平成 18 年度「医療情報システムの安全管理に関するガイドライン」の実装事例に関する報告書

平成 19 年 3 月

HEASNETAll Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007

< 目

次 >

1. 概 要 .............................................................................................................................1
1.1 背 景 ........................................................................................................................1
1.2 検討方針 ....................................................................................................................1
1.3 検討の進め方 .............................................................................................................3
2. 医療分野におけるセキュアネットワーク基盤の要件......................................................5
2.1 一般的な要件 .............................................................................................................5
2.2 セキュリティに関するガイドライン..........................................................................5
2.3 システムの現状整理...................................................................................................6
3. 検討範囲(TOE)の検討.....................................................................................................8
3.1 検討のスコープ..........................................................................................................8
3.2 検討対象(TOE)の整理..............................................................................................10
3.2.1 TOE の全体像.....................................................................................................10
3.2.2 検討範囲と OSI の関係...................................................................................... 11
3.2.3 守るべき資産 .....................................................................................................13
4. ネットワークの脅威に対する対処方法 .........................................................................15
4.1 WAN の定義 .............................................................................................................15
4.1.1 一般的な分類 .....................................................................................................15
4.1.2 脅威の所在と課題 ..............................................................................................18
4.2 ネットワークにおける脅威とセキュリティ対策の整理 ...........................................18
4.2.1 ch セキュリティ .................................................................................................18
4.2.2 NW 機器の obj セキュリティ .............................................................................28
4.2.3 既存技術との比較･評価 .....................................................................................30
5. ch セキュリティに関わる NW 機器のセキュリティ要件...............................................32
5.1 法人間の接続における留意点(PP) ...........................................................................32
5.2 セキュリティ対策の基本方針(ST) ...........................................................................32
5.3 具体的なセキュリティ対策 ......................................................................................34
5.3.1 通信モデルの定義 ..............................................................................................34
5.3.2 モデル間のサービスイメージ ............................................................................35
5.3.3 各通信モデルのセキュリティ要件 .....................................................................36
6. 構築時の確認事項 .........................................................................................................41
6.1 チェックシート........................................................................................................41
6.2 付帯要件等 ...............................................................................................................57

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- i -

1.概 要1.1 背 景e-Japan 戦略Ⅱの重点分野として取り上げられているように、医療分野での IT 社会基盤の整備が急務となっている。保健・医療・福祉情報セキュアネットワーク普及コンソーシアム（以下、「HEASNET」という。）では、セキュ
アネットワーク基盤を介して、ヘルスケア関連情報を医療関連機関間で共有することにより、国民に対して多様なヘルスケアサービスが提供され、安心・安全で暮らしやすい社会の実現を目指し、以下のような活動を行っている。
(1) セキュアなネットワーク基盤実現のための全体フレームワークの提起(2) セキュリティポリシー等の運用条件や共通インタフェース等の相互接続条件の提起(3) 提案した共通インタフェース仕様や共通ポリシー等の標準化等による普及活動(4) 内外の関係機関、諸団体と連携したセキュアネットワークを利用したサービス普及促進活動
上記活動において、HEASNET の構成組織である技術委員会ではセキュアネットワーク基盤の現状調査、全体フレームワークモデルに係る検討、およびセキュアネットワーク基盤の相互接続に係る検討を行ってきた。検討の結果、セキュアネットワーク基盤を実現するための具体的な技術方式に関する検討、及び当該方式の安全性を客観的に担保するための仕組みについて検討を進めることになった。
これらの背景のもと、技術委員会の下位組織として第三者認証取得 WG を設置し、セキュアネットワーク基盤の安全性を担保するために、要求されるセキュリティ対策に係る対象範囲やセキュリティ対策の基礎情報を整理、検討した。
1.2 検討方針
患者の個人情報等の医療情報が流通するセキュアネットワーク基盤は、医療機関や通信機器等の複数要素から構成されており、セキュアネットワーク基盤全体の安全性を担保するためには、各要素（プレイヤー、利用技
術、セキュアネットワーク基盤そのものの運用面）それぞれの安全性を確保し、利用者にアピールする必要がある。
各要素の安全性は、一定水準のセキュリティレベルを維持できるように、第三者認証制度や行政ガイドライン
といった明確な基準やルールに則ることで確保できると考える。関連する第三者認証制度を以下にあげる。
(1) プライバシーマーク制度
認証取得の対象となる情報資産は、個人情報。
個人情報の入手経路、取扱いおよび苦情の受付相談窓口の設置など、個人情報のライフサイクル（入手、利用、保存、廃棄）に係るプロセスの管理に関する組織のマネジメントシステムに関する認証制度。
(2) ISMS 適合性評価制度
認証取得の対象となる情報資産は、組織にとって重要な情報資産。
技術面でのセキュリティ要件だけではなく、運用・管理面におけるセキュリティ要件についても要求している。
情報資産について、機密性、完全性、可用性の観点から適切に保護するマネジメントシステムを構築することが要求されている。
(3) IT セキュリティ評価及び認証制度（JISEC)
認証取得の対象は、情報資産を取り扱うシステムのセキュリティ要件。
セキュリティ機能について、不正利用に対抗できる有効なセキュリティ機能であることを機能設計レベルで検証する。
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 1 -

IT 製品やシステムにおいて、セキュリティ要件が確実に保護されていることの保証を利用者に通知する。
プライバシーマーク制度

ISMS認証制度
運用面での
安全性保証
ISMS認証制度に則った運用管理システム

運用面での
安全性保証

運用面での安全性保証が不足している

何も取得していな
い事業者

P マーク制度に則った運用管理システム

ISMS認証
取得事業者

Pマーク
取得事業者

セキュアネットワーク基盤
IT製品・システムに関する安全性保証
ITセキュリティ評価
及び認証制度（JISEC)JISEC適合のIT製品
またはシステム

第三者認証取得 WG では、ネットワークに係るセキュリティ要件を中心に検討する。ネットワークにおける安全性を確保する上で NW 機器（主にルータ）の担うセキュリティ要件を満たした製品が、複数の企業から製造・販売
されると予想される。
ガイドライン等の基準を策定することにより、各製品による機能や運用方法はある程度共通化可能である。しかし、製品ごとに機能の実装方法が同一になるとは考えられず、セキュリティ要件を損なわないように各技術仕様に応じた運用仕様を遵守しなければならない。そのため、ガイドライン等の基準を策定する上では、製品の技術仕様と運用仕様の組合せを考慮して記述する必要がある。
本資料では、NW 全体を網羅して医療機関がネットワーク導入に当たって考慮すべきセキュリティに関する技
術・運用すべての仕様について検討して明確化する。医療機関は、製品の導入に当たって、本資料にあるすべての仕様を満足させるように製品仕様で不足する部分については運用によってカバーできるよう、製品仕様だ
けでなく、運用条件やコストについても考慮して製品を導入すべきである。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007- 2 -○通信に利用する技術や機器（利用機器等）

ISO/IEC15408
認証取得範囲
医療情報を伝送する場合、その通信データの安全性を確保することは必須条件といえる。
ISO/IEC１５４０８認証制度では、主にIT製品・システムのセキュリティ機能について、評価・検証している。
運用基準○セキュアネットワーク基盤の運用方法（運用面）

セキュアネットワーク基盤を運用する上で、機器の取扱い方法や機器 ID の払出方法などの運用方法について、現行の厚生労働省ガイドライン等を参考に、一定のセキュリティレベルを確保できたかを明文化された基準をもとに判断する必要がある。
P マーク制度
ISMS 認証制度○個人情報を取扱う医療機関や保守事業者（組織）

医療分野で取扱う情報は、患者の個人情報など機微情報が多い。
従って、医療機関だけではなく、医療機器の保守事業者においても、組織としてセキュリティの高い運用体制を整備することが求められる。
現状は、プライバシーマーク制度や ISMS 認証適合制度といった第三者認証を取得することで、情報やシステムの運用体制について、一定の安全性が確保できていることを第三者により評価している。

製品により、技術（機能）で実現するセキュリティ要件の範囲と運用で実現するセキュリティ要件の範囲とが異なる。
満たすべき要件

セキュリティ要件

技術仕様

製品 A

運用仕様

技術仕様

製品 B

共通技術仕様

運用仕様
製品独自仕様共通運用仕様1.3 検討の進め方
モデル確立に向けて諸要件を整理・分析し、それらを実際に構築したケースを元に検証する。
守るべき資産と脅威を明らかにし、モデルの評価を行う。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 3 -

厚生労働省
ガイドラインNICSS 運用
ガイドライン

NICSS
要件書

JAHIS
標準

JIRA
セキュリティ
ガイドライン
関連 RFC

守るべき資産に対する脅威および対策の洗い出し

Ch セキュリティ

インターネットに対する脅威モデル

RFC 抜き出し資料

セキュアネットワークに対する脅威の洗出し (31 項目)

ネットワークに対する脅威

セキュリティ対策として活用可能な技術要素

セキュリティ対策の技術要素

セキュリティの脅威と技術対策

セキュリティの脅威と技術対策「各種脅威と対策表」

守るべき資産の洗い出し

本資料では、以下のように構成する。

拠点間通信の整理（サービス比較、責任、信頼性）

要件の整理（経路の分離・制御・中継禁止、NW の分離）

通信モデル
（ゾーンとホスト配置・接続ポリシー・モデル詳細）
VPN の技術要件（セキュリティ・脅威の定義・対処技術）

実例の検証(商用展開例による検証)

適用技術仕様（オンデマンド VPN 仕様）

本資料では、最終的に医療機関がネットワークシステムの導入に当たって考慮すべきセキュリティ的な技術・運用要件を下記のような構成のチェックシートとして提示する。
検討事項

対策

3 拠点以上の接続か？

・2 つの異なる拠点と接続しますか？

5.1 法人間の接続における留意点
5.2 経路制御
5.2 不正中継禁止

2 拠点の接続か？

・オープンネットワークを使用するか？
・重要なデータが含まれているか？
・情報を公開するか？

2. セキュアネットワーク基盤
4. 暗号化の検討
5.3 ゾーン分けの検討
5.2 経路分離
5.3 通信モデル（大・小規模機関）･インターネットにアクセスするか？

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 4 -

SP 契約するか？

データの蓄積・公開サービスを利用す 5.3 通信モデル（サービスプロバイダ）
るか？
タイムスタンプ、証明書の検証を行いますか？

2.医療分野におけるセキュアネットワーク基盤の要件
2.1 一般的な要件
医療分野におけるセキュアネットワーク基盤の構築において、検討すべき事項や課題及び求められる要件を以下にまとめる。

課題・検討事項求められる要件○取り扱う情報は患者の個人情報①安全な通信○画像や音声データといった大容量データのやり取り○各地の拠点が参加し、拠点間での情報のやり取り○医療機器、ネットワーク機器やサービス利用者の確認○医療機関などの負担経費②大容量データの高速通信③メッシュ型ネットワークの実現（拡張性）④参加メンバー（人・組織・機器）の真正性保証⑤セキュアネットワーク接続に関するコスト低減

2.2 セキュリティに関するガイドライン
セキュリティ要件を検討するため、これまでに出されたガイドラインを参照して要件を抽出した。参照したガイド
ラインについては、補足資料として別途添付する。特に関係のある厚生労働省のガイドラインについては、技術的検討に参照した部分を参考のため以下に示す。また、日米欧の画像機器工業会が欧米のプライバシー保護
関連の法令に対応するために検討したガイドラインについては補足資料にないため要約を載せておく。
(1) 医療情報システムの安全管理に関するガイドライン「医療情報システムの安全管理に関するガイドライン」の中でも特に下記の章節の技術情報を参照した。
6.9 外部と個人情報を含む医療情報を交換する場合の安全管理
8 診療録及び診療諸記録を外部に保存する際の基準
8.1 電子媒体による外部保存をネットワークを通じて行う場合
8.1.1 電子保存の 3 基準の遵守
8.1.2 外部保存を受託する機関の限定
8.1.3 個人情報の保護
8.1.4 責任の明確化(2) レセプトのオンライン請求に係るセキュリティに関するガイドライン「レセプトのオンライン請求に係るセキュリティに関するガイドライン」の中でも特に下記の章節の技術情報を参照した。
5.技術的セキュリティ

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 5 -

支払基金

薬局
オンライン
レセプト端末インターネットLAN

薬局本店
レセプト端末切り離されていない
支払基金

薬局
オンライン
レセプト端末LAN

インターネット薬局本店
レセプト端末切り離されている(3) Requirements for Remote Sevices
医療の国際化や保険情報等の通信で先行する諸外国での対応を参考とするため、日米欧の画像機器工業会が欧米のプライバシー保護関連の法令に対応するために設置した Sesurity and Privacy Committee (SPC)で検討されたガイドライン Requirements for Remote Sevices の要約を以下に示す。
(a) リモートサービスの医療機関並びに医療関連機関の拠点のアクセスポイントは一つに絞るようにすること。
(b) 拠点の入り口のアクセスポイントで認証する。誰がアクセスしたか認証することが望ましいが、発信元で対応が付けられれば、どこの機関からの通信か認証できればよい。
(c) 医療機関は、アクセス状況を常に監視できるようにしておき、不正な通信を発見した場合は当該通信を遮断できるようにすること。
(d) 通信の秘密が守られるように暗号化しなければならない。できれば、PKI を応用した暗号化が望ましい。
(e) 通信に関する誰がいつ何処にアクセスしたかというログは、発信元、医療機関のアクセスポイント、アクセスされた場所の 3 箇所で取ること。必要があれば、その 3 つのログをつき合わせてシステム監査ができること。
(f) 医療機関は、セキュリティポリシーを策定し、ネットワークを通じてアクセスする医療機関、医療関連機関に対してそれを遵守させること。
2.3 システムの現状整理
医療関連分野では、実際に IT を利用して下記のようなサービスが提供されている。セキュアネットワーク上では、これらのサービスが相互に影響を与えないよう、データ機密性の確保やアクセス制御によるセキュリティの確保を考慮しなければならない。現在行われている、あるいは想定されるリモートサービスのネットワークの利用形
態を明確にするため、これらのサービスのサービス提供形態をデータアクセスの特徴に基づいて整理する。サ
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 6 -ービスの提供形態として、以下に列挙する。
(a) 情報提供サービス
他の医療機関から医療機関にある患者の診療・介護情報や情報提供情報にアクセスがある。
(b) インターネット接続サービス
医療機関からインターネットにある情報サイトにアクセスする。
(c) 蓄積・中継サービス
他の医療機関や医療機関外の機関と情報を交換するために医療機関内あるいは医療機関外のいずれかの場所にいったん蓄積した後で目的のサイトに情報が転送される。
(d) 情報処理サービス
医療機関から報処理を委託された外部機関が医療機関の情報を受け取って代行して処理する。
(e) リモート保守サービス
医療機関が保守サービスを契約したサービス会社からリモートで医療機関に設置された機器の保守を受ける。
(f) 認証・監査基盤サービス
医療機関から公開鍵認証、デジタル署名、時刻配信などの公共性のある基盤サービスにアクセスする。
これらの分類に基づいて、現在行われている、あるいは想定されるサービスを列挙すると以下のようになる。これらのシステムの提供形態を分析してネットワークの安全な接続形態を規定する。
(i) 情報提供サービス① (医療機関・福祉介護等医療関連サービス業務向け)地域連携サービス
診療記録、検査データ、診療サマリ、健診データ等の患者個人の診療や介護記録を紹介状、地域連携 DB
等の様々な形態で情報提供する。
② (患者向け)診療・介護情報提供サービス
患者個人の診療・介護記録を一定の範囲で患者個人に開示する。
③ (一般向け)医療・介護情報提供サービス
病院情報、疾患情報、他各種の医療・介護に関連する情報を一般向けに提供する。
(ii) (業務限定)インターネット接続サービス
学術情報サイト、厚労省等の業務関連の情報提供サイトで医療機関が各自のセキュリティポリシーに沿って安全と判断したサイトに業務用のクライアントからインターネット経由でアクセスする。
(iii) 蓄積・中継サービス① メールサービス
電子メールを送受信サーバで蓄積・中継する。
② オンラインレセプトサービス
レセプトを電子的に受信して他の機関に中継する。例えば、支払い基金がレセプトを受信して審査して保険者にレセプトを中継・伝送する。
③ 検査データ配信サービス
臨床検査、画像検査等の検査結果を検査会社から配信する。検査結果は、電子カルテやオーダリング、部門
システム等での利用があるため、データ配信後にこれらのシステムからデータが参照できるような構成が望ましい。
(iv) 情報処理サービス
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 7 -

① ASP サービス
電子カルテ・レセプト等の医療機関向けのＩＴサービスを共同利用型サービスとして提供する。医療情報は、外部に保存される。
② 外部保存(バックアップ) サービス
院内の電子カルテ、オーダリング、部門システムの障害や災害によるデータ破損時のシステム復旧のためにバックアップデータを外部機関に伝送して保存する。
(v) リモート保守サービス
医療機器の異常診断や障害回復等の各種保守サービスを契約したサービス会社からリモートで受ける。契約した会社は、契約した機器との間でのみ接続できるようにする必要がある。
(vi) 認証・監査基盤サービス① タイムスタンプサービス
デジタル証明にうつタイムスタンプの発行や監査用ログ収集のためのシステムの時刻合せをする。
② Validation Authority(VA)サービス
認証(CA)局の発行した公開鍵証明書が有効かどうかを検証する。

3.検討範囲(TOE)の検討
3.1 検討のスコープ(1) アプリケーションとネットワークの関係
ネットワーク上の脅威を洗出す場合、下図に示すようにアプリケーション層（AP 層）に関する脅威とネットワー
ク層（NW 層）以下に対する脅威に分類できる。本 WG では、まず NW 層以下の脅威に絞り、以降の業務 AP の種別に依存しない脅威を含めた対策について検討を進める。
(2) ネットワークの全体像

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 8 -

LAN

WAN

正規のユーザ

接続先拠点

ルータ

ルータ

許可された
機器
内部犯行者

許可された
機器
サーバ

専用線、ISDN
クラッカーによる脅
威
侵入・盗聴・

内部犯行者

許可されて
いない機器

許可されて
正規のユーザ いない機器
機器

クラッカー

IP-VPN
ユーザの
なりすまし

機器の
なりすまし

インターネットVPN (IP-Sec、SSL/TLS)

専用線またはISDNが安全性を担保する範囲

IP-VPNが安全性を担保する範囲

インターネットVPN（IPSec)、インターネットVPN（SSL/TLS）が安全性を担保する範囲

セキュリティとして安全性を確保すべき範囲(3) チャネルセキュリティとオブジェクトセキュリティ
RFC3552 では、セキュリティ要件をチャネルセキュリティとオブジェクトセキュリティの二つに分けて対象を明確にして議論を展開している。二つの要件は、相反するものではなく、相互に補完しつつ、ひとつのデータオブジ
ェクトに関するセキュリティの確保を実現する。以下の議論では、この考え方に沿ってネットワークにおけるデー
タの保護とデータそのものの保護について考え方を明確に分けて考察する。RFC3552 にある定義を以下に示す。
（RFC3552 より抜粋）
オブジェクトセキュリティとチャネルセキュリティを概念的に区別することが有用です。オブジェクトセキュリティ
は、データオブジェクト全体に適用されるセキュリティ手段をいいます。チャネルセキュリティ手段は、オブジェクトを透過的に運ぶことができるセキュアチャネルを提供しますが、そのチャネルは、オブジェクト境界について特別な知識をもちません。
電子メールメッセージの事例を考えます。メッセージが IPSec もしくは TLS によってセキュアにされたコネクショ
ン上を運ばれるとき、そのメッセージは、転送中は防護されています。しかし、これは、受信者のメールボックス中
や、途中の中間スプールファイルでは防護されていません。さらに、メールサーバは、一般に、ユーザではなくデーモンとして動作するので、一般的に、メッセージの認証は、ユーザ認証ではなく、単にデーモン認証を意味するに過ぎません。さらに、メールのトランスポートは、ホップ by ホップなので、たとえユーザが中継の最初のホップを認証する場合でも、認証は、受信者によって安全に検証されることができません。逆に、電子メールメッセー
ジが S/MIME または OpenPGP で防護されているとき、受信者によって検証・復号されるまで、メッセージ全体がAll Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 9 -

暗号化され、インテグリティが確保されます。これは、メッセージを送ったマシンではなく、実際の送信者についての強い認証も提供します。これはオブジェクトセキュリティです。さらに、受信者は、署名されたメッセージの真正性を第三者に提供できます。

3.2 検討対象(TOE)の整理
3.2.1 TOE の全体像

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 10 -

TOE1：ＡＰ～ＡＰ間のセキュリティ
TOE2：端末～端末間のセキュリティ

TOE4：LANのセキュリティ

TOE4：LANのセキュリティ

TOE3：ISPのセキュリティ
ルータ

ルータ
インターネット

正規のユーザ

許可された
機器

許可された
機器
内部犯行者
サーバ

正規のユーザ

専用線、ISDN
許可されて
いない機器

許可されて
いない機器
機器

クラッカー

内部犯行者
TOE1
端末間通

⊇

ルータの仕様・運用

TOE2⊇（TOE3 Ｘ

TOE4）

ISPのTOEガイドライン

LANの運用・仕様

3.2.2 検討範囲と OSI の関係
前頁までの検討結果をまとめると、本 WG で検討対象とする範囲は下記の赤点線で囲った範囲となる。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 11 -

「ネットワークの範囲」の観点

TOE1：端末～端末間のセキュリティ
TOE2：ルータ～ルータ間のセキュリティ

TOE4：LANのセキュリティ

TOE4：LANのセキュリティ

TOE3：ISPのセキュリティ
許可された機器許可された機器
ルータ

ルータ

インターネット

専用線、ISDN「
ネットワークの階層」の観点

機器

ｱﾌﾟﾘｹｰｼｮﾝ層

ｱﾌﾟﾘｹｰｼｮﾝ層

ﾌﾟﾚｾﾞﾝﾃｰｼｮﾝ層

ﾌﾟﾚｾﾞﾝﾃｰｼｮﾝ層

セッション層セッション層トランスポート層

トランスポート層

ネットワーク層

ネットワーク層

データリンク層
物理層

APに対する脅威

クラッカー

ｱﾌﾟﾘｹｰｼｮﾝ層

ｱﾌﾟﾘｹｰｼｮﾝ層

ﾌﾟﾚｾﾞﾝﾃｰｼｮﾝ層

ﾌﾟﾚｾﾞﾝﾃｰｼｮﾝ層

セッション層セッション層トランスポート層

トランスポート層

ネットワーク層

ネットワーク層

データリンク層

データリンク層

データリンク層

物理層

物理層

物理層

NW層以下に対する脅威

TOE1：端末～端末間のセキュリティ
TOE2：ルータ～ルータ間のセキュリ
テTOE3：ISPのセキュリティ

TOE4：LANのセキュリティ
許可された機器

ルータ

インターネット
専用線、ISDN

ｱﾌﾟﾘｹｰｼｮﾝ層
ﾌﾟﾚｾﾞﾝﾃｰｼｮﾝ層
セッション層トランスポート層
ネットワーク層

ｱﾌﾟﾘｹｰｼｮﾝ層
ﾌﾟﾚｾﾞﾝﾃｰｼｮﾝ層
セッション層トランスポート層
ネットワーク層

データリンク層
物理層

データリンク層
物理層

APに対する脅威

NW層以下に対する脅威

TOE4：LANのセキュリ
ティ

ルータ

許可された機器

機器 クラッカー

ｱﾌﾟﾘｹｰｼｮﾝ層
ﾌﾟﾚｾﾞﾝﾃｰｼｮﾝ層
セッション層トランスポート層
ネットワーク層
データリンク層
物理層
物理層

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 12 -

暗号通信技術との対応で整理すると、下記のような関係になる。基本的には、AP に対する脅威を守る SSL や
S/MINE のような技術の通信上のトラヒックセキュリティを守る下位の IP 層レベルでのトラヒックセキュリティを担保が主眼であり、すべてのトランスポート層以上の暗号化技術と組合せて利用することが前提である。

3.2.3 守るべき資産
セキュアネットワーク基盤全体（端末ーネットワークー端末間）において、検討対象とする範囲を明確に定義しなおすと、「ch セキュリティ」と「NW 機器の obj セキュリティ」とに分類できる。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 13 -

前章で整理した通り、検討対象とする範囲において守るべき資産としては、下記に示される事項について検討しなければならない。端末間のｃｈセキュリティ⇒ 送受信データ(2) NW 機器の obj セキュリティ ⇒ NW 機器の設定ファイルや秘密鍵等(a) 送受信データの定義
送受信データは、下図に示すように複数のパケットに分割されて送信される。端末間の ch セキュリティを守るということは各パケットの IP ヘッダやデータ部分を守ることに他ならない。

(b) NW 機器の obj セキュリティに関わる構成機能
大区分
小区分
機能概要
VPN 管理機能
鍵交換機能（IKE) VPN 接続に使用する暗号鍵を自動で交換する
暗号化機能（IPSec） 通信データの機密性を確保するためにデータを暗号化する
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 14 -

大区分

小区分
機能概要
認証機能（IPSec) 通信データの送信元を認証する
VPN 制御機能
VPN 接続に必要なパラメータを接続管理センターから取得する
VPN 接続機能
VPN 接続の接続/切断要求やデータの送受信を行う
初期登録機能製造時にセキュアな記憶領域に初期情報（製造者署名付き機器情報）を登録する
機器情報参照機能 セキュアな記憶領域に格納されている機器情報を読み出す
鍵管理機能
耐タンパ機能論理的/物理的に記憶領域へのアクセスを制御する
暗号化処理機能
格納する鍵を暗号/複合処理する
AP 管理機能AP の書込/削除やダウンロードした AP の動作を制御する
記憶領域管理機能 鍵ペアや証明書を格納する領域のアクセス制御を行う
4.ネットワークの脅威に対する対処方法
4.1 WAN の定義
4.1.1 一般的な分類
一般的に拠点間のアクセスに用いられる WAN の形態には主に以下のものがあげられる。
(1) 専用線(2) ISDN(3) 閉域網(a) 広域イーサネット(b) IP-VPN(4) オープンネットワーク(a) インターネット(インターネット VPN によって安全性を確保)

項目

専用線

バックボーン

専用回線

ISDN

広域イーサネット

IP-VPN

インターネット

公衆回線

通信事業者保有網 通信業者保有網 インターネット

網プライベート性 常時占有

利用時占有

常時共有

常時共有

常時共有

接続先
識別方法

電話番号

MAC アドレス

サービス用
IP アドレスグローバル
IP アドレス

ユーザ

サービス
プロバイダ

サービス
プロバイダ

ユーザ

拠点間直結

接続先管理者 サービス
プロバイダ
接続範囲

サービス加入者 電話加入者

サービス加入者

サービス加入者

インターネット接
続者

同時接続

1:1

N:N

N:N

N:N

1:1

イメージ
公衆回線網

Ethernet
閉域網

アクセス形態の違いから通信回線による比較を下記にまとめる。
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 15 -

評価項目
安全な通信

専用線

VPN(閉域 IP 網)

ISDN

物理的に専用のネットワークを 電話回線を介しての通信とな 通信データの暗号化機能を利介して通信を行う為、通信経 る為、電話回線の安全性に依 用することにより、データの機路におけるデータの機密性は 存することになるが、実質的に 密性を確保できる。（機密性は保証される。
は機密性は保証されていると 使用する暗号の強度に依存す言える。
る）

大容量データの 大容量高速通信については、 大容量高速通信については、 大容量高速通信については、
高速通信
契約内容に基づき対応可能で 技術仕様により対応が困難で 契約する回線速度に基づき対ある。また、通信中の品質保証 あ る （ 64kbps ～ 1.5Mbps ） 。 ま 応可能である。また、通信中のについては、契約帯域は完全 た、通信中の品質保証につい 品質保証については、インタ保証される。
ては、保証される。
ーネットを介するとベストエフォートとなる。
ネットワークの拡 新たに通信する拠点を拡張す ISDN 回線を利用できる環境 方式による違いはあるものの、張性
る場合、既存の拠点と追加拠 であれば、容易に拡張可能で 基本的にメッシュ型ネットワー
点の間に物理的に回線を敷設 ある。
クに適した方式である為、拡張する必要がある。
性は高い。
構成メンバーの 事業者指定の機器を利用する 事業者指定の機器を利用する IP-VPN の場合、事業者指定
真正性
為、ルータ等の機器の真正性 為、ルータ等の機器の真正性 の機器を利用する為、ルータは保証される。
は保証される。
等の機器の真正性は保証される。
インターネット VPN の場合、機器認証/利用者認証を利用することにより、真正性は保証される。
セキュアネット接 イニシャルコスト、ランニングコ イニシャルコスト、ランニングコ イニシャルコスト、ランニングコ
続に関するコス スト共に高価である。通信距離 スト共に低価である。
スト共に専用線と比較した場
トに比例して通信費も高額にな合、低価である。
る。
一方、WAN の形態は、加入者ネットワークから中継系ネットワークを経て再び加入者ネットワークに接続されることで、拠点間の通信が実現されている。複数の事業者所有ネットワークを経由する場合、接続点において情報の盗聴・漏洩に対し信頼性が考慮する必要がある。また、加入者系と中継系の組合せによっては、中継系の特性を活かしたスループットの保障やセキュリティの担保ができない場合がある。このため、ガイドラインの策定に当たってセキュリティの観点からは中継系と加入者系の共有の度合いを考慮して WAN の特徴を整理する必要がある。
中継系ネットワーク
種別

インターネット

通信事業者所有網

公衆回線

専用線網

占有状態

常時共有

常時共有

利用時占有

常時占有

機密性

低

低

高

高

接続イメージ

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 16 -

種別

地域 IP 網フレームリレー/セルリレー

公衆回線

専用線

占有状態

常時共有

常時占有

利用時占有

常時占有

機密性

低

高

高

高

加入者系ネットワーク
コストに応じて回線品質やスループットが保証される接続形態
専用線

公衆網

閉域 IP 網常時１：１で独占的に線を使用する。 利用時は独占的に１：１で回線を使 複数の利用者で網を共有するが、用する。
品質やセキュリティは通信事業者が担保する。
通信業者によりスループット、回線品質などが保証されている。
回線品質やスループットを割り切ってコストを抑えた接続形態
オープンネットワーク

複数の利用者と網を共有する。
通信業者によってスループット、回線品質などが保証されない。
共用網を経由するため、ユーザは通信路を暗号化する必要がある
専用線、IP-VPN、広域イーサ方式は、単一事業者、あるいは契約によって同一レベルのセキュリティが確保できる。しかし、広域イーサ方式は、複数の事業者を束ねた契約主体が必要になり、医療分野の実情にあった契約締結が難しい。ISDN は、大容量高速通信への対応が難しい。
地域 IP 網は共有型 NW のため、事業者が検知できないデータの盗聴、改ざん、挿入やセッション乗っ取りなどのハッキング手法が知られており、セキュリティに関する脆弱性に問題がある。このため、このような共有型のIP ネットワークを組合せたネットワークはオープンネットワークとして扱った方が安全である。このようなオープン
ネットワークは、一般的にユーザ側で通信に関するセキュリティを担保する手段を講じる必要がある。オープンネ
ットワークは、共用型のため、通信事業者がスループットの保障やセキュリティの担保が難しい。このため、ユー
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 17 -

ザの側でセキュリティを高める技術を採用して他方式と同等の安全性を確保する必要がある。
4.1.2 脅威の所在と課題(1) NW 接続されている企業の情報漏えいに関する脅威の約 80%は組織の内部（LAN 上）に存在しており、通信事業者によって保障された専用線、ISDN、IP-VPN 等の WAN 上の脅威のみを対象とした対策だけでは端末間を結ぶ通信路のセキュリティ対策は不十分である。
(2) オープンネットワークは、インターネット VPN(SSL/TLS)やインターネット VPN（IPSec）のような WAN および
LAN 上の脅威を対象として暗号化を行っている。しかし、現在は人や機器の真正性までは保証できないた
め、「なりすまし」によるクラッカーによる攻撃が存在するという脅威がある。さらに、インターネット VPN（SSL/TLS）には、下位の IP 層からの攻撃という自身では解決できない脆弱性が存在する。
(3) インターネット VPN は、PKI 技術等を活用して｢なりすまし｣の困難な認証環境を実現することによって現時点で最も安全なネットワーク環境を提供できる。また、「なりすまし」を排除することによって、プロトコル本来の機能を活かして第三者によるデータの盗聴、改ざん等のハッキング操作を検知して通信路切断ができるなどの機器間での安全な通信を保証できる。
(4) いずれの方式においても、許可された端末からの不正操作を防ぐことは不可能であり、ユーザの真正性を保証するユーザ認証機能については、IC カードを用いたログイン認証などの方法を組合せて対策を講じる必要がある。
4.2 ネットワークにおける脅威とセキュリティ対策の整理
4.2.1 ch セキュリティ(1) ネットワークにおける脅威(PP)の定義
インターネットに関する脅威について、セキュリティ関連の RFC を参考に洗出しを行った。下記に洗出した脅威と解説をまとめる。
類型

脅 威

解
説
送受信データが通信路上を平文で伝送されているために、送受信データを盗聴する
T1 平文伝送ことにより情報漏洩が起こる可能性がある。
エンティティ認証に使用されるパスワードが平文で伝送されているため、送受信デー
タを盗聴することによりパスワードを取得される可能性がある。その結果として、取得しT2 共有パスワード
たパスワードを利用してサーバにログインされる危険性がある。
「平文」と「暗号文」および「暗号文」と「ハッシュ関数」を取得している場合に、攻撃者は正しい応答をもたらす秘密鍵（パスワード）を発見するまで、（辞書ファイルのような）T3 辞書攻撃よくある単語リストから選択した文字列を秘密鍵の候補として試行する。その結果として、エンティティ間の認証に使用される秘密鍵が漏洩する可能性がある。
「平文」と「暗号文」および「暗号文」と「ハッシュ関数」を取得している場合に、攻撃者は正しい応答をもたらす秘密鍵（パスワード）を発見するまで、すべての共有された秘T4 推定攻撃
密鍵（パスワード）の候補を試行する。その結果として、エンティティ間の認証に使用される秘密鍵が漏洩する可能性がある。
「平文」と「暗号文」および「暗号文」と「ハッシュ関数」を取得している場合に、攻撃者は正しい応答をもたらす秘密鍵（パスワード）を発見するまで、すべての共有された秘NIS,解読ツールの存
T5
密鍵（パスワード）の候補を試行を解読ツールを用いて実施する。解読ツールを用い
在ることにより、秘密鍵を判別するために要する時間を短縮することができる。その結果として、エンティティ間の認証に使用される秘密鍵が漏洩する可能性がある。
攻撃者は、データを送受信するためにトポロジーを破壊して、攻撃者自身をパス上にT6 トポロジーの破壊
配置します。その結果として、盗聴や IP ヘッダの改ざん等のより多くの攻撃をしかける
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 18 -

類型

脅 威

解
説
ことが可能になるため、パス上を送受信されるデータが攻撃される危険性が増大する。
パス上の特殊ケースとして、攻撃者が同一リンク上ローカルネットワーク上に存在するT7 同一リンク上の判別 場合がある。ローカルネットワーク上に位置するホストと、そうでないホストを区別できない場合に外部ネットワークからの攻撃を許してしまう可能性が増大する。
HTTP や SMTP, SOAP などの一般的にファイアウォールを通過するプロトコルにお常用プロトコルでのける攻撃に対して暗号化ペイロードやメッセージ認証の対策で影響を軽減しない場
T8
攻撃
合に、LAN セキュリティの侵害を引き起こす危険性がある。
攻撃者が内部ネットワークに存在している場合には、通常、ネットワークを送受信されるいかなるデータを読むこと、変更すること、および削除することが可能となる。このよT9 内部の脅威
うな攻撃者からの盗聴、改ざん、削除などの攻撃に耐えうるよう対策すべきである。
ウィルスには、特定の日になると、というような特定の条件のもとでのみ動作する「時限爆弾」があり、特定の関連したプログラムが動作しない限り、システム中に隠れている
T10 情報の不正コピー ものも存在する。さらに常時動作しており、危害を加える期をうかがっているものもある。また巧妙なウィルスには、単にシステムの設定を変更したり、隠れてしまうものもある。
エンティティ間の認証を行わないと、確立したセッションにおいて攻撃者が中間者が入り込むことが可能となる。攻撃者は、一方のエンティティから送信されたパケットを盗T11 セッション乗っ取り
聴し、対象サーバに到達する前にパケットを挿入することで、中間者攻撃を成功させることが可能となる。
ARP 詐称攻撃者は LAN 上のホストの ARP テーブルの書き換えを行うことにより、送信者がT12（IP アドレス詐称）
意図した宛先ではなく攻撃者にパケットを送信させることができる。
否認防止とは、一般的に、送信者が送信事実を否定したり、受信者が受信事実を否定したりすることである。攻撃者がこれらの事実を否定することを防止することはできな
T13 アクセスの証明
いが、通信が行われた記録を適切に収集・管理することにより、証拠を提出して、これらの事象が発生していることで対応することが可能となる。
メッセージ挿入攻撃において、攻撃者は、いくつかの選択された属性についてメッセ
TCP SYN パケット挿 ージを偽装し、ネットワーク中に挿入する。攻撃者は、これらの挿入されたメッセージ
T14
入の応答を受け取る必要がないため、これらの攻撃は送信元アドレスを偽造されることがしばしばある。
トランスポート層のトラフィックセキュリティの対策を実施していない状況では、メッセー
ジ挿入攻撃を実施することで TCP コネクションをリセットすることが可能となる。そのT15 TLS RST 偽装
結果として、TLS/SSL コネクションの切断が行われる可能性がある。
攻撃者は標的に信頼されたホストの口を塞ぎ、標的に話しかける際に、信頼されたホストの IP アドレスを偽装して、次に最初に使われるシーケンス番号を推測することにシーケンス番号推測 基づく 3 ウェイハンドシェイクを完結させる。標的への通常のコネクションは シーケ
T16
攻撃
ンス番号の状態の情報を集めるのに使用され、このシーケンス全体が、アドレスに基づく認証と組み合わされて、攻撃者が標的となるホスト上でコマンドを実行できるようになる可能性がある。
メッセージ変更攻撃において、攻撃者は、回線からメッセージを削除し、それを変更
T17 MAC チェック未使用 し、ネットワーク中に再投入する。攻撃者がメッセージ中にデータを送ることを望むが、同時に、その一部を変更することを望む場合、この種の攻撃は特に有効となる。
ホスト間での認証において暗号化されたメッセージのやり取りを実施していると、攻撃者が利用できるホストに到達した際に複号されたメッセージを、同一ホスト内の別のポ
T18 ホスト to ホスト SA
ートに転送することにより、暗号文を参照される可能性がある。
ウィルスには、特定の日になると、というような特定の条件のもとでのみ動作する「時限爆弾」があり、特定の関連したプログラムが動作しない限り、システム中に隠れている
ウィルス混入後の転T19ものも存在する。さらに常時動作しており、危害を加える期をうかがっているものもあ送る。また巧妙なウィルスには、単にシステムの設定を変更したり、隠れてしまうものもある。
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 19 -

類型

脅 威

解
説
ウィルスには、特定の日になると、というような特定の条件のもとでのみ動作する「時限爆弾」があり、特定の関連したプログラムが動作しない限り、システム中に隠れている
T20 情報の破壊・書換え ものも存在する。さらに常時動作しており、危害を加える期をうかがっているものもある。また巧妙なウィルスには、単にシステムの設定を変更したり、隠れてしまうものもある。
例えば、クレジットカードによる購入や株取引のように、何らかのサービスを要求するために S/MIME メッセージが使われる事例がある。攻撃者が被害者の邪魔をするだ
メッセージ盗聴後再T21
けの場合にはサービスを 2 回実行することを望むため、攻撃者はメッセージを補足
送し、たとえそれを理解できなくても、再送することにより結果的にトランザクションを 2 回実行させることが可能となる。
ISDN 回線では，同一電話番号に連続して規定回数(3 回)発呼しても接続できなかった場合，その電話番号への発呼を規定時間(3 分間)抑止する必要があります。このたT22 自動発呼による再送 め，何らかの要因によって発呼規制状態の通信相手への送信データが発生しても，
ISDN への発呼が行えない場合があります。なお，通信相手指定の show peer コマン
ドによって，発呼規制状態にあるかどうかを確認できます。
攻撃者がパケットを挿入することによって、被害者に膨大な資源（この場合はメモリ）を
TCP SYN フラッド攻
T23
浪費させることができる。あわせて攻撃者は、この行為を被害者から全くデータを受け撃
取らずに行うことができるため、攻撃を匿名で行うことができる。
DDoS において、攻撃者は、標的マシンを同時に攻撃するように、数多くのマシンを
T24 DDoS
準備し、数多くのマシンに攻撃のリモートによる開始ができるプログラムをしかけることによって達成される。
ネットワーク機器等に倒壊防止対策等の保護措置を施していない場合、災害や破壊行為などを受けることにより、機器が正常に動作せず提供中のサービスが停止してしT25 災害・物理的破壊
まう可能性がある。
しばしば Web サーバはあらゆるユーザにデータを提供しますが、ページを変更する
権限を特定のユーザに限定している。一般公衆によるこのような変更が「不正な用T26 不正な用法
法」である。
一般的に、ユーザは電子メールを送ることが許可されているが、一定の大きさ以上のファイルやウィルスに感染したファイルを送信することは禁止されている。このような行
T27 不適切な用法
為は「不適切な用法」である。
正規のユーザが使用する、ID や秘密鍵を使用して、エンティティ認証や権限の認可
T28 なりすましを行うため、攻撃を検知しにくい。証拠収集やアーカイビングしている証跡を確認する
ことで検知することが可能である。
通信中にネットワーク機器の故障やネットワーク回線が何らかの理由で切断された場
サ ー ビ ス 中断 に よ る
T29合、処理途中でサービスが異常終了する可能性がある。異常終了した場合、それま
不正処理
での入力データがどのように処理されるか想定できない危険性がある。
オブジェクトセキュリティにおけるデータインテグリティを侵害する行為。そのために、
T30 改ざん
なりすましが行われることもある。
セキュリティインシデントは、故意または過失によって引き起こされる場合がある。後者
T31 過失・盗難・紛失
は、誰かがドアをロックすることを忘れた場合、もしくは、ルータ中のアクセスリストを有効にし忘れた場合に引き起こされる。
(2) 脅威への対処方法の検討
セキュリティ関連の RFC をもとに、ch セキュリティに対する脅威に対する対策に活用可能な技術要素について
RFC の記述に沿って脅威と対応させて下記のように整理した。
脅威の定義

直接的な対策を示すセキュリティ関連 RFC とその記述

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 20 -

脅威の定義直接的な対策を示すセキュリティ関連 RFC とその記述

待ち伏せ攻撃（Passive Attack） RFC2406
認証システムに対する攻撃のひとつ。これは、ストリーム中に何らデータを注入しないが、代わりに、待ち伏せつつ他の主 RFC3552
体間を送られる情報を監視できることに依拠する。この情報は、後で正規のセッションに見えるものの際に使われる可能性がある。＜RFC1704＞

ESP は守秘性、データ生成元認証、コネクションレスインテグリテ
ィ、リプレイ防止サービス（部分的なシーケンスインテグリティの形式）、そして限定されたトラヒックフロー 守秘性を提供するために使用される。

積極的な攻撃（Active Attack） RFC2406
データストリーム中に偽のパケットを注入することによって、あるいは、データ ストリームを運 RFC2828
ぶパケットを変更することによって、不正に、データを変更した
り、認証を得たり、あるいは、認可を得たりする試み。
＜RFC1704＞

IP 認証ヘッダは、IP データグラムに対してコネクションレスインテ
グリティとデータ生成元認証を提供し、さらにリプレイに対する保護を提供するために使用される。

「インターネットにおいて使われている多くのプロトコルは、それらが少なくとも待ち伏せ攻撃から防護されるようにするために、より強い認証メカニズムをもつ必要がある」と確信しています。また盗聴のような待ち伏せ攻撃に対する最低限の防護は、非開示パスワー
ドシステムを使うことです。HMAC [RFC2104] は、選好される
shared-secret 認証テクニックです。両者が同一の秘密鍵を知っている場合、HMAC は、あらゆる任意のメッセージを認証するために使えます。これは、乱雑なチャレンジを含み、これは、「HMACは、古いセッションのリプレイを予防するために採用できること」を意味します。

$ keyed hash （鍵付ハッシュ）(I) 暗号技術的ハッシュ（例：[R1828]）。ここで、ハッシュ 結果への対応は、暗号技術的鍵である 2 番目の入力パラメータによって多様となる。（checksum 参照。）
(C) 入力データオブジェクトが変更された場合、新しいハッシュ結果は、その秘密鍵の知識無しには正しく計算できない。それゆえ、
秘密鍵は、たとえ、そのデータについて積極的な攻撃の脅威があるときにもチェックサムとして使えるように、そのハッシュ結果を防護する。少なくとも 2 つの形態の鍵付ハッシュがある。：* 鍵 付 暗 号 化 ア ル ゴ リ ズ ム に 基 づ く 関 数 。 （ 例 ： Data
Authentication Code 参照。）
* ハッシュ結果を対応づける前に、入力データオブジェクトパラメ
ータと鍵パラメータを結合すること（例： 連鎖させること）によって拡張された鍵無しハッシュに基づく関数 。（例： HMAC 参照。）

RFC3631
再生攻撃（Replay Attack）
以前に送信された正規のメッセージ（あるいは、メッセージの一部）を記録し、再生することによる認証システムに対する攻撃。
（パスワード、あるいは、電子的 RFC4107に転送されるバイオメトリックデータのような）あらゆる一定の認証情報は、本物であるかのように見えるメッセージを偽造するために記録されて、後で使われる可能性がある。
＜RFC1704＞

HMAC は、選好される shared-secret 認証テクニックです。両者が同一の秘密鍵を知っている場合、HMAC は、あらゆる任意のメッセージを認証するために使えます。これは、乱雑なチャレンジを含み、これは、「HMAC は、古いセッションのリプレイを予防するために採用できること」を意味します。

RFC2196
トポロジーの破壊
それゆえ、攻撃がデータを受け取ることができることに依拠する

チェックサムは、たとえその侵入者が物理的なネットワークへの直接のアクセスができても、にせのパケットを受け取ることを防ぎます。シーケンス番号や、他のユニークな（一意の）識別子と併用す自動化された鍵管理とマニュアル鍵管理は、まったく異なる機能を提供します。特に、自動化された鍵管理テクニックと関連づけられたプロトコルは、ピアが生きていることを確認し、再生（replay）攻撃から護り、短期セッション鍵の源泉を認証し、プロトコル状態情報を
短期セッション鍵と関連づけ、「フレッシュな短期セッション鍵が生成されていること」を確認します。さらに、自動化された鍵管理プロ
トコルは、暗号アルゴリズムについての交渉メカニズムを含めること
によって、相互運用可能性を向上することができます。これらの可変な機能は、マニュアル鍵管理で達成することが不可能、もしくは、極めて面倒です。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 21 -

脅威の定義直接的な対策を示すセキュリティ関連 RFC とその記述場合、パス外のホストは、まず、自身をパス上におくために、トポロジーを壊さなければなりません。＜RFC3552＞

ることで、チェックサムは、「リプレイ（真似）」攻撃という、古い（当時は適切だった）ルーティング情報が侵入者、もしくは誤動作させられるルータによって返送される攻撃も防ぐことができます。概ね完
全なセキュリティは、シーケンス（通番）ないし固有な識別子とルー
ティング情報の完全な暗号化によって可能です。これは侵入者がネットワークのトポロジー（構成）を推定するのを防ぎます。暗号化の欠点は、情報を処理するのにかかるオーバーヘッド（負荷）です。

RFC3552
同一リンクの判別
パス上の特殊ケースは、同一リンク上にいることです。状況によっては、ローカルネットワーク
上のホストと、そうでないホストを区別することが望まれます。
＜RFC3552＞

このための標準的テクニックは、IP TTL の値 [IP] を検証することです。TTL は、各転送者によって、減算されなければならないので、プロトコルは、「TTL が 255 にセットすること」と、「すべての受信者が TTL を検証すること」を命令できます。次に、受信者は、「確認しているパケットは、同一のリンク上からのものである」と信じる根拠をもちます。トンネリングシステムがある状態でこのテクニックを使用するときは注意が必要です。そのようなシステムでは、TTLを減算せずにパケットを通過させる可能性があるからです。

RFC3227
否認防止システムがデータインテグリティを提供するとき、受信者は、送信者の身元と 「彼は、送信者が送ろうとしたデータを受け取っていること」の両方に確信をもつことができます。しかし、彼は、必ずしもこの事実を第三者に実証することができるとは限りません。これを実現する機能は、「否認防止」と呼ばれています。＜RFC3552＞

4.1 カストディの連鎖
あなたは、「どのように証拠が発見されたか」、「どのように扱われたか」および「それについて起きたすべての事項」を明確に記述することができるはずです。
下記事項が、文書化される必要があります。
* どこで／いつ／誰によって、証拠が発見、収集されたか。
* どこで／いつ／誰によって、証拠が対処、検査されたか。
* 誰が証拠のカストディとなり、その期間は。どのように、それは保存されたか。
* いつ、証拠のカストディを変えたか、いつ、どのように転送が行われたか。（送付番号等を含む。）

RFC2827
サービス妨害攻撃
問題のひとつは、「攻撃者は、
しばしば被害者を迷惑させるために多くのサービス妨害攻撃
から選択できること」であり、これらの攻撃の大部分が阻止できないので、普通の有識者は、しばしば、「可能性はあっても予防できない多くの他のサー
ビス妨害攻撃があるとき、サービス妨害攻撃のうちの一種を防護する点はない」と想定します。＜RFC3552＞

攻撃者が、正規に通知されているプリフィックス（ IP アドレス）の範囲内にない、偽った発信元アドレスを使用することをはばむために、すべてのインターネット接続プロバイダーには、この文書に記述されたフィルタリングを実装することが強く薦められます。

これら RFC の議論を基盤にして守るべき資産やネットワーク上の脅威を踏まえ、補足資料に付記した各脅威について具体的な攻撃方法を想定した脅威モデルを作成した。これらの作成した脅威モデルをもとに、厚労省
ガ他の各種イドラインやセキュリティ関連の RFC 等の参考文書を参照し、各種セキュリティ対策の検討、及びその有効性を評価した。現状において、利用可能な技術要素を組合せた ch セキュリティのセキュリティ対策として、
下表に示される対策モデルが有効なセキュリティ対策と考える。
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 22 -

脅威
待ち伏せ攻撃積極的な攻撃再生攻撃

トポロジー破壊IP Sec の認証ヘッダ（AH）と IP 暗号ペイロード（ESP）の 2 つのト
ラフィックセキュリティプロトコルの利用、および暗号鍵管理手法とそのプロトコルの利用によって達成する
この文書の執筆時点では、HMAC-SHA-1-96 に対する実際の暗号攻撃は存在しない。
「鍵管理」という用語は、暗号アルゴリズムとともに、プロトコルのセキュリティサービス（特に、インテグリティ、認証および秘匿性）を提供するために使われる「暗号鍵とする素材」の確立をいう
IKE：暗号用に DES/AES-128、HMAC 用に HMAC-SHA-1-96をサポートする
IPSec（ESP/AH）

＋

IKE

＋

HMAC-SHA-1-96

同一リンク判別

TTL の検証

否認防止

証拠収集とアーカイビング

サービス妨害イングレスフィルタリング

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 23 -

大分類
中分類
対策
考慮すべき事項
通信セキュリ エ ン テ ィ テ ィ 単純なユーザ名/パスワード
通信路の暗号化（秘匿化）
ティ
間の認証
ユーザ名/ワンタイムパスワードスキーム
ユーザ名/チャレンジレスポンススキーム
共有鍵
自動鍵管理(IKE)

鍵配布センター
証明書
守秘性

否認防止

暗号化ペイロード(ESP)

データインテ メッセージ認証
グリティ
証拠収集とアーカイビング

シ ス テ ム セ 不 正 な 用 法 / 認証と認可
キュリティ
不適切な用
法
サービス妨害 イングレスフィルタリング

トラヒックセキュリティ

IPsec

参照文書
RFC3552 RFC の｢セキュリティについての考慮事項｣についての文章を書く(BCP:72) ためのガイドライン

RFC4307 IKEv2 における利用のための暗号アルゴリズム
RFC4109 IKEv1 用アルゴリズム
Moduler
Exponential RFC3526 インターネット鍵交換プロトコル(IKE)のための追加 Moduler(MODP)グループ
Exponential (MODP)Diffie-Hellman グループ
RFC1510
自動鍵配布(kerberos)
Kerberos ネットワーク認証サービス(v5)PKI
RFC4630 インターネット X.509PKI および CRL プロファイルにおける
Directory String 処理についての更新
RFC4305 ESP および AH についての暗号化アルゴリズム実装要件
暗号ハッシュ関数(HMAC-SHA1-96)
RFC4302 IP 認証ヘッダ
RFC1851 ESP トリプル DES 変換
暗号アルゴリズム(3DES)
RFC2451 ESP CBC モード暗号アルゴリズム
暗号アルゴリズム(CBC モード)
RFC3502 AES-CBC 暗号アルゴリズムと IPSec でのその使用法
暗号アルゴリズム(CBC モード AES)
RFC4305 ESP および AH についての暗号化アルゴリズム実装要件
暗号ハッシュ関数(HMAC-SHA1-96)
RFC4302 IP 認証ヘッダ
RFC3227 証拠収集とアーカイビングのためのガイドライン
収集手順(BCP:55)
アーカイブ手順

RFC3552 RFC の｢セキュリティについての考慮事項｣についての文章を書く
エンティティ間の認証(BCP:72) ためのガイドライン
守秘性
データインテグリティ
RFC3704 マルチホームされたネットワークのためのイングレスフィルタリング
境界フィルタリング
ソースアドレスフィルタリング (BCP:84)
RFC2827 ネットワークのイングレスフィルタリング:発信元 IP アドレスを偽っ(BCP:38) たサービス妨害攻撃をくじく
RFC3552 RFC の｢セキュリティについての考慮事項｣についての文章を書く
IP 暗号化ペイロード(BCP:72) ためのガイドライン
IP 認証ヘッダ
自動鍵管理(IKE,Kerberos) RFC4301 インターネットプロトコルのためのセキュリティアーキテクチャ
RFC3531 インターネットについてのセキュリティメカニズム
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 24 -

通信セキュリティ

対策
エンティティ間の認証

脅威
盗聴
T1．平文伝送パスワード盗聴 T2．共有パスワード
待 ち 伏
オ フ ラ イ ン で の T3．辞書攻撃
せ攻撃
暗 号 技 術 的 攻 T4．推定攻撃
撃
盗聴T5．NIS、解読ツールの存在
パス外からの攻 T6．トポロジーの破壊
ト ポ ロ ジ撃T7．同一リンク上の判別ー
T8．常用プロトコルでの攻撃
ファイアウォール
T9．内部の脅威
積 極 的
T11．セッション乗取り
中間者
侵入 な攻撃T12．ARP 詐称(IP アドレス詐称)
否認防止
T13．アクセスの証明
T14．TCP SYN パケット挿入
メッセージ挿入
T15．TLS RST 偽装
改 ざメッセージ削除 T16．シーケンス番号推測攻撃ん
積 極 的
T17．MAC チェック未使用
な攻撃 メッセージ変更
T18．ホスト to ホスト SA
T21．メッセージ盗聴後再送
リプレイ攻撃T22．自動発呼による再送妨害
妨 害 攻 ブラインド妨害 T23．TCPSYN フラッド攻撃
撃
分散型妨害
T24．DDoS
T25.災害・物理的な破壊
T26．不正な用法
T27．不適切な用法
T28．なりすましT29.サービス中断による不正処理
T30.改ざんT31.過失・盗難・紛失否認防止

システムセキュリティ

不正な用法/
データ
インテグリティ 証拠収集と 不適切な用法

守秘性

サービス
妨害

アーカイビ
IPSec + IKE+自動鍵管理
イングレス
ング
認証と認可
証明書
ペイロード メッセージ
フィルタリング
（公開鍵）
（ESP）
認証
◎

ユーザ名/
パスワード

ユーザ名/
ワンタイム

ユーザ名/
チャレンジ

共有鍵

×

-

-

-

×

◎

◎

◎

◎

◎

△

△

△

△

×

×

×

◎

◎

◎

△

△

△

△

×

×

×

◎

◎

◎

△

△

△

△

×

×

×

◎

◎

◎

△

△

△

△

△

△

△

◎

◎

◎

◎

△

△

△

△

△

△

◎

◎

◎

◎

△

△

△

△

△

△

◎

◎

◎

◎

△

△

△

△

△

△

◎

◎

◎

◎

△

△

△

△

△

△

◎

◎

◎

◎

△

△

△

△

◎

◎

◎

◎

◎

◎

△

△

△

△

△

△

◎

◎

◎

◎

◎

△

△

△

△

△

△

△

◎

◎

△

△

△

△

△

△

△

△

◎

◎

△

△

△

△

△

△

◎

◎

◎

◎

△

△

△

△

△

△

△

△

◎

◎

△

△

△

△

△

△

△

△

◎

◎

△

△

△

△

△

△

◎

◎

◎

◎

△

△

◎

△

△

△

◎

◎

△

◎

△

△

◎

△

△

△

◎

◎

△

◎

△

△

◎

△

△

△

◎

◎

△

◎

△

△

◎

△

◎

◎

◎

◎

◎

◎

△

◎

△

△

◎

◎

◎

◎

◎

◎

△

◎

△

△

◎

◎

◎

◎

◎

◎

◎

◎

△

△

◎

◎

◎

◎

◎

◎

◎

◎

△

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 25 -

(3) 脅威への対処技術(ST)(a) IKE
下記のような事由がある為、拠点間の認証において自動鍵配送(IKE)の利用が必要となる。また、接続時の機器認証において、盗難、紛失等の過失や故意を問わず、なりすましを防止するため、秘密鍵や認証情報は認証の時点で最新の状況を確認できるようにしておく必要がある。このようなセッション単位に厳密な認証を行い、強い短期セッション鍵を生成して IPSec の ESP トンネルモードで通信を行うインターネット VPN 方式を本資料ではオンデマンド(インターネット)VPN と呼ぶ。

＜脅威＞

＜考慮すべき事項＞＜利用技術＞＜暗号化（秘匿化）＞
RFC4086

盗聴

RFC4107「鍵管理」という用語は、暗号アルゴリズムとともに、プ
ロトコルのセキュリティサービス（特に、インテグリテ
ィ、認証および秘匿性）を提供するために使われる「暗号鍵とする素材」の確立をいいます。
RFC4107＜メッセージ認証＞
チャネルセキュリテ
ィにおける改ざん

RFC3631
両者が同一の秘密鍵を知っている場
合、HMAC は、あらゆる任意のメッセージを認証するために使えます。

RFC3631

RFC3766

特に、自動化された鍵管理テクニックと関連づけられたプロトコルは、ピアが生きていることを確認し、再生（replay）攻撃から護り、短期セッション鍵の源泉を認証し、プロトコル状態情報を短期セッション鍵と関連づけ、「フレッシュな短期セッション鍵が生成されていること」を確認します。

それゆえ、信じられないほど裕福な攻撃者に対して1年の守秘要件をもつデータを防護するためには、80bitの共通鍵を防護する約1,200bitの鍵交換モジュールは、国家機関がもつ能力に対してさえも安全です。

コネクション認証についてHMACを使うことの残念な
欠点は、「その秘密は、両者によってクリアに知られていなければならないこと」であり、鍵が長期間使われるとき、この秘密は、望まれないものとなります。

送信元の詐称秘密鍵の推測攻
撃自動化された鍵管理は、ひとつ、もしくは、複数の短期セッション鍵を導出します。

＜鍵の強度＞

RFC3631• 生成した鍵を起終点に自動で安全に配送する• 強い短期セッション鍵を生成する

ソフトウェア暗号技術は、盗聴（snooping）および偽装（spoofing）に対する実質的な防護を提供します。

＜対策＞

適用パラメータは以下のようにする。
•認証プロトコル:IKE•認証方式:公開鍵方式または自動鍵配送機能を適用した共通鍵方式による相互認証•暗号化共通鍵長:Diffie-Hellman MODP グループ 2（離散対数 1024 ビット）(b) IPSec
トラフィックセキュリティを確保するためには、IPSec が有効な技術である。IPSec の特徴として、下記に示す２つのモードがあり、用途や保護対象の違いによりモードを選択することになる。また、IP（平文パケット）では実装していない「認証」「暗号化」の機能を有する。（「暗号化」はトンネルモードのみ）
一般的な入れ子をサポートするための要求条件は存在しないが、トランスポートモードでは、AH および ESPの両方をパケットに適用することができることに注意すること。この場合、SA 確立の手順では、最初に ESP をパケットに適用し、次に AH を適用することを保証しなければならない(MUST)。＜RFC2401 より抜粋＞
適用パラメータは以下のようにする。
•伝送プロトコル:IPsec•IP 暗号化ペイロード: ESP トンネルモード
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 26 -

•暗号化方式:3DES/AES + HMAC-SHA-1-96 + IKE•メッセージ認証:HMAC-SHA-1-96 + IKE
IPSec のモード
IPSec パケット

IP パケット

パケットの構成

IP
ヘッダ

トランスポート・モード

データ

元の IP データグラムのデータ部 元の IP データグラム全体が保だけが保護対象
護対象
IP
IP
ヘッダ データ
ヘッダ データ
IP SEC
ヘッダ ヘッダ

IP アドレス

ACL

チェックサム

誤り検知

トンネル・モード

新 IP SEC IP
ヘッダ ヘッダ ヘッダ

データ

データ

IPSec トンネルモード
AH トンネルモード

パケットの構成

ESP トンネルモード

IP
ヘッダ

データ

IP
ヘッダ

IP
新 IP AH
ヘッダ ヘッダ ヘッダ

データIP
新 IP AH
ヘッダ ヘッダ ヘッダ

データ

ESP ESP
データ ﾄﾚｰﾗ 認証ﾍｯﾀﾞ

暗号化される範囲
認証する範囲IP アドレス

ACL

認証する範囲ACL

ペイロードのハッシュ 認証、改ざん検知

認証、改ざん検知

暗号化

暗号化ペイロード

非秘匿化(c) 否認防止
RFC3227 に準拠した証拠収集とアーカイビングを実施する。
(d) サービス妨害
イングレスフィルタリングを提供する ISP と契約してサービス妨害の発生を抑えるようにする。
(e) 上位 AP の脅威との関係
アプリケーション層において TCP コネクションのためにチャネルセキュリティを提供する最も普及したアプロー
チは、SSL もしくは、その後継である TLS を使うことです。TLS は、IPSec がない IP 層の攻撃の影響を受けます。
典型的には、これらの攻撃は、何らかのサービス妨害またはコネクション切断の形態をとります。例えば、攻撃者
は、SSL コネクションを切断するために、TCP RST を偽装する可能性があります。TLS は、「切断攻撃」を検知す
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 27 -

るメカニズムをもっていますが、これらは、被害者に攻撃されていることを単に知らせるだけで、このような攻撃に直面したとき、コネクション存続性を提供しません。逆に、IPSec が使われている場合、このような偽装された RSTを、TCP コネクションに影響を与えずに棄却できます。偽装された RST もしくは、TCP コネクション上の他のこのような攻撃が懸念される場合、AH/ESP もしくは TCP MD5 オプション[TCPMD5]が選ぶべき選択肢です。
<RFC3552>

院内
WAN

RASへのSSL/TLS
認証中の攻撃RAS

SSL/TLS

FW
ARP詐称
セッション乗っ取り

WAN

IPSec + IKE

IPSec+IKE認証により攻撃を回避する

×
×
FW

ARP詐称
セッション乗っ取り

4.2.2 NW 機器の obj セキュリティ(a) NW 機器における脅威(PP)の定義
NW 機器のリモート保守は、ネットワークを介してアクセスが行われるため、セキュリティ要件としては ch セキュ
リティがそのまま適用される。NW 機器の守るべきソフトウェアや設定情報等の機能要素を以下に挙げる。NW 機器の下記の機能や情報の盗難、改ざん、破壊等のハッキング行為が脅威として規定できる。
大区分
小区分
機能概要
VPN 管理機能
鍵交換機能（IKE） VPN 接続に使用する暗号鍵を自動で交換する
暗号化機能（IPSec） 通信データの機密性を確保するためにデータを暗号化する認証機能（IPSec） 通信データの送信元を認証する
VPN 制御機能
VPN 接続に必要なパラメータを接続管理センターから取得する
VPN 接続機能
VPN 接続の接続/切断要求やデータの送受信を行う
初期登録機能製造時にセキュアな記憶領域に初期情報（製造者署名付き機器情報）を登録する
機器情報参照機能 セキュアな記憶領域に格納されている機器情報を読み出す
鍵管理機能
耐タンパ機能論理的/物理的に記憶領域へのアクセスを制御する
暗号化処理機能
格納する鍵を暗号/複合処理する
AP 管理機能AP の書込/削除やダウンロードした AP の動作を制御する
記憶領域管理機能 鍵ペアや証明書を格納する領域のアクセス制御を行う(b) 脅威への対処方法の検討
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 28 -

このような情報の盗難、改ざん、破壊等のセキュリティ要件を規定した IC カードのセキュリティに関する脅威に対する対策を参考に技術要素を下記のように整理した。
(i) NW 機器に係るセキュリティ要件

1
2
3
4
5

6

7
8

項目
分類
セキュリティ要件
セキュアメモリ製造時におけるセキュアメモリ供給者は、規定された安全な手順に従い、登録認定
運
仮鍵および仮証明書の入手
機関から仮鍵および仮証明書を入手しなければならない。
機器製造者は、登録されたセキュアメモリ供給者および機器登録管登録された組織、団体との取引 利理センターのみと取引しなければならない。
機器製造者は、機器登録管理センターから付与された機器 ID を安機器 ID の安全な格納
技・運全にセキュアメモリ内に格納しなければならない。
機器製造者は、登録認定されたセキュアメモリ供給者から正当なセ正当なセキュアメモリの入手
運
キュアメモリを入手しなければならない。
セキュアメモリの輸送に伴う盗難、改ざんを防ぐための措置を講じな
セキュアメモリの輸送時の保護 技・運ければならない。
機器製造者は、セキュアメモリを輸送する際の輸送途中におけるセ機器製造者における仮鍵の安キュアメモリ改ざん防止、盗難後の偽造防止のために、セキュアメモ
運
全な入手
リ供給者がセキュアメモリに埋め込んだ仮鍵を、セキュアメモリ供給者から安全に入手しなければならない。
機器出荷時におけるセキュアメ
機器出荷時に機器製造者は、セキュアメモリへのアクセス制御機能
技・運モリのアクセス制御機能を有効にしなければならない。
機器の輸送時の保護

運

機器製造者は、利用者に安全に機器を渡さなければならない。

機器登録管理センターは、搭載を許可した AP がセキュアメモリにダウンロードされることを、AP 搭載許可証により保証しなければならない。
機器によるサービス提供者の認機器によるサービス提供者の認証は、サービス提供者が登録認定
10
技証
機関から発行を受けた証明書を用いて行う。
セキュアメモリに製造者情報を書き込む際、登録認定機関の公開鍵
正当な機器製造者による製造
11
技・運 により機器製造者の公開鍵証明書を検証し、正しい場合のみ機器
者情報の書込み
製造者の製造者情報を書き込まなければならない。
セキュアメモリは、規定された公開鍵を用いて AP 搭載許可証およびAP 搭載許可証および AP 削除
12
技 AP 削除許可証の正当性を検証する機能を有していなければならな
許可証の検証機能の具備い。
9

正当な AP の搭載に係る保証

利(ii) NW 機器のセキュリティ機能要件
項目
1 機器 ID の安全な格納
2 セキュアメモリの輸送時の保護
機器出荷時におけるセキュアメ
3
モリのアクセス制御機能機器によるサービス提供者の認4
証
5

正当な機器製造者による製造者情報の書込み分類

セキュリティ要件
セキュアメモリ内に格納する情報に対して、論理的/物理的にアクセ
技スを制御すること
技 セキュアメモリ内に格納する鍵を暗号処理して格納できること
セキュアメモリ内に格納する情報に対して、論理的/物理的にアクセ
技スを制御すること
セキュアメモリ内に事前に格納してある登録認定機関の証明書とサ
技ービス提供者から提示される証明書を検証できること
セキュアメモリに製造者情報を書き込む際、登録認定機関の公開鍵により機器製造者の公開鍵証明書を検証すること
技
また、正しい場合のみ機器製造者の製造者情報を書き込めるように制御することAll Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 29 -

6

AP 搭載許可証および AP 削除
許可証の検証機能の具備

技

セキュアメモリ内に事前に格納してある登録認定機関の証明書と AP搭載許可証及び AP 削除許可証を検証できること
また、正しい場合のみ AP を書き込み/削除できるように制御すること(iii) NW 機器の製造・出荷に係る運用セキュリティ要件
項目

分類

セキュリティ要件

セキュアメモリ製造時における仮鍵および仮証明書の入手

運

セキュアメモリ供給者は、規定された安全な手順に従い、登録認定機関から仮鍵および仮証明書を入手すること2 機器 ID の安全な格納

運

機器製造者は、機器登録管理センターから付与された機器 ID を安全にセキュアメモリ内に格納すること

3 正当なセキュアメモリの入手

運機器製造者は、登録認定されたセキュアメモリ供給者から正当なセキュアメモリを入手すること4 セキュアメモリの輸送時の保護

運

セキュアメモリの輸送に伴う盗難、改ざんを防ぐための措置を講じる
こと

5

機器製造者における仮鍵の安
全な入手

運機器製造者は、セキュアメモリ供給者によりセキュアメモリに埋め込まれた仮鍵を、セキュアメモリ供給者から安全に入手すること

6

機器出荷時におけるセキュアメ
モリのアクセス制御機能

運

機器出荷時に機器製造者は、セキュアメモリへのアクセス制御機能を有効にすること

運

機器製造者は、利用者に安全に機器を渡すこと

運

セキュアメモリに製造者情報を書き込む際、登録認定機関から発行された証明書（公開鍵）を提示し、製造者情報を書き込むこと

1

7 機器の輸送時の保護
8

正当な機器製造者による製造者情報の書込み(c) 脅威への対処技術(ST)
登録認定機関（登録認定機能）
事前登録済

VPN 事業者（認証接続管理機能）

機器登録管理センター(機器登録管理機能)
仮鍵供給

機器 ID 払出/
機器証明書発行（第 1 階層）

事前登録済

AP 書込許可

アプリダウンロード

事前登録済

セキュア
メモリ供給

事前登録済
ルータ製造者

VPN 接続情報受信

VPN 接続情報受信

セキュアメモリ製造者

VPN 通信

出荷/販売
医療機関 A

ルータの製造・出荷にかかわる運用ルール

ルータのセキュリティ機能①セキュアメモリの正当性を確認②電子署名付の機器情報を書込③機器登録管理センターに機器情報を登録④機器 ID、鍵ペア、機器証明書を格納①１階層目の証明書の保護②２階層目の証明書を格納③アプリのダウンロード④VPN 接続要求⑤VPN 接続パラメータの取得⑥VPN 接続パラメータをもとに IKE による鍵交換⑦交換したセッション鍵による暗号化通信開始⑧通信が終了次第通信切断、セッション鍵削除

医療機関 B

4.2.3 既存技術との比較･評価
ネットワーク上の脅威等に対する各種方式の対応状況を下記にまとめる。
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 30 -

VPN

比較対象

オンデマンド VPN

階層

IKE+IPSec
ISDN/ADSL/光評価項目
安全性 盗聴待 ち 伏 せ 攻 盗聴
撃パスワード盗聴T1．平文伝送T2．共有パスワード
オフラインでの暗 T3．辞書攻撃
号技術的攻撃 T4．推定攻撃
T5．NIS、解読ツールの存在
トポロジー パ ス 外 か ら の 攻 T6．トポロジーの破壊
撃
T7．同一リンク上の判別
ファイアウォール T8．常用プロトコルでの攻撃
T9．内部の脅威
不適切な用法 ウィルス
T10．情報の不正コピー
侵入 積 極 的 な 攻 中間者
T11．セッション乗取り
撃
T12．ARP 詐称(IP アドレス詐称)
否認防止
T13．アクセスの証明
改ざん 積 極 的 な 攻 メッセージ挿入 T14．TCP SYN パケット挿入
撃T15．TLS RST 偽装
メッセージ削除 T16．シーケンス番号推測攻撃
メッセージ変更 T17．MAC チェック未使用
T18．ホスト to ホスト SA
不 適 切 な 用 ウィルス
T19．ウィルス混入後の転送法
T20．情報の破壊・書換え
T21．メッセージ盗聴後再送
妨害 積 極 的 な 攻 リプレイ攻撃
撃
T22．自動発呼による再送
Blind 妨害
T23．TCPSYN フラッド攻撃
妨害攻撃
分散型妨害
T24．DDoS

伝送量
拡張性 複数サービスの相乗り(保守回線の統合)
電話・FAX の相乗り
インターネット接続
コスト センタ・システム
クライアント

IP-VPN

インターネット VPN
SSL/TLS
IP

専用線

公衆回線

専用線

ISDN

◎

◎

◎

◎

◎

◎

◎

◎

△(対応策あり)

△

◎

◎

◎

◎

△

△

◎

◎

◎

◎

△

△

◎

◎

◎

◎

△

△

◎

◎

◎

◎

△

×（脆弱）

◎

◎

◎

△

△

×

◎

△

△

△

△

△

◎

◎

△

△

◎

◎

◎

◎

△

△

◎

◎

◎

◎

◎

×

◎

◎

◎

◎

◎

×

◎

◎

◎

◎

◎

×

◎

◎

◎

◎

△

×

◎

◎

◎

◎

△

×

◎

◎

△

◎

△

×

◎

◎

◎

◎

◎

◎

◎

△

△

△

△

△

◎

◎

△

△

△

△

◎

◎

◎（大）

×

◎

◎

×（小）

×

◎(最良）

△

△

○

×（不可）

×

◎

△

△

○

×

×

◎

△

△

○

×

×

◎（最安価）

×

○

○

×（高価）

×

○

△

○

○

×

◎

△

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 31 -

5.ch セキュリティに関わる NW 機器のセキュリティ要件
5.1 法人間の接続における留意点(PP)
同一法人間と異なる法人間とでは、責任の主体が異なる。複数の拠点を VPN 接続する際の留意点について
整理する。
項目

接続する３拠点が同一の法人である場合接続する３拠点が異なる法人である場合

VPN 接続状況

拠点１と拠点２は VPN 接続可拠点２と拠点３は VPN 接続可
拠点３と拠点１は VPN 接続不可

留意点

拠点２が拠点１と拠点３を中継する場合、社内 拠点２は拠点１と拠点３を中継してはならない。拠のポリシーによっては許可できる。その際の責 点１と拠点３は VPN 接続の合意をしていないの任の主体は法人 A の管理者にある。
で、不正なアクセスとなる。その際の責任の主体
は法人 B にある。
また、拠点１と拠点３が VPN 接続の合意がなされている場合でも、拠点２は中継を行ってはならな
い。

イメージ

拠点１と拠点２が VPN 接続
拠点２と拠点３が VPN 接続
拠点３と拠点１は VPN 接続不可

2

2
3

1

1

×

3

○
オンラインレセプト・メール・AP ダウンロード、タイムスタンプ等の標準的なアプリケーションの脆弱性、危険度などを考慮すると、一般的な VPN 接続を適用する場合、以下の 4 つの要件が必要になる。これらを整理し、適正なモデル確立への条件を検証する。
(1) VPN 接続、non-VPN 接続の経路分離(2) 異なる VPN 間の経路制御(3) VPN 間の不正中継禁止(4) ゾーンの分離
5.2 セキュリティ対策の基本方針(ST)異なる法人間で VPN 接続を行う際に考慮すべき事項としてガイドラインを示す。
(1) VPN 接続、non-VPN 接続の経路分離
インターネット接続点において、VPN 接続と non-VPN 接続とで経路を物理的に分離する。通信ルートを分けることで外部からの不正なアクセスを防止し、VPN 接続のセキュアな経路を確保する。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 32 -

・VPN用経路とnon-VPN経路を分ける

B

A○・Non-VPN接続はルータを経由すべき×C○・VPN接続はVPN装置を経由すべきD×
VPN接続
Non-VPN接続(2) 異なる VPN 間の経路制御
VPN 装置においてリモート拠点ホストからの接続を、ローカル拠点のホストまたは IP アドレスレベルで制御し、VPN 接続に対して制限を設ける。ピア・ツー・ピアで VPN 接続制御を実現する。
・VPN装置はリモートホストとローカルホストの管理を行い、接続の制御を行う。

B

○

A

○
C
○
D
×
VPN接続
Non-VPN接続・許可されていないホストへの通信は不可。

(3) VPN 間の不正中継禁止
許可されていない VPN 接続（B,D 間）をある拠点（A）を経由しての接続は不可。不正な中継アクセスを禁止する。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 33 -

・VPN間にまたがる接続を禁
止する。

B

A
○

C

×
○

D
VPN接続
Non-VPN接続(4) ゾーンの分離
他拠点へアクセスする際は VPN 接続専用ゾーンと通常接続用ゾーンを設け、不適切なホストからの VPN 接続を防止する。また VPN 接続専用ゾーンと通常接続用ゾーンの間の通信を制御・制限することで、VPN 接続を行う PC のセキュリティを高める。
・Secure LAN、Non-Secure LAN 間の通信を制御する。

B

○
×
○

C

A
・GWで許可されていない接続。

・ネットワーク・セグメントを分
離する

D
○
VPN接続
Non-VPN接続

5.3 具体的なセキュリティ対策
5.3.1 通信モデルの定義(1) 機器の配置とゾーンの定義
ホストはデータのセキュリティレベル・提供するサービス・利用形態を考慮してカテゴライズされる必要がある。
カテゴライズされたホストは同等のポリシーを実装するゾーンに配置し、ゾーンの一貫したポリシーで運営されるべきである。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 34 -

項目

High Secure Zone

DMZ

Secure Zone

配置するホスト

電子カルテ・レセプトなどの 外部へサービスを提供・情 業務用クライアントを配置す
守るべき資産を格納・蓄積 報を公開するホストを配置 る。インターネット上の情報するホストを配置する。他の する。ウィルスチェックゲート の閲覧を行う。他のゾーン
ゾ ー ン か ら の 接 続 を 制 限 ウェイ・プロキシサーバ・パ からの接続を制限し、情報し、情報連携などで外部へ ケットチェックなどを実施し、 連携などで外部へ接続する
接続する際は VPN でデー 外部からの脅威に備える。 際は VPN でデータを安全DMZ か ら の 接 続 は 不 許 に送受信する。
タを安全に送受信する。
可。

格納データ・
展開するサービスの例

電子カルテサーバ
レセプトサーバ
バックアップサーバ
リモート保守端末

メールサーバ外部プロキシサーバ
地域連携サーバ
プロキシサーバ
ASP サービス 等

業務用クライアント 等
内部プロキシサーバ
医療機器(2) プレイヤー別の通信モデル
拠点規模、性能、連携を考慮して、次の３つのモデルパターンを提案する。

モデル

ターゲット

ゾーン構成

主な役割・運用

大規模機関型サービスを展開する拠点。 High Secure Zone, Secure 地域連携情報やメールサー
病院・自治体・医療機器・情 Zone, DMZ を配置する。
ビスを提供。VPN で他の拠報関連ベンダなど。
点と接続し、電子カルテ情報の交換・レセプト計算サー
ビスを行う。

小規模機関型サービスを利用する拠点。 High Secure Zone, Secure 地域連携情報などを利用。
Zone を配置する。
医院・薬局など。
VPN で他の拠点と接続し、電子カルテ情報の交換・レ
セプト計算サービスを利用する。

サービスプロバイダ型 小規模機関では展開が困難 High Secure Zone, DMZ を 小 規 模 機 関 が 実 装 困 難 なな機能・サービスを提供し補 配置する。
DMZ 機 能 を 提 供 す る こ と完する拠点。
で、大規模機関相当のサービスを展開可能にする。
5.3.2 モデル間のサービスイメージ
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 35 -

これらの通信モデルをリモートサービスの提供・利用の視点で役割を明確にする。さらに、リモートサービスの利用側と提供側の視点で前節の通信モデルが受けもつ役割を規定にする。この役割に沿って、各機関の具備すべきセキュリティ要件や機能要素を明らかにする。モデル別のゾーン配置と、拠点間の主なサービスイメージを示す。

(業務限定)インターネット接続サービス

サービスプロバイダ(一般向け)医療・介護情報提供サービス

提供者
大規模医療機関(患者向け)診療情報・介護情報提供サービス

大規模医療機関(医療機関・福祉介護等医療関連サービス業務向け)地域連携サービス

利用者
小規模医療機関

サービス項目

メールサービスオンラインレセプトサービス
ASP サービス
検査データ配信サービス
外部保存(バックアップ) サービス
リモート保守サービス
タイムスタンプサービス
Validation Authority(VA)サービス

5.3.3 各通信モデルのセキュリティ要件(1) 大規模機関型モデルのセキュリティ要件(a) 詳細モデル
各ネットワーク機器・ホストに実装すべき機能とゾーン間・サービスの経路を示す。主にアクセスコントロール・
All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 36 -

ウィルスチェック・プロキシ等を実装する。VPN 装置は合意されている他拠点と暗号化通信を行い、WAN におけるセキュリティを保つ。
区分

場所

概要

説明

ファイアウォール機 アクセスポイント
能外部からのアクセスをブロックす 外 部 か ら High Secure Zone,
る。DMZ へのアクセスを許可す Secure Zone への接続は禁止。
る。
IDS 検知機能を装備する。

VPN 機能VPN の接続先・接続元を制御す リモートアクセスの、通信路を暗る。暗号化。
号化する。合意のある拠点のみ通信を許可する。外部プロキシ
機能を中継させる。

ファイアウォール配下

外部プロキシ機能 DMZ

外部からのアクセスに対する代 High Secure Zone, High Secure
理接続処理を行う。他のゾーン Zone へのアクセス制御、フィル
ターをおこなう。メールのウィルスへの代理通信を行う。
チェックを行う。

ゲートウェイ機能High Secure Zone, Secure Zone, アクセスコントロール、ウィルスチ
DMZ の通信を制御する。レイヤ ェック、スクリーニング等を行う。
4 以上で処理可能であることが望ましい。

ゾーン接続点内部プロキシ機能 Secure Zone,
High Secure Zone

経路

全ての内部ホストから外部への アクセスログを記録して、通信の通信の代理をする。外部 WWW 履歴を残す。コンテンツフィルタ
サービスへの代理をする。
などで Web アクセスを制限する。
ウィルスチェック等のスクリーニン
グ機能を具備する。セキュリティ
パッチなどの更新・管理機能を有するとよい。
説明

サービス・事例

拠点内のゾーン間通信ゲートウェイ機能で IP レベル・アプリケーションレベル 拠点内のデータ移行・更新
での通信制御を行う。High Secure Zone へは内部プロキシ機能による代理通信を行い、直接的な接続を避ける。

他拠点からのDMZ への接続

ファイアウォール機能で IP アドレス・ポートレベルでの 地域連携などの情報提供。
制御を行う。
公開するサイトの閲覧拠点を限定する。

他拠点へのVPN 接続ゲートウェイで接続元のホストを限定する。VPN 装置を 検査データの交換。ASP サービス
経由して他拠点へアクセスする。
の利用。

他拠点から
VPN 接続ファイアウォール機能で VPN 接続元チェックを行う。外 リモート保守、検査データの提供。
部プロキシ機能による代理通信で直接接続をさせない。ゲートウェイでウィルスチェック・経路の制御を行う。

インターネット接続 ゲートウェイで Secure Zone からの接続のみを許可す 地域連携などの情報提供サービス
る。内部プロキシのコンテンツフィルタ機能で接続サイ の閲覧。
トを限定する。
(b) NW 設計例

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 37 -

(2) 小規模機関型モデルのセキュリティ要件(a) 詳細モデル
区分

場所

概要

説明

ファイアウォール機 アクセスポイント
能外部からのアクセスをブロックす 外 部 か ら High Secure Zone,
る。DMZ へのアクセスを許可す Secure Zone への接続は禁止。
る。
IDS 検知機能を装備する。

VPN 機能ファイアウォール配下

VPN の接続先・接続元を制御す リモートアクセスの、通信路を暗る。
号化する。合意のある拠点のみ通信を許可する。外部プロキシ
機能を中継させる。

ゲートウェイ機能

ゾーン接続点High Secure Zone, Secure Zone, アクセスコントロール、ウィルスチ
DMZ の通信を制御する。レイ ェック、等を行う。
ヤ 4 以上で処理可能であることが望ましい。

内部プロキシ機能

Secure Zone,
High Secure Zone

全ての内部ホストから外部への アクセスログを記録して、通信の通信の代理をする。外部 WWW 履歴を残す。コンテンツフィルタ
サービスへの代理をする。
などで Web アクセスを制限する
スクリーニング機能を具備する。
ウィルスチェック等を行う。セキュ
リティパッチなどの更新・管理機能を有するとよい。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 38 -

経路

説明

サービス・事例

拠点内のゾーン間通信ゲートウェイ機能で IP レベル・アプリケーションレベル 拠点内のデータ移行・更新
での通信制御を行う。High Secure Zone へは内部プ
ロキシ機能による代理通信を行い、直接的な接続を
避ける。

他拠点への
VPN 接続ゲートウェイで接続元のホストを限定する。VPN 装置 検査データの交換。ASP サービスを経由して他拠点へアクセスする。
の利用。データの外部保存。

他拠点から
VPN 接続ファイアウォール機能で VPN 接続元チェックを行う。 検査データ配信の利用。
外部プロキシ機能による代理通信で直接接続をさせない。ゲートウェイでウィルスチェック・経路の制御を行う。

インターネット接続 ゲートウェイで Secure Zone からの接続のみを許可す 地域連携などの情報提供サービス
る。内部プロキシのコンテンツフィルタ機能で接続サイ の閲覧。タイムスタンプ・VA サービ
トを限定する。
スの利用。
(b) NW 設計例(3) サービスプロバイダ型モデルのセキュリティ要件(a) 詳細モデル
区分

場所

概要

説明

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 39 -

ファイアウォール アクセスポイント
機能
VPN 機能外部からのアクセスをブロックす 外 部 か ら High Secure Zone,
る。DMZ へのアクセスを許可す Secure Zone への接続は禁止。
る。
IDS 検知機能を装備する。

ファイアウォール配下 VPN の接続先・接続元を制御す リモートアクセスの、通信路を暗号る。
化する。合意のある拠点のみ通信を許可する。外部プロキシ機能を中継させる。

外 部 プ ロ キ シ 機 DMZ
能外部からのアクセスに対する接続 High Secure Zone, High Secure処理を行う。他のゾーンへの代理 Zone へのアクセス制御、フィルターをおこなう。セキュリティパッチな通信を行う。
どの更新機能を有するとよい。メールのウィルスチェックを行う。

ゲートウェイ機能 ゾーン接続点

High Secure Zone, Secure Zone, アクセスコントロール、ウィルスチェ
DMZ の通信を制御する。レイヤ 4 ック、スクリーニング等を行う。
以上で処理可能であることが望ま
しい。

経路

説明

サービス・事例

拠点内のゾーン間通信ゲートウェイ機能で IP レベル・アプリケーションレベルで 拠点内のデータ移行・更新の通信制御を行う。High Secure Zone へは内部プロキ
シ機能による代理通信を行い、直接的な接続を避ける。

他拠点からのDMZ への接続

ファイアウォール機能で IP アドレス・ポートレベルでの制 地域連携などの情報提供。タイムス
御を行う。
タンプ、VA サービスの提供。パッチ
公開するサイトの閲覧拠点を限定する。
の提供。

他拠点への
VPN 接続ゲートウェイで接続元のホストを限定する。VPN 装置を リモート保守、検査データの提供。
経由して他拠点へアクセスする。

他拠点から
VPN 接続ファイアウォール機能で VPN 接続元チェックを行う。外 検査データの交換。ASP サービス部プロキシ機能による代理通信で直接接続をさせな の提供。データの外部保存サービ
い。ゲートウェイでウィルスチェック・経路の制御を行う。 ス。

(b) NW 設計例
サービスプロバイダは、プロバイダ自身の社内 NW とサービス提供する NW は切り離す。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 40 -

・外部データ保存

・外部代理接続

・アクセスコントロール

6.構築時の確認事項
6.1 チェックシート
以上の議論を踏まえると、セキュリティ要件をまとめたものが各機関毎のゾーン・ホスト配置・各機器に対するチェックシートになる。ゾーン・ホスト配置・各機器に対するチェックシートを以下に示す。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 41 -

(1) 大規模機関型 チェックシート
目的対象

項

目

機能要素

チェック

備

考

1. 通信形態
1-1
接続相手の確認1-1-1
異なる法人の大規模機関型拠点と接続する場合、接続する大規模機関型拠点は「大規模機関型 チェックシート」の項目を満たしていますか？

異なる法人と接続を行う際は、接続相手のセキュリティポ
リシーを明確にし、責任を明確にする必要がある。
本資料「2.2 セキュリティに関するガイドライン」

1-1-2
サービスプロバイダと接続する場合、接続するサービス
プロバイダは「サービスプロバイダ チェックシート」の項
目を満たしていますか？
1-1-3
異なる法人の小規模機関型拠点と接続する場合、接続する小規模機関型拠点は「小規模機関型 チェックシート」の項目を満たしていますか？
2. 通信ポリシー
2-1-1
WAN 機能アクセス回線または中継回線に共用型ネットワークが使用されていますか？

はい：
共有型ネットワークを経由している場合、事業者が検知できないデータの盗聴、改ざんなどのハッキング手法が知られており、セキュリティに関する脆弱性があるため、オープンネットワークとして扱いユーザ側で通信に関するセキュリティを担保する必要がある。
本資料「4.1 WAN の定義」
いいえ：オープンネットワークを使用しない。専用線・ISDN などを利用する。
本チェックシート「2-3 接続処理の確認」に進む。

2-2
2-2-1
VPN 機能オープンネットワークの 同一法人以外の複数拠点と接続する場合，不正な中継
利 用 し た 拠 点 間 の 接 を禁止していますか？
続オープンネットワークを利用した拠点間の接続をした場
合、同時に複数の拠点と接続が可能になる。異なる法人
間で複数接続を行う際は、責任主体は各拠点にあり、不正な中継を禁止する必要がある。
本資料「5.1 法人間の接続における留意点」

2-1
中継の確認

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 42 -

目的対象

項

目

機能要素
VPN 機能2-2-2
IKE でユーザ認証を行っていますか？

2-2-3
VPN 機能IKE の認証は公開鍵または自動鍵配送機能を持った
共通鍵方式ですか？

2-3
他拠点との接続処理

2-2-4
セッション毎に共通鍵を自動決定していますか？

VPN 機能2-2-5
IPSec による暗号化を行っていますか？

VPN 機能2-2-6
IPSec でメッセージ認証を行っていますか？

VPN 機能チェック

備考

オープンネットワークにおける脅威（盗聴・侵入など）からパケットを守るために、それらに対応可能な技術対策を講じる必要がある。
本資料「4.2 脅威への対処技術」

2-3-1
接続先拠点と通信に関して合意がなされていますか？

接続先拠点を文書・口頭などで合意を行い、サービス内
容・運用形態等を確認し不正利用を防ぐ

2-3-2
VPN 機能
他拠点への接続先をアドレス・ポート等で制限していま ／プロキシ機能
すか？

接続先拠点と通信に関して合意がなされている接続先
IP アドレスのみ接続を許可し、合意のなされていない自拠点から他拠点への不正なアクセスを防ぐ。他拠点で提供しているサービスポートのみを許可し、サービス不正利用・侵入を防ぐ。

2-3-3
VPN 機能他拠点からの接続元をアドレス・ポート等で制限してい ／プロキシ機能
ますか？

接続先拠点と通信に関して合意がなされている接続元
IP アドレスのみ接続を許可し、合意のなされていない他
拠点から自拠点への不正なアクセスを防ぐ。自拠点で提供するサービスポートのみを許可し、サービス不正利用・侵入等を防ぐ。

2-3-4
VPN 機能
ロギングによりアクセス監視（接続先・接続元）を行って ／プロキシ機能
いますか？

ログは、発信元・アクセスポイント・アクセスされた場所の3 箇所で取る必要がある。本項目は発信元・アクセスポイ
ントのロギングになる。
本資料「2.2 (3)SPC 要件」

3. 拠点内のセキュリティ
3-1
ホストの配置 役割

3-1-1
High Secure Zone
電子カルテ検査データ等の重要なデータを処理蓄積

ホストはデータのセキュリティレベル・提供するサービス・利用形態を考慮して適切なゾーンに配置をする。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 43 -

目的対象

項

目

機能要素

する機能は High Secure Zone に配置していますか？

チェック

備

考

本資料「5.3.1 通信モデルの定義」

3-1-2
Secure Zone
業務用端末インターネット接続用端末は Secure Zoneに配置していますか？
3-1-3
DMZ
情報公開外部サービス等の機能は DMZ に配置していますか？
3-2
外部からの脅威3-3
High Secure Zone のセキュリティ

3-4
Secure Zone のセキュリティ

3-2-1
ファイアウォール
外部から High Secure Zone, Secure Zone への接続を禁止していますか？

起点が外部から、High Secure Zone, Secure Zone への接続を禁止して、改ざんや侵入に対して資産を守る。

3-2-2
ファイアウォール
外部からの攻撃（Dos 的攻撃・不正形式パケットなど）を検知できますか？

DMZ で公開しているサービスに対して、攻撃があった場
合、それらのパケットを検知・遮断することで改ざんや侵入などから資産を守る。

3-2-3
ファイアウォール
他拠点との接続合意がなされている通信のみを許可していますか？

他拠点と接続の合意がとれている通信のみを許可して、不正なアクセスを禁止する。

3-3-1
ゲートウェイ機能
接続の起点を High Secure Zone とした Secure Zone
DMZ への直接アクセスを禁止していますか？

High Secure Zone に格納されている電子カルテ・レセプ
トなどの重要データの漏洩を防ぐ。

3-3-2
インターネット接続を禁止していますか？

プロキシ機能重要データが格納されているゾーンからの、インターネッ
ト接続を防ぐ。

3-3-3
各ホストでウィルスチェックを行っていますか？

各ホスト

格納したデータにウィルスが混在されていた場合の、発病・拡散を防ぐ。

3-4-1
ゲートウェイ機能DMZ、High Secure Zone からの直接アクセスを禁止していますか？

DMZ の公開サーバが外部からの不正アクセスにより侵入された場合、被害拡散を防止する。
High Secure Zone からの重要データの内部情報漏えい
防ぐ。

3-4-2
プロキシ機能インターネットへの HTTP 接続のサイト制限をしていますか？

業務上で必要なサイトのみを許可し、不正サイトによるウ
ィルスの混入・情報漏えいを防ぐ。

プロキシ機能格納したデータにウィルスが混在されていた場合の、発3-4-3

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 44 -

目的対象
3-5
DMZ の
セキュリティ

項

目

機能要素

チェック

備

考

各ホストでウィルスチェックを行っていますか？

病・拡散を防ぐ。

3-5-1
ゲートウェイ機能High Secure Zone, Secure Zone への直接アクセスを禁止していますか？

DMZ の公開サーバが外部からの不正アクセスにより侵入された場合、High Secure Zone, Secure Zone への被害拡散を防止する。

3-5-2
各ホストでウィルスチェックを行っていますか？

各ホスト

格納したデータにウィルスが混在されていた場合の、発病・拡散を防ぐ。

3-6
3-6-1
プロキシ機能High Secure Zone と 接続の起点を Secure Zone から行い、プロキシ機能をSecure Zone 間の通信 経由していますか？

High Secure Zone への直接的な接続を禁止し、ウィルス
チェックや制限を行うことで、拠点内のセキュリティの向上を図る。逆の接続は禁止する。

3-6-2
プロキシ機能プロキシ機能でロギングを行い、アクセスを監視していますか？

「いつ」「だれが」「どこに」接続したかをロギングすることで、不正アクセスが生じた場合の監査を可能にする。

3-6-3
ゲートウェイ機能
Secure Zone からの接続をアドレス・ポートで制限してい プロキシ機能
ますか？

患者データなど重要データのアップデート・閲覧の際、ホストとサービスを制限することで情報漏えいを防ぐ。

3-7-1
プロキシ機能接続の起点を DMZ から行い、プロキシ機能を経由していますか？

High Secure Zone への直接的な接続を禁止し、ウィルス
チェックや制限を行うことで、拠点内のセキュリティの向上を図る。逆の接続は禁止する。

3-7-2
プロキシ機能プロキシ機能でロギングを行い、アクセスを監視していますか？

「いつ」「だれが」「どこに」接続したかをロギングすることで、不正アクセスが生じた場合の監査を可能にする。

3-7-3
ゲートウェイ機能
DMZ からの接続をアドレス・ポートで制限しています プロキシ機能か？

患者向け診断情報提供サービスなどで、High Secure
Zone の情報の一部を閲覧・取得する場合、ホストとサービスを制限することで情報漏えい・改ざん等を防ぐ。

3-7High Secure Zone とDMZ 間の通信

3-8
3-8-1
プロキシ機能DMZ と Secure Zone 接続の起点を Secure Zone から行い、プロキシ機能を間の通信経由していますか？

DMZ への直接的な接続を禁止し、ウィルスチェックや制限を行うことで、拠点内のセキュリティの向上を図る。逆の接続は禁止する。

3-8-2
プロキシ機能プロキシ機能でロギングを行い、アクセスを監視していますか？

「いつ」「だれが」「どこに」接続したかをロギングすることで、不正アクセスが生じた場合の監査を可能にする。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 45 -

目的対象

3-9
内部セキュリティ
サービス

項

目

機能要素

チェック

備

考

3-8-3
ゲートウェイ機能
Secure Zone からの接続をアドレス・ポートで制限してい プロキシ機能
ますか？

DMZ の公開サーバなどの情報をアップデートする際、ホストとサービスを制限することで、情報漏えい・改ざん等
を防ぐ。

3-9-1
ゲートウェイ機能
セキュリティパッチなどの更新機能を拠点内に装備して プロキシ機能
いますか？

セキュリティパッチなどをインターネット経由で行う際、インターネット通信を許可されていないホスト・ゾーンに対して、パッチのダウンロードを行い必要なホストに配布することでセキュリティホールに対する攻撃を対策を行う。

4. サービス運用例
4-1-1
プロキシ機能医療機関向けに情報（診療記録、検査データ、診療サ 各サーバ
マリ、健診データ等）を公開・提供する場合、接続先・接続元の制限を行っていますか？

接続先拠点と通信に関して合意がなされている接続先・
元 IP アドレスのみ接続を許可し、合意のなされていない
自拠点から他拠点への不正なアクセスと、その逆を防ぐ。提供しているサービスポートのみを許可し、サービス
不正利用・侵入を防ぐ。

4-1-2
VPN 機能医療機関向けに情報を公開・提供する場合、通信路を暗号化していますか？

オープンネットワークにおける脅威（盗聴・侵入など）からパケットを守るために、それらに対応可能な技術対策を講じる必要がある。
本資料「4.2 脅威への対処技術」

4-1-3
プロキシ機能医療機関向けに情報を公開・提供する場合、ロギングを行いアクセス監視を行っていますか？

ログは、発信元・アクセスポイント・アクセスされた場所の3 箇所で取る必要がある。本項目は発信元・アクセスされた場所のロギングになる。
本資料「2.2 (3)SPC 要件」

4-1-4
プロキシ機能患者向けに情報を公開・提供する場合、ユーザ認証を 各サーバ
行っていますか？

不正なユーザによるデータの閲覧を防ぐ。

4-1-5
プロキシ機能情報サービスにおいて High Secure Zone の情報を提 各サーバ供する際、プロキシ機能を使用して外部ユーザから遮蔽していますか？

外部からの High Secure Zone への直接的な接続を禁止
し、ウィルスチェックや制限を行うことで、拠点内のセキュ
リティの向上を図る。

4-2
4-2-1
プロキシ機能情報提供
医療機関向けの情報（診療記録、検査データ、診療サ 各サーバ
サービス（医療機関向 マリ、健診データ等）の提供サービスを利用する場合、接続先拠点と通信に関して合意がなされている接続先・
元 IP アドレスのみ接続を許可し、合意のなされていない
自拠点から他拠点への不正なアクセスと、その逆を防

4-1
情報提供
サービスの展開All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 46 -

目的対象
け）の利用

4-3
外部保存
サービスの利用

4-4
メールサービス

4-5
リモート保守サービスの利用

項

目

機能要素

チェック

備

考

アクセスするホストを限定していますか？

ぐ。提供しているサービスポートのみを許可し、サービス
不正利用・侵入を防ぐ。

4-2-2
ゲートウェイ機能医療機関向けの情報（診療記録、検査データ、診療サ
マリ、健診データ等）の提供サービスを利用する場合、取得したデータは High Secure Zone に格納しています
か？

ホストはデータのセキュリティレベル・提供するサービス・利用形態を考慮して適切なゾーンに配置をする。
本資料「5.3.1 通信モデルの定義」

4-3-1
ゲートウェイ機能
外部保存サービスプロバイダが起点の接続を禁止して プロキシ機能
いますか？

自拠点からのアップロードのみの接続を行うため、サービスプロバイダからの接続は禁止し不正アクセスを防ぐ。

4-3-2
ゾーン
外部保存を利用するホストは High Secure Zone から接続していますか？

業務端末などが配置されている Secure Zone からの外部
保存サービスプロバイダへの不正なアクセスを防ぐ。

4-4-1
メールのスクリーニングを行っていますか？

メール機能

スパムメール・ウィルス添付メール等から内部を守る。

4-4-2
不正なメール転送を禁止していますか？

メール機能

メール転送の踏み台になることを防ぐ。

4-5-1
ゲートウェイ機能
外部からの医療機器への接続をリモート保守サービス プロキシ機能のみに制限していますか？

リモート保守を行うサービスプロバイダによる、不正アクセスを防ぐ。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 47 -

(2) 小規模機関型 チェックシート
目的対象

項

目

機能要素

チェック

備

考

1. 通信形態
1-1
接続相手の確認1-1-1
異なる法人の大規模機関型拠点と接続する場合、接続する大規模機関型拠点は「大規模機関型 チェックシート」の項目を満たしていますか？

異なる法人と接続を行う際は、接続相手のセキュリティポ
リシーを明確にし、責任を明確にする必要がある。
本資料「2.2 セキュリティに関するガイドライン」

1-1-2
サービスプロバイダと接続する場合、接続するサービス
プロバイダは「サービスプロバイダ チェックシート」の項
目を満たしていますか？
1-1-3
異なる法人の小規模機関型拠点と接続する場合、接続する小規模機関型拠点は「小規模機関型 チェックシート」の項目を満たしていますか？
2. 通信ポリシー
2-1-1
WAN 機能アクセス回線または中継回線に共用型ネットワークが使用されていますか？

はい：
共有型ネットワークを経由している場合、事業者が検知できないデータの盗聴、改ざんなどのハッキング手法が知られており、セキュリティに関する脆弱性があるため、オープンネットワークとして扱いユーザ側で通信に関するセキュリティを担保する必要がある。本資料「4.1 WANの定義」
いいえ：オープンネットワークを使用しない。専用線・ISDN などを利用する。
本チェックシート「2-3 接続処理の確認」に進む。

2-2
2-2-1
VPN 機能オープンネットワークの 同一法人以外の複数拠点と接続する場合，不正な中継
利 用 し た 拠 点 間 の 接 を禁止していますか？
続オープンネットワークを利用した拠点間の接続をした場
合、同時に複数の拠点と接続が可能になる。異なる法人
間で複数接続を行う際は、責任主体は各拠点にあり、不正な中継を禁止する必要がある。
本資料「5.1 法人間の接続における留意点」

2-1
中継の確認

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 48 -

目的対象

項

目

機能要素
VPN 機能2-2-2
IKE でユーザ認証を行っていますか？

2-2-3
VPN 機能IKE の認証は公開鍵または自動鍵配送機能を持った
共通鍵方式ですか？

2-3
他拠点との接続処理

2-2-4
セッション毎に共通鍵を自動決定していますか？

VPN 機能2-2-5
IPSec による暗号化を行っていますか？

VPN 機能2-2-6
IPSec でメッセージ認証を行っていますか？

VPN 機能チェック

備考

オープンネットワークにおける脅威（盗聴・侵入など）からパケットを守るために、それらに対応可能な技術対策を講じる必要がある。
本資料「4.2 脅威への対処技術」

2-3-1
接続先拠点と通信に関して合意がなされていますか？

接続先拠点を文書・口頭などで合意を行い、サービス内
容・運用形態等を確認し不正利用を防ぐ

2-3-2
VPN 機能
他拠点への接続先をアドレス・ポート等で制限していま ／プロキシ機能
すか？

接続先拠点と通信に関して合意がなされている接続先
IP アドレスのみ接続を許可し、合意のなされていない自拠点から他拠点への不正なアクセスを防ぐ。他拠点で提供しているサービスポートのみを許可し、サービス不正利用・侵入を防ぐ。

2-3-3
VPN 機能他拠点からの接続元をアドレス・ポート等で制限してい ／プロキシ機能
ますか？

接続先拠点と通信に関して合意がなされている接続元
IP アドレスのみ接続を許可し、合意のなされていない他
拠点から自拠点への不正なアクセスを防ぐ。自拠点で提供するサービスポートのみを許可し、サービス不正利用・侵入等を防ぐ。

2-3-4
VPN 機能
ロギングによりアクセス監視（接続先・接続元）を行って ／プロキシ機能
いますか？

ログは、発信元・アクセスポイント・アクセスされた場所の3 箇所で取る必要がある。本項目は発信元・アクセスポイ
ントのロギングになる。
本資料「2.2 (3)SPC 要件」

3. 拠点内のセキュリティ
3-1
ホストの配置 役割

3-1-1
High Secure Zone
電子カルテ検査データ等の重要なデータを処理蓄積

ホストはデータのセキュリティレベル・提供するサービス・利用形態を考慮して適切なゾーンに配置をする。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 49 -

目的対象

項

目

機能要素

する機能は High Secure Zone に配置していますか？

チェック

備

考

本資料「5.3.1 通信モデルの定義」

3-1-2
Secure Zone
業務用端末インターネット接続用端末は Secure Zoneに配置していますか？
3-2
外部からの脅威3-3
High Secure Zone のセキュリティ

3-2-1
ファイアウォール
外部から High Secure Zone, Secure Zone への接続を禁止していますか？

起点が外部から、High Secure Zone, Secure Zone への接続を禁止して、改ざんや侵入に対して資産を守る。

3-2-2
ファイアウォール
他拠点との接続合意がなされている通信のみを許可していますか？

他拠点と接続の合意がとれている通信のみを許可して、不正なアクセスを禁止する。

3-3-1
ゲートウェイ機能
接続の起点を High Secure Zone とした Secure Zone への直接アクセスを禁止していますか？

High Secure Zone に格納されている電子カルテ・レセプ
トなどの重要データの漏洩を防ぐ。

3-3-2
インターネット接続を禁止していますか？

プロキシ機能重要データが格納されているゾーンからの、インターネッ
ト接続を防ぐ。

3-3-3
各ホストでウィルスチェックを行っていますか？

各ホスト

格納したデータにウィルスが混在されていた場合の、発病・拡散を防ぐ。

3-4-1
プロキシ機能インターネットへの HTTP 接続のサイト制限をしていますか？

業務上で必要なサイトのみを許可し、不正サイトによるウ
ィルスの混入・情報漏えいを防ぐ。

プロキシ機能格納したデータにウィルスが混在されていた場合の、発病・拡散を防ぐ。

3-5
3-5-1
プロキシ機能High Secure Zone と 接続の起点を Secure Zone から行い、プロキシ機能をSecure Zone 間の通信 経由していますか？

High Secure Zone への直接的な接続を禁止し、ウィルス
チェックや制限を行うことで、拠点内のセキュリティの向上を図る。逆の接続は禁止する。

3-5-2
プロキシ機能プロキシ機能でロギングを行い、アクセスを監視していますか？

「いつ」「だれが」「どこに」接続したかをロギングすることで、不正アクセスが生じた場合の監査を可能にする。

3-5-3
ゲートウェイ機能
Secure Zone からの接続をアドレス・ポートで制限してい プロキシ機能
ますか？

患者データなど重要データのアップデート・閲覧の際、ホストとサービスを制限することで情報漏えいを防ぐ。

3-4
Secure Zone のセキュリティ

3-4-2
各ホストでウィルスチェックを行っていますか？

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 50 -

目的対象
3-6
内部セキュリティ
サービス

項

目

機能要素

3-6-1
ゲートウェイ機能
セキュリティパッチなどの更新機能を拠点内に装備して プロキシ機能
いますか？

チェック

備

考

セキュリティパッチなどをインターネット経由で行う際、インターネット通信を許可されていないホスト・ゾーンに対して、パッチのダウンロードを行い必要なホストに配布することでセキュリティホールに対する攻撃を対策を行う。

4. サービス運用例
4-1
4-1-1
プロキシ機能情報提供
医療機関向けの情報（診療記録、検査データ、診療サ 各サーバ
サービス（医療機関向 マリ、健診データ等）の提供サービスを利用する場合、け）の利用
アクセスするホストを限定していますか？

4-2
外部保存
サービスの利用

4-3
リモート保守サービスの利用

接続先拠点と通信に関して合意がなされている接続先・
元 IP アドレスのみ接続を許可し、合意のなされていない
自拠点から他拠点への不正なアクセスと、その逆を防ぐ。提供しているサービスポートのみを許可し、サービス
不正利用・侵入を防ぐ。

4-1-2
ゲートウェイ機能医療機関向けの情報（診療記録、検査データ、診療サ
マリ、健診データ等）の提供サービスを利用する場合、取得したデータは High Secure Zone に格納しています
か？

ホストはデータのセキュリティレベル・提供するサービス・利用形態を考慮して適切なゾーンに配置をする。
本資料「5.3.1 通信モデルの定義」

4-2-1
ゲートウェイ機能
外部保存サービスプロバイダが起点の接続を禁止して プロキシ機能
いますか？

自拠点からのアップロードのみの接続を行うため、サービスプロバイダからの接続は禁止し不正アクセスを防ぐ。

4-2-2
ゾーン
外部保存を利用するホストは High Secure Zone から接続していますか？

業務端末などが配置されている Secure Zone からの外部
保存サービスプロバイダへの不正なアクセスを防ぐ。

4-3-1
ゲートウェイ機能
外部からの医療機器への接続をリモート保守サービス プロキシ機能のみに制限していますか？

リモート保守を行うサービスプロバイダによる、不正アクセスを防ぐ。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 51 -

(3) サービスプロバイダ チェックシート
目的対象

項

目

機能要素

チェック

備

考

1. 通信形態
1-1
接続相手の確認1-1-1
大規模機関型拠点と接続する場合、接続する大規模機関型拠点は「大規模機関型 チェックシート」の項目を満たしていますか？

異なる法人と接続を行う際は、接続相手のセキュリティポ
リシーを明確にし、責任を明確にする必要がある。
本資料「2.2 セキュリティに関するガイドライン」

1-1-2
小規模機関型拠点と接続する場合、接続する小規模機関型拠点は「小規模機関型 チェックシート」の項目を満たしていますか？
2. 通信ポリシー
2-1
2-1-1
オープンネットワークの 不正な中継を禁止していますか？
利用した拠点間の接続
2-1-2
IKE でユーザ認証を行っていますか？

VPN 機能オープンネットワークを利用した拠点間の接続をした場
合、同時に複数の拠点と接続が可能になる。異なる法人
間で複数接続を行う際は、責任主体は各拠点にあり、不正な中継を禁止する必要がある。
本資料「5.1 法人間の接続における留意点」

VPN 機能オープンネットワークにおける脅威（盗聴・侵入など）からパケットを守るために、それらに対応可能な技術対策を講じる必要がある。
本資料「4.2 脅威への対処技術」

2-1-3
VPN 機能IKE の認証は公開鍵または自動鍵配送機能を持った
共通鍵方式ですか？

2-2
他拠点との接続処理

2-1-4
セッション毎に共通鍵を自動決定していますか？

VPN 機能2-1-5
IPSec による暗号化を行っていますか？

VPN 機能2-1-6
IPSec でメッセージ認証を行っていますか？

VPN 機能2-2-1
接続先拠点と通信に関して合意がなされていますか？
2-2-2

VPN 機能サービス提供拠点を文書・口頭などで合意を行い、サービス内容・運用形態等を確認し不正利用を防ぐ
サービス提供拠点と通信に関して合意がなされている接All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 52 -

目的対象

項

目

機能要素

チェック

備

考

他拠点への接続先をアドレス・ポート等で制限していま ／プロキシ機能
すか？

続先 IP アドレスのみ接続を許可し、合意のなされていな
い自拠点から他拠点への不正なアクセスを防ぐ。他拠点で提供しているサービスポートのみを許可し、サービス
不正利用・侵入を防ぐ。

2-2-3
VPN 機能他拠点からの接続元をアドレス・ポート等で制限してい ／プロキシ機能
ますか？

接続先拠点と通信に関して合意がなされている接続元
IP アドレスのみ接続を許可し、合意のなされていない他
拠点から自拠点への不正なアクセスを防ぐ。自拠点で提供するサービスポートのみを許可し、サービス不正利用・侵入等を防ぐ。

2-2-4
VPN 機能
ロギングによりアクセス監視（接続先・接続元）を行って ／プロキシ機能
いますか？

ログは、発信元・アクセスポイント・アクセスされた場所の3 箇所で取る必要がある。本項目は発信元・アクセスポイ
ントのロギングになる。
本資料「2.2 (3)SPC 要件」

3. 拠点内のセキュリティ
3-1
ホストの配置 役割

3-1-1
High Secure Zone
電子カルテ検査データ等の重要なデータを処理蓄積する機能は High Secure Zone に配置していますか？

ホストはデータのセキュリティレベル・提供するサービス・利用形態を考慮して適切なゾーンに配置をする。
本資料「5.3.1 通信モデルの定義」

3-1-2
DMZ
情報公開外部サービス等の機能は DMZ に配置してい
ますか？

3-2
外部からの脅威3-1-3
サービスプロバイダは、プロバイダ自身の社内ネットワ
ークとサービスを提供するネットワークを切り離していま
すか？

サービス用ネットワークと自社ネットワークが連携することは想定されないので、物理的に切り離すことで不正アクセスを防止する。

3-2-1
ファイアウォール
外部から High Secure Zone への接続を禁止していますか？

起点が外部から、High Secure Zone への接続を禁止して、改ざんや侵入に対して資産を守る。

3-2-2
ファイアウォール
外部からの攻撃（Dos 的攻撃・不正形式パケットなど）を検知できますか？

DMZ で公開しているサービスに対して、攻撃があった場
合、それらのパケットを検知・遮断することで改ざんや侵入などから資産を守る。

ファイアウォール

他拠点と接続の合意がとれている通信のみを許可して、

3-2-3

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 53 -

目的対象

3-3High Secure Zone のセキュリティ

3-4
DMZ のセキュリティ

項

目

機能要素

3-6
内部セキュリティ
サービス

備

考

他拠点との接続合意がなされている通信のみを許可していますか？

不正なアクセスを禁止する。

3-3-1
ゲートウェイ機能
接続の起点を High Secure Zone とした DMZ への直接アクセスを禁止していますか？

High Secure Zone に格納されている電子カルテ・レセプ
トなどの重要データの漏洩を防ぐ。

3-3-2
インターネット接続を禁止していますか？

プロキシ機能重要データが格納されているゾーンからの、インターネッ
ト接続を防ぐ。

3-3-3
各ホストでウィルスチェックを行っていますか？

各ホスト

格納したデータにウィルスが混在されていた場合の、発病・拡散を防ぐ。

3-4-1
ゲートウェイ機能High Secure Zone への直接アクセスを禁止していますか？
3-4-2
各ホストでウィルスチェックを行っていますか？

3-5High Secure Zone とDMZ 間の通信

チェック

各ホスト

DMZ の公開サーバが外部からの不正アクセスにより侵入された場合、High Secure Zone への被害拡散を防止する。
格納したデータにウィルスが混在されていた場合の、発病・拡散を防ぐ。

3-5-1
プロキシ機能接続の起点を DMZ から行い、プロキシ機能を経由していますか？

High Secure Zone への直接的な接続を禁止し、ウィルス
チェックや制限を行うことで、拠点内のセキュリティの向上を図る。逆の接続は禁止する。

3-5-2
プロキシ機能プロキシ機能でロギングを行い、アクセスを監視していますか？

「いつ」「だれが」「どこに」接続したかをロギングすることで、不正アクセスが生じた場合の監査を可能にする。

3-5-3
ゲートウェイ機能
DMZ からの接続をアドレス・ポートで制限しています プロキシ機能か？

患者向け診断情報提供サービスなどで、High Secure
Zone の情報の一部を閲覧・取得する場合、ホストとサービスを制限することで情報漏えい・改ざん等を防ぐ。

3-6-1
ゲートウェイ機能
セキュリティパッチなどの更新機能を拠点内に装備して プロキシ機能
いますか？

セキュリティパッチなどをインターネット経由で行う際、インターネット通信を許可されていないホスト・ゾーンに対して、パッチのダウンロードを行い必要なホストに配布することでセキュリティホールに対する攻撃を対策を行う。

4. サービス運用例
4-1
情報提供
サービスの展開

4-1-1
プロキシ機能医療機関向けに情報（診療記録、検査データ、診療サ 各サーバ
マリ、健診データ等）を公開・提供する場合、接続先・接接続先拠点と通信に関して合意がなされている接続先・
元 IP アドレスのみ接続を許可し、合意のなされていない
自拠点から他拠点への不正なアクセスと、その逆を防All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 54 -

目的対象

4-2
インターネット接続
サービス

4-3
外部保存サービス

項

目

機能要素

チェック

備

考

続元の制限を行っていますか？

ぐ。提供しているサービスポートのみを許可し、サービス
不正利用・侵入を防ぐ。

4-1-2
VPN 機能医療機関向けに情報を公開・提供する場合、通信路を暗号化していますか？

オープンネットワークにおける脅威（盗聴・侵入など）からパケットを守るために、それらに対応可能な技術対策を講じる必要がある。
本資料「4.2 脅威への対処技術」

4-1-3
プロキシ機能医療機関向けに情報を公開・提供する場合、ロギングを行いアクセス監視を行っていますか？

ログは、発信元・アクセスポイント・アクセスされた場所の3 箇所で取る必要がある。本項目は発信元・アクセスされた場所のロギングになる。
本資料「2.2 (3)SPC 要件」

4-1-4
プロキシ機能患者向けに情報を公開・提供する場合、ユーザ認証を 各サーバ
行っていますか？

不正なユーザによるデータの閲覧を防ぐ。

4-1-5
プロキシ機能情報サービスにおいて High Secure Zone の情報を提 各サーバ供する際、プロキシ機能を使用して外部ユーザから遮蔽していますか？

外部からの High Secure Zone への直接的な接続を禁止
し、ウィルスチェックや制限を行うことで、拠点内のセキュ
リティの向上を図る。

4-2-1
プロキシ機能業務・サービス上必要なサイトのみ接続の許可をしているか？

業務上で必要なサイトのみを許可し、不正サイトによるウ
ィルスの混入・情報漏えいを防ぐ。

4-2-2
プロキシ機能インターネット接続サービスを提供するユーザの認証をしていますか？

サービスを提供しているユーザを認証することで、不正なユーザによる侵入・情報漏えいなどを防ぐ。

4-3-1
プロキシ機能外部保存サービスを提供するユーザの認証をしていま 各サーバ
すか？

サービスを提供しているユーザを認証することで、不正なユーザによる侵入・情報漏えいなどを防ぐ。

4-3-2
プロキシ機能データの格納時の DMZ から High Secure Zone への通
信はプロキシ機能経由で行い、外部・ユーザから遮蔽されていますか？

外部からの High Secure Zone への直接的な接続を禁止
し、ウィルスチェックや制限を行うことで、拠点内のセキュ
リティの向上を図る。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 55 -

目的対象

項

目

機能要素

4-3-3
バックアップ機能
ユーザのデータは High Secure Zone に格納しているか？
4-4
メールサービス

4-5
リモート保守
サービス

チェック

備

考

ホストはデータのセキュリティレベル・提供するサービス・利用形態を考慮して適切なゾーンに配置をする。
本資料「5.3.1 通信モデルの定義」

4-4-1
メールのスクリーニングを行っていますか？

メール機能

スパムメール・ウィルス添付メール等から内部を守る。

4-4-2
不正なメール転送を禁止していますか？

メール機能

メール転送の踏み台になることを防ぐ。

4-5-1
ゲートウェイ機能
リモート保守端末を High Secure Zone に配置し、作業 プロキシ機能者の認証を行っていますか？

医療機器へアクセスの際は専門の技術者が接続し、不正なユーザによるアクセスを防止する。

All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 56 -

6.2 付帯要件等
ネットワーク構築の際のユーザ要件と既存 NW との整合方法を整理し、それらの対処内容と運用例について
示す。
項目
要件

ファイアウォール

既存 NW 連携

インターネット接続

可用性

VPN 機器の上位にルー 既存ネットワーク構成の High Secure Zone のホ DMZ に お い て 、 サ ータが存在する場合、必要 変 更 を 最 小 限 に し 、 ス ト に 対 し て 、 Windows バ・ネットワーク機器の冗なプロトコルの通信許可 Secure Zone のホストか Update や ウイ ル ス パ タ 長化・負荷分散を行いた
設定を行わなければな ら Non-Secure Zone 内の ーンの更新のため、イン い。
らない。
ホストとの連携をしたい。 ターネットへの通信をしたい。

対処例・ 一般的な IPSec プロトコ 好ましくないが、一部に High Secure Zone から ゲートウェイを複数設置
課題
ルを使用するため変更 限りゲートウェイなどで通 のダイレクトな接続は好 または負荷分散装置を
ルールは容易だが、大 信を制御しアクセスを許 ましくない。DMZ を経由 使用することで実現。
規模機関の場合は変更 可するホストを限定すべ しプロキシサーバなどをの申請が困難な場合が き。
利用したチェック機構が
ある。
必須。
イメージ

プロキシサーバ

負荷分散装置All Rights Reserved Copyright © 保健福祉医療情報セキュアネットワーク普及促進コンソーシアム 2007
- 57 -