SNS利用時の注意事項 チェック項目
項番 分類
1234567891011
A:契約事項121314151617181920212223242526272829303132333435
B:運用事項36373839404142

項目

評価内容

備考

個人情報保護方針をSNSサービス利用主体として策定しているか。
個人情報保護方針が関係者間で策定されているか
個人情報保護方針を運営ホームページ等による公開、もしくは利用する際の説明事項として公開しているか。
SNSサービス利用主体として、利用者に対して問い合わせ体制を構築しているか。
問合せ体制に対する連絡先、手段が備えられているか。
苦情のための窓口が用意され、体制が構築されているか
利用者に対して、問い合わせ体制、連絡先、連絡手段について、運営ホームページ等による公開、もしくは利用する際の説明事項として公開しているか。
サービス内容や利用目的について説明できる資料を作成して患者・利用者にサービス内容や利用目的の説明を行った上 いるか。
で、SNSのサービスを利用しているか利用者に対して、運営ホームページ等による公開、もしくは利用する際の説明事項として公開、もしくは個別同意をとっていSNSサービスを利用した際の蓄積された情報について、通常利用の範囲として、目的である利用者間の情報連携のためのみに利用しているか。
SNSサービスを利用した際の蓄積された情報について、システムをメンテナンスするために、ログ等の情報や異常が起きたサーバに蓄積された情報が目的外で利用されることはないか場合の事象再現のためのテスト等、SNSサービスの正常な動作のための確認に限定した利用をしているか。
SNSサービスを利用した際の蓄積された情報に対する目的について明記し、運営ホームページ等による公開、もしくは利用する際の説明事項として公開しているか。
利用者に対して、利用者がSNSサービスを利用する際に、利用する端末に対する技術的セキュリティ対策について策定し利用者に対して、利用者がSNSサービスを利用する際に、実ユーザに対して、実施すべき対策や運用についてきちんと示施すべき運用について策定しているか。
しているか策定している内容について、利用者に運営ホームページ等による公開、もしくは利用する際の説明事項として公開、もしくは個別説明を行っているか。
SNSサービスを利用する場合に、起こり得るリスクを検討しているか。
起こり得るリスクが顕在化した場合の責任の所在が、対象や責任分界点が明確になっているか発生箇所によって明確になっているか。
責任の所在について利用者に運営ホームページ等による公開、もしくは利用する際の説明事項として公開、もしくは個別説明を行っているか。
SNSサービスの稼働時間等の稼働すべき状態（サービスレベル）について、条件を策定しているか。
利用するSNSのSLAが定めてあるか利用者に対し、SNSサービスのサービスレベルについて、利用契約書等で合意をとっているか。
SNSサービスのサービスレベルについて、定期的（月に１回、SLAの見直しが行われているか年に１回等）に見直しが行われているか。
SNSサービス内に、参照すべき情報を保管する、またはサービス自体が診療、介護サービス等の行為に対して必要不可欠なものである場合、診療、介護サービス等の影響の出る範囲でサービスが停止しない、またはSNSサービス自体が終了すサービスの継続性が確保されているかることがないことを契約等で定められているか。
仮にSNSサービス自体が終了する場合、終了する際のサービスの移行や、サービスの終了に対する十分な期間をとり、診療、介護サービス等の影響の出ないような対策が検討されてSNSサービスが医療・介護従事者並びに診療・介護の対象となる本人や、本人に関わる家族等のみがアクセス可能とするため、ユーザになるための確認や承認が行われている。
プライベートSNSが利用されているか独自にSNSサービスを構築し、限られた範囲のみで利用するものとなっており、SNSサービス利用者以外はアクセスができないように制御が行われているか。
SNSサービスに対してリスク分析を行っているか。
利用するSNSに対して、リスク分析をした上で対応内容を策定生じると想定されるリスク内容に対して、どのような対応、対策しているかを行うかについて策定しているかメッセージ等の情報の中に、個人情報や医療情報が含まれる際のセキュリティ対策について検討されているか。
やり取りする情報の中に、個人情報や医療情報が含まれてい メッセージ等の情報の中に、個人情報や医療情報が含まれるる場合のルールが定めてあるか際の運用方法について検討されているか。
検討されたセキュリティ対策や運用方法についてルールとして策定されているか。
SNSサービスを利用した際の情報について、利用者に個別同SNS上で通常の業務範囲を超える事項が実施されていないか 意をとらない状態で、マーケティング分析や、利用者の個人情報を利用した医療介護連携以外のサービスの提供が行われ情報の共有範囲（アクセス権）が設定可能か。
情報の共有範囲（アクセス権）について、利用者の意図しない情報の共有範囲（アクセス権）が適切に設定されているか共有範囲とならないように適切に設定されているか。
情報の共有範囲（アクセス権）について、初期状態が全公開になっていないか。
SNSサービスの利用者について管理がされているか。
SNSサービスで情報のやり取りを行う際に、誰から誰に対して誰が扱っているか明確になっているか情報をやり取りしているか分かるようになっているか。
SNSサービスで情報のやり取りが行われたことについて、管理者等がログ等の取得により、履歴をたどれるようになってい情報の共有範囲（アクセス権）の設定の際に、職種による共有職種に応じた情報が閲覧できるようになっているか範囲の設定が可能か。
情報の共有範囲（アクセス権）の設定の際に、職種による共有職種が特定できないことを前提とする場合、機微な情報を流さ範囲の設定が可能でない場合、機微な情報を流さないようなないようにルールが定めてあるかセキュリティ対策や運用方法についてルールとして策定されてSNSサービスで保存する情報について洗い出され、設計書、SNSサービス上、保存される情報が明確になっているか説明書等で明確になっているか。
利用者に対して、利用者がSNSサービスを利用する際に、利 ・ユーザに対して、実施すべき対策や運用につい用する端末に対する技術的セキュリティ対策について策定し てきちんと示しているかの項目と同項目ているか。
・BYODの場合も含む
・ユーザに対して、実施すべき対策や運用についSNSを利用するための端末に関する管理ルールが定めてあ 利用者に対して、利用者がSNSサービスを利用する際に、実てきちんと示しているかの項目と同項目
り、適切に運用されているか施すべき運用について策定しているか。
・BYODの場合も含む
策定している内容について、利用者に運営ホームページ等に ・ユーザに対して、実施すべき対策や運用についよる公開、もしくは利用する際の説明事項として公開、もしくは てきちんと示しているかの項目と同項目個別説明を行っているか。
・BYODの場合も含む
利用者が端末を紛失する等のリスクに備え、どのような対応、 ・リスク分析の対応内容の一部
端末紛失時等の対応について定めてあるか対策を行うかについて策定しているか。
・BYODの場合も含む

1

SNS利用時の注意事項 チェック項目
項番 分類項目43
44

利用条件等について策定されているか。
・BYODの場合も含む
インシデント等の連絡すべき事項について策定しているか。 ・BYODの場合も含む
何をしてはいけないか、何があったら知らせないといけないか
利用条件や連絡すべき事項について、利用者に運営ホームについて定義され周知されているかページ等による公開、もしくは利用する際の説明事項として公 ・BYODの場合も含む開、もしくは個別説明を行っているか。
定められた利用ルールに対して、利用者に説明が行われているか。
利用ルールに対する教育が行われているか
利用ルールの利用者への説明に対して、理解した旨の証跡を取得しているか。
利用ルールの利用者への説明を、定期的に実施しているか。
・独自にSNSサービスを構築している場合に注意
すべき点として、ネットワーク種別の指定がされて厚生労働省の「医療情報システムの安全管理に関するガイドいる、のアクセス先（URL、IPアドレス）が明確にライン」最新版の中で「外部と個人情報を含む医療情報を交換SNSを利用するためのネットワークが特定されているかなっている、アクセス先が正しい接続先であることする場合の安全管理」の項に記載された事項に準拠しているを認証している（例：サーバ証明書による認証等）
ことを確認すること。
等を確認する必要がある。
・BYODの場合も含む
・独自にSNSサービスを構築している場合に注意
厚生労働省の「医療情報システムの安全管理に関するガイドすべき点として、ネットワークについてチャネルセライン」最新版の中で「外部と個人情報を含む医療情報を交換キュリティとしての対策が取られているかを確認する場合の安全管理」の項に記載された事項に準拠しているする必要がある。
ことを確認すること。
・BYODの場合も含む（H28/8/24の事務連絡のＱ＆Ａ改定によるTLS1.2を採用した場合）
ネットワーク経路でのメッセージ挿入、ウイルス混入等の改ざ SNSサービスの通信設定として、下記項目が実施されているんを防止する対策をとられているかか確認すること。
・独自にSNSサービスを構築している場合に注意
・SSL/TLSのバージョンをTLS1.2に限定しているか。
すべき点として、ネットワークについてチャネルセ・ユーザの環境にクライアント証明書を導入しTLSクライアント キュリティとしての対策が取られているかを確認認証を実施しているか。
する必要がある。
・サーバ環境において、IPAが発行している「SSL/TLS暗号設 ・BYODの場合も含む定ガイドライン」の高セキュリティ型の基準を満たすためにチェックリストの項目を満たした設定にしているか。

4546474849505152535455

C:技術事項565758
59
60
6162
63
64

65

66
67
68
69
70

評価内容

・独自にSNSサービスを構築している場合に注意
厚生労働省の「医療情報システムの安全管理に関するガイドすべき点として、ネットワーク上を流れる情報（オ施設間の経路上においてクラッカーによるパスワード盗聴、本 ライン」最新版の中で「外部と個人情報を含む医療情報を交換ブジェクト）に対し、オブジェクトセキュリティとして文の盗聴を防止する対策をとられているかする場合の安全管理」の項に記載された事項に準拠しているの対策が取られているかについて確認する必要ことを確認すること。
がある。
厚生労働省の「医療情報システムの安全管理に関するガイド ・独自にSNSサービスを構築している場合に注意
セッション乗っ取り、IP アドレス詐称等のなりすましを防止する ライン」最新版の中で「外部と個人情報を含む医療情報を交換 すべき点として、なりすまし防止のための対策を対策がとられているかする場合の安全管理」の項に記載された事項に準拠している とっているかを確認する必要がある。
ことを確認すること。
・BYODの場合も含む
・独自にSNSサービスを構築している場合に注意
厚生労働省の「医療情報システムの安全管理に関するガイド すべき点として、最低限ID/PWによるユーザ認証利用者の識別、認証を行うために、利用する際のID/PWが設 ライン」最新版の中で「外部と個人情報を含む医療情報を交換 を行っているか、PWについて容易に推測されない定されているかする場合の安全管理」の項に記載された事項に準拠している ためのルールを策定しているか等を確認する必ことを確認すること。
要がある。PKI等の電子証明書による認証であれば、なお良い。
・NWにおけるオブジェクトセキュリティに加えて、情報に対する暗号化が行われているかやりとりされる情報自体に暗号化が行われているか。
アプリケーションとして情報の暗号化が行われているか。
・PKI等の電子証明書による認証、生体認証、２要SNSを利用するための端末に対して、ID/PW等の利用者認証 端末を利用するために、端末に対して最低限ID/PWによる素認証等であれば、なお良い。の手段が取られているかユーザ認証を行っているか。
・BYODの場合も含む
・情報の共有範囲（アクセス権）が適切に設定され情報の共有範囲（アクセス権）が設定可能か。ているかの項目と同項目
情報の共有範囲（アクセス権）について、利用者の意図しない ・情報の共有範囲（アクセス権）が適切に設定され共有範囲とならないように適切に設定されているか。ているかの項目と同項目
情報の共有範囲（アクセス権）について、初期状態が全公開 ・情報の共有範囲（アクセス権）が適切に設定され情報に対するアクセス権の設定ができるようになっているか になっていないか。ているかの項目と同項目
情報の共有範囲（アクセス権）の設定の際に、職種による共有 ・職種に応じた情報が閲覧できるようになっている範囲の設定が可能か。
かの項目と同項目
情報の共有範囲（アクセス権）の設定の際に、職種による共有 ・職種が特定できないことを前提とする場合、機微範囲の設定が可能でない場合、機微な情報を流さないような な情報を流さないようにルールが定めてあるかのセキュリティ対策や運用方法についてルールとして策定されて 項目と同項目
・誰が扱っているか明確になっているかの項目とSNSサービスの利用者について管理がされているか。
同項目
SNSサービスにアクセスしたことのログを取得しているかSNSサービスにログインしたことについて、利用者が分かるような形でログが取得されているか。
アクセスログへのアクセス制限を行い、アクセスログの不当な アクセスログに対してシステム管理者のみ、閲覧のみ可能と削除／改ざん／追加等を防止する対策を講じてあるかする対策が講じてあるか。
情報を保管する場所について、医療機関等に保管する場合 医療機関に情報を保管する場合は、厚生労働省の「医療情報は厚生労働省の「医療情報システムの安全管理に関するガイ システムの安全管理に関するガイドライン」の最新版に従い、ドライン」の最新版、民間事業者に保管する場合は、総務省の 策定された運用管理規程の下、管理され、対策が取られてい「ASP・SaaSにおける情報セキュリティ対策ガイドライン」、るか。
「ASP・SaaS事業者が医療情報を取り扱う際の安全管理に関・HISPROによる「民間事業者による医療情報の外するガイドライン」、経済産業省の「医療情報を受託管理する SNSサービス提供事業者が実施している場合は、SNSサービ 部保存及びＡＳＰ・ＳａａＳサービス」に対する評価情報処理事業者向けガイドライン」のそれぞれ最新版に沿っ ス提供事業者から各ガイドラインに沿った対策が取られてい を受けてもらい、その適合性評価結果を提出してることの証跡について提出してもらっているか。
た対策が取られているかもらうことが望ましい。
持ち出し端末の場合、通信経路として安全が守られた無線・BYODの場合も、持ち出し端末としてみなす。
特に持出し端末について、通信経路として安全が守られた無 LANやキャリア網を利用しているか。
線LANやキャリア網を利用した上で、暗号化通信を行うように 安全が守られた無線LANやキャリア網を利用する場合におい設定されているかてもチャネルセキュリティとしての暗号化通信の対策が取られ ・BYODの場合も含むているか。
端末に対してウイルス等による攻撃を受けないためにウイル 端末に対するセキュリティ対策方法について、ウイルス対策ソ ・USBポートなどの制御、情報の持ち出し管理等
ス対策ソフトや、不要な通信を遮断するようなファイヤーフトや不要な通信を遮断するファイヤーウォールソフト等を導 が可能であるとなお良い。
ウォールソフト等を導入しているか入しているか。
・BYODの場合も含む
SNSサービスを利用するための通信環境として無線LANを利無線LANのアクセスポイントを有する場合、利用者以外に無用する場合、親機やサービスの設定として、SSIDがステルス ・BYODの場合も含む線LANの利用を特定できないようにしてあるか設定になっているか。
SNS提供事業者による技術説明・開示情報 チェックシート

1
2
3
45
6

技術説明・情報開示

備考

非公開型であること
ネットワークセキュリティのガイドライン適合性
クライアント認証機能
個人情報保護方針
契約約款等
利用者への説明資料

2