医療情報システム安全管理
ガイドライン6.0に基づく
サイバーセキュリティを重視したシステム保守契約書作成の要点解説
日本医療情報学会
研修企画委員会

福井大学

山下芳範
福井大学
University of Fukuiなぜ契約書？？？

即時対応できない場合や事後対応の保険対応担当者がいない場合の逃げ道
福井大学
University of Fukui医療系でのセキュリティ問題
ウイルス感染が広がって端末が利用不能
ウイルスによる内部サーバへの攻撃
電子カルテのデータが乗っ取られた– ファイルの暗号化ロックによる使用不能– 身代金の要求– バックアップも使用不能・戻せない

部門システムのデータが乗っ取られた
福井大学
University of Fukuiセキュリティ問題の背景
リモートメンテナンス等外部接続の増加– バックドア問題

医療情報システムと外部との関わりの拡大
クローズドなネットワークが安全とは言い切れない現実
意図しない状況からのサイバー攻撃の可能性

福井大学
University of Fukui

法令改定によって医療機関に求められている情報収集
弱点の把握とリスクの認識
・医療機関のチェックシートの作成

・ベンダー（事業者）のチェックシートの収集・ベンダー（事業者）からのシステムのMDS/SDSの収集
福井大学
University of Fukui端末や機器のリスト化
機器の把握も求められる

病院内機器の把握
ネットワーク上のリスク把握

福井大学
University of Fukui

医療機関で確認するために事業者（ベンダー）からも収集ログが取れているか？

セキュリティパッチは福井大学
ベンダーに確認
University of Fukui気になる部分

福井大学
University of FukuiMDS/SDSの備考欄に記載
して明示してもらいたい項目連絡先一覧の作成

福井大学
University of Fukui

「製造業者/サービス事業者による医療情報セキュリティ開示書」とは各製造業者/サービス事業者の医療情報システムのセキュリティ機能に関する説明の標準的記載方法（書式）をJAHIS/JIRA で定めた物です– 製品/サービス説明の一部として製造業者/サービス事業者によって作成され、セキュリティマネジメントを実施する医療機関等を支援するため、以下の用途に用いられることを想定しています（１） 製造業者が提供する医療情報システム、又はサービス事業者が提供する医療情報システムを用いたサービス（以下、「対象とするシステム/サービス」とする。）のセキュリティに関して、厚生労働省から発行されている「医療情報システムの安全管理に関するガイドライン」（以下、「安全管理ガイドライン」）への適合性を示すことにより、医療機関等側において必要な対策の理解を容易にすること。
（２） 安全管理ガイドラインを遵守しなければならない医療機関等にとって有用な情報を提供すること。当該システム/サービス導入医療機関等においてセキュリティマネジメントを実施するにあたって、製造業者/サービス事業者により提供される情報がリスクアセスメントの材料となること。
（３） 各製造業者/サービス事業者にとって、安全管理ガイドラインへの適合性への自己評価手段として利用すること。
（４） 医療機関等が製造業者/サービス事業者にセキュリティの説明を求める際の、要求のベースとして利用すること。
福井大学
University of Fukui

福井大学
University of Fukui

福井大学
University of Fukui別途対応可能なら備考が欲しい

要チェック

福井大学
University of Fukui

実際の提出書類から

福井大学
University of Fukui

福井大学
University of Fukui未記載がないようにMDS/SDSとの整合も確認

福井大学
University of Fukuiできればリストをもらう

多要素が必要なシステムかの確認

福井大学
University of Fukui

できれば構成や運用の説
明書類をもらう

福井大学
University of Fukuiその他の欄の活用
項目は、ガイドラインの項目の対応のみ脆弱性としての認知ができない– 考慮すべきリスクの記載を求める– 責任範囲を明確にする
責任分界点
契約内容での確認
例：範囲・非常時

福井大学
University of Fukuiその他・備考欄の例
オプションや別運用が必要なものに注意
これらの責任は？？
契約？？

福井大学
University of Fukuiその他・備考欄の例
導入システムでの状態が不明

実際の運用が不明
メンテ契約に入っている

福井大学
University of Fukui

医療情報部門・医療情報担当者が担うべきセキュリティ対応
チェックシートだけで大丈夫か？
MDS/SDSをもらうだけで大丈夫？

セキュリティの本質的対応が必要
経営層も含めて重要インフラとしての対応を考える必要あり
契約内容も福井大学
University of Fukui

すべき対応とはGL6にある項目– リスク評価とマネジメント脆弱性などの把握・報告 → MDS/SDS、チェックリスト– 異常事象発生時の対応
システムのログの扱い
事故発生時の報告・原因究明・対策– 事業者からの情報提供
経時的に発生するリスク– 非常時体制とリカバリ方法の確立
福井大学
University of Fukui契約書とあるが・・・
契約書が必須ではない– 後付けの文章（覚書や誓約書など）も可能

契約先との間での明文化が重要
特に責任分界点の明確化を考えることと、非常時の対応を想定する
福井大学
University of Fukui責任分界点GL6 経営管理編

現状ではほとんど明記されていないので今後の契約などでは考慮すべき点！！

契約書
仕様書
覚書 など
福井大学
University of Fukui責任分界点GL6 企画管理編

福井大学
University of Fukui責任分界点GL6 システム運用編

福井大学
University of Fukuiインシデント発生時
GL6 経営管理編

福井大学
University of Fukui

福井大学
University of Fukuiリスク評価GL6 企画管理編福井大学
University of Fukuiリスク評価GL6 システム運用編

福井大学
University of Fukui

福井大学
University of Fukui

CVEとCVSSスコア
CVE– ベンダー依存しないセキュリティ報告– 共通化

CVSSスコア– 統一した危険度の評価
共通脆弱性評価システム

福井大学
University of Fukui

福井大学
University of Fukui

取り決め例CVSSスコア7以上は、報告を行い、対応は協議による。
CVSSスコア９以上は、緊急の通知を行うとともに、対応策を提示し、実施方法を検討する。

福井大学
University of Fukui

脆弱性診断の基本
システム基本的な問題がないかの確認– 期待している動作だけでなく、予期しないトラフィックでの問題の有無– 設計通りの通信の状態の確認

意図しない（利用しない）出入口の有無
OSとしての安全性確認– パッチの適用状態

アプリケーションの安全性確認– 不要サービスなどの有無– 異常通信時の対応状況– アクセス権の妥当性

福井大学
University of Fukuiペネトレーション・テスト
現実的なサイバー攻撃での耐性試験– 既知の脆弱性を検出するための特徴的なパターンでの疑似攻撃– 既知の侵入パターンによる不正侵入の試行– 既知の攻撃パターンによるサービス妨害の試行– 外部からのコマンド実行、情報操作、データ取得の試行– Web系の弱点への総攻撃
導入時評価としては有効でもOSやアプリの脆弱性があるので継続的にも必要

福井大学
University of Fukui契約前の技術仕様でも考慮
導入前のセキュリティ開示情報
導入前セキュリティ診断と継続性・有効期間– 導入前のペネトレーションテストする？？？

セキュリティ対応のためのupdate対応– とはいえOS・アプリの有効期限がある

システムの有効期限やライフサイクルの担保
セキュリティ担保の費用の明確化
福井大学
University of Fukui認証のアプローチ例
部門システム
署名

認証・電子署名

電子カルテ
電子カルテ
電子カルテ

電子カルテ

認証デバイス等

カードサービス等

署名

認証

認証
API
認証デバイス
カードサービス

OS

部門シス
テム

認証

OSCA
TSA
LDAP

認証の一元化

電子カルテ上のA先生と部門システム上のA先生は本当に同じ人なりすましで記録ができないか？

CATSALDAP福井大学
University of Fukui契約だけがすべてではない
院内におけるセキュリティのリスクを考える– ベンダー側の情報提供が重要！！

どうしても、リスク評価は１００％とはならない– 考えうる対策はするが、「お守り」という認識で– 継続的な情報提供をどうするか？

何かが起こる前提で考える– 起こった時の対応を考慮する– そのためにも、弱点を知ることが重要
継続的なフォローも必要となる– 万一の時の対応手段を考慮する

福井大学
University of Fukui