付属資料１－２：ホームページ等の記載様式
運営についての重要事項に関する規程の概要[健診機関]＊健診と保健指導の両方を実施する者は、保健指導機関分とは別々に作成・掲出等すること。
＊多くの拠点を抱えている法人の場合は、各拠点単位で別々にこれを作成・掲出等すること。
＊選択肢の項目については、□を■にするか、該当する選択肢のみ残す（非該当は削除）こと。

更新情報 最終更新日

R6

年

5 月

1 日

＊下記事項に変更があった場合は速やかに変更し、掲載しているホームページ等更新し、更新日を明示すること。

機関情報 機関名注１）注２）
所在地注１）(郵便番号)
(住所)
注１）
電話番号
ＦＡＸ番号
健診機関番号注３）
窓口となるメールアドレス
ホームページ注４）
経営主体注１）
開設者名注１）
管理者名注５）
第三者評価注６）
認定取得年月日注６）
契約取りまとめ機関名注７）
所属組織名注８）

医療法人橋本病院
770 － 0813
徳島市中常三島町 3 丁目 22-1
088
－
626
－
1567
088
－
626
－
0322
3610124053
＠https://www.hp-hashimoto.cm
医療法人理事長 橋本拓也
院長 橋本拓也□実施（実施機関：） ■未実施年月日
徳島県医師会(例:○○市医師会、結核予防会)

注１）社会保険診療報酬支払基金（以下「支払基金」という）に届け出る（あるいは届け出ている）内容と同一の内容とする
注２）正式名称で記載。複数拠点を持つ法人の場合は、正式名称が拠点名のみであれば拠点名、法人名＋拠点名（例：「株
式会社△△サービス○○店」「財団法人○○ △△健診センター」等）であればその通りに記載
注３）届出により支払基金から番号が交付されている機関のみ記載
注４）ホームページを開設している機関のみ記載。複数ある場合は最も機関の概要がわかる情報が掲載されているサイト（例：自院ページ、地区医師会ページ、医療情報提供制度に基づく都道府県ホームページ等）のアドレスを記載
注５）特定健康診査を実施する各拠点における常勤の管理者。但し、管理上支障がない場合は、健康診査機関の他の職務に従事し、又は同一の敷地内にある他の事業所、施設等の職務に従事することができるものとする。施設管理や人事管理、会計管理等を想定。従って管理者は必ずしも医師等でなくともよい（医師等による兼務は可）。
注６）何らかの評価機関において、評価を受けた場合のみ記載
注７）個別契約のみで、どこのグループにも属していない場合は記載不要
注８）機関が支部・支店等の拠点の場合、所属する法人名（本部組織名）を記載(正式名称で)。所属組織とは、主として
注２の例にあるような法人を想定（医師会は除く）。なお、契約取りまとめ機関名との包含関係としては、契約取りまとめ機関≧本部組織＞機関（支部・支店等）となる。

スタッフ
情報注９）
医師
看護師
臨床検査技師
上記以外の健診スタッフ注10）

常勤

非常勤
3 人
1 人
人
人

0 人
1 人
人
人

注９）特定健康診査に従事する者のみを記載。
注10）医師・看護師・臨床検査技師以外で、特定健診の業務運営に必要な者（受付、身体計測、データ入力や発送、健診
バスの運転等）。

施設及び 受診者に対するプライバ
設備情報 シーの保護注11）
個人情報保護に関する規程類
受動喫煙対策

■有

□無

■有

□無

■敷地内禁煙 □施設内禁煙 □完全分煙 □なし
1/15

血液検査
眼底検査
内部精度管理注12）
外部精度管理注12）■独自で実施 □委託（委託機関名：）□独自で実施 □委託（委託機関名：
）
□実施
■未実施
□実施（実施機関：） ■未実施健診結果の保存や提出における標準的な電子的様式の使用■有□無注11）健診時における、必要な箇所(問診・相談や脱衣を要する検査項目の実施時等)への間仕切りやついたて等の設置、別室の確保等の配慮等が為されているかの有無
注12）血液検査や眼底検査等を外部に委託している場合には、委託先の状況について記載。

運営に関 実施日及び 特定時期する情報 実施時間注13） 通年
特定健康診査の単価注14）
特定健康診査の実施形態(例: 6 月第2 週の平日13:00-17:00)

平日 9：00-16：00(例:平日9:00-17:00、土曜夜間)

7960 円以下／人■施設型（□要予約・■予約不要）□巡回型（□要予約・□予約不要）

注13）

巡回型健診の実施地域
救急時の応急処置体制注15）
苦情に対する対応体制注16）(例:岡山県全域、広島県福山市)

■有
■有

□無
□無

注13）どちらだけでも、どちらも記載可
注14）特定健康診査の「基本的な健診の項目」（いわゆる必須項目）の一式を実施した場合の単価（契約先によって多様な契約単価がある場合は、そのうちの最高額）を記載。なお、単価には消費税を含む。
注15）緊急時に医師が迅速に対応できる体制の有無（医師が常駐していない機関の場合は、医師と緊密に連携し緊急時には搬送もしくは医師が駆けつける体制となっているか）。※医療機関は原則として「有」であると想定される
注16）受診者や保険者による苦情が発生した場合に、それを受け付け、改善、申し立て者への結果報告等を行う窓口や担当等が設けられているか。※医療機関は原則として「有」であると想定される

その他

掲出時点の前年度における特定健診の実施件数
実施可能な特定健康診査の件数
特定保健指導の実施

年間

人1 日当たり

0～2 人

年間

人

1 日当たり0～2 人■有(積極的支援)□無■有(動機付け支援)

2/15

運営についての重要事項に関する規程の概要[保健指導機関]＊健診と保健指導の両方を実施する者は、健診機関分とは別々に作成・掲出等すること。
＊多くの拠点を抱えている事業者の場合は、各拠点単位で別々にこれを作成・掲出等すること。
＊選択肢の項目については、□を■にするか、該当する選択肢のみ残す（非該当は削除）こと。

更新情報 最終更新日

R6

年

5 月

1 日

＊下記事項に変更があった場合は速やかに変更し、掲載しているホームページ等更新し、更新日を明示すること。

機関情報 機関名注１）注２）
所在地注１）(郵便番号)
(住所)
注１）
電話番号
ＦＡＸ番号
保健指導機関番号注３）
窓口となるメールアドレス
ホームページ注４）
経営主体注１）
開設者名注１）
管理者名注５）
保健指導業務の統括者名注６）
第三者評価注７）
認定取得年月日注７）
契約取りまとめ機関名注８）
所属組織名注９）

医療法人 橋本病院
770 － 0813
徳島市中常三島町 3 丁目 22-1
088
－
626
－
1567
088
－
626
－
0322
3610124053
＠https://www.hp-hashimoto.cm
医療法人理事長 橋本拓也
院長 橋本拓也
院長 橋本拓也□実施（実施機関：） ■未実施年月日
徳島県医師会(例:○○市医師会、結核予防会)

注１）社会保険診療報酬支払基金（以下「支払基金」という）に届け出る（あるいは届け出ている）内容と同一の内容とする
注２）正式名称で記載。複数拠点を持つ法人の場合は、正式名称が拠点名のみであれば拠点名、法人名＋拠点名（例：「株
式会社△△サービス○○店」「財団法人○○ △△健診センター」等）であればその通りに記載
注３）届出により支払基金から番号が交付されている機関のみ記載
注４）ホームページを開設している機関のみ記載。複数ある場合は最も機関の概要がわかる情報が掲載されているサイト（例：自院ページ、地区医師会ページ、医療情報提供制度に基づく都道府県ホームページ等）のアドレスを記載
注５）特定保健指導を実施する各拠点における常勤の管理者。但し、管理上支障がない場合は、保健指導機関の他の職務に従事し、又は同一の敷地内にある他の事業所、施設等の職務に従事することができるものとする。施設管理や人事管理、会計管理等を想定。従って管理者は必ずしも医師等でなくともよい（統括者との兼務は可）。
注６）統括者とは、特定保健指導を実施する各拠点において、動機付け支援及び積極的支援の実施その他の特定保健指導に係る業務全般を統括管理する者（常勤の医師・保健師・管理栄養士）。各拠点において、当該拠点に配置されている保健師等の保健指導実施者を束ね、各実施者が担当する保健指導対象者への支援の実施状況等を包括的に管理している者を想定。拠点ごとに配置し、複数拠点の兼務は不可。
注７）何らかの評価機関において、評価を受けた場合のみ記載
注８）個別契約のみで、どこのグループにも属していない場合は記載不要
注９）機関が支部・支店等の拠点の場合、所属する法人名（本部組織名）を記載(正式名称で)。所属組織とは、主として
注２の例にあるような法人を想定（医師会は除く）。なお、契約取りまとめ機関名との包含関係としては、契約取りまとめ機関≧本部組織＞機関（支部・支店等）となる。

協力業者 協力業者の有無(積極的支援)
情報
協力業者名・委託部分注10）■全て自前で実施□支援形態・地域等で部分委託

業者名（例:財団法人○○埼玉支部) 委託部分

(例:埼玉県・運動指導)

業者名(例:△△株式会社九州ｺｰﾙｾﾝﾀｰ) 委託部分

(例:九州7 県・電話)

業者名

委託部分

(例:全国・電子メール)

業者名

委託部分

(例:北海道・個別)

業者名

委託部分

業者名

委託部分

業者名

委託部分

業者名

委託部分

3/15

注10）協力業者がある場合のみ、例に従って明瞭簡潔に記載。

スタッフ
情報注11）

自機関内
常勤
左記のうち一定の研修修
了者数注12）

総数
医師（上記のうち、日本医師会
認定健康スポーツ医）
保健師
管理栄養士
看護師（一定の保健指導の実
務経験のある者）

歯科医師
専門的知識及び技ＴＨＰ取得者
術を有する者
健康運動指導士
事務職員

協力業者注10）非常勤
総数

左記のうち一定の研修修
了者数注12）

総数

左記のうち一定の研修修
了者数注12）

3人

人

人

人

人

人

人

人

人

人

人

人

人
1人

人
人

人
人

人
人

人
人

人
人

1人

人

1人

人

人

人

人
人
人
2人

人
人
人
人

人
人
人
人

人
人
人
人

人
人
人
人

人
人
人
人

注11）特定保健指導に従事する者のみを記載。
注1 2）一定の研修とは、「標準的な健診・保健指導プログラム」の巻末にある「健診・保健指導の研修ガイドライン」に準拠した研修等をいう。

保健指導
の実施体
制

初回面接、
3 ヶ月以上の継続的な支援を行う者
計画作成、
電子メー
評価に 関 個別グルー
電話
ル等
す る 業務 支援
プ支援
注13）
を行う者
■常勤 ■常勤 □常勤 ■常勤 □常勤■常勤 □非常勤 □非常勤 □非常勤 □非常勤 □非常勤
□協力業者 □協力業者 □協力業者 □協力業者 □協力業者
保健指
導事業
の 統括
者

医師

□常勤 □常勤 □常勤 □常勤 □常勤
保健師□常勤 □非常勤 □非常勤 □非常勤 □非常勤 □非常勤
□協力業者 □協力業者 □協力業者 □協力業者 □協力業者■常勤 ■常勤 □常勤 ■常勤 □常勤
管理栄養士■常勤 □非常勤 □非常勤 □非常勤 □非常勤 □非常勤
□協力業者 □協力業者 □協力業者 □協力業者 □協力業者■常勤 ■常勤 □常勤 ■常勤 □常勤
看護師（一定の保健指導の実□非常勤 □非常勤 □非常勤 □非常勤 □非常勤
務経験のある者）□協力業者 □協力業者 □協力業者 □協力業者 □協力業者□常勤 □常勤 □常勤 □常勤
歯科医師□非常勤 □非常勤 □非常勤 □非常勤
□協力業者 □協力業者 □協力業者 □協力業者
専門的知識□常勤 □常勤 □常勤 □常勤
Ｔ Ｈ Ｐ 取得
及び技術を□非常勤 □非常勤 □非常勤 □非常勤者
有する者
□協力業者 □協力業者 □協力業者 □協力業者□常勤 □常勤 □常勤 □常勤
健康運動指□非常勤 □非常勤 □非常勤 □非常勤
導士
□協力業者 □協力業者 □協力業者 □協力業者
4/15

＊該当する項目を全て選ぶこと（複数選択可）

施設及び 利用者に対するプライバ
設備情報 シーの保護注14）
個人情報保護に関する規程類
受動喫煙対策
指導結果の保存や提出における標準的な電子的様式の使用

注1 3）FAX や手紙等も含む

■有

□無

■有

□無

■敷地内禁煙 □施設内禁煙 □完全分煙 □なし■有□無注1 4）保健指導時における、必要な箇所(個別面接の実施時等)への間仕切りやついたて等の設置、別室の確保等の配慮等が為されているかの有無

運営に関 実施日及び 特定時期する情報 実施時間注15） 通年
実施地域注16）(例: 6 月第2 週の平日13:00-17:00)

平日 9：00-16：00(例:平日9:00-17:00、土曜夜間)(例:岡山県全域、広島県福山市)■動機付け支援■積極的支援□動機付け支援相当
注17）
実施形態
■施設型
□非施設型
継続的な支援の形態や内 ■個別支援□グループ支援□電子メール等注13）
容注17）
■電話
□運動実習
□調理実習
注18）
標準介入期間(積極的支援)
■3 ヶ月
□4 ヶ月
□5 ヶ月
□6 ヶ月
課金体系
■完全従量制（従量単価×人数） □固定費＋従量単価×人数
動機付け
8,470 円以下/人 積極的 25,120 円以下/人
標準的な従量単価注19）
動機付け支援相当円以下/人■教材費(紙類のみならず万歩計等機器類や血液検査キット等も含む)
単価に含まれるもの■会場・施設費□交通費(指導者の)□材料費(調理実習)
注17･注20）■通信費・事務費 □一定回数の督促
単価に含まれない追 ■調査・計画費■データ分析費
□各種案内代行費
注17）
加サービスの有無□特に無し
合計180ポイントの継続支援で実施（例：合計200ﾎﾟｲﾝﾄの継続支実施。
積極的支援の内容注21）
実施サービス注17）

特に、集団での栄養指導を実施）

動機付け支援相当の内容
救急時の応急処置体制注22）
苦情に対する対応体制注23）
保健指導の実施者への定期的な研修
インターネットを用いた保健指導における安全管理の仕組みや体制注24）

■有
■有

□無
□無

■有

□無

■有

□無

注1 5）どちらだけでも、どちらも記載可
注1 6）非施設型の保健指導を実施している場合についてのみ記載
注1 7）複数回答可（項目「単価に含まれない追加サービスの有無」において「特に無し」と他との複数選択は不可）
注1 8）最も標準的な支援メニューにおける所要期間（対象者による遅延・延長は考慮に入れない）。いずれか一つを選択
注 19）最も標準的な支援メニューの単価（一つのメニューでも、契約人数の多少等により多様な契約単価がある場合は、そのうちの最高額）を記載
注2 0）営業費用、採用・研修等費用、その他間接コスト等は、単価の中の人件費に含まれる利益・技術料等から適宜配分するものと考える
注2 1）項目「標準的な従量単価」の積極的支援の単価における標準的な支援内容を明瞭・簡潔に記載。
注2 2）緊急時に医師が迅速に対応できる体制の有無（医師が常駐していない機関の場合は、医師と緊密に連携し緊急時には搬送もしくは医師が駆けつける体制となっているか）。※医療機関は原則として「有」であると想定される
注2 3）利用者や保険者による苦情が発生した場合に、それを受け付け、改善、申し立て者への結果報告等を行う窓口や担当等が設けられているか。※医療機関は原則として「有」であると想定される

5/15

注2 4）インターネットを利用した保健指導（介入のみならず事務的なやり取りや記録等も含む）を行う機関のみ記載

その他

掲出時点の前年度 動機付けの特定保健指導の 積極的動機付け支援相当
実施件数
動機付け

実施可能な特定保積極的
健指導の件数
動機付け支援相当
掲出時点の前年度の参 動機付け
加率（参加者/案内者）・脱落 積極的
動機付け支援相当
率（脱落者/参加者）注25）
特定健康診査の実施

年間
年間
年間
年間
年間
年間
参加率
参加率
参加率

人
人
人
人
人
人
％
％
％
■有

注2 5）参加率については機関において案内発送まで受託している場合のみ記載可能

6/15

1 日当たり
1 日当たり
1 日当たり
1 日当たり
1 日当たり
1 日当たり
脱落率
脱落率
脱落率
□無

人
人
人
人
人
人
％
％
％

事業運営上開示すべき重要事項の概要[代行機関]＊代行機関の業務を行う者は、本資料を作成し、ホームページ（自機関の Web サイトでも他のサイトでも可）に掲載すること。
＊選択肢の項目については、□を■にするか、該当する選択肢のみ残す（非該当は削除）こと。
＊ガイドラインの遵守状況については別添指定様式に記載すること。

更新情報 最終更新日

年

月

日

＊下記事項に変更があった場合は速やかに変更し、掲載しているホームページを更新し、更新日を明示すること。

基本情報 機関名注１）
所在地(住所) 注１）
電話番号注１）
ＦＡＸ番号
ホームページアドレス窓口となるメールアドレス
代行機関コード注２）
代行機関の分類注３）

－
－

－
－

http://
＠□医療保険者サイド□健診・保健指導機関サイド（健診機関グループ）□健診・保健指導機関サイド（健診機関グループ以外）

注１）名称等は正式なもので記載する。
注２）発行した代行機関コードを記載。
注３）いずれか一つを選択。
「医療保険者サイド」とは、保険者の委託を受け、機関と保険者との間に入って第三者として代行処理をする代行機関の類型。
「健診・保健指導機関サイド」とは健診機関とりまとめ機関（上記「健診機関グループ」）や福利厚生代行会社（上記「健診機関グループ以外」）等によりデータや決済をとりまとめる類型

施設及び 従事する職員 専任
設備情報 の数注４）注５）
兼任
注５）
全職員の数
施設数（サポート拠点数）
財務基盤に関する資料または照会先注６）
類似業務・サービスの提供実績注７）
提供するサ 対象
ービス
内容

機関本体
人
機関本体
人
機関本体
人
箇所（都道府県名：

協力・関係会社
協力・関係会社
協力・関係会社人人人）□有（内容：）□無□保険者向け□健診・保健指導機関向け□事務点検□請求・支払のとりまとめ・代行□健診・保健指導データの受領・振分・送付□その他（）□可（選択可能な機能：）
利用者によ 保険者
□否るサービス
健診・保健 □可（選択可能な機能：
）
の選択
□否
指導機関
注８）
□最低限のガイドラインを遵守済
ガイドラインの遵守□最低限のガイドラインを遵守していない

注４）当該機関のうち代行業務に従事する者のみを記載。
注５）協力会社・関係会社等がない場合は記載不要（空欄）とし、あっても従事していない場合は 0（ゼロ）人と記載。
注６）貸借対照表等決算報告書の類をホームページで公開している場合はその URL 等を記載。財務情報を公開していない
場合は照会先(連絡先及び担当者名等)を明記。
注７）例として提供サービスの項を参照のこと。
注８）別添指定様式「医療情報システムの安全管理に関するガイドライン 最低限のガイドライン遵守チェックリスト」に記載すること。チェックリストにおいて全項目「実施済」の場合は「最低限のガイドラインを遵守済」
、１項目

7/15

以上「実施予定」がある場合は「最低限のガイドラインを遵守していない」を選ぶこと。

情報シス 提供開始の年月日注９）
テムに関 システムの保有する情報 システムの運用管理
システム専用区画・施設の有無
システム管理技術者数
処理可能件数（設計値）

□自己導入
□借用
□自機関内
□全部委託
□一部委託
□専用施設（機関所有）□専用施設（委託先）□機関建物内専用区画
□特に無し
機関本体
人
委託先
人
年間
件
1 日当たり件

注９）試用期間を除く。

運営に関 サービス 拠点する情報 提供時間 システム
ヘルプデスク
データ授 外部から機関受の方法 へ
機関から外部へ
データ授 オンライン
受におけ
るセキュリ
オフライン
テ ィ 対策
の方法(例:平日9:00-17:00、除く 12/29-1/3)(例:24 時間365 日稼動)
(例:平日9:00-17:00、除く 12/29-1/3)□オンライン(回線種別□オフライン(送付手段□オンライン(回線種別□オフライン(送付手段

)
)
)
)

(例：伝送相手の安全性を確保する SSL、IPSec と IKE の利用)

(例：盗難・紛失した場合に個人情報漏洩を防ぐためのファイル暗号化ツールの利用)

事務手数
保険者
健診・保健指導機関
注10）
料等
初期費用
円
円
経常経費 別 途 請 求 の □無（健診委託費に含まれる）□無（健診委託費に含まれる）有無□有(下記)□有(下記)
固定費
円
円
注11）
従量単価
円／
あたり
円／
あたり
代行機関利用に際し必要となる設備等注12）
注10）すべて消費税込みの金額を記載。委託機能によって費用が異なる場合はすべて記載。
注11）単位あたり（例えばデータ 1 件あたり）の事務手数料を記載。取扱データの内容等によって単価が異なる場合はすべて記載。
注12）保険者、健診・保健指導機関において必要となるハードウェア、ソフトウェア、ネットワーク回線等を記載。初期費用に含まれるものと、初期費用以外に各自の負担で導入しなければならないものを明記

その他

前年度の取扱件数

年間

8/15

件

1 日当たり件

別添 医療情報システムの安全管理に関するガイドライン 第 5.2 版
最低限のガイドライン遵守チェックリスト
本遵守チェックリストは、令和４年３月「医療情報システムの安全管理に関するガイドライン 第５.２版 」の 6 章における「最低限のガイドライン」の遵守状況のチェックリストである。
＊代行機関の業務を実施する者は、本資料を作成しホームページ（自機関の Web サイトでも他のサイトでも可）に掲出すること。
＊選択肢の項目については、「実施済」「実施予定」より一つ選び、□を■にすること。
「実施予定」を選択した場合は、実施予定時期を明記すること。

更新情報 最終更新日

年

月

日

＊下記事項に変更があった場合は速やかに変更し、掲載しているホームページを更新し、更新日を明示すること。

組織的安全管理対策
No
1.
2.
3.
4.

5.

チェック項目
情報システム運用責任者の設置及び担当者（システム管理者を含む）の限定を行っている。
個人情報が参照可能な場所においては、来訪者の記録・識別、入退を制限する等の入退管理を定めている。
情報システムへのアクセス制限、記録、点検等を定めたアクセス管理規程を作成している。
個人情報の取扱いを委託する場合、委託契約において安全管理に関する条項を含めている。
運用管理規程等において次の内容を定めている。
(b) 医療機関等の体制(c) 契約書・マニュアル等の文書の管理(d) リスクに対する予防、発生時の対応の方法(e) 機器を用いる場合は機器の管理(f) 個人情報の記録媒体の管理（保管・授受等）の方法(g) 患者等への説明と同意を得る方法(h) 監査(i) 苦情・質問の受付窓口

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

物理的安全対策
No
1.
2.

3.
4.
5.
6.

チェック項目
個人情報が保存されている機器の設置場所及び記録媒体の保存場
所には施錠している。
個人情報を入力、参照できる端末が設置されている区画は、業務時
間帯以外は施錠等、運用管理規定に基づき許可された者以外立ち入ることが出来ない対策を講じている。もしくは、同等レベルの他の取りうる手段がある
個人情報の物理的保存を行っている区画への入退者には名札等の着用を義務付け、台帳等に記入することによって入退の事実を記録している。
個人情報の物理的保存を行っている区画への入退者の記録を定期的にチェックし、妥当性を確認している。
個人情報が存在する PC 等の重要な機器に盗難防止用チェーンを設置している。
個人情報が入力・参照できる端末の覗き見防止対策を実施している。

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

技術的安全対策No
1.

チェック項目
情報システムへのアクセスにおける利用者の識別と認証を行ってい
る。

9/15

実施済
□

実施予定（実施時期）
□（

）

No
2.
3.

4.
5.
6.
7.
8.
9.
10.

11.

12.

13.

14.

15.

16.
17.
18.
19.
20.
21.

チェック項目
本人の識別・認証にユーザID とパスワードの組み合わせを用いる場
合には、本人しか知り得ない状態に保つよう対策を行っている。
本人の識別・認証に IC カード等のセキュリティ・デバイスを用いる場
合には、IC カードの破損等、本人の識別情報が利用できない時を想定し、緊急時の代替手段による一時的なアクセスルールを用意している。
利用者が個人情報を入力・参照できる端末から長時間、離席する際に、正当な入力者以外の者による入力のおそれがある場合には、クリアスクリーン等の防衛策を講じている。
動作確認等で個人情報を含むデータを使用するときは、漏洩等に十分留意している。注1）
関係職種ごとに、アクセスできる情報の範囲を定め、そのレベルに沿ったアクセス管理を行っている。
アクセスの記録及び定期的なログを確認している。注2）
アクセスログへのアクセス制限を行い、アクセスログの不当な削除/
改ざん/追加等を防止する対策を講じている。
アクセスの記録に用いる時刻情報は信頼できるものである。注3）
システム構築時や、適切に管理されていないメディアを使用したり、外部からの情報を受け取る際にはウイルス等の不正なソフトウェアの混入がないか確認している。注4）
メールやファイル交換にあたっては、実行プログラム（マクロ等含む）
が含まれるデータやファイルの送受信禁止、又はその実行停止の実施、無害化処理を実施している。なお、保守等でやむを得ずファイ
ル送付等を行う場合、送信側で無害化処理が行われていることを確認している。
システム内のパスワードファイルでパスワードは必ず暗号化(不可逆)され、適切な手法で管理及び運用が行われている。注5）
利用者がパスワードを忘れたり、盗用される恐れがある場合で、シス
テム管理者がパスワードを変更する場合には、利用者の本人確認を行い、どのような手法で本人確認を行ったのかを台帳に記載(本人確認を行った書類等のコピーを添付)し、本人以外が知りえない方法で再登録を実施している。また、パスワード漏洩の恐れがある場合には、速やかにパスワードの変更も含む適切な処置を講じている。
システム運用担当者であっても、利用者のパスワードを推定できる手段を防止している。注6）
パスワードは以下のいずれかの要件を満たしている。また、いずれの場合においても、他に講じられているセキュリティ対策等の内容を勘案して、全体として安全なパスワード漏洩対策を講じている。

英数字、記号を混在させた 13 文字以上の推定困難な文字列

英数字、記号を混在させた８文字以上の推定困難な文字列を定期的に変更している（最長でも２ヶ月以内）

二要素以上の認証の場合、英数字、記号を混在させた８文字以上の推定困難な文字列（ただし、他の認証応訴として必要な電子証明書等の使用に PIN 等が設定されている場合には、この限りではない）類推しやすいパスワードを使用せず、類似のパスワードを繰り返し使用していない。注7）
適切な利用者以外に無線ＬＡＮの利用を利用されないようにしている。
無線ＬＡＮを利用する場合、不正アクセスの対策を施している。
無線ＬＡＮを利用する場合、不正な情報の取得を防止している。
無線ＬＡＮを利用する場合、電波を発する機器（携帯ゲーム機等）による電波干渉に留意している。
IoT 機器により患者情報を取り扱う場合は、製造販売業者から提供を受けた当該医療機器のサイバーセキュリティに関する情報を基にリスク分析を行い、その取扱いに係る運用管理規定を定めている。

10/15

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□
□

□（
□（

）
）

□

□（

）

□

□（

）

No

22.

23.

24.

チェック項目IoT 機器を利用する場合、セキュリティ対策を十分に行うことが難しい
ウェアラブル端末や在宅設置の IoT 機器を患者等に貸し出す際は、事前に、情報セキュリティ上のリスクと患者等が留意すべきことについて患者等に説明し、同意を得ている。また、機器に異常や不都合が発生した場合の問い合わせ先や医療機関等への連絡方法について、患者等に情報提供している。
IoT 機器を利用する場合、システムやサービスの特徴を踏まえ、IoT
機器のセキュリティ上重要なアップデートを必要なタイミングで適切に実施する方法を検討し、適用している。アップデートが困難な場合に代替措置を講じる方法を検討し、運用している。
IoT 機器を利用する場合、使用が終了した又は不具合のため使用を停止した IoT 機器をネットワークに接続したまま放置すると不正に接続されるリスクがあるため、対策を講じている。

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

注１：動作確認用データの情報管理を厳格に行い、動作確認終了後は適切に破棄を行うことを指す。
注２：アクセスの記録はすくなくとも利用者のログイン時刻および時間、ログイン中に操作した情報が特定できなることを指す。また、情報システムにアクセス記録機能があることが前提であるが、ない場合は業務日誌等で操作の記録（操作者及び操作内容）を以って代えることができる。
注３：代行機関の内部で利用する時刻情報は同期している必要があり、また標準時刻と定期的に一致させる等の手段で標準時と操作事実の記録として問題のない範囲の精度を保つことを指す。
注４:適切に管理されていないと考えられるメディアを利用する際には、十分な安全確認を実施し、細心の注意を払って利用し、常時ウイルス等の不正ソフトウェアの混入を防ぐ適切な措置をとること。また、その対策の有効性・安全性の確認・維持（例えばパターンファイルの更新の確認・維持）を行うこと。
注 5：利用者識別にＩＣカード等他の手段を併用した場合はシステムに応じたパスワードの運用方法を運用規程にて定めることを以って代えることができる。
注 6：例として設定ファイルにパスワードを記載しないようにする等があげられる。
注 7:類推しやすいパスワードには、自身の氏名や生年月日、辞書に記載されている単語が含まれるもの等がある。

人的安全対策（従業者に対する人的安全管理措置）
No
1.
2.
3.

チェック項目
法令上の守秘義務のある者以外を事務職員等として採用するにあたっては、雇用及び契約時に守秘・非開示契約を締結すること等により安全管理を行っている。
定期的に従業者に対し個人情報の安全管理に関する教育訓練を行っている。
従業者の退職後の個人情報保護規程を定めている。

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

人的安全対策（事務取扱委託業者の監督及び守秘義務契約）
No
1.
2.
3.
4.

5.

チェック項目
外部受託業者を採用する場合は、包括的な委託先の罰則を定めた
就業規則等で裏づけられた守秘契約を締結している。
外部受託業者を採用する場合で、保守作業等の情報システムに直接アクセスする作業の際には、作業者・作業内容・作業結果の確認を行っている。
外部受託業者を採用する場合は、清掃等の直接医療情報システムにアクセスしない作業の場合においても、作業後の定期的なチェックを行っている。
受託する事業者が再委託を行うか否かを明確にし、再委託を行う場
合は受託する事業者と同等の個人情報保護に関する対策及び契約がなされていることを条件としている。
ソフトウェアの異常等でデータを救済する必要があるとき等、やむを得ない事情で受託する事業者の保守要員が医療情報にアクセスする場合に、罰則のある就業規則等で裏付けられた守秘契約等の秘密保持の対策を行っている。

情報の破棄
11/15

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

No
1.
2.
3.
4.

チェック項目
情報種別ごとに破棄の手順を定めている。注8）
情報処理機器自体を破棄する場合、必ず専門的な知識を有するものが行うこととし、残存し、読み出し可能な情報がないことを確認している。
外部保存を受託する機関に破棄を委託した場合は、委託元の医療機関等が確実に情報の破棄が行われたことを確認している。
運用管理規程において不要になった個人情報を含む媒体の廃棄を定める規程の作成を定めている。

実施済□

実施予定（実施時期）
□（
）

□

□（

）

□

□（

）

□

□（

）

注 8：手順は、破棄を行う条件、破棄を行うことができる従業者の特定、具体的な破棄の方法を含む必要がある。

医療情報システムの改造と保守
No
1.
2.
3.
4.
5.
6.
7.

8.
9.
10.

チェック項目
動作確認で個人情報を含むデータを使用するときは、明確な守秘義
務の設定を行うとともに、終了後は確実にデータを消去させている。
メンテナンスを実施するためにサーバに保守事業者の作業員がアクセスする際には、保守要員の専用アカウントを使用させ、個人情報へのアクセスの有無、およびアクセスした場合対象個人情報を含む作業記録を残している。注9）
保守要員の専用アカウントは外部流出等による不正使用の防止の観点から適切に管理することを求めている。
保守要員の離職や担当変え等に対して速やかに保守要員の専用ア
カウントを削除できるよう、保守事業者に報告を義務付けるとともに、それに対応できるアカウント管理体制を整えている。
保守事業者がメンテナンスを実施する際には、日単位で作業申請の事前提出させ医療情報システム安全解離責任者が承認している。注

実施済

保守事業者と守秘義務契約を締結し、これを遵守させている。
原則、保守事業者に個人情報を含むデータを外部に持ち出させていない。やむ得ない場合には、置き忘れ等に対する十分な対策を含む取扱いについて運用管理規程を定めることを求め、医療情報シ
ステム安全管理責任者が承認している。
リモートメンテナンスによるシステムの改造や保守が行われる場合には、必ずアクセスログを収集し、当該作業の終了後速やかにアクセ
スログの内容を医療機関等の責任者が確認している。
リモートメンテナンスにおいて、やむを得ずファイルを医療機関等へ送付等を行う場合、送信側で無害化処理が行われていることを確認している。
再委託が行われる場合は再委託先にも保守会社と同等の義務を課
している。

10）

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

注９:システム利用者を模して操作確認を行うための識別・認証についても同様である。
注 10: 作業申請書の承認は、原則として保守作業の実施前に行う必要があるが、保守事業者と合意したメンテナンスについては、事後承認とすることができる。

情報及び情報機器の持ち出しについて
No
1.
2.
3.
4.
5.
6.

チェック項目リスク分析を行い、情報及び情報機器の持ち出しや、BYOD の実施に関する運用管理規程を定めている。
運用管理規程には、持ち出した情報及び情報機器の管理方法を定めている。
情報を格納した可搬媒体もしくは情報機器の盗難、紛失時の対応を
運用管理規程に定めている。
運用規程で定めた盗難、紛失時の対応を従業者等に周知・教育を行っている。
情報が格納された可搬媒体及び情報機器の所在を台帳等により管理している。
情報機器に対して起動パスワードを設定している。
12/15

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

No
7.

8.

9.
10.

チェック項目
盗難、置き忘れの措置として、情報に対する暗号化やアクセスパスワ
ードの設定等、容易に内容を読み取られないようにしている。
持ち出した情報機器を外部のネットワークや外部媒体に接続する場
合は、情報端末が情報漏洩、改ざん等の対象とならない対策を施している。特にモバイル端末では公衆無線 LAN を利用できる場合があるが、公衆無線LAN は技術的安全対策の 17～20 の基準を満たさないことがあるため、公衆無線LANしか利用できない環境にあり、且つ外部と個人情報を含む医療情報を交換する場合の安全管理で述べられている基準を満たした通信手段を選択することができる場合に限り認めている。
持ち出した情報を取り扱う情報機器には、必要最小限のアプリケー
ションのみをインストールしている。
個人保有の情報機器であっても、業務上、医療機関等の情報を持ち出して取り扱う場合、管理者は上記 1～5 の対策を行うとともに、管理者の責任において上記 6～9 と同様の要件を遵守している。

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

災害、サイバー攻撃等の非常時の対応
No
1.
2.
3.
4.
5.
6.
7.
8.

9.

チェック項目
医療サービスを提供し続けるための BCP の一環として“非常時”と判断するための基準、手順、判断者等及び正常復帰時の手順を定めている。
非常時における対応に関する教育及び訓練を従業者に対して行っている。また、医療情報システムの障害時の対応についても同様に行っている。
正常復帰後に、代替手段で運用した間のデータ整合性を図る規約を用意している。
非常時のユーザアカウントや非常時用機能の管理手順を整備している。
非常時機能が定常時に不適切に利用されることがないようにし、もし使用された場合には使用されたこと検知出来るよう、適切に管理及び監査を行っている。
非常時用ユーザアカウントが使用された場合、正常復帰後は継続使用が出来ないように変更している。
医療情報システムに不正ソフトウェアが混入した場合に備え、関係先への連絡手段や紙での運用等の代替手段を準備している。
重要なファイルは数世代バックアップを複数の方式で取得し、その一部は不正ソフトウェアの混入による影響が波及しない手段で管理するとともに、バックアップからの重要なファイルの復元手順を整備している。
サイバー攻撃で広範な地域での一部業務の停止等業務提供体制に支障が発生する場合は、所管官庁への連絡を行っている。また、上記に関わらず、医療情報システムに障害が発生した場合も、必要に応じて所管省庁への連絡を行っている。

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

外部と個人情報を含む医療情報を交換する場合の安全管理
No
1.

2.
3.

チェック項目ネットワーク経路でのメッセージ挿入、不正ソフトウェアの混入等の改ざん及び中間者攻撃等を防止する対策、施設間の経路上におけるクラッカーによるパスワード盗聴、本文の盗聴を防止する対策、セッション乗っ取り、IP アドレス詐称等のなりすましを防止する対策を行っている。注11）
データ送信元と送信先での、拠点の出入り口・使用機器・使用機器
上の機能単位・利用者の必要な単位で、相手の確認（認証）を行っている。注12）
施設内において、正規利用者への成りすまし、許可機器への成りす
ましを防ぐ対策を行っている。

13/15

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

No
4.
5.

6.

チェック項目
ルータ等のネットワーク機器は、安全性が確認できる機器を利用し、施設内のルータを経由して異なる施設間を結ぶ VPN の間で送受信ができないように経路設定されている。注13）
送信元と相手先の当事者間で当該情報そのものに対する暗号化等のセキュリティ対策を実施している。注14）
電気通信事業者やシステムインテグレータ、運用委託事業者、遠隔保守を行う機器保守事業者等と、次の事項について、これら関連組
織の責任分界点、責任の所在を契約書等で明確にしている。
 診療情報等を含む医療情報を、送信先の医療機関等に送信するタイミン
グと一連の情報交換に係わる操作を開始する動作の決定
 送信元の医療機関等がネットワークに接続できない場合の対処
 送信先の医療機関等がネットワークに接続できなかった場合の対処
 ネットワークの経路途中が不通または著しい遅延の場合の対処
 送信先の医療機関等が受け取った保存情報を正しく受信できなかった場
合の対処
 伝送情報の暗号化に不具合があった場合の対処
 送信元の医療機関等と送信先の医療機関等の認証に不具合があった場
合の対処
 障害が起こった場合に障害部位を切り分ける責任 送信元の医療機関等または送信先の医療機関等が情報交換を中止する
場合の対処

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

□

□（

）

医療機関内において次の事項において契約や運用管理規程等で定めている。

7.

8.

9.
10.
11.

12.

 通信機器、暗号化装置、認証装置等の管理責任の明確化。外部事業者へ管理を委託する場合は、責任分界点も含めた整理と契約の締結。
 患者等に対する説明責任。
 事故発生時における復旧作業・他施設やベンダとの連絡に当たる専任の管理者の設置。
交換した医療情報等に対する管理責任及び事後責任の明確化。個人情報の取扱いに関して患者から照会等があった場合の送信元、送信先双方の医療機関等への連絡に関する事項、またその場合の個人情報の取扱
いに関する秘密事項。

医療情報システムを内部ネットワークを通じて外部ネットワークに接続する際に、なりすまし、盗聴、改ざん、侵入及び妨害等の脅威に留意したうえで、ネットワーク、機器、サービス等を適切に選定して、監視を行っている。
リモートメンテナンスを実施する場合は、必要に応じて適切なアクセ
スポイントの設定、プロトコルの限定、アクセス権限管理等を行って不必要なログインを防止している。
電気通信事業者やオンラインサービス提供事業者と契約を締結する
際には、脅威に対する管理責任の範囲や回線の可用性等の品質に関して問題がないか確認している。
患者に情報を閲覧させる場合、内部システムに不正な侵入等が起こらないよう対策を実施している。注15）
オープンなネットワークにおいて、IPsec による VPN 接続等を利用せず HTTPS を利用する場合、TLS のプロトコルバージョンを TLS1.3のみに限定した上で、クライアント証明書を利用した TLS クライアント
認証を実施している。（その際、TLS の設定はサーバ/クライアントともに「TLS 暗号設定ガイドライン」に規定される最も安全性水準の高い「高セキュリティ型」に準じた適切な設定を行っている。）
SSL-VPN を利用する場合は、具体的な方法によっては偽サーバへの対策が不十分なものが含まれるため、適切な手法の選択及び必要な対策を行っている。また、ソフトウェア型の IPsec 又は TLS1.2
以上により接続する場合、セッション間の回り込み（正規のルートではないクローズドセッションへのアクセス）等による攻撃への適切な対策を実施している。

14/15

No
13.
14.

チェック項目
クローズドなネットワークで接続する場合でも、内部トラフィックにおける脅威の拡散等を防止するため、不正ソフトウェア対策ソフトのパ
ターンファイルや OS のセキュリティ・パッチ等、リスクに対してセキュリティ対策を適切に適用している。
電子署名に用いる秘密鍵の管理は、認証局が定める「証明書ポリシー」（CP）等で定める鍵の管理の要件を満たして行っている。

実施済

実施予定（実施時期）

□

□（

）

□

□（

）

注 11：例として IPSec と IKE を利用することによりセキュアな通信路を確保することがあげられる。
注 12：採用する通信方式や運用管理規定により、採用する認証手段を決めること。また、認証手段としては PKI による認証、Kerberos のような鍵配布、事前配布された共通鍵の利用ワンタイムパスワード等の用意に解読されない方法を用いるのが望ましい。
注 13：安全性が確認できる機器とは、例として、ISO15408 で規定されるセキュリティターゲットもしくはそれに類するセキュリティ対策が規定された文書が医療情報システムの安全管理に関するガイドライン第 5 版に適合していることを確認できるものをいう。
注 14：例として、SSL/TLS の利用、S/MIME の利用、ファイルに対する暗号化等の対策があげられる。その際、暗号化の鍵については電子政府推奨暗号のものを使用すること。
注15：システムやアプリケーションを切り分けし、ファイアウォール、アクセス監視、通信の TLS暗号化、PKI個人認証等の技術を用いた対策を指す。

15/15