ＨＩＳＰＲＯ

オンライン服薬指導システム チェックシート

整理番号

評価申請元

評価者

評価対象プロダクト名
チェックシートへの対応内容並びに、内容を確認したエビデンス
項番
1
2

分類

導システム事業者 いて、ユーザーである薬剤師や患者向けに説明資料を作成すること。
オンライン服薬指導システム事業者は、提供するオンライン服薬指導システム環境のハードウェア機器、ソフトウェア、ネットワークの構成図及びシの説明責任
ステム要件、更新仕様等を説明した資料を作成すること。仮想化技術を⽤いオンライン服薬指導システムに供する場合には、論理的に区分管理を⾏える措置を講じた上で説明資料を作成すること。
オンライン服薬指導システム事業者は、薬局等が患者等からの求めに対する説明責任、管理責任等に応じるために、オンライン服薬指導システム事業者として負う責任の範囲、役割について、障害等が生じた場合の稼動を保証する範囲も含め、薬局等に対し明確に提示できること。
オンライン服薬指導システム事業者は、薬剤師がオンライン服薬指導システムを利⽤するにあたって、薬剤師が負う情報漏洩・不正アクセス等のセ4

キュリティリスクを明確に説明すること。
オンライン服薬指導システム事業者は、オンライン服薬指導システムを利⽤するにあたって、発生するセキュリティリスクについて明確にし、ユー5ザーである薬剤師や患者向けに説明資料を作成すること。
オンライン服薬指導システム事業者は、オンライン服薬指導システムを利⽤するにあたって、発生するプライバシーの侵害リスクについて明確にし、6

ユーザーである薬剤師や患者向けに説明資料を作成すること。
オンライン服薬指導システム事業者は、オンライン服薬指導システムを利⽤するにあたって、緊急時を除き公衆無線LANへの接続を⾏わないことを薬7

剤師や患者に説明すること。
オンライン服薬指導システム事業者は、提供するオンライン服薬指導システムの中に汎⽤システム及び外部サービスを組み込んだ場合においても、提8供したシステム全般に対するセキュリティの責任を負うことし、ユーザーである薬剤師や患者に対する契約の中で明記を⾏うこと。
オンライン服薬指導システム事業者は、汎⽤システム及び外部サービスの安全管理策及びサービスレベルが⼗分であることを確認し、サービスの利⽤

9を決定、契約を⾏うこと。
オンライン服薬指導システム事業者は、汎⽤システム及び外部サービスも含め、オンライン服薬指導システムの提供状況、運⽤、維持について定期的10に検証すること。汎⽤システム及び外部サービスによる状況については事前・事後報告を義務づけ、報告内容を確認すること。
オンライン服薬指導システム事業者は、薬剤師に対して⼗分な説明が可能となるように、提供するオンライン服薬指導システムに関する取扱い手順書

11

等の説明書を作成し、薬剤師が容易にアクセスできるような環境で提供を⾏うこと。
オンライン服薬指導システム事業者は、薬剤師がオンライン服薬指導システムを利⽤するにあたり、必要となるシステム環境（通信環境、OS、ソフト

12

14
15

対応策

オンライン服薬指 オンライン服薬指導システム事業者は、オンライン服薬指導システムが有する機能、ならびに特に医療情報システムと接続可能な機能を有するかにつ

3

13

項目

ウェア、ブラウザ等）について、薬剤師が容易にアクセスできるような環境で提供を⾏うこと。
オンライン服薬指導システム事業者は、薬剤師に対して利⽤規約等で薬剤師が実施すべき事項を示すだけでなく、起こりうるリスク等の注意点に関して、別途薬剤師が理解しやすいような説明を提供すること。
オンライン服薬指 服薬指導にかかる患者個⼈に関するデータに関して、医療情報システムと接続する場合を除き、オンライン服薬指導システム（サーバー、端末等）に導システムとして 蓄積・残存を⾏わないこと。
服薬指導に関する予約を⾏う際に、薬剤師への伝達事項が存在する場合があるが、服薬指導終了時に服薬指導にかかる患者の情報に関しては、医療情備えるべき事項
報システム等に転記等⾏い、オンライン服薬指導システムからに蓄積・残存を⾏わないこと。
オンライン服薬指導システムにおいて、複数の患者を同時に服薬指導を⾏う機能を有しないこと。

16
17

オンライン服薬指導システムにおいて、患者側で第三者をビデオ通話に招待する機能を有しないこと。
オンライン服薬指導にかかる患者個⼈に関するデータを扱うまたは蓄積する医療情報システムに関しては、医療情報安全関連ガイドラインに基づい

18て、安全に取り扱えるシステムを確⽴すること。
オンライン服薬指導システム事業者は、オンライン服薬指導が中断することのないようなサーバ機器、アーキテクチャを確保した上で、システムを提19供すること。
20 オンライン服薬指 オンライン服薬指導システムを利⽤する環境は、意図されない動作を⾏う不正プログラム等を排除するために、ウィルス対策ソフトを導⼊すること。
21
22

導システムの利⽤ オンライン服薬指導システムを利⽤する環境は、脆弱性への対応を可能とするために、OSのアップデート並びに利⽤するソフトウェアに対するアップ
環境に対する確認 デートを適切に実施すること。
オンライン服薬指導システムを利⽤する際に定期的に環境をチェックし、OS並びにソフトウェアのアップデートが適切に実施されていない場合、アップデートを促す機能を備えていること。
オンライン服薬指導利⽤時に、端末内の他のデータに意図しないアクセスができないような機能を備えることが望ましい。

23

24 オンライン服薬指 オンライン服薬指導システム事業者は、自社における個⼈情報保護指針、プライバシーポリシー等を薬局等に対し明確に提示できること。
25 導システム事業者 オンライン服薬指導システム事業者は、情報セキュリティに関する基本⽅針や運⽤管理規程(ルール)、情報セキュリティポリシーを策定すること。

オンライン服薬指導システム事業者は、本評価の他に、プライバシーマーク認定(保健医療福祉分野)、ISMS認証、ITSMS認証、情報セキュリティ監査
26 における組織的対告書の取得、クラウドセキュリティ推進協議会CSマーク、ISMSクラウドセキュリティ認証等の公正な第三者の認証等を取得していることが望まし
策オンライン服薬指導システム事業者は、システム、組織体制、運⽤等に関する監査の⽅針、内容等について定め、定期的に監査を⾏い、監査実施につ27
いて記録すること。
オンライン服薬指導システム事業者は、個⼈情報保護対応策、オンライン服薬指導システムに係る守秘義務、守秘義務に違反した場合にはペナルティ28が課されることを含めた利⽤規約や契約とすること。
オンライン服薬指導システム事業者は、以下の責任者を設置し、任命・解任等のルールを策定すること。
(1)オンライン服薬指導システムの提供についての管理責任を有する責任者

29(2)医療情報システムについての管理責任を負い、これについて⼗分な技術的能⼒及び経験を有する責任者（システム管理者）(3)オンライン服薬指導システムの提供に係る医療情報システムの運⽤に関する事務を統括する責任者
オンライン服薬指導システム事業者は、下記の体制（再委託に関する情報を含む）について構築し、責任者等を含め体制図等として策定すること。
(1)情報セキュリティポリシーの遵守を担保する組織体制30(2)オンライン服薬指導システムの提供に係る体制（保守体制、問合せ窓口、障害時保守体制、緊急時の対応体制等）(3)薬局等の管理者からの⼀元化された薬局等からの問合せ窓口ならびに受付時間帯等
オンライン服薬指 オンライン服薬指導システム事業者における、雇⽤契約または服務規程等には従業員（委託契約員と派遣職員を含む）の守秘義務に関する内容や不正31 導システム事業者 に情報を扱った場合の罰則（懲戒手続など）を含むこととし、契約時には秘密保持契約に署名を⾏うこと。違反した場合は適切なペナルティを課すな
における⼈的対策 どの内容を服務規定に定めること。
オンライン服薬指導システム事業者は、個⼈情報保護ポリシー及び個⼈情報の安全管理（退職時や契約終了以降の守秘義務も含む）に関する教育･訓練
32

を、従業員（委託契約員と派遣職員を含む）に対して、就業開始時及び就業後の新しい脅威や情報セキュリティ技術の推移に合わせて定期的に⾏うこと。
オンライン服薬指導システム事業者は、従業員（委託契約員と派遣職員を含む）が退職した場合、管理していた個⼈情報及び情報資産の全てについて

33

返却するとともに、就業中に扱った情報や知り得た情報に関する守秘義務についても服務規程等に含め、署名すること。また、システム管理者は返却確認を⾏うこと。
オンライン服薬指導システム事業者は、従業員（委託契約員と派遣職員を含む）の退職時には、確実な職員証・名札等の回収･廃棄、当該作業者IDの利34

⽤停⽌等、職員証・作業者IDの厳密な発⾏及び失効管理を⾏うこと。
オンライン服薬指導システム事業者の情報管理については、従業員（委託契約員と派遣職員を含む）及び委託先に対して教育を⾏い、教育･訓練の実施

35

状況や、守秘義務等への対応状況等に関する資料を作成すること。
オンライン服薬指導システム事業者の従業員（委託契約員と派遣職員を含む）による安全管理策違反の疑いが発生した際には、ただちにシステムへの

36
37
38
39

アクセス権を停⽌し、改ざん⼜は破壊等の⾏為が⾏われていないことを検証すること。
オンライン服薬指導システム事業者において、委託先には自社と同等の個⼈情報保護⽅針を遵守させる守秘義務があることを確認し、委託契約を⾏うこと。
オンライン服薬指 オンライン服薬指導システム事業者は、オンライン服薬指導システムに供する媒体及び機器等の設置場所等の情報セキュリティ境界について、施錠管
導システム事業者 理を⾏うこと。
における物理的対 オンライン服薬指導システム事業者は、オンライン服薬指導システムに供する媒体及び機器等を格納するキャビネット等について、施錠管理を⾏うこ
策と。
オンライン服薬指導システム事業者は、オンライン服薬指導システムに供する媒体及び機器の設置場所、運⽤･保守端末等を設置している区域について、以下の運⽤管理規程(ルール)等を規定し、実施すること。

(1)設置場所、区画の出⼊りを制限するため、有⼈の受付、機械式の認証装置のいずれか、あるいは双⽅を設置して、予め届け出を⾏い、許可された者のみが⼊退できるように制限する(2)有⼈受付を置かずに機械式の認証装置により⼊退室者を管理する場合には、生体認証を⼀つ以上含む複数要素を利⽤した認証装置を利⽤する(3)設置場所、区画への⼊退管理については、個⼈認証システム等による制御に基づいて⾏い、⼊退者の特定が⾏う(4)職員の業務に応じて設置場所、区画に滞在できる時間を指定する(5)設置場所、区画への不明者の⼊退を発⾒するために、⼊退者に顔写真⼊りの職員証・名札等の着⽤を義務付け、職員で無い者を識別した際には声掛40

け等を⾏い、⾝分を確認する(6)職員証・名札等を紛失あるいは不正利⽤された疑いがあった際には、ただちに区画管理者に連絡する(7)設置場所、区画には、監視カメラ等を設置し、その記録を保存、状況を確認することで、不正な⼊退者がないことを確認する(8)設置場所、区画には、業務遂⾏に関係のない個⼈的所有物の持ち込みを制限する(9)設置場所、区画には、オンライン服薬指導システム継続に不必要なものは置かない(10)設置場所、区画への⼊退状況の管理（⼊退記録のレビュー含む）は定期的に⾏う(11)設置場所、区画での作業者の活動、機器で発生したイベント、システム障害、システム使⽤状況等を記録し、定期的に検証の上、不正な⾏為、シ
ステムの異常等を検出する
オンライン服薬指 オンライン服薬指導システム事業者は薬剤師に対し、オンライン服薬指導システムに関係する通信に関して、起点、終点、経路等も対象とし、適切な41導システム事業者 技術(専⽤線、IP-VPN、Ipsec、プロトコルを限定し高セキュリティ型で設定したTLS1.2)を使⽤していることを明らかにすると共に、オンライン服薬における通信回線 指導システム事業者として負う責任の範囲、役割を明示できること。(例︓ネットワーク経路におけるウイルスや不正なメッセージの混⼊等の改ざんに
での対策

42
43

対する防護措置に関する役割等)
オンライン服薬指導システム事業者は、オンライン服薬指導が中断することのないように通信回線帯域を確保し、回線の管理、品質等に対するオンラ
イン服薬指導システム事業者の責任の範囲、役割等について、明示できること。
オンライン服薬指導システムを利⽤する通信路については、最低でも信頼性の高い機関が発⾏したサーバー証明書を⽤いたTLS1.2による通信の暗号化を⾏うこととし、TLS の設定はサーバー/クライアントともに、IPAより公開されている「SSL/TLS 暗号設定ガイドライン」に規定される最も安全性の高い「高セキュリティ型」に準じた適切な設定を⾏うこと。
特定施設（複数の患者が 同⼀の施設から ネットワークに 継続的に接続する場合等）に継続的に接続する場合の通信路については、特定施設の識別を確実なものとするために、IP-VPNやIPsec＋IKEによる接続を⾏うこと。
その際、下記の必要な措置（情報交換の実施基準・手順等の整備、通信の暗号化等）を⾏うこと。

44(1)アクセス先のなりすまし（セッション乗っ取り、フィッシング等）等を防ぐため、接続時にVPN装置間で相互に認証を⾏う(2)認証で電⼦証明書を利⽤する場合、電⼦証明書は信頼できる組織によって発⾏されたものとし、暗号鍵、ルート証明書等、安全に運⽤する(3)傍受、リプレイ等のリスクを最⼩限に抑えるために、適切な暗号技術を利⽤する(4)インターネット上のトラフィックがVPNチャンネルに混⼊しないように、インタフェース間において直接の経路を設定しない

45
46
47
48
49

(5)複数の薬剤師の間で情報が混同するリスクを避けるため、オンライン服薬指導事にVPNチャンネルを構築する等の対策を実施する
オンライン服薬指導システムにおいて、ソフトウェア型のIPsec ⼜はTLS1.2 により接続する場合、セッション間の回り込み（正規のルートではないク
ローズドセッションへのアクセス）等による攻撃について、適切な対策を実施すること。
オンライン服薬指導システム事業者は、薬剤師に対し、薬局等の施設内のルータ、端末等の経路設定によりオンライン服薬指導システムにおいてセッション間の回り込み（正規のルートではないクローズドセッションへのアクセス）等による攻撃がされないよう、注意喚起を⾏うこと。
オンライン服薬指導システム事業者は、オンライン服薬指導システムにおいて、端末⼜はセッションの乗っ取りのリスクを低減するため、利⽤者のログオン後に⼀定の使⽤中断時間が経過したセッションを遮断する、あるいは強制ログオフを⾏うことができること。
オンライン服薬指導システムにおいて、ネットワーク機器及びサーバー、端末の利⽤していないネットワークポートへの物理的な接続を制限すること。
オンライン服薬指導システムにおいて、SSL-VPNは、原則として使⽤しないこと。
オンライン服薬指導システムにおいて、外部サービスを利⽤する場合は下記サービスに限定することが望ましい。
(1)外部からの稼働監視･遠隔保守

50(2)セキュリティ対策ソフトウェアの最新パターンファイル等のダウンロード(3)オペレーティングシステム及び利⽤アプリケーションのセキュリティパッチ等のダウンロード(4)ファイアウォール、IDS／IPS などのセキュリティ機器に対する不正アクセス監視(5)時刻同期のための時刻配信サーバー

All Rights Reserved by HISPRO, 2022

1 / 3 ページ

確認したエビデンス（文書名、ページ番号等）

評価員が記⼊する欄
判定結果

改善策

備考

ＨＩＳＰＲＯオンライン服薬指導システム チェックシート

整理番号

評価申請元

評価者

評価対象プロダクト名
チェックシートへの対応内容並びに、内容を確認したエビデンス
項番

分類

項目

対応策

オンライン服薬指 オンライン服薬指導システム事業者は、提供するオンライン服薬指導システムの環境の脆弱性に関する情報について、JPCERTコーディネーションセン
51

導システム事業者 ター（JPCERT/CC）、内閣サイバーセキュリティセンター（NISC）、独⽴⾏政法⼈情報処理推進機構（IPA）等の情報源から、定期的及び必要なタイにおける外部から ミングで取得・確認し、対策漏れが無いことを確認すること。対応すべき脅威の例としては、コンピュータウイルス（ワーム）、バックドア（トロイの攻撃への対策52の木馬）、スパイウェア（キーロガー）、ボットプログラム（ダウンローダー）等がある。
オンライン服薬指導システム事業者は、提供するオンライン服薬指導システムへの外部からの悪意ある侵⼊を防ぐために、ファイアウォール並びにIDS／IPS、WAF等を組み合わせ、不正な通信が⾏われないための対策を施していること。
オンライン服薬指導システム事業者は、侵⼊検知システム等が、常に最新の攻撃･不正アクセスに対応可能なように、シグネチャ･検知ルール等の更53

新、ソフトウェアのセキュリティパッチの適⽤等を⾏うこと。
オンライン服薬指導システム事業者は、侵⼊検知システム等自⾝が攻撃･不正アクセスの対象とならないように、その存在を外部から隠す設定（ステル54スモード）や、侵⼊検知システムへのアクセスの適切な制御を実施すること。
オンライン服薬指導システム事業者は、セキュリティゲートウェイ等において、不正なIPアドレスを持つトラフィックが通過できないように設定する55こと。
オンライン服薬指導システム事業者は、オンライン服薬指導システムにおけるホスティングの利⽤時等、ネットワーク境界にオンライン服薬指導シス

56

テム事業者による装置を設置できない場合は、オンライン服薬指導システムを提供する個々の情報処理装置に対して、外部からの攻撃等の対策を⾏うこと。
オンライン服薬指導システム事業者は、不正･不審なトラフィックが、提供するオンライン服薬指導システムの環境上における内部ネットワークから外

57

部ネットワークへと流れていないことをネットワーク境界において監視すること。
オンライン服薬指導システム事業者は、緊急度の高い攻撃･不正アクセス⾏為を検知した際は、監視端末への出⼒や電⼦メール等を⽤いて直ちに管理者58に通知する設定を⾏っていること。
オンライン服薬指導システム事業者は、提供するオンライン服薬指導システムの環境（サーバー、プラットフォーム、データベース、端末等）に対し

59て、ウイルスやマルウェア等の混⼊が生じないための手順を策定し、これに則って構築すること。
オンライン服薬指導システム事業者は、オンライン服薬指導システムにおける、ウイルスやマルウェア等の対策ソフトウェアにおいて次の設定を⾏うこと。
(1)定義ファイル、スキャンエンジン常に最新のものにするために自動アップデート⼜は⼗分な頻度による手動での更新

60(2)リアルタイムスキャン(3)リスク評価の結果として必要であれば定期的にスキャンを実施(4)媒体及び機器へのデータ書き出し・読み込み時におけるオンデマンドスキャン(5)管理者以外による設定変更やアンインストールの禁⽌オンライン服薬指導システム事業者は、オンライン服薬指導システムがウイルス等による攻撃を受けた場合に、オンライン服薬指導システム提供に係

61

る影響について速やかに周知し、利⽤者に必要な対応等を求めること。
62 オンライン服薬指 オンライン服薬指導時に、意図しないユーザーに対しても内容が共有されることが無いように、アクセス制御を確実に⾏える仕組みとすること。
63 導システム事業者 オンライン服薬指導システムにおいて、利⽤者のなりすまし等を防⽌するための認証を⾏うこと。

オンライン服薬指導システムにおいて、認証により利⽤者を特定し権限を確認し、利⽤者種別ごとにアクセス権限･範囲等のアクセス制御が可能な機能
64 におけるアクセス
を含め、与えられた権限外の情報や権限外の操作画⾯を表示しない等の制御を⾏うこと。
制御
オンライン服薬指導システム事業者は、医療情報システムの利⽤者を特定し識別できるように、アカウントの発⾏を⾏うこと（利⽤者には、薬局等に65
おいてサービスを利⽤する者のほか、医療情報システムの運⽤若しくは開発に従事する者⼜は管理者権限を有する者も含め、複数の利⽤者によるIDの共同利⽤は⾏わないこと。
オンライン服薬指導システムにおいて、医療情報システムの運⽤若しくは開発に従事する者⼜は管理者権限を有する者に対するIDの発⾏は必要最⼩限66とし、定期的な棚卸しを⾏うこと。その際、製造ベンダが設定したデフォルトのアカウント及びメンテナンス⽤のアカウント等、必要のないアカウン
トについては削除あるいはパスワード変更を⾏うこと。
オンライン服薬指導システムにおいて、利⽤者が設定するパスワードについては、第三者から容易に推定されにくい内容、複数文字種の組合せ、⼗分67に安全な⻑さの文字列等から構成することを含む品質基準（パスワードポリシー）を策定し、これに基づく運⽤を⾏うこと。
オンライン服薬指導システムでは、患者がいつでも薬剤師の本⼈確認を⾏うことができるように、薬剤師の本⼈情報、顔写真、薬剤師であることの情68

報（薬剤師免許証、薬剤師名簿登録番号、薬剤師名簿登録年⽉⽇等）、薬剤師の所属情報、⾝分証明書等について登録を⾏え、常に必要な情報の確認ができる機能を有すること（薬剤師の本⼈確認を⾏う⽅法例として、HPKIカード（薬剤師資格証）との連携等があげられる）。
薬剤師がオンライン服薬指導システムを利⽤する端末を⽴ち上げる際は、本⼈確認利⽤者認証を実施しなければならず、ID／パスワードや生体認証等

69の認証を実施すること。利⽤する端末がオンライン服薬指導システム事業者の責任の範囲外である場合は、オンライン服薬指導システム事業者は、端末⽴ち上げ時の利⽤者認証を薬剤師に求めること。
薬剤師がオンライン服薬指導システムを利⽤する場合は、本⼈確認利⽤者認証を実施しなければならず、ID／パスワードや生体認証、ICカード等によ70

り複数要素の認証を実施することが望ましい。
オンライン服薬指導システム事業者は、システムの運⽤保守を⾏う作業者のアクセス権限の管理を⾏い、その認証については、ID／パスワードや生体71

認証、ICカード等により複数要素の認証を実施すること。
オンライン服薬指導システムにおいて、パスワードには⼗分な安全性を満たす有効期間を設定し、定期的な変更を強制すること。ただし、利⽤者が患72者等である場合には、他のサービスで利⽤しているパスワードを使わないよう特に促すだけでなく、オンライン服薬指導システム提供側から患者等に対して定期的なパスワードの変更を要求しないこと。
オンライン服薬指導システムにおいて、利⽤者のパスワードは、⼗分な強度を持ったハッシュ値での保存を⾏う等、暗号化して、パスワードを容易に73

復元できない形で情報を保管すること。また、⼀般の作業者による閲覧を制限すること。
オンライン服薬指導システムにおいて、利⽤者がIDやパスワードを失念した場合には、予め策定した手順（本⼈確認を含む）に則り、本⼈への通知⼜74

は再発⾏を⾏うこと。また、緊急時の作業のため、規定時間外にログオンを⾏う必要が発生した場合の妥当な承認プロセスを策定すること。
オンライン服薬指導システムにおいて、パスワード等の情報の漏洩が生じた場合（不正な第三者からの攻撃による場合を含む）には、直ちに当該IDを75無効化し、予め策定した手順に基づき、新規のログイン情報の再発⾏を⾏い、利⽤者に速やかに通知すること。
オンライン服薬指導システムにおいて、パスワード等の情報の漏洩のおそれがある場合、利⽤者本⼈にその事実を通知した上で、当該パスワードを無76

効化し、変更できるような対応を講じること。
オンライン服薬指導システム事業者におけるオンライン服薬指導システムでの利⽤者の認証に際して、何らかの物理的な媒体･⾝体情報等を必要とする

77

場合に、例外的にそれらの媒体及び機器等がなくても⼀時的に認証するための代替的手段･手順を事前に定め、本来の利⽤者の認証⽅法による場合とのリスクの差を最⼩にすること。
オンライン服薬指導システムにおいて、認証に際してID及びパスワードによらない場合でも、ID及びパスワードに関する対策と同等以上の安全性を確78保すること。
オンライン服薬指導システムでの本⼈確認の認証時に、⼀定回数エラーが起こる場合を想定し、⼀定の不応時間をとる、認証を受け付けない等の対策

79を備え、システム管理者に警告メッセージを送出する仕組みを設けること。
オンライン服薬指導システムにおいて、複数要素認証が⾏えず、代替的手段･手順により医療情報システム利⽤を⾏った場合でも、事後の追跡を可能と80する記録を⾏い、これを管理すること。
オンライン服薬指導システムにおいて、医療情報システムのサーバー機器等への同時ログオンユーザ数（OSアカウント等）に適切な上限を設けるこ

81と。
オンライン服薬指 オンライン服薬指導システム事業者は、提供するオンライン服薬指導システムの環境（サーバー、プラットフォーム、データベース、端末等）のログ
導システム事業者 を取得し、保管すること。

82

におけるログに関 (1)利⽤者の利⽤状況の記録（服薬指導した事実の証跡、開始時間及び終了時間）
する事項(2)利⽤者⼜は開発者等の活動、機器で発生したイベント、システム障害、システム使⽤状況等を記録したログ(3)システム運⽤状況の記録（システム及びサービス設定ファイル等の複製、更新及び利⽤時等）(4)侵⼊検知、例外処理、情報セキュリティ事象の記録（事後処理に必要な項目が含まれていること）
ログには薬剤師が説明責任を果たすための情報（ID、時刻、時間、対象（情報主体単位）等）を含めること。

83

オンライン服薬指導システム事業者は、ログ上の時刻の信頼性を確保するために、オンライン服薬指導システムが提供する環境におけるハードウェア
84

機器（サーバー、ネットワーク機器等）の時刻と、信頼できる機関が提供する標準時刻あるいは同等の時刻情報との同期を⽇次以上の頻度で⾏うこと。また、定期的に時刻が同期していることを検証すること。
保管したアクセスログが改ざん等されないようにオンライン服薬指導システム事業者は、ログの定期的なレビューや検証を⾏い、不正な⾏為、提供す85

る環境の異常等がないことを確認すること。
オンライン服薬指導システム事業者は、ログ情報を不正なアクセスから適切に保護するため、保存⽅法について以下の管理策を適⽤すること。
(1)不正なアクセスを防⽌のため、ログデータにアクセスする作業者及び操作を制限(2)容量超過によりログが取得できない事態を避けるため、ログサーバーの記憶容量を常時監視し、媒体及び機器への書き出し、容量の増強等の対策の86

実施(3)ログデータに対する不正な改ざん及び削除⾏為に対して、暗号化あるいは定期的に追記不能な媒体及び機器への記録を⾏う等、検出･防⽌策の実施

87

オンライン服薬指導システム事業者は、監査実施について記録し、当該記録の保存･管理⽅法を、薬局等に対し明確に提示できること。
オンライン服薬指導システムにおける監査ログに記録する事項としては次のようなものが考えられる。
(1)作業者情報（作業者ID、ログオンの可否、利⽤時刻及び時間、実⾏作業内容、ネットワークアクセスの場合はアクセス元IPアドレス）(2)ファイル及びデータへのアクセス、変更、削除記録（作業者ID、アクセスの可否、利⽤時刻及び時間、作業内容、対象ファイル⼜はデータ種類）(3)データベース操作記録（作業者ID、接続及び作業の可否、利⽤時刻及び時間、実施作業内容、アクセス元IPアドレス、設定変更時にはその内容）(4)セキュリティパッチの適⽤作業（作業者ID、変更されたファイル）
保守において実施した操作結果

88(5)特権操作（特権取得者ID、特権取得の可否、利⽤時刻及び時間、実⾏作業内容）(6)システム起動、停⽌イベント(7)ログ取得機能の開始、終了イベント(8)外部デバイスの取り外し(9)IDS･IPS等の情報セキュリティ装置のイベントログ

89

オンライン服薬指 (10)サービス及びアプリケーションの動作により生成されたログ（時刻同期に関するログを含む）
オンライン服薬指導システムにおいて提供する環境のアプリケーションは、オンライン服薬指導システム事業者が開発したアプリケーションを⽤いる
導システム事業者 こと。また、外部事業者が開発したアプリケーションを⽤いる場合、事前に安全性を⼗分検証した上で⽤いること。
におけるシステム オンライン服薬指導システム事業者は、ソフトウェア開発を⾏う際に、ソフトウェア障害の影響を避けるため、以下の対策を⾏うこと。

(1)不正なソフトウェアの書き換えリスクを避けるため、ソフトウェアに対する改ざん防⽌、検知策（ソースコードレベルでの検証）を実施し、⼗分な90 構築・提供時の対試験を⾏うこと。
策(2)アプリケーションの安全性診断は提供しているオンライン服薬指導システムに対して直接実施せず、別途、試験環境を⽤意して⾏うこと。
オンライン服薬指導システム事業者は、オンライン服薬指導システムにおいて、不正な改ざんを受けていないことを検証するため、定期的にソフト
91
ウェアの整合性検査（改ざん検知）、環境種別（ハードウェア、プラットフォーム、アプリケーション等）による特定の脆弱性検出を含む安全性診断
を⾏い、その結果に基づいて対策を実施すること。
オンライン服薬指導システム事業者は、提供するオンライン服薬指導システムの環境のハードウェア等に接続できる媒体及び機器の種別及びソフトウェアを限定するため、以下の対策を実施すること。
92(1)管理者以外はソフトウェアやデバイスドライバのインストールやアンインストールを不可能とする(2)不要なソフトウェアやドライバがインストールされていた場合は削除する(3)不要なデバイスドライバが追加されていないことを定期的に検証する
93 オンライン服薬指 オンライン服薬指導システム事業者は、オンライン服薬指導システムにおいての不測の事態に備えるため、定期的にバックアップを⾏うこと。
94

導システム事業者 オンライン服薬指導システム事業者は、オンライン服薬指導システムのハードウェア機器等は製造元または供給元が指定する間隔及び仕様に従って保における運⽤・保 守点検を⾏い、必要であれば交換を⾏うこと。
オンライン服薬指導システム事業者は、オンライン服薬指導システムの保守業務を⾏う前に、保守に伴う情報処理装置及びソフトウェアの変更がもた

95 守時の対策
96
97

らす影響の評価を⾏うこと。
オンライン服薬指導システム事業者は、オンライン服薬指導システムの保守業務を⾏う際、セキュリティパッチ・設定変更等の適⽤前に、適⽤する内容が改ざんされていないこと及び有効性を検証すること。
オンライン服薬指導システム事業者は、ユーザーである薬剤師や患者に対して、オンライン服薬指導システムの保守業務を⾏う際に、事前に周知すること。

All Rights Reserved by HISPRO, 2022

2 / 3 ページ

確認したエビデンス（文書名、ページ番号等）

評価員が記⼊する欄
判定結果

改善策

備考

ＨＩＳＰＲＯオンライン服薬指導システム チェックシート

整理番号

評価申請元

評価者

評価対象プロダクト名
チェックシートへの対応内容並びに、内容を確認したエビデンス
項番

分類

98

項目

対応策

オンライン服薬指導システム事業者は、オンライン服薬指導システムの保守業務を⾏った後、定期的なチェックを⾏うこと。
オンライン服薬指導システム事業者は、オンライン服薬指導システムの運⽤･保守端末等に対し、運⽤中の画⾯が運⽤者以外の者の視野に⼊らないよ

99

う、覗き⾒対策のシートを貼る等の対策を⾏うこと。
オンライン服薬指導システム事業者は、オンライン服薬指導システムの運⽤･保守端末等に、盗難防⽌⽤チェーンを設置すること。

100
101

オンライン服薬指導システム事業者は、オンライン服薬指導システムの運⽤･保守端末等に、クリアスクリーン等の情報漏洩防⽌策を講じること。
オンライン服薬指導システム事業者は、オンライン服薬指導システムにおいて、運⽤･保守のための作業者IDは重複がなくユニークに設定し必要最低限

102の発⾏数にしたうえで、操作実施者が特定できること。
オンライン服薬指導システム事業者は、オンライン服薬指導システムにおいて、不要な作業者IDが残っていないことを定期的に確認すること。

103

オンライン服薬指導システム事業者は、オンライン服薬指導システムにおいて、作業者IDのアクセス可能範囲が許可なく変更されていないことを定期104的に確認すること。
オンライン服薬指導システム事業者は、オンライン服薬指導システムにおいて、特権IDの発⾏は必要な最⼩限のものに留めることとし、使⽤時には実105

施内容を記録すること。
オンライン服薬指導システム事業者は、オンライン服薬指導システムにおいて、特権使⽤者に昇格可能な作業者IDを制限すること。

106
107

オンライン服薬指導システム事業者は、オンライン服薬指導システムにおいて、管理端末以外からの特権IDによる直接ログオンを禁⽌すること。
オンライン服薬指導システム事業者は、オンライン服薬指導システムの運⽤･保守端末等において、パスワードを記憶させる自動ログオン機能を利⽤し108ないよう作業者に徹底すること。
オンライン服薬指導システム事業者は、オンライン服薬指導システムにおいて、開発⽤コード、開発ツール類、その他不必要なファイル等をシステム

109

上に置かないこと。
オンライン服薬指導システム事業者は、リモートメンテナンスにより保守業務を⾏う場合の手順を策定するとともに、オンライン服薬指導システムへ

110の不正な侵⼊が生じないよう安全管理措置を講じること。保守作業は最⼩限の時間に努めるため計画をたて実施すること。
オンライン服薬指導システム事業者は、リモートメンテナンスによる保守業務の記録を、アクセスログ等により取得し、システム管理者はその内容を111

速やかに確認すること。
オンライン服薬指導システム事業者は、オンライン服薬指導システムに係る媒体及び機器については、管理等に関する運⽤管理規程(ルール)(持ち出し手順、申請承認プロセス、返却確認プロセス、返却時検証手段、破棄時の対応)を定め、特に廃棄については、再利⽤及びデータの読み出しが不可能と112なるよう、複数回のデータ書き込みによる元データの消去、強磁気によるデータ消去措置、物理的な破壊措置（高温による融解、裁断等）等を適⽤し、当該装置に実施した措置の概要の記録（対象機器の形式、管理番号、作業担当者、作業実施⽇時、作業内容等）について保管すること。
オンライン服薬指導システム事業者は、提供するオンライン服薬指導システムの環境に媒体及び機器等の持ち込み機器を接続する際には、以下の対応
を⾏うこと。

113(1)持ち込み機器が再利⽤であるかどうかに関わらず、検証⽤の機器で不正なプログラム等が記録されていないことを検証する(2)不正な機器がネットワークに接続されることの悪影響を避けるため、登録されたネットワークアドレスとの整合性、悪意のあるプログラムに未感染であること、セキュリティパッチが適⽤されていること等を接続前に検査を⾏う仕組みを整備し運⽤する
オンライン服薬指導システムを提供する環境は、脆弱性への対応を可能とするために、OSのアップデート並びに利⽤するソフトウェアに対するアップ

114

デートについて、リスク分析を⾏った上で必要な処置（セキュリティパッチ適⽤、設定変更等）を決定し、適切に実施すること。また、セキュリティ

115

パッチの適⽤前にセキュリティパッチが改ざんされていないこと及び有効性を検証すること。
使⽤するドメインが不適切な移管や再利⽤が⾏われないように留意すること。
以下、提供する場合に実施すべき事項

116
117

オンライン服薬指 オンライン服薬指導システム事業者は、患者に対して⼗分な説明が可能となるように、提供するオンライン服薬指導システムに関する取扱い手順書等導システム事業者 の説明書を提供できるようにし、患者が容易にアクセスできるような環境で提供を⾏うこと。
が薬剤師の代わり オンライン服薬指導システム事業者は、患者がオンライン服薬指導システムを利⽤するにあたり、必要となるシステム環境について、患者が容易にアに患者への説明を クセスできるような環境で提供を⾏うこと。
オンライン服薬指導システム事業者は、患者に対して利⽤規約等で患者が実施すべき事項を示すだけでなく、起こりうるリスク等の注意点に関して、118 提供する場合
119120

別途患者が理解しやすいような説明を提供すること。
オンライン服薬指導システム事業者は、患者がセキュリティリスク等と対策および責任の所在に対して、理解し、合意をしたことの証跡を取得すること。
医療情報システム オンライン服薬指導システムと医療情報システムが接続される場合、オンライン服薬指導システム事業者は、薬剤師や薬局等の医療情報管理責任者等と接続する場合

121に対して、接続することによる医療情報システムへの影響並びに追加的リスクに関して、文書等を提示し、⼗分な説明を⾏うこと。
オンライン服薬指導システムと医療情報システムが接続される場合、オンライン服薬指導システム事業者は、オンライン服薬指導システムと医療情報システムとの接続点において、不正侵⼊防⽌対策等を講ずること。
オンライン服薬指導システムと医療情報システムが接続される場合、オンライン服薬指導システム事業者は、医療情報システムが医療情報関連安全ガ

122

イドラインに基づいて構築・運⽤されているか確認を⾏うこと。
オンライン服薬指導システム事業者は、法定保存義務のある医療情報を保存する場合、サーバーを国内法の執⾏が及ぶ場所に設置すること。

123

オンライン服薬指導システムと医療情報システムが接続される場合、オンライン服薬指導システム事業者は、提供するオンライン服薬指導システムに124

対して、原則薬剤師の個⼈利⽤の端末による利⽤（いわゆるBYODにて）を⾏わないことについて、契約の中で明記を⾏うこと。
録⾳・録画・撮影 オンライン服薬指導システムにおいて、録⾳・録画・撮影を⾏う機能を有する場合は、プライバシー等を保護する意味でも、患者側、薬剤師側の双⽅125 機能を有する場合 が同意した上で機能を動作させる機構を設けること。ただし、服薬指導にかかる患者個⼈に関するデータの蓄積・残存は禁⽌されているため、診療終
126
127 ファイル送信、了後には、医療情報システムに接続し保存するか、削除する必要がある。
オンライン服薬指導システムの利⽤する端末において、許可しない録⾳・録画・撮影がなされないように制御できるようにすることが望ましい。

オンライン服薬指導システム事業者は、オンライン服薬指導システムにおいて、ファイル送信、チャット機能の使⽤に関する情報を提供すること。
128 チャット機能を有 オンライン服薬指導システムがファイル送信機能を有する場合は、薬剤師側の許可があった際にのみ送信ができるような機能とすること。
129 する場合
オンライン服薬指導システムがチャット機能を有する場合は、薬剤師側の許可があった際にのみチャットできるような機能とすること。

オンライン服薬指導システムがチャット機能を有する場合は、外部URLへの誘導を含むチャットはセキュリティリスクが高いため、無効化する機能を

130
131

保持すること。
オンライン服薬指導システムと医療情報システムが接続される場合、ファイル送信機能、チャット機能等、患者側から影響を受けるような機能については、リスクを無害化もしくは機能の無効化を⾏うこと。
確認を促すアラー オンライン服薬指導システムが確認を促すアラートの表示機能を有する場合、重要事項説明書等において、当該機能の実施範囲について仕様を示すと

132 ト機能を有する場 共に、警告等の有無に関わらず、疑義を有する事項に関して処⽅した医師等に確認を⾏う等の必要性があることについて明記を⾏うこと。

133

合Personal Health

患者が⼊⼒したPHRとオンライン服薬指導システムを接続し、服薬指導に活⽤する際には、当該PHRを管理する事業者との間で当該PHRの安全管理にRecord(以下、関する事項を確認すること。

PHR)と接続する場
合All Rights Reserved by HISPRO, 2022

3 / 3 ページ

確認したエビデンス（文書名、ページ番号等）

評価員が記⼊する欄
判定結果

改善策

備考