食・栄養支援クラウドサービス「ぽけにゅー」
サービス仕様適合開示書
株式会社大塚製薬工場（2022年7月 初版）

1目次
１． 医療機関等が医療情報安全管理ガイドラインに基づき、外部保存を受託する事業者の選定にあたり最低限確認する必要がある内容（１）医療情報等の安全管理に係る基本方針・取扱規定等の整備状況（２）医療情報等の安全管理に係る実施体制の整備状況（３）実績等に基づく個人データ安全管理に関する信用度（４）財務諸表等に基づく経営の健全性

２． 医療機関等との共通理解を形成するために情報提供すべき内容（１）医療機関等の運用管理規定に定める必要が有る事項（２）医療情報システムの安全管理に係る点検や評価の結果（３）医療情報システムの全体構成図（４）リスク対応一覧（５）医療情報システムの安全管理に係る基本方針（６）医療情報システムの提供に係る体制（７）契約書・マニュアル等の文書の管理方法（８）機器等を用いる場合の機器等の管理方法（９）リスク対応策の運用方法（１０）事故発生時の対応方法及び医療機関等への報告方法（１１）医療情報を格納する記憶媒体の管理方法（１２）医療情報の外部保存に係る患者等への説明方法（１３）医療情報システムに対する監査の実施方針（１４）医療機関等の管理者からの問い合わせ窓口（１５）制度上の要求事項への対応

2

1. 医療機関等が医療情報安全管理ガイドラインに基づき、外部保存を受託する事業者の選定にあたり最低限確認する必要がある内容（１） 医療情報等の安全管理に係る基本方針・取扱規定等の整備状況■個人情報のお取り扱いについて：https://www.otsukakj.jp/privacy/policy/（２） 医療情報等の安全管理に係る実施体制の整備状況■管理責任者：ソリューション推進プロジェクト リーダー■システム基盤管理者：ICTソリューション部 部長■運用管理責任者：ソリューション推進プロジェクト ぽけにゅーサービス担当■個人情報保護責任者 ：コンプライアンス部 部長（３） 実績等に基づく個人データ安全管理に関する信用度
これまでに、個人情報の流出事故はありません。
また、受託情報の目的外利用、不当利用等も行っておりません。

（４） 財務諸表等に基づく経営の健全性■当社の電子公告・決算公告
https://kmasterplus.pronexus.co.jp/main/corp/m/0/m090/index.html
3

2.

医療機関等との共通理解を形成するために情報提供すべき内容（１）医療機関等の運用管理規定に定める必要が有る事項
特にありません。

4

2.

医療機関等との共通理解を形成するために情報提供すべき内容（２）医療情報システムの安全管理に係る点検や評価の結果脆弱性診断を専門の事業者委託し、点検や評価を行いました。
■実施事業者：株式会社SHIFT SECURITY■実施年月：2022年5月■対象：webアプリケーション及びプラットフォーム■評価結果：診断により上がった指摘事項のうち、リスクの高いと判断する項目について対策を実施しました5

2.

医療機関等との共通理解を形成するために情報提供すべき内容（３）医療情報システムの全体構成図
サービスに供する機器及びソフトウェアなどの更新の仕様に関する資料等を作成します（求めに応じて可能な範囲で開示します）。他の情報システムとのデータの互換性はありません。

＜AWS＞
医療情報データベース（医療情報を保存）
終端装置

終端装置

アプリケーションサーバ
（サービスの提供）※1

アプリケーションサーバ
（冗長化）

ログサーバ
（アクセスログの記録）
※2

医療関係者

＜AWS＞

事業所
データベース（顧客管理等）

ネットワーク装置

端末

医療情報
データベース（バックアップ）

終端装置

終端装置

※1 運用手順書に基づき、情報区分に従ってアクセス制御を行います（求めに応じて可能な範囲で開示します）※1 応答時間は0.1秒を想定しております（一部機能については想定より時間がかかることがあります）
2※ アクセスログについて定期的なレビューを行います（求めに応じて可能な範囲で開示します）※3 保守体制に変更等生じた場合も運用手順書に則って保守を行います

大塚製薬工場ぽけにゅー運営事務局
開発・保守要員※3

ネットワーク装置

端末
6

2.

医療機関等との共通理解を形成するために情報提供すべき内容（４）リスク対応一覧
＜AWS＞
医療情報
データベース（医療情報を保存）
※4
終端装置

終端装置

アプリケーションサーバ
（サービスの提供）※1

アプリケーションサーバ
（冗長化） ※3

医療情報
データベース（バックアップ） ※2

＜AWS＞

ログサーバ
（アクセスログの記録）
事業所
データベース（顧客管理等）終端装置

ネットワーク装置

端末
医療関係者※1 社内で定めたパスワードポリシーに則って運用します※1 複数要素認証に基づいて運用します※1 利用者のログオン後に一定の仕様中断時間が経過したセッションを遮断、又は強制ログオフします※2 定期的にバックアップを行っています※3 継続してサービスを提供できるようにアプリケーションサーバーを冗長化しています※4 お客様より受託した医療情報の閲覧を依頼された場合、情報の格納されたデータベースにアクセスして、対象となる情報を閲覧します※4 サービス利用終了時には、入力したデータをCSVファイルでダウンロードできます

終端装置

ネットワーク装置

端末
大塚製薬工場ぽけにゅー運営事務局
開発・保守要員※37

2.

医療機関等との共通理解を形成するために情報提供すべき内容（５）医療情報システムの安全管理に係る基本方針
個人情報のお取り扱いについて：https://www.otsukakj.jp/privacy/policy/8

2.

医療機関等との共通理解を形成するために情報提供すべき内容（６）医療情報システムの提供に係る体制

利用医療機関等

ぽけにゅー（ミニを含む）

保守

株式会社
メディエイド※2運営
お問い合わせ契約

株式会社大塚製薬工場
ぽけにゅー運営事務局※1

アマゾンウェブサービス
（AWS）

委託

※1 運用手順書に則って保守業務を実施する※1 緊急時対応を実施する※1 サービス提供に従事する要員に対する教育・訓練等を実施する（求めに応じて可能な範囲で開示する）※2 システムの保守をリモートメンテナンスで実施する
9

2.

医療機関等との共通理解を形成するために情報提供すべき内容（７）契約書・マニュアル等の文書の管理方法
契約書・マニュアル等の文書は、社内規定に則り管理します。
管理方法については、求めに応じて可能な範囲で開示します。

10

2.

医療機関等との共通理解を形成するために情報提供すべき内容（８）機器等を用いる場合の機器等の管理方法
機器等については、運用手順書に則って管理します。
管理方法については、求めに応じて可能な範囲で開示します。

11

2.

医療機関等との共通理解を形成するために情報提供すべき内容（９）リスク対応策の運用方法
運用手順書に則って、リスクの分析や必要な対応措置等を実施します。
運用方法については、求めに応じて可能な範囲で開示します。

12

2.

医療機関等との共通理解を形成するために情報提供すべき内容（１０）事故発生時の対応方法及び医療機関等への報告方法
障害や事故等が発生した場合には、運用手順書に則って対応する共に、速やかにお客様へご連絡いたします。
障害や事故等の程度によっては、本サービスの全部又は一部の提供を停止又は中断することがあることから、利用者の記録を定期的にPDFやCSVで出力し保管することをお勧めいたします。

13

2.

医療機関等との共通理解を形成するために情報提供すべき内容（１１）医療情報を格納する記憶媒体の管理方法
医療情報は、「2. （ ３ ） 医 療 情 報 シ ス テ ム の 全 体 構 成 図 」 に あ る A W S 上 に 格 納 し 、契約が継続する限り情報を蓄積し続けます。
ま た 、 サービスに供する情報を格納する機器、媒体等を破棄する手順については、AWSの管理に準拠します。（手順については、求めに応じて可能な範囲で開示します）

情報の破棄手順については、運用手順書に定めた手順に則って実施します。

14

2.

医療機関等との共通理解を形成するために情報提供すべき内容（１２）医療情報の外部保存に係る患者等への説明方法
本サービスの利用に係る患者等への説明については、第一次的にはお客様において対応して頂くこととし、当社においては、必要な資料等の提供等の範囲で対応させていただきます。

15

2.

医療機関等との共通理解を形成するために情報提供すべき内容（１３）医療情報システムに対する監査の実施方針
運 用 手順書に 則 っ て 、 定 期 的 に 情 報 シ ス テ ム 監 査 を 実 施 し ま す 。
監査結果の概要については、求めに応じて可能な範囲で開示します。

16

2.

医療機関等との共通理解を形成するために情報提供すべき内容（１４）医療機関等の管理者からの問い合わせ窓口
株式会社大塚製薬工場 ぽけにゅー運営事務局
問 い 合 わ せ フ ォ ー ム U R L ： https://contact.poke-nu.com/contact/

17

2.

医療機関等との共通理解を形成するために情報提供すべき内容（１５）制度上の要求事項への対応
１）医療分野の制度が求める安全管理の要求事項■個人情報保護法及び同施行令、施行規則■個人情報の保護に関する法律についてのガイドライン※なお、下記のガイドライン、ガイダンスについても、事業者として対応しております- 医療情報システムの安全管理に関するガイドライン 第5.1版- 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン
２）電子保存の要求事項

本サービスでは、e-文書法の対象範囲となる医療関係文書は取り扱っておりません
３）法令で定められた記名・押印を電子署名で行うことについて
本サービスでは、法令で定められた記名・押印を電子署名で行う文書は取り扱っておりません
４）その他取扱い注意を要する文書等の取扱い

本サービスでは、２）及び３）の他、取扱いに注意を要する文書等は取り扱っておりません
５）外部保存の要求事項
医療情報の外部保存について、１）に記載の要求事項に準拠しております
18

改訂履歴
版数第1版

発行日
2022年7月15日

改訂履歴
初版発行

19