医療情報システム安全管理ガイドライン6.0に基づくサイバーセキュリティを重視したシステム保守契約書作成の要点解説
2023/11/22
群馬大学医学部附属病院システム統合センター
防衛医科大学校デジタル化推進本部推進補佐官
鳥飼 幸太

GUH/NDMC, Reserved

医療DXの推進

GUH, NDMC, Reserved

GUH, NDMC, Reserved

物的不備、人的不備が病院経営に損害を与えるまで
月刊インナービジョン6月号

A 物的不備B 人的不備Confidentiality
(機密性)

影響

事件
事故
予想される
セキュリティ侵害

B3 ストーキング
医療情報の暴露
スパイ行為の発生

B2 利用状況の漏洩
画像・レポートの漏洩

A1

情報資産・ITセキュリティ問題

Availability(可用性)

社会的信頼の低下、依頼先の変更
損害賠償、依頼獲得の減少
読影業務の停止

経営への事象

Integrity(完全性)

A5 システム誤作動
偽データの送受信
紛争の誘発

A3
プログラム改竄
データ改竄

ソフトウェア脆弱性
設定不備
プロトコル・暗号強度の不備
ネットワーク・通信の不備

B1

A4

システム稼働停止
病院間通信途絶

A2 プログラム改竄
データ改竄
通信経路の遮断運用上の不備
利用者による改造
認証の不備
ワーム・ウィルス感染

CISOハンドブック 業務執行として考える情報セキュリティ Ver.1.1β、特定非営利活動法人日本ネットワークセキュリティ協会
社会活動部会 CISO支援ワーキンググループ、2018年6月 p10
図1 ビジネスリスクとセキュリティリスクの関係（コミュニケーションシステム）を参考に改変

GUH, NDMC, Reserved

診療における病院情報セキュリティの考え方• 電子保存の三原則（真正性、見読性、保存性）
2022.11.8
読売新聞31面全国版13版• 情報セキュリティの三原則（可用性、機密性、完全性）
正当な人が記録し確認された情報に関し第三者から見て作成の責任の所在が明確であり、かつ、故意.
または過失による、虚偽入力、書き換え、消去、及び混同が防止されていること

真正性

電子媒体に保存された内容を、権限保有者からの要求に基づき必要に応じて肉眼で.
見読可能な状態にできること

見読性

可用性

記録された情報が法令等で定められた.
期間に渡って保存されること

保存性

機密性
完全性

利用者が必要なときに安全に.
アクセスできる環境であること

限られた人だけが情報に接触できるように制限をかけること

不正な改ざんなどから.
保護することGUH, NDMC, Reserved

診療報酬改定DXとは「電子カルテを院外へ接続する」こと

GUH, NDMC, Reservedスマートホスピタルの機能と医療サイバーリスクの増大• 診療シーンでの判断や指示・支援が「患者の通院・入院の全期間で、治療目的を達成するように」• 診療プロセス中にクリティカルなデジタル装置の増加→攻撃ポイント・リスクの増加
医療ロジック
統合制御サーバ
検査日近くに事前お知らせ
予約日最適化計算

対話自動文字起こし
推奨検査候補提示

来院

受付

過去病歴・診療歴の迅速参照

問診

診察

電子化入力
事前スクリーニング

診療計画書作成支援
ベッドコントロール
最適化計算

検査

入院

禁忌・重複タイミング/量確認支援

投薬変更迅速同報AR/MR支援
患者状態AI推定

手術

リハ

病棟リハ支援退院地域

自動同意ステータス
チェック
自動患者照合支援院内ロジスティクス・オートメーション
GUH, NDMC, ReservedChatGPT:生成AIのサイバーセキュリティリスク• いくら「有料では機密性が保たれます」と言っても、「自由市場原理」に乗った産物→悪意ある経営者に変わった際に規約変更されるリスクが残る→ローカルで動作させる、信頼ある国産環境を整備する• 「出力が確定しない」→「確実にロジックを動かさなければならない」プログラムフローにはまだ適用できない→テンプレートやテストコードなど「下準備」には極めて便利• コード自身が不利益に改竄されたことを検証する術が（我々の側に）ない• たとえば「100万回に1回の確率で信号無視をせよ」というプロンプトが（既に学習済みとして、操作者の目につかないところに）紛れていたら？
昔は機械は「プロセス」するだけ凝ったプログラムは「手仕事にっぽん」

ChatGPTがデータ整形してくれる

うまく伝えれば動くコードも書いてくれる

これまでの開発体系に沿った
アジャイルコード…
までは頼めない
GUH, NDMC, Reserved

MDS/SDSとはGUH/NDMC, Reserved用語の定義• テキスト

日本画像医療システム工業会(JIRA)による製造業者/サービス事業者による医療情報セキュリティ開示書
製造業者

Manufacturer Disclosure Statement (MDS)
サービス事業者

Service provider Disclosure Statement (MDS)

GUH/NDMC, Reserved

タイトル• テキストhttps://mhlw-training.saj.or.jp/wp/wp-content/uploads/2023/02/06_jira.pdf

GUH/NDMC, Reserved

医療機器や医療情報システムが備えるセキュリティ機能・対応のリスト• テキストhttps://mhlw-training.saj.or.jp/wp/wp-content/uploads/2023/02/06_jira.pdf

GUH/NDMC, Reserved

ユーザーがMDS/SDSを伴ってできること(1)• テキストhttps://mhlw-training.saj.or.jp/wp/wp-content/uploads/2023/02/06_jira.pdf

GUH/NDMC, Reserved

ユーザーがMDS/SDSを伴ってできること(2)• テキストhttps://mhlw-training.saj.or.jp/wp/wp-content/uploads/2023/02/06_jira.pdf

GUH/NDMC, Reserved

ユーザーがMDS/SDSを伴ってできること(3)• テキストhttps://mhlw-training.saj.or.jp/wp/wp-content/uploads/2023/02/06_jira.pdf

GUH/NDMC, Reserved

医療情報システム安全管理ガイドライン
第6.0版の発出

GUH, NDMC, Reserved

医療情報システムガイドライン第6.0版
意思決定・経営層が行うべき安全管理→「基本的な考え方、方針策定、責任責務の分担、遵守状態の確認」

GUH, NDMC, Reserved

医療情報システムガイドライン第6.0版
意思決定・経営層が行うべき安全管理の記載が明確化されている

GUH, NDMC, Reserved

意思決定・経営層が行うべき安全管理内容一覧
最新版：5.2版、2023年度に第6版が準備中
https://www.mhlw.go.jp/content/10808000/000923599.pdf
セキュリティ用語

Accountability
Due DiligenceContinuous Diagnostics
and Mitigation (CDM)

Accountability
Due Diligence
Due CareDue Care
GUH, NDMC, Reservedガイドライン6.0版を起点としてIT-BCP対策を見直す

GUH, NDMC, Reserved

医療ワークフローにおける認証方式の検討
メリット： 個別の認証設定
デメリット：侵害ポイントの増加
煩雑化が「抜け道」や「安易なパスコード」を誘発

メリット： 認証操作の削減
侵害ポイントの減少
デメリット：SSO突破時のリスク上昇

ID入力1
パスワード入力1

電子カルテ

ID入力

電子カルテ

パスワード入力
Single-Sign-On

ID入力2
パスワード入力2

独立認証方式部門システム1

ID入力3

パスワード入力3

独立認証方式部門システム2

独立認証方式部門システム1

独立認証方式部門システム2

GUH, NDMC, Reserved

医療ワークフローにおける認証要素の検討
情報入力

デバイス認証
通信型
独立型

画像系

パスコード型
ユーザー
サーバー側
設定
生成
パスワード ワンタイム

パターン スマートフォン
セキュリティ
識別チップ

遠隔無効化

ワンタイム生成

生体認証
接触

非接触

USBキー ICカード 指紋認証 耳管認証

虹彩・ 静脈認証
顔認証

認証ロケーション 誤入力・デバイス情報解析

On Premise or
Security as a Service
認証アルゴリズムエンジン
GUH, NDMC, Reserved

医療ワークフローにおける認証要素の検討
情報入力

デバイス認証
通信型
独立型

画像系

パスコード型
ユーザー
サーバー側
設定
生成
パスワード ワンタイム

パターン スマートフォン
セキュリティ
識別チップ

院内
電子カルテ端末

生体認証
接触

USBキー ICカード 指紋認証 耳管認証

管理エリア

遠隔無効化

ワンタイム生成非接触
虹彩・ 静脈認証
顔認証

手術室

認証ロケーション 誤入力・デバイス情報解析

On Premise or
Security as a Service
認証アルゴリズムエンジン
GUH, NDMC, Reserved

医療ワークフローにおける認証要素の検討
情報入力

デバイス認証
通信型
独立型画像系

パスコード型
ユーザー
サーバー側
設定
生成
パスワード ワンタイム

パターン スマートフォン
セキュリティ
識別チップ

生体認証
接触

非接触

USBキー ICカード 指紋認証 耳管認証

虹彩・ 静脈認証
顔認証

強化型院内
電子カルテ端末

遠隔無効化

ワンタイム生成

認証ロケーション 誤入力・デバイス情報解析

On Premise or
Security as a Service
認証アルゴリズムエンジン
GUH, NDMC, Reserved

医療ワークフローにおける認証要素の検討
情報入力

デバイス認証
通信型
独立型

画像系

パスコード型
ユーザー
サーバー側
設定
生成
パスワード ワンタイム

院外シンクラ
電子カルテ端末パターン スマートフォン
セキュリティ
識別チップ

生体認証
接触

非接触

USBキー ICカード 指紋認証 耳管認証

虹彩・ 静脈認証
顔認証

紛失・盗難リスク、データ窃取リスク

遠隔無効化

ワンタイム生成

認証ロケーション 誤入力・デバイス情報解析

On Premise or
Security as a Service
認証アルゴリズムエンジン
GUH, NDMC, Reserved

医療ワークフローにおける認証要素の検討
情報入力

デバイス認証
通信型
独立型

画像系

パスコード型
ユーザーサーバー側設定生成
パスワード ワンタイム

スマートフォン

パターン スマートフォン
セキュリティ
識別チップ

より強固な認証保護

遠隔無効化

ワンタイム生成

生体認証
接触

非接触

USBキー ICカード 指紋認証 耳管認証

虹彩・ 静脈認証
顔認証

FIDOテクノロジー

認証ロケーション 誤入力・デバイス情報解析

On Premise orSecurity as a Service
認証アルゴリズムエンジン
GUH, NDMC, Reserved

Web接続を積極的に活用する
サイバー対策の例

「閉鎖系」よりも「Web対応」で早期検知能力を高める• 検知はサイバー対策ソフトウェアが行うものと、人為的活動で行うものがある

サイバー攻撃監視ソフトウェア

電子カルテ本体の異常アクセス→PureStorage
SQLインジェクションによるデータの不正操作や抜き出し兆候を監視（研究目的のアクセスとの違いに注意）
240secの間
Latency/IOPS/Bandwidthが増加

例：負荷の高いSQL発生

処理終了まで240sec

サーバへの異常アクセス監視→DeepSecurity

電子カルテ・部門システムに不正アクセスや攻撃が生じた場合、DeepSecurityの管理コンソールに変化が生じる

クリック

重大の変化に特に注目ランサムウェア攻撃に遭った場合グラフが変化する

端末の異常操作の監視→ApexOne

クリック

既知の脅威に特に注目
不明な脅威はしばしば端末へのソフトインストールなどが観察される（要注意）エンドポイントの箇所（端末の場所や操作者）を確認し、必要に応じて診療科や部門に問い合わせするFortigateソフトウェアを用いた端末の迅速なネットワーク隔離操作
Fortigateソフトウェアでの端末一覧
通信状況

無線シンクライアントPC
pingを持続的に発出隔離時が画面フリーズ

ネットワーク機器異常の監視→AX-Network-Manager(AX-NM)
ダッシュボード-機器一覧をクリック
クリック「状態」をトグルダウンにすると異常機器が上位に表示される

必要に応じNECネッツエスアイに問い合わせ

医療ワークフローにおけるセキュリティ導入の具体的設計

GUH, NDMC, Reserved

病院情報システムの運用サイクルと6.0版の参照・適合
CISO

経営管理編[Governance]
1.安全管理に関する責任・責務
2.リスク評価を踏まえた管理
3.安全管理全般（統制、設計、管理等）
4.安全管理に必要な対策全般
5.医療情報システム・サービス事業者との協働グランドデザイン
BCP・CDM戦略
運用・保守・把握×障害
サイバー攻撃CIO
更新

部門システム導入
医療機器購入セキュリティ向上
医療DX

運用把握
設計

障害
サイバー攻撃Reinforced
PDCA

企画要求

次期システム更新
設計・検討

CEO価値意志

電子カルテ系更新

説明責任
社会貢献

ITインフラ基盤刷新○対応

企画管理編[Management]
1.管理体系
2.責任分界3.安全管理体制と責任・権限
4.安全管理規定・文書類
5.エビデンス
6.リスクマネジメント
7.人的管理8.情報管理、持ち出し、破棄

復旧・改善・見直し・訓練
9.情報機器等の資産管理
10.運用点検・監査
11.非常時対応とBCP策定
12.サイバーセキュリティ
13.利用者認証等及び権限
14.法令記名・押印電子署名
15.技術的安全管理対策の管理
16.紙媒体等医療情報電子化

システム運用編[Control]
1.基本的な考え方
10. サービス事業による保守対応
2.設計・運用規定類
11.システム運用管理（通常時・非常時）
3.責任分界12.物理的安全管理措置
4.リスクアセスメント設計
13.ネットワークに関する安全管理措置
5.システム設計の見直し
14.認証・認可に関する安全管理措置
6.安全管理・技術的対策
15.電子署名・タイムスタンプ
7.情報管理（管理・持ち出し・破棄等） 16.紙媒体等で作成した医療情報の電子化
8.機器・サービス安全管理措置
17.証跡のレビュー・システム監査
9.ソフト要求
18.外部からの攻撃に対する安全管理措置
35

GUH, NDMC, Reservedサイバー攻撃に対してIT-BCPを実現するには• 「もし、私がサイバー攻撃者で、病院機能を効果的に毀損させる意図があったら」と考えてみる• 医療機関側は、侵害覚知直後には「全ての被害可能性」を想定し、「攻撃対応」と「診療継続」を両立させる
AimVector

人命に直結する装置・手技への攻撃
生命維持・精密静注
誤動作や停止入院病棟
Target ICU/SCU

IT有BCP
IT無BCP

IoTハック
通信切断
電源系攻撃

麻酔装置・手術装置
誤動作や停止手術室

IoTハック
通信切断
電源系攻撃

受付・会計・キー検査
部門システム機能停止
外来・病棟
病院全域

改竄・暗号化通信切断

オーダ・ステータス
不信頼化・機能停止
外来・病棟
病院全域

改竄・暗号化
通信切断

参照サーバ・端末の準備
ネットワーク等冗長化
非常時縮退IT運用訓練・高速復旧体制整備

予備医療装置の準備
修理・再稼働手順訓練

紙運用用紙・運用準備
手動操作医療器具の準備
外部参照系、安全な患者誘導フロー確保
緊急時搬送受入先確保
全体BCPとの運用整合（特に、自家発電強化下での電力利用用途優先順位を厳格に定めておく）

サイバー IPS/ネットワーク監視
脆弱性対策
対策
先進対策

医療ワークフロー(指示・判断・連携)の混乱・停止への攻撃

IPS/ネットワーク監視
制御PCのサイバー保護

予備装置の地域プール体制

系内侵入
漏洩・脅迫
潜伏活動
DBアクセス
外部送信

N/A

対策マニュアル

5段階防衛の全て
防御/検知/隔離/対応/復旧＋組織訓練
予備サーバの地域プール 冗長化・SaaSミラー

リスク保険

CSIRT / 医療CISO職配置 / 独立稼働端末指定やサーバの高SLAレベル運用 / CDM戦略の策定と運用
GUH, NDMC, Reserved

NIST CyberSecurity Framework（CSF）
CISA Continuous Diagnostics and Mitigation (CDM)
CDM

CSF

予防
セキュリティ戦略・意識改善

拡散防止

事後対応

37

GUH, NDMC, Reserved

CSFにおける医療機関内情報システム要素の検討・対策箇所
フレームワーク
機能
Identificatio(ID)

Protection(PR)

Detection(DE)

Response(RS)

Recovery(RC)

検討箇所の例

対策ツールの例

対策運用の例病院情報システム全体の接続機 ネットワーク可視化ツー 資産管理手順に沿った調査（リスト器・IPアドレス、セグメンテー ル、脆弱性把握ツールアップ）、脆弱性情報の迅速把握
ション、接続経路、脆弱性等の把握外部保守接続箇所
VPN、ランサム対策
情報漏洩を起こさない院内情報運用（放射線診断・治療装置、PACS/ ストレージ
研修、診療情報アクセス制御設定、電子カルテ等）、ファイヤウォール設定、セキュリ
DMZ端末、診療録サーバ
ティ保守契約の充実、バックアップ
手段と階層、運用の策定と実装
電子カルテ端末挙動、
IDS、EDR(D)、NDR(D) 日常のシステムパフォーマンスモニ
ネットワークトラフィック監視、タにおけるトレンド把握と差異の知ストレージ/CPU負荷変動
覚、対策ツールが提供するダッシュ
ボード機能による監視
不特定多数や多数のスタッフがア IPS 、 EPP 、 EDR(R) 、 インシデント時連絡先の把握と役割クセスできる機器、電子カルテに NDR(R)
分担の検討、医療安全と情報保全、アクセスできる端末またはサーバ
診療継続を両立する対策方法やツーとポート、攻撃検知時のカルテ
ル挙動設定の検討、インシデント対データバックアップ経路
応訓練への参加
電子カルテサーバを中心とする保 バックアップ復元ツール、復元手順のBCPへの記載、復元テス
存義務を有する情報サーバ、診療 情報サーバ仮想化
ト、環境設定を伴った包括的サーバ
継続に不可欠な情報端末の運用
インフラバックアップの実施、バックアップ周期の短縮化
NDMC Digitalization Strategic Center, Reserved

病院におけるサイバーリスクの受容の考え方(1)• 推定許容される「診療停止日数」• 収入減、支出増、「金額化」に分けて考える• （停止日数）×（1日平均稼働額）＝（金額としての収入源）

75日×1億円=75億円• 調査、対応、復旧にかかる費用~3億円？

• 病院の信頼毀損、患者対応による医療スタッフの精神的負担、未知でリスクの高い紙運用の医療事故への緊張負担• 推定許容される「病院機能停止日数」

2000人×10000円×75日=15億円• 高度急性期では救急患者受け入れのデマンドが高い→検査機器の停止を許容しづらい• 推定許容される「病院情報システム停止日数」• 大阪急性期から学ぶこと１：参照システムの早期復旧の重要性

病院情報システムは診療よりも十分早期に復旧しなければならない• 大阪急性期から学ぶこと２：確実なデータバックアップ確保の重要性• 大阪急性期から学ぶこと３：サプライチェーン接続の確認
GUH, NDMC, Reserved

CDS＝「できることから始めよう、次第に良くなる計画を立てよう」• Continuous Diagnostics and Mitigation (継続的なセキュリティ診断とリスク低減)• いきなり「盤石のセキュリティ」には到達できない（それでも今から始める価値がある）• 「抑えるべき急所の順序」が存在する• 対策には「すぐできるもの」と「計画し予算と人手がかかるもの」に分けられる
予算
ネットワーク整備
ランサムウェア対策
バックアップ

可視化
セキュリティソフトウェア
ネットワーク設定見直し

手間(マンパワー)

多要素認証
CISOの設置と権限付与
運用見直し
機器単体設定見直し
脆弱性対策

セキュリティ教育

ネットワーク調査
中長期計画策定保持

NDMC Digitalization Strategic Center, Reserved

CSFとCDM：どちらから始めるか？
Cyber Security
Framework(CSF)

Continuous Diagnostics
and Mitigation(CDM)

段階の考え方

Tier（分野ごとにレベルを評価）

Core（保護対象の順序を指定）

着手順

攻撃者の侵入経路に沿って防御者の保護資産に沿って適した始め方

システム更新の計画開始時実施時のハードル

資産管理の手間が大きい（調査の支援役務？）
シェル型の保護で終わりがち
可用性の確保随時より高いレベルでの防御を見込む場合、資産管理が避けられない
大規模インフラ改修計画を
GUH, NDMC, Reserved

5.2版と6.0版の違い
5.2の目次2.本ガイドラインの読み方
3.対象システム及び対象情報4.電子的な医療情報を扱う際の責任のあり方
5.情報の相互運用性と標準化について
6.医療情報システムの基本的な安全管理
7.電子保存の要求事項について
8.診療録及び診療諸記録を外部に保存する際の基準
9.診療録等をスキャナ等により電子化して保存する場合について
10.運用管理について

6.0の目次概説編
2.本ガイドラインの対象
3.本ガイドラインの構成・読み方
4.本ガイドラインの前提

経営管理編[Governance]
1.安全管理に関する責任・責務
2.リスク評価を踏まえた管理
3.安全管理全般（統制、設計、管理等）
4.安全管理に必要な対策全般
5.医療情報システム・サービス事業者との協働

42

GUH, NDMC, Reserved

5.2版と6.0版の違い
5.2の目次2.本ガイドラインの読み方
3.対象システム及び対象情報
4.電子的な医療情報を扱う際の責任のあり方
5.情報の相互運用性と標準化について
6.医療情報システムの基本的な安全管理
7.電子保存の要求事項について
8.診療録及び診療諸記録を外部に保存する際の基準
9.診療録等をスキャナ等により電子化して保存する場合について
10.運用管理について

6.0の目次企画管理編[Management]
1.管理体系
2.責任分界3.安全管理のための体制と責任・権限
4.医療情報システムの安全管理において必要な規定・文書類の整備
5.安全管理におけるエビデンス
6.リスクマネジメント（リスク管理）
7.安全管理のための人的管理（職員管理、事業者管理、教育・訓練、事業者選定・契約
8.情報管理（管理、持ち出し、破棄等
9.医療情報システムに用いる情報機器等の資産管理
10.運用に関する点検・監査
11.非常時（災害、サイバー攻撃、システム障害）
対応とBCP策定
12.サイバーセキュリティ
13.医療情報システムの利用者に関する認証等及び権限
14.法令で定められた記名・押印のための電子署名
15.技術的な安全管理対策の管理
16.紙媒体等で作成した医療情報の電子化

43GUH, NDMC, Reserved

5.2版と6.0版の違い
5.2の目次2.本ガイドラインの読み方
3.対象システム及び対象情報
4.電子的な医療情報を扱う際の責任のあり方
5.情報の相互運用性と標準化について
6.医療情報システムの基本的な安全管理
7.電子保存の要求事項について
8.診療録及び診療諸記録を外部に保存する際の基準
9.診療録等をスキャナ等により電子化して保存する場合について
10.運用管理について

6.0の目次システム運用編[Control]
1.情報セキュリティの基本的な考え方
2.システム設計・運用に必要な規定類と文書体系
3.責任分界
4.リスクアセスメントを踏まえた安全管理管理対策の設計
5.システム設計の見直し（標準化対応、新規技術導入のための評価等）
6.安全管理を実現するための技術的対策の体系
7.情報管理（管理・持ち出し・破棄等）
8.利用機器・サービスに対する安全管理措置
9.ソフトウェア・サービスに対する要求事項
10.医療情報システム・サービス事業による保守対応等に対する安全管理措置
11.システム運用管理（通常時・非常時等）
12.物理的安全管理措置
13.ネットワークに関する安全管理措置
14.認証・認可に関する安全管理措置
15.電子署名・タイムスタンプ
16.紙媒体等で作成した医療情報の電子化
17.証跡のレビュー・システム監査
18.外部からの攻撃に対する安全管理措置

44

GUH, NDMC, Reserved

End of Document

GUH/NDMC, Reserved