBに変更。
• 上記に伴い、ルータにて通信経路を振り分けるため、LANポート差し抜き運用の記載を削除。
• 資格確認端末内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策を現存するルータBで担うため、記載削除。
• 資格確認端末での通信接続方式がIPv4のみであり、通信経路の物理的対策は不要となったため、ネットワークインターフェースカードの追加を削除。
• ルータAにて実現する仕組みを具体的な記載に修正。
凡例：
ネットワークセッション方向
IPsecトンネル

医療機関・薬局支払基金・国保中央会
IPv４（オンライン請求）

顔認証付き
カードリーダー
資格確認端末/オン請求端末

アプリ
ケーション
ソフト等

レセプトコンピュータ等か
ら資格確認端末へリク
エストを投げる形とし、資格確認端末内に一時格納された資格情報/薬剤情報/特定健診情報を取得する。
※端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除す
る。

ルータB

電子
証明書

インターネット

IPsecを構成するルータにおいて、外部ネットワークからのアクセスが制限されていることを確認する。

レセプトコンピュータ
端末
レセプトコンピュータ（サーバ）
電子カルテシステム/
調剤システム端末
電子カルテシステム/
調剤システム（サーバ）
自動再来受付機
※病院のみ

O
N
U

ルータA
IPv４
（院内/局内）オンライン請求システム

オンライン資格
IPv４
確認等システム（オンライン資格確認等）

現存、若しくは新規ルータAを用いて以下の仕組みを実現する。
• 資格確認端末と接続するためのルーティングの設定• レセプトコンピュータ等から資格確認端末への通信を許可し、資格確認端末からレセプトコンピュータ等への通信を拒否するためのステートフ
ルインスペクション機能の有効化※上記仕組みを実現する方法については、ルータAを用いる方法以外にも、医療機関・薬局の実情に応じて適宜ご検討ください。

ハードウェア※ 電子証明書：オンライン資格確認用電子証明書※ 「セッション方向」とは、起点からの方向を指しているものであり、情報のやり取りは双方向で行われる※ 資格確認端末に顔認証付きカードリーダーおよび汎用カードリーダーの両方を接続している場合マイナンバーカードによる資格情報照会は実施できないため、1台のみ接続するシステム
8

IPsec+IKE（ルータ型）〇導入後想定：資格確認端末にレセプトコンピュータ等端末の機能を搭載する場合の構成例

凡例：

医療機関・薬局
レセプトコンピュータ等が資格確認端末の要件であるOS（Windows10
IoT Enterprise LTSC
2019等）で動作するか
システムベンダで確認・対応する必要あり。

レセプトコンピュータ等とア
プリケーション等が干渉する可能性があるため、動作検証する必要あり。
※レセプトコンピュータ等のバージョンアップやセキュ
リティパッチ対応の度にシ
ステムベンダにて対応いた
だく。

支払基金・国保中央会

顔認証付き
カードリーダーIPv４（オンライン請求）
O
N
U

資格確認端末（Windows10 IoTEnterprise 2019 LTSC等）
アプリ
ケーション
ソフト等

電子
証明書

ネットワーク
IPsecトンネル

ルータ

インターネット

オンライン請求システム

レセプト
コンピュータ•
資格確認端末のアプリ
ケーション等で実施しているのと同様に、一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい。

•

IPsecを構成するルータにおいて、
外部ネットワークからのアクセスが制限されていることを確認する。
内部ネットワークからはHISPRO
オンライン資格
適合性評価を取得したIPsecに
IPv４
確認等システムのみ接続する設定になっているこ（オンライン資格確認等）とを確認する。

ハードウェア※ 電子証明書：オンライン資格確認用電子証明書、オンライン請求用電子証明書※ レセプトコンピュータの構成によって、サーバ等を設置する構成もあり※ 資格確認端末の要件であるOSとは、「資格確認端末において満たすべき要件」に示しているOSを指す※ レセプトコンピュータの構成としてサーバ等を設置している場合、ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う※ 資格確認端末に顔認証付きカードリーダーおよび汎用カードリーダーの両方を接続している場合マイナンバーカードによる資格情報照会は実施できないため、1台のみ接続する

システム

9

IPsec+IKE（ルータ型）〇導入後想定：レセプトコンピュータ等端末に資格確認端末の機能を搭載する場合の構成例
資格確認端末において満たすべき要件以外のマイナンバーカード処理ソフト・オンライン資格確
認等連携ソフトが動作する対象OS• Windows10Pro• Windows10 Enterprise SAC• Windows10 IoT Enterprise SAC＜補足＞
サポート対象OSについて、OSにおけるサポートライフサイクル
やサポート期間、医療機関・薬局での利用状況を踏まえて、
Windows OSを選定している。
（令和2年8月時点）

凡例：

医療機関・薬局支払基金・国保中央会

顔認証付き
カードリーダーIPv４（オンライン請求）

レセプトコンピュータ等端末（Windows10Pro等）

レセプトコンピュータ等とア
プリケーション等が干渉する可能性があるため、動作検証する必要あり。
※レセプトコンピュータ等のバージョンアップやセキュ
リティパッチ対応の度にシ
ステムベンダにて対応いた
だく。

アプリ
ケーション
ソフト等

電子
証明書

ネットワーク
IPsecトンネル

O
N
U

ルータ

インターネット

オンライン請求システム

レセプト
コンピュータ•
資格確認端末のアプリ
ケーション等で実施しているのと同様に、一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい。

•

IPsecを構成するルータにおいて、
外部ネットワークからのアクセスが制限されていることを確認する。
内部ネットワークからはHISPRO
オンライン資格
適合性評価を取得したIPsecに
IPv４
確認等システムのみ接続する設定になっているこ（オンライン資格確認等）とを確認する。

※ 電子証明書：オンライン資格確認用電子証明書、オンライン請求用電子証明書※ レセプトコンピュータの構成によって、サーバ等を設置する構成もあり※ レセプトコンピュータの構成としてサーバ等を設置している場合、ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う

ハードウェアシステム

10IPsec+IKE（クライアント型/PCキー型/
USBキー型）〇導入後想定：基本的な構成例（資格確認端末が1台もしくは複数台のケース）【技術解説書1.0版 図2.3.2-6、2₋7 基本的な構成例（資格確認端末が１台のケース）（資格確認端末が複数台のケース）からの変更点】• ルータ型であるため、オンライン請求端末～ONUの間をHUBからルータBに変更し、実現する仕組みを具体的に記載。
• 資格確認端末内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策を現存するルータBで担うため、記載削除。
• 資格確認端末での通信接続方式がIPv4のみであり、通信経路の物理的対策は不要となったため、ネットワークインターフェースカードの追加を削除。
• ルータAにて実現する仕組みを具体的な記載に修正。
凡例：

顔認証付き
カードリーダー

医療機関・薬局

レセプトコンピュータ等か
ら資格確認端末へリク
エストを投げる形とし、資格確認端末内に一時格納された資格情報/薬剤情報/特定健診情報を取得する。
※端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除する。

支払基金・国保中央会
IPv４（オンライン請求）オンライン請求端末

ルータB

資格確認端末
アプリ
ケーション
ソフト等

ネットワークセッション方向
IPsecトンネル

O
N
U

オンライン請求システム

インターネット

電子証明書

ルータBの設置がない場合、新規にルータBを導入し、以下の仕組みを実現する。
• 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能の有効化
オンライン資格※上記仕組みを実現する方法については、確認等システム
ルータBを用いる方法以外にも、医療機関・
IPv４
薬局の判断に応じて適宜ご検討ください。 （オンライン資格確認等）

レセプトコンピュータ
端末
レセプトコンピュータ（サーバ）
電子カルテシステム/
調剤システム端末
電子カルテシステム/
調剤システム（サーバ）
自動再来受付機
※病院のみ

ルータA
IPv４
（院内/局内）現存、若しくは新規ルータAを用いて以下の仕組みを実現する。
• 資格確認端末と接続するためのルーティングの設定• レセプトコンピュータ等から資格確認端末への通信を許可し、資格確認端末からレセプトコンピュータ等への通信を拒否する
ためのステートフルインスペクション機能の有効化※上記仕組みを実現する方法については、ルータAを用いる方法
以外にも、医療機関・薬局の実情に応じて適宜ご検討ください。

ハードウェア※ 電子証明書：オンライン資格確認用電子証明書※ 「セッション方向」とは、起点からの方向を指しているものであり、情報のやり取りは双方向で行われる※ 資格確認端末に顔認証付きカードリーダーおよび汎用カードリーダーの両方を接続している場合マイナンバーカードによる資格情報照会は実施できないため、1台のみ接続する

システム

11

IPsec+IKE（クライアント型/PCキー型/
USBキー型）〇導入後想定：オンライン請求未対応の施設がオンライン請求と併せて開始する場合の構成例【技術解説書1.0版 図2.3.2₋8 オンライン請求未対応の施設がオンライン請求と併せて開始する場合の構成例からの変更点】• ルータ型であるため、オンライン請求端末～ONUの間をHUBからルータBに変更し、実現する仕組みを具体的に記載。
• 上記に伴い、ルータにて通信経路を振り分けるため、LANポート差し抜き運用の記載を削除。
• 資格確認端末内のソフトウェアファイアウォールによる外部ネットワークアクセス制御の対策を現存するルータBで担うため、記載削除。
• 資格確認端末での通信接続方式がIPv4のみであり、通信経路の物理的対策は不要となったため、ネットワークインターフェースカードの追加を削除。
• ルータAにて実現する仕組みを具体的な記載に修正。
凡例：
ネットワークセッション方向
IPsecトンネル
医療機関・薬局支払基金・国保中央会
IPv４（オンライン請求）

顔認証付き
カードリーダー
資格確認端末/オン請求端末

アプリ
ケーション
ソフト等

レセプトコンピュータ等か
ら資格確認端末へリク
エストを投げる形とし、資格確認端末内に一時格納された資格情報/薬剤情報/特定健診情報を取得する。
※端末または一時格納用のファイルサーバに格納された業務処理が完了した情報を定期的に削除す
る。

ルータB

電子
証明書

レセプトコンピュータ（サーバ）

電子カルテシステム/
調剤システム（サーバ）
自動再来受付機※病院のみ

インターネット

オンライン請求システム

ルータBの設置がない場合、新規にルータBを導入し、以下の仕組みを実現する。
• 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能の有効化
オンライン資格※上記仕組みを実現する方法については、確認等システム
ルータBを用いる方法以外にも、医療機関・
IPv４
薬局の判断に応じて適宜ご検討ください。 （オンライン資格確認等）

レセプトコンピュータ
端末

電子カルテシステム/
調剤システム端末

O
N
U

ルータA
IPv４
（院内/局内）現存、若しくは新規ルータAを用いて以下の仕組みを実現する。
• 資格確認端末と接続するためのルーティングの設定• レセプトコンピュータ等から資格確認端末への通信を許可し、資格確認端末からレセプトコンピュータ等への通信を拒否する
ためのステートフルインスペクション機能の有効化※上記仕組みを実現する方法については、ルータAを用いる方
法以外にも、医療機関・薬局の実情に応じて適宜ご検討ください。

ハードウェア※ 電子証明書：オンライン資格確認用電子証明書※ 「セッション方向」とは、起点からの方向を指しているものであり、情報のやり取りは双方向で行われる※ 資格確認端末に顔認証付きカードリーダーおよび汎用カードリーダーの両方を接続している場合マイナンバーカードによる資格情報照会は実施できないため、1台のみ接続する

システム
12

IPsec+IKE（クライアント型/PCキー型/
USBキー型）〇導入後想定：資格確認端末にレセプトコンピュータ等端末の機能を搭載する場合の構成例

凡例：

医療機関・薬局

レセプトコンピュータ等が資格確認端末の要件であるOS（Windows10
IoT Enterprise LTSC
2019等）で動作するか
システムベンダで確認・対応する必要あり。

IPv４（オンライン請求）

資格確認端末

アプリ
ケーション
ソフト等

レセプトコンピュータ等とア
プリケーション等が干渉する可能性があるため、動作検証する必要あり。
※レセプトコンピュータ等のバージョンアップやセキュ
リティパッチ対応の度にシ
ステムベンダにて対応いた
だく。

支払基金・国保中央会

顔認証付き
カードリーダー（Windows10 IoTEnterprise 2019 LTSC等）
電子証明書

ネットワーク
IPsecトンネル

ルータ

O
N
U

インターネット

オンライン請求システム

レセプト
コンピュータ

資格確認端末のアプリ
ケーション等で実施しているのと同様に、一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい。

ルータの設置がない場合、新規にルータを導入し、以下の仕組みを実現する。
• 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能
オンライン資格の有効化確認等システム• 内部ネットワークからは特定の接続先のIPv４
みアクセスできるよう通信許可設定を実 （オンライン資格確認等）
施し、不正な外部への接続を制限する。
※上記仕組みを実現する方法については、ルータを用いる方法以外にも、医療機関・薬局の判断に応じて適宜ご検討ください。

ハードウェア※ 電子証明書：オンライン資格確認用電子証明書、オンライン請求用電子証明書※ レセプトコンピュータの構成によって、サーバ等を設置する構成もあり※ 資格確認端末の要件であるOSとは、「資格確認端末において満たすべき要件」に示しているOSを指す※ レセプトコンピュータの構成としてサーバ等を設置している場合、ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う※ 資格確認端末に顔認証付きカードリーダーおよび汎用カードリーダーの両方を接続している場合マイナンバーカードによる資格情報照会は実施できないため、1台のみ接続する

システム

13

IPsec+IKE（クライアント型/PCキー型/
USBキー型）〇導入後想定：レセプトコンピュータ等端末に資格確認端末の機能を搭載する場合の構成例
資格確認端末において満たすべき要件以外のマイナンバーカード処理ソフト・オンライン資格確
認等連携ソフトが動作する対象OS• Windows10Pro• Windows10 Enterprise SAC• Windows10 IoT Enterprise SAC＜補足＞
サポート対象OSについて、OSにおけるサポートライフサイクル
やサポート期間、医療機関・薬局での利用状況を踏まえて、
Windows OSを選定している。
（令和2年8月時点）

凡例：

医療機関・薬局支払基金・国保中央会

顔認証付き
カードリーダーIPv４（オンライン請求）

レセプトコンピュータ等端末（Windows10Pro等）
アプリ
ケーション
ソフト等

レセプトコンピュータ等とア
プリケーション等が干渉する可能性があるため、動作検証する必要あり。
※レセプトコンピュータ等のバージョンアップやセキュ
リティパッチ対応の度にシ
ステムベンダにて対応いた
だく。

電子
証明書

ネットワーク
IPsecトンネル

ルータ

O
N
U

インターネット

オンライン請求システム

レセプト
コンピュータ

資格確認端末のアプリ
ケーション等で実施しているのと同様に、一時的なファイルについては一定期間毎に削除する運用を行うことが望ましい。

ルータの設置がない場合、新規にルータを導入し、以下の仕組みを実現する。
• 外部ネットワークからのアクセスを制限するためのステートフルインスペクション機能
オンライン資格の有効化確認等システム• 内部ネットワークからは特定の接続先のIPv４
みアクセスできるよう通信許可設定を実 （オンライン資格確認等）
施し、不正な外部への接続を制限する。
※上記仕組みを実現する方法については、ルータを用いる方法以外にも、医療機関・薬局の判断に応じて適宜ご検討ください。

ハードウェアシステム※ 電子証明書：オンライン資格確認用電子証明書、オンライン請求用電子証明書※ レセプトコンピュータの構成によって、サーバ等を設置する構成もあり※ レセプトコンピュータの構成としてサーバ等を設置している場合、ルータから分岐して接続されるサーバやルータにてアクセス制限対策を行う
14