【第 1 版】
AMED データ利活用プラットフォームにおける情報セキュリティガイドライン（データ利用機関向け）

令和 6 年 4 月

改訂履歴
版数

公開

第０版

令和 6 年 3 月

第１版

令和 6 年 4 月

改訂内容

（なし）

2

目次
1 章 総則..........................................................................................................................4
1-1 本規定の目的 .....................................................................................................4
1-2 用語の定義 ........................................................................................................4
2 章 データ利用の原則....................................................................................................52-1

データ利用の環境 ...........................................................................................52-2

データへのアクセス ........................................................................................6

2-3

ガイドラインの遵守と対策の実施..................................................................6

3 章 データ利用機関が実施すべきこと ..........................................................................63-1

管理者の通知...................................................................................................63-2

安全対策 ..........................................................................................................63-3

端末の安全対策 ...............................................................................................63-4

通信回路の安全対策 ........................................................................................73-5

周知の徹底 ......................................................................................................73-6

監査 .................................................................................................................73-7

ガイドラインへの遵守確認.............................................................................73-8

インシデント発生時の対応.............................................................................73-9

データの取扱制限 ...........................................................................................84 章 データ取扱者が実施すべきこと..............................................................................84-1

情報セキュリティ教育受講と規則遵守 ..........................................................84-2

アカウント管理 ...............................................................................................84-3

利用端末と通信回線 ........................................................................................84-4

閲覧画面 ..........................................................................................................94-5

インシデント発生時の対応.............................................................................93

1 章 総則
1-1 本規定の目的『AMED データ利活用プラットフォームにおける情報セキュリティガイドライン（データ利用機関向け）』（以下「本ガイドライン」という。）は、AMED デー
タ利活用プラットフォームにおいて、利活用個人データ及びメタデータが安全に利用されるよう、関係者が遵守すべき内容を示したものである。なお、本ガイド
ラインは「AMED データ利活用プラットフォームにおける情報セキュリティポリシー」の下位に位置づけられる文書である。

1-2 用語の定義(一)

AMED データ利活用プラットフォーム：健康・医療研究開発データ統合利活用プラットフォーム事業において実施する、AMED が支援した研究開発から得られたデータの利活用を促進するために構築するプラットフォームのことである。AMED データ利活用プラットフォームが提供する情報サービスは、連携基盤と連携拠点上で提供される。

(二)

利活用個人データ：AMED が支援する研究開発から得られたデータで、AMED データ利活用プラットフォームを介して利用される個人情報を含むデータをいう。具体は「AMED データ利活用プラットフォームにおけるデータ利活用ポリシー別紙１」に定める。なお、個人情報保護に関する法律が定義する「個人データ」とは別の概念である。

(三)

メタデータ：利活用個人データを説明するための情報から構成されるデータをいう。メタデータは、利活用個人データの名称、説明等の情報を含むため、メタデータを見ることで利活用個人データの概要を簡便に知ることができる。AMED は、データ提供機関より共有されたメタデータを連係基盤上に格納し、統合（横断）検索に供する。

(四)利活用：利活用個人データ又はメタデータを、研究や疾病予防、医薬品・医療機器等の開発等の目的で用いることをいう。

(五)

データ利用機関：AMED データ利活用プラットフォームを利用する機関を指す。

(六)

データ取扱者：データ利用機関に所属し、AMED データ利活用プラットフ
ォームを介して利活用個人データ及びメタデータを利用する者をいう。

(七)

連携基盤：AMED が開発、運用する「AMED データ利活用プラットフォーム」の一システム。「統合 UI/UX」「メタデータの統合（横断）検索」「ID 管理・連携」「認証」の機能を有する。AMED は、データ提供機関より共有されたメタデータを連携基盤上に格納し、統合（横断）検索に供4

する。AMED が借用するクラウドサービス上で運営されている。
(八)

連携拠点：東京大学医科学研究所、東北大学東北メディカル・メガバンク機構、国立遺伝学研究所、国立がん研究センター、国立国際医療研究センターを指す。

(九)

連携拠点におけるシステム：連携拠点が運用する情報システムのうち、データ取扱者が AMED データ利活用プラットフォームを通じて利用する情報システムを指す。利活用個人データを分析する計算処理環境として、データ取扱者に供することを目的として、AMED が連携拠点に運用を委託するものである。東京大学医科学研究所と東北大学東北メディカル・メガバン
ク機構は解析ノードとデータストレージを有する。国立遺伝学研究所、国立がん研究センター、国立国際医療研究センターはデータストレージのみを有する。

2 章 データ利用の原則
2-1 データ利用の環境（１）利活用個人データの利用環境（一）AMED は、利活用個人データの利用においては、連携拠点におけるシステムにデータの漏えいを防ぐ仕組みを備えたデータ利用環境を整備する。
（二）利活用個人データは、データ利用審査会で承認され、AMED が利活用個人データの利用を許可し、連携基盤を通じて連携拠点におけるシステムにおけるシステムで認証されたデータ取扱者が、承認された範囲においてアクセスすることができる。
（三）データ取扱者は、次号に定める解析結果の一部を除き、利活用個人データを、AMED データ利活用プラットフォームから持ち出すことができない。
（四）AMED が利活用個人データの利用を許可したデータ取扱者は、AMED が利活用個人データの利用を許可した利活用個人データを解析した結果のうち、個人情報の保護に関する法律第 2 条第 1 項に規定される「個人情報」に該当しない情報であって、AMED が情報保護の観点から連携拠点におけるシステム外での利用を禁止しないものについては、連携拠点におけるシステムからダウンロードできる。
（五）AMED が利活用個人データの利用を許可したデータ取扱者は、自機関で所有するデータを、AMED データ利活用プラットフォームへアップロードできる。

5

（２）メタデータの利用環境（一）AMED は、メタデータの利用においては、連携基盤にメタデータの統合（横断）検索の仕組みを備えたデータ利用環境を整備する。
（二）連携基盤における利用規約への同意書を AMED に提出し連携基盤で認証されたデータ取扱者が、メタデータにアクセスすることができる。

2-2 データへのアクセス
データ利用機関は、利活用個人データ及びメタデータへのアクセスについて、当該利活用個人データ及びメタデータの利用が許可されたデータ取扱者に限定するとともに、アクセスに用いる端末と通信回線については、データ利用機関の情報セキュリティ要件を満たし、データ利用機関が管理する端末及び通信回線に限定すること。

2-3 ガイドラインの遵守と対策の実施
データ利用機関及びデータ取扱者は、データ利用機関の情報セキュリティに関する規約を遵守するとともに、AMED データ利活用プラットフォーム
情報セキュリティポリシー及び本ガイドラインを遵守すること。

3 章 データ利用機関が実施すべきこと
3-1 管理者の通知
データ利用機関は、利用を承認された利活用個人データ及びメタデータのセキュリティの管理について、管理者を設定し、AMED データ利活用プラットフォーム事務局に通知すること。なお、当該管理者を変更するときは、遅滞なく AMED データ利活用プラットフォーム事務局に通知するものとする。

3-2 安全対策
データ利用機関は、利活用個人データ及びメタデータを取り扱うにあたり、自機関の情報セキュリティの規程に則り、安全対策を講じなければならない。

3-3 端末の安全対策(1) データ利用機関は、利活用個人データ及びメタデータを取り扱う端末については、自機関の情報セキュリティ要件を満たし、自機関が管理する6

端末に限定しなければならない。
(2) データ利用機関は、データ取扱者が利活用個人データ及びメタデータを取り扱う際には、政府機関等のサイバーセキュリティ対策のための統一基準群（令和５年７月）を参考に AMED が指定する多要素認証の仕組みに対応できる端末をデータ取扱者に使用させること。

3-4 通信回路の安全対策
データ利用機関は、利活用個人データ及びメタデータにアクセスする通信回線については、自機関の情報セキュリティ要件を満たし、自機関が管理する通信回線に限定しなければならない。

3-5 周知の徹底
データ利用機関は、AMED データ利活用プラットフォームにおける情報セキュリティポリシー及び本ガイドラインをデータ取扱者に周知して遵守させること。

3-6 監査データ利用機関は、データ提供機関又は AMED が実施する、セキュリティ対策の実施状況についての監査に応じ、必要な情報の提供及び開示等の協力をすること。

3-7 ガイドラインへの遵守確認
データ利用機関は、データ利用申請時及び、年次報告並びに最終報告の際に本ガイドラインに遵守していることを、セキュリティチェックリストを用いて確認し、署名した上で、AMED データ利活用プラットフォーム事務局に提出すること。

3-8 インシデント発生時の対応
データ利用機関は、データ漏えい等セキュリティに関する事故が発生した場合又はその可能性を認知した際には、直ちに AMED データ利活用プラッ
トフォーム事務局へ通知するとともに、データ利用機関が規定する手順に従い対応すること。また、AMED、連携拠点、及びデータ提供機関の要請に従い速やかに情報を提供する等事故原因の調査及び再発防止策の検討のために必要な協力を行うものとする。

7

3-9 データの取扱制限
データ利用機関は、利活用個人データを、政府機関等のサイバーセキュリティ対策のための統一基準群（令和５年７月）が定める機密性３情報として取り扱うこと。データ利用機関は、メタデータを、政府機関等のサイバーセキュリティ対策のための統一基準群（令和５年７月）が定める機密性 2情報として取り扱うこと。

4 章 データ取扱者が実施すべきこと
4-1 情報セキュリティ教育受講と規則遵守
データ取扱者は、データ利用機関等が実施する情報セキュリティに関する教育を受講し、データ利用機関が定めるセキュリティ規定を遵守すること。

4-2 アカウント管理
データ取扱者は、連携拠点におけるシステム及び連携基盤のユーザ ID やパスワードを厳重に管理し、データ取扱者間であっても共有せず、他人に使用させないこと。

4-3 利用端末と通信回線(1) データ取扱者は、連携拠点におけるシステム及び連携基盤にアクセスする際には、データ利用機関の情報セキュリティ要件を満たし、データ利用機関が管理する端末及び通信回線を使用すること。
(2) データ取扱者は、連携拠点におけるシステムにアクセスする端末から離れる場合は、連携拠点におけるシステム及び連携基盤からログアウトするか、アクセス端末をロックすること。また、一定時間（１５分程度を目安）以上無操作の場合はアクセス端末画面がロックされるように設定すること。
(3) データ取扱者は、連携拠点におけるシステムにアクセスする端末の画面上のデータをコピーしてローカルディスクに保存しないこと。画面上に表示されたデータをコピーしてローカルディスクに保存できない端末の利用が望ましい。
(4) データ取扱者は、画面ののぞき見や盗聴を防止できるよう、連携拠点におけるシステムにアクセスする端末を操作する場所を選定すること。
(5) データ取扱者は、連携拠点におけるシステムにアクセスする端末から離れる場合は、端末が盗難されないよう対策を行うこと。
(6) データ取扱者が連携拠点におけるシステム及び連携基盤にアクセスす8

る端末は、政府機関等のサイバーセキュリティ対策のための統一基準群（令和５年７月）を参考に AMED が指定する多要素認証の仕組みに対応できる端末であること。

4-4 閲覧画面
連携拠点におけるシステムの閲覧画面を印刷あるいは撮影してはならない。

4-5 インシデント発生時の対応
データ取扱者は、データの漏えい等セキュリティに関する事故が発生した場合又はその可能性を認知した際には、直ちに連携拠点におけるシステム及び連携基盤からアクセス端末を切り離したのち、データ利用機関に報告すること。また、AMED、連携拠点、及びデータ提供機関の要請に従い速やかに情報を提供する等事故原因の調査及び再発防止策の検討のために必要な協力を行うものとする。

以上

9