地域医療介護情報連携サービスの安全管理（運用編）評価項目 ver1.10

項番 分類

項目

項目概要（何のために、何を評価するのか）

評価内容

1

サービス全体を把握し、提示できる資料があるか

地域医療連携組織を運用する「目的」「運用サービス概要説明書相当があり、「目的」「運用方針」方針」「加入者・患者のメリット」などが示されて「加入者・患者のメリット」相当が記されていること。
いるかを評価する。

2

個人情報保護方針を策定し公開しているか

個人情報保護方針を広く公開していること。
取得した個人情報を地域連携サービスの中「個人情報保護法」だけでなく、「医療・介護関係事業でどの様に取り扱うかについて、法などに沿っ者における個人情報の適切な取扱いのためのガイドた形で策定しているかを評価する。
ライン」に沿っているかがポイントとなる。

A:方針公表3

患者データに対して、利用目的（診療・分析など）・取り扱い方
加入者、ケースによっては患者に対して目同意取得文書のひな形相当があり、データ取得や利法（第三者提供型または共同利用型、利用範囲・利用方法な的、取り扱い方法を明示し、同意をとる為の体 用に関する目的、取り扱い方法等の項目が適切に設ど）についてポリシーに沿って加入者の同意を取る仕組みがあ制、プロセスがなされているかを評価する。
定されていること。
るか4

同意取得文書のひな形相当があり、加入者の同意外同意なくデータの第三者提供をしていないこ
患者データおよび分析情報を、加入者の同意や正式な手続きの第三者提供を行わないことおよび、提供範囲や目とを評価する。
なく、第三者に提供をしていないか的が変更される際の同意の取得方法について明示されていること。

5

稼働する各システムの仕様書相当があり、システム概各システムの仕様が文書化され、サービス内どのようなシステムが稼働しているか、責任分界点を含め提示要、機能概要及び責任分界点が明確に記述され、参で担当する機能が確認可能となっているかをできる資料があるか照可能となっていること。（事故時の責任分界の原則評価する。
や対応策検討・調査・改善、等の記載がある）

6

情報・データの所在場所を把握できているか情報・データの所在場所説明書相当があり、左記要件が守られていること。
加入者にとっては、提供したデータの所在場 また、外部サービス提供事業者を利用する場合は、所を知る必要があり、データが法的保存義務 運用営主体側との間に契約書相当があり左記要件ががあるならば、国内法適用箇所であることを評 確認可能となっていること。また、外部サービス提供価する。
事業者による主体的な情報の利用を禁止する契約条
外部保管に該当するならば「経産省GL」に項があること。
従っていることを評価する。
可搬媒体へのデータの記録を許可する場合は、可搬媒体記録要領書相当があり、記録者・対象データ・媒体の管理状況等について管理することとしていること。

端末の取り扱いなどの規定が整備されているか運用管理規程定相当があり、「端末の取り扱いや盗難・紛失時の対応」、「サービスにアクセス可能な端末データのアクセスに用いる端末の不正操作防 について、非権限者の操作がされないよう、技術的・止策をとっているかを評価する。
物理的対策がとられていること。」および「用いる端末はすべて登録制としていること。」について明文化されていること。

8リスクの分析・評価・対応策・残留リスクの検討がされているか

リスク分析説明書相当があり、扱う情報をすべてリストアップし、重要度に応じて分類するとともにリスク分析をしていること。運用によりカバーすることを想定したリスクについては、その内容および運用方法及びそのシステムにあるリスクについて、特に個人情報 監査について規定していること。
保護の観点を中心として検討され、その対応 情報のリストやリスク分析結果についてすべて文書化法について規定されているかを評価する。
していること。
外部サービス提供事業者を用いる場合はシステムおよび運用形態について適宜見なおし、その改善について運用営主体とで検討する体制がつくられていること。

9

免責となる事項について明確化しているか免責事項説明項目相当があり、加入者、運用主体お加入者、運用主体および外部サービス提供
よび外部サービス提供事業者の担う業務や責任分界事業者についての責任範囲と免責事項が明点に適合する内容で、免責事項について明文化され確であるかを評価する。ていること。

10

患者への説明同意書相当があり、加入者、運用主体加入者および委託業者の責務・免責事項が および外部サービス提供事業者の責任範囲・免責事事業者が免責となる事項と加入者への責務、患者同意取得内合理的かつ矛盾のないものとなっているかを 項が明記され、患者への同意内容と矛盾しないこと。
容で矛盾が生じていないか評価する。
(内容によっては掲示等による確認ができることでも可)

11

運用管理規程が適切に作成されているか運用管理規程が存在し、厚生労働省「医療情報シス組織として、運用をどの様に実施するかにつ テムの安全管理に関するガイドライン 第5版」に沿っいて明示的に示されているかを評価する。
た適切な項目設定がされていること。また、意思決定プロセスが明確化されていること。

12

組織体制が作成され明確になっているか組織体制図が作成されており、公開されている、もし何かあった場合の責任体制、受付窓口などが くは求めに応じて公開できること。対外的な説明責任明確化されていることを評価する。
が発生した場合の対応体制等が明確化されていること。

13

アクセスポリシーが有り適切なアクセス管理がなされているか

アクセスポリシー説明書、アクセス制御を行うための情報へのアクセスを適切に行う為にアクセス設定書、取扱説明書等相当があり、それぞれが安全ポリシーがありそれに沿って管理されているこ
管理のガイドラインに沿った形で、職種に応じたアクとを評価する。
セス制御が明示されていること。

運用に対する教育がなされているか組織で関わる者に運用の教育が行っているかについて評価する。

7

B:責任分界の明確化

C:組織・運用管理規程141

関係者を教育するための資料相当があり、運用管理規程を基として作成されていること。

地域医療介護情報連携サービスの安全管理（運用編）評価項目 ver1.10

項番 分類

項目

項目概要（何のために、何を評価するのか）

評価内容

15

委託管理契約が明確に交わされているか運用に組織外の人間が含まれている場合に、明確に委託契約を結んだ者であることを示せるか評価する。

委託管理契約のひな形相当があり、通常運用の責任、事後責任について記載してあり、適切な項目を有していること。

16

秘密保持契約が適切に交わされているか運用に携わる者に対して、守秘義務を課すた 秘密保持契約のひな形が存在し、対象情報、対象範めに秘密保持契約を結んでいるか評価する。 囲等、適切な項目を有していること。

17

データを適切に取り扱うための規定があり、管 データ管理のマニュアル相当があり、データ取り扱いデータの管理に対して規定が作成されているか(持ち出し等含
理体制、プロセスが適切になされているか評 時の管理体制、プロセス等が適切に定められているこむ)
価する。と。

18

加入者が組織から退会するときの規定の存在

加入者から提供されたデータの処分方法など 加入者の退会規定があり、加入者から提供されたの規定の存在を評価する。
データの処分方法などの規定が存在していること。

19

加入者への運用情報（会計、システム構成、事故等）の開示

組織の透明性のため、運用状況を加入者に適宜知らせているかを評価する。

20

加入者へのサービスレベルの開示システムの対応内容の加入者への開示がなされているかを評価する。(開示内容例）稼働時 ＳＬＡ(service level agreement)が通知または説明書と間帯、問い合わせ対応、データ保管責任内 して存在し、内容が妥当であること。
容、等。

21

システムについて各省のガイドライン(※)に準拠していることを システムの安全管理の為にガイドライン準拠確認しているかを確認しているかを評価する。

D:システム22

アクセスログを取得し、定期的に監査を行っているか運用状況報告書相当を定期的に発行し、公開または加入者の求めに応じて開示する規定があること。

システムの安全管理の為にガイドライン準拠性確認書があり、「サービス提供事業者を利用するならば、カタログ等での準拠性確認」または「自開発、あるいはガイドライン準拠を標榜していないサービスを用いる場合は、その部分のチェックリスト提出等による準拠性確認」がなされていること。

データアクセスが”業務とアクセス権限設定”
アクセスログ規定があり、監査証跡の取得方法、保存に沿って妥当であることの確認を取っているこ
期間の規定と保管・管理、証跡に基づく監査が規定とを評価する。(＊ドメイン外からのアクセスもされていること。
含む。）

E:モニタリング・監査
23

システムの運用・動作が正常であることの確認 システムの見直し規定があり、運用規約、監査規約の定期的にシステムの見直しを実施し、改善点について対策がや、改善点の確認と改善活動の規定の存在 存在、定期的見直しの実施規定、問題点の加入者と取られているかしているかを評価する。の共有体制が規定されていること。

24

BCPについて適切に規定され対策が準備されているか

25

F:事業継続性

災害等の事故が発生してもサービスが継続しＢＣＰ規定があり、災害時等事故発生時加入者の対て実施される為の準備がされている事を確認
応を含め適切な対策が規定されていること。
していることを評価する。

機種やメーカが変更されてもサービスが継続加入者との情報交換のインターフェースおよびデータフォーできる為に機器間のインタ―フェースがデー
マットは標準的なものあるいは公開可能なものを使用している
タが相互運用性があることを確認していることか。
を評価する。

インターフェースおよびフォーマット仕様書相当があり、加入者とのインタフェースおよびデータフォーマットの標準化対応あるいは公開可能であることを規定していること。

26

サービス契約が終了した場合安全に他のサービス契約終了時の、データ移行等データの取り扱いに対 サービス運用主体に引き継げる為にデータの サービス契約終了時の、データ移行等データの取扱する規定が作成されているか取扱いが決めているか確認していることを評 いに関する適切な規程があること。
価する。

27

ポリシー合意、主要契約書内容の提示文書相当があり、加入条件・資格、負担資金、責任分界、組織体加入者が自己の責任範囲を知るための事項
加入者が負うべき責務およびリスクについて明確にしてあるか
制、連携組織発行文書への知財権、加入者のデータを示していることを評価する。
利用権、有効・更新期限、退会時の規定、等が明記されていること。

28

加入者に要求されるシステム条件説明書相当があり、プラットフォーム、セキュリティ機能、パフォーマンス、レポジトリ機能の実装など必須事項等が明記されてい地域連携システムに接続した目的を果たすた
加入者が整備すべきシステム機能＆環境について明確にしてること。
めの加入者側システム要件の明示しているこあるか（端末毎の利用・操作記録（ログ）の記録、加入者によとを評価する。
る端末設定変更やアプリケーションのインストール禁止、モバイル端末内に許可外のデータを保存しない等も含む）

29

G: 加入者に対する運用主体の責務（加入者の実施義務の明確化）＊「加入者」には「加入希望者」を含むシステム全体がセキュアであるために、加入 加入者に対する職種別アクセス制御説明書があり、加入者が実施すべき職種別アクセス管理について明確にして者において必要なアクセス制御（職種とアクセ システムに対する実施事項、人的管理事項が明記さあるかス権限）を示していることを評価する。
れていること。

30

システム全体が安全に動作するために、加入加入者が作成すべき運用管理規程の内容が明確にされてい加入者が運用管理規程を作るための説明書相当が者の守るべき規定を示していることを評価するかあること。
る。

31

システム全体が支障なく動作するために、加加入者における従業員への教育が適切に実施されるように教加入者の従事者へ要求する教育内容の提示書があ入者での従事者の守るべき規定を示している
育内容を提供しているかり、適切な内容であること。
ことを評価する。

2

地域医療介護情報連携サービスの安全管理（運用編）評価項目 ver1.10

項番 分類

項目

項目概要（何のために、何を評価するのか）

32「患者への同意の取り方について」相当の文書があ加入者に対して同意取得の方法を明示して加入者による、患者への同意の取り方について、明確に指定り、いるかを評価する。（患者自身の責任についがされているか加入者への周知文書あるいは雛形文書が提示されても必要な記載が求められる。）
必要事項が明示されていること。

※各省のガイドラインとは、下記のガイドラインのことを指す。
・厚生労働省「医療情報システムの安全管理に関するガイドライン 第5版」
・総務省「クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン第1版」
・経済産業省「医療情報を受託管理する情報処理事業者における安全管理ガイドライン」
・経済産業省「医療情報を受託管理する情報処理事業者向けガイドライン第2版」

3

評価内容