保 発

0801 第 ５ 号

令 和 ６ 年 ８ 月 １ 日

都道府県知事
地方厚生（支）局長
都道府県後期高齢者医療広域連合事務局長
社会保険診療報酬支払基金理事長

殿全国健康保険協会理事長
健康保険組合理事長
健康保険組合連合会長

厚生労働省保険局長（公印省略）

健康保険法施行規則第 155 条の９に規定する厚生労働大臣が認めた者について健康保険法施行規則（大正 15 年内務省令第 36 号）第 155 条の９に規定する厚生労働大臣が認めた者の確認にかかる手続き等について、別添の「健康保険法施行規則第 155 条の９に規定する厚生労働大臣が認めた者について」のとおりとしますので、その適正な実施に遺漏なきを期されるとともに、貴管下の保険医療機関、審査支払機関及び関係団体等に対する周知につき配慮されたい。

（別添）
健康保険法施行規則第 155 条の９に規定する厚生労働大臣が認めた者について第１厚生労働大臣が認めた者についての基本的な考え方
健康保険法（大正 11 年法律第 70 号。以下「法」という。）第 150 条の９の規定により、厚生労働大臣は、法第 77 条第２項に規定する調査等に係る事務について、社会保険診療報酬支払基金又は国民健康保険団体連合会その他厚生労働省令で定める者に委託することができるとされているところ。当該厚生労働省令で定める者については、健康保険法施行規則第 155 条の９の規定により、法第 150 条の９に規定する事務を適切に行うことができる者として厚生労働大臣が認めた者とすることとされている。
厚生労働大臣が認めた者の確認は、当該確認を受けようとする者が作成した事務の実施に関する体制等が認定基準を満たす場合に、厚生労働大臣が認定することにより行うものとし、これに係る具体的な手続き、認定基準等は以下に示すとおりとする。

第２１

新規認定の手続き
健康保険法施行規則第 155 条の９に規定する厚生労働大臣が認めた者の確認を受けようとする
者は、別紙様式１に掲げる申請書により令和６年９月 19 日（木）までに厚生労働大臣に提出すること。また申請書類を提出する意思がある事業者は令和６年８月 28 日（水）までに厚生労働省保険局医療課包括医療推進係に連絡すること。
※令和６年度においては、令和７年度及び令和８年度における事業の実施期間分について確認する。

２

１の申請書には、次に掲げる書類を添えなければならないこと。
（１）定款及び登記事項証明書又はこれらに準ずるもの（２）申請の日の属する事業年度及び翌事業年度における事業計画書及び収支予算書（３）その他厚生労働大臣が必要と認める書類（４）誓約書類（別紙様式２）３

第３

申請書は、厚生労働省保険局医療課包括医療推進係に、正副２部提出すること。

新規の認定の確認
厚生労働大臣は、新規の認定の申請が認定の基準に適合するかどうかを確認するに当たり、対象となる事業者について、法第 150 条の９に規定する事務を適切に実施できるか等について、情報セキュリティ等に関する専門家等の意見を聴いて、申請者に対し、書類の確認等を実施する。そのために必要な限度において、厚生労働省は申請者に対し、説明又は資料の提出を求める。
なお、厚生労働大臣は基準に適合する者について、別紙様式３の認定証を交付する。
認定証の有効期間は２年間とする。

第４

認定基準
法第 150 条の９に規定する事務を適切に行うことができる者に係る基準は、以下に掲げるものとする。
１

事業に関する専門的な知識を有し業務に対応可能な人員、設備の確保
申請者等が、診療報酬全般及び DPC/PDPS（診断群分類点数表、診断群分類定義樹形図、診断群分類定義表等）に関する専門的な知識を有し、本業務に対応可能な人員を確保していること。
大規模な診療等関連情報を円滑かつ適正に取得することができる設備を備えていること。

２

法令等を遵守した運営体制の確保
事業を適切かつ確実に行うための内部規則等を定め、これに基づく事業運営の検証方法、法令を順守した運営を確保していること。

３

診療等関連情報の安全管理に係る基本方針（１）安全管理に係る基本方針
事業に関し管理する診療等関連情報の安全管理に係る基本方針を定めていること。
（２）安全管理責任者
診療等関連情報の安全管理に関する相当の経験及び識見を有する責任者を配置していること。
ア

安全管理責任者の配置

イ

安全管理責任者の権限及び責任の明確化

ウ

安全管理責任者の業務の明確化

エ

安全管理責任者の実務経験及び専門性の明確化オ

安全管理責任者の代位者の指定（３）診療等関連情報取扱者の権限及び責務並びに業務診療等関連情報を取り扱う者の権限及び責務並びに業務を次のとおり明確にしていること。
ア

診療等関連情報の取扱者の範囲の明確化

イ

診療等関連情報の取扱者の権限及び責務の明確化

ウ

診療等関連情報の取扱者の業務の明確化（４）漏えい等事態に際しての事務処理体制
漏えい、滅失又は毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態が生じた場合における事務処理体制が整備されていること。具体的には次に掲げる事項に対応できる体制が整備されていること。

４

ア

漏えい等事態に対応するための組織体制の整備

イ

組織的に漏えい等事態を把握するための体制の整備

ウ

漏えい等事態に関する事実関係の調査

エ

漏えい等事態に伴う被害を最小化するための対策

オ

漏えい等事態と類似する事態の再発を防止するための対策

カ

漏えい等事態に関する厚生労働省に対する速やかな報告

安全管理措置に関する規程の整備等
組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置等に関する以下の事項を行っていること。

①

組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置等に関する規程の策定及び実施に関すること。

②

組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置等に関する規程の運用に関する評価及び改善に関すること。

５

外部の専門家による情報セキュリティ監査の受検等
外部の専門家による情報セキュリティ監査の受検又は第三者認証の取得により、安全管理に係る措置の継続的な確保を図っていること。
①

外部の専門家による情報セキュリティ監査（第三者によるペネトレーションテスト及び匿名加工情報再識別テストを含む。）の定期的な受検②
６

ISMS（ISO/IEC27001 及び JIS Q 27001）等の第三者認証の継続的な取得
人的安全管理措置（１）診療等関連情報取扱者が誓約事項に該当しないことの確認
診療等関連情報を取り扱う者が、誓約事項のいずれにも該当しない者であることを確認していること。（別紙様式２関係）（２）診療等関連情報の適切な取扱いの確保
診療等関連情報を取り扱う者が、事業の目的の達成に必要な範囲を超えて、情報を取り扱うことがないことを確保するための措置を次のとおり講じていること。
ア

責務を自覚して誠実かつ適正に職務を遂行する従事者の採用又は選任

イ

従事者に対する内部規則等の内容に関する周知（診療等関連情報取扱者による誓約書等の提出を含む。）（３）診療等関連情報取扱者に対する教育および訓練
診療等関連情報を取り扱う者に対して次のとおり必要な教育及び訓練を実施すること。
ア

従事者に対する定期的な研修を始めとする教育及び訓練

イ

教育及び訓練の対象者に対する理解度の把握及びそれに基づく必要な対策

ウ

教育及び訓練に関する記録の作成及び保存（４）診療等関連情報の不適切な取扱いの防止
診療等関連情報を取り扱う権限を有しない者による情報の取扱いを防止する措置を次のとおり定めていること。
ア

診療等関連情報を取り扱う権限を有する従業者しか当該情報を取り扱うことができない旨の規程

イ

診療等関連情報を取り扱う権限を有しない従業者又は部外者による当該情報の取扱い（閲覧を含む。）を防止する措置

７

物理的安全管理措置（１）施設設備の区分
診療等関連情報を取り扱う事務を実施する区域を定めて他の区域と明確に区分するとともに、侵入や窃視の防止など以下について適切な安全管理措置を講ずること。
ア

診療等関連情報の管理・取扱区域とその他の区域との区分

イ

当該区分に応じた診療等関連情報の安全管理のために必要かつ適切な措置（２）施設設備への立入り及び機器の持込みを制限
診療等関連情報を取り扱う施設設備への立入り及び機器の持込みを制限する措置を講ずる

とともに、監視カメラの設置その他の当該施設設備の内部を常時監視するための装置を備えていること。
ア

管理・取扱区域に対する立入りを制限する措置

イ

管理・取扱区域内の機器の持出しを制限する措置

ウ

管理・取扱区域外の機器の持込みを制限する措置

エ

機器の持込み・持出しの記録（入退室管理簿の整備等） 等

オ

診療等関連情報を取り扱う施設設備の内部を常時監視するためのカメラその他の装置を備え付ける措置（３）端末装置の機能限定
診療等関連情報を取り扱う端末装置については、原則として、補助記憶装置及び可搬記録媒体（電子計算機又はその周辺機器に挿入し、又は接続して情報を保存することができる媒体又は機器のうち、可搬型のものをいう。）への記録機能を有しないものとし、このような取扱いが困難である場合には、その理由を明らかにした上で、診療等関連情報が抜き取られるリスクを低減するための代替的な以下の措置を講ずる必要がある。
ア

端末装置が持ち出されるリスクを低減するための措置

イ

診療等関連情報が盗み見られるリスクを低減するための措置

ウ取り扱われる診療等関連情報が抜き取られるリスクを低減するための措置（４）消去、廃棄の復元不可能な手段での実施
診療等関連情報を削除し、又は診療等関連情報が記録された機器、電子媒体等を廃棄する
場合には、以下の措置を講じ復元不可能な手段で行うこと。
ア

事業を実施するために必要な最小限度での診療等関連情報の保有

イ

復元不可能な手段による診療等関連情報の消去又は診療等関連情報が記録された機器の廃棄

ウ

診療等関連情報の消去又は診療等関連情報が記録された機器の廃棄に関する記録の作成
及び保存８

技術的安全管理措置（１）不正アクセス行為の防止
診療等関連情報を取り扱う施設設備について、不正アクセス行為（不正アクセス行為の禁止等に関する法律（平成 11 年法律第 128 号）第２条第４項に規定する不正アクセス行為をいう。）を防止するため、次に掲げる適切な措置を講じていること。
ア

診療等関連情報を取り扱う機器のネットワークにおける不正なアクセス（不要なアクセスを含む。）を制御する措置イ

診療等関連情報を取り扱う機器において、必要最小限のアクセス権限を付与するとともに、アクセス権限の付与を受けた診療等関連情報取扱者を識別し、かつ、認証した上で、必要最小限の操作を認可するよう、設定し管理する措置

ウ

診療等関連情報を取り扱う機器における脆弱性に対応する措置（２）電子計算機及び端末装置の動作の記録並びに操作の検知及び制御
電子計算機及び端末装置の動作の記録並びに操作の検知及び制御に関する書類には次の事項を記載すること。また、次のとおり、電子計算機及び端末装置の動作を記録するとともに、通常想定されない当該電子計算機及び端末装置の操作を検知し、当該操作が行われた電子計

算機及び端末装置を制御する措置を講ずること。
ア

ログを保存する措置

イ

ログの改ざん又は不正な消去を防止する措置

ウ

ログの収集、監視及び分析を定期的に実施する措置

エ

通常想定されない操作を検知し、それに応じて操作を制御する措置（３）電子計算機又は端末装置の機能の確認
診療等関連情報の取扱いに係る電子計算機又は端末装置において、第三者が当該電子計算機又は端末装置に使用目的に反する動作をさせる機能が具備されていないことを確認するた
めに、診療等関連情報を取り扱う電子計算機及び端末装置を始めとする機器に関する調達の履歴を管理すること。
（４）送受信又は移送診療等関連情報を電気通信により送受信するとき、又は移送し、若しくは移送を受けるときは、次に掲げる措置を講じていること。
ア

電気通信による方法で診療等関連情報を送受信するに際しての診療等関連情報の安全管理のために必要かつ適切な措置

イ

電気通信によらない方法で診療等関連情報を移送し、又は移送を受けるに際しての診療等関連情報の安全管理のために必要かつ適切な措置（５）サーバ用の電子計算機の接続安全管理を全うするため、診療等関連情報を管理するサーバ（以下「管理サーバ」という。）について、オープンなネットワーク環境から切り離した環境で、不正なアクセス（不要なアクセスを含む。）を制御するために、サーバ用の電子計算機の接続に関する書類において、次の事項を記載すること。
ア

管理サーバを一次受信サーバ又は出口サーバと別に設置する措置（ファイルシステム等の暗号化等を含む。）

イ

一次受信サーバ又は出口サーバを経由する以外の方法で管理サーバを外部のネットワークに接続しない措置（診療等関連情報を取り扱う機器の安全性の確保を含む。）

ウ

漏えい等事態を生じないように管理サーバを一次受信サーバ又は出口サーバと接続する
措置

９

その他措置
（１）被害の補償取得した情報の漏えいその他の事故が生じた場合におけるサイバーセキュリティ保険等への加入など、被害の補償のための措置を講じていること。
（２）事業継続計画の策定等
診療等関連情報を収集・管理することから、サイバー攻撃への対応だけでなく、自然災害に対しても、障害発生時に適切な対応を行うことが求められる。データの漏えい等を防ぎ、データのバックアップを万全とするため、以下の措置を講ずること。
ア

事業継続計画の策定

イ

リスクの分散を勘案した予備の機器の設置又はそれに代替する措置

ウ

障害の発生の防止

エ

障害の発生の検知及び対策

第５変更の届出（別紙様式４）
健康保険法施行規則第 155 条の９に規定する厚生労働大臣が認めた者として認定を受けた者は、第２の１に掲げる申請書の内容を変更しようとするときは、あらかじめ厚生労働大臣の確認を受けたうえで、変更届出書を提出すること。ただし、厚生労働大臣の確認を受ける際に不適当な事項等について指摘を受けた場合は必要な修正を行うこと。

第６

報告の徴収及び検査
厚生労働大臣は、当該事務の実施に関し必要があると認めるときは、当該認定を受けた者に対して報告を求めることができる。
厚生労働大臣は、当該認定を受けた者による当該事務の実施について適当でないと認めるときは、当該認定を受けた者に対して必要な検査をすることができる。

第７認定の取消し厚生労働大臣は、当該認定を受けた者が、第４に掲げる認定基準を満たさなくなったと認めたときは、当該認定を取り消すことができる。

第８認定の取下げの申請（別紙様式５）
当該認定を受けた者は、認定の取下げをするときは、あらかじめ次に掲げる事項を記載した申請書を厚生労働大臣に提出すること。
１

認定の取下げをする理由

２

認定の取下げをする期日

（別紙様式１）
年

厚生労働大臣

月日

殿

団体名称
代表者名

健康保険法施行規則第 155 条の９に規定する厚生労働大臣が認めた者に係る申請書
健康保険法施行規則第 155 条の９の認定を受けたいので、下記のとおり申請します。

記

１．団体の名称

２．法人番号（１３桁）

３．団体の住所

４．団体の代表者又は管理人の氏名（注１）５．認定の申請に係る業務を行おうとする事務所の所在地（注１）６．添付書類（１）「健康保険法施行規則第 155 条の９に規定する厚生労働大臣が認めた者について」第２
認定の手続き新規

２（１）から（４）までに関する書類（２）役員の氏名、住所及び略歴を記載した書類（３）健康保険法施行規則第 155 条の９の規定に規定する厚生労働大臣が認めた者について第４定基準に適合していることを証する書類（注１）登記されている場合は、登記上の記載と一致すること。

備考

用紙の大きさは、日本産業規格Ａ４とすること。

認（別紙様式２）

誓約書

一認定を取り消され、その取消しの日から二年を経過しない者

二

その業務を行う役員等（法人でない団体で代表者又は管理人の定めのあるものの代表者又は管理人を含む。以下同じ。）のうちに、次のいずれかに該当する者があるもの

イ

禁錮以上の刑に処せられ、又はこの法律の規定により刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から二年を経過しない者

ロ認定を取り消された法人において、その取消しの日前三十日以内にその役員であった者でその取消しの日から二年を経過しない者

ハ精神の機能の障害によりその業務を適正に行うに当たって必要な認知、判断及び意思疎通を適切に行うことができない者

三

申請者が、過去１年間において、厚生労働省が所管する法令に違反したことにより送検され、行政処分を受け、又は行政指導（行政機関から公表されたものに限る。）を受けた者であることに該当すること。

団体名称
代表者名

当団体（業務に従事する者含む）は、上記に該当しないことを誓約いたします。

（別紙様式３）
厚生労働省発保○○第○号

令 和 ○ 年 ○ 月 ○ 日

認定証

健康保険法施行規則（大正 15 年内務省令第 36 号）第 155 条の９に規定する厚生労働大臣が認めた者とするとして認定する。

年

月日

厚生労働大臣

１

名称

２

住所

３

有効期間
年

月日から年月日まで

武見敬三

印

（別紙様式４）
変更届出書

認定年月日
年
厚生労働大臣

月日殿（郵便番号）
住所

名

称

連絡先
下記のとおり、「健康保険法施行規則第 155 条の９に規定する厚生労働大臣が認めた者について」
第５

変更の届出に基づき関係書類を添えて変更事項を届出ます。

記
新

旧

変更事項

変更理由

備考

１

用紙の大きさは、日本産業規格Ａ４とすること。

２「健康保険法施行規則第 155 条の９に規定する厚生労働大臣が認めた者について」に記載する認定基準に適合していることを証する書類（変更となった書類のみ）及び変更事項に係る書類並びに認定証の写しを添付すること。

（別紙様式５）取下げ申請書年
厚生労働大臣

月日殿（郵便番号）
住所

名

称

連絡先
下記のとおり、「健康保険法施行規則第 155 条の９に規定する厚生労働大臣が認めた者について」第８認定の取下げの申請に基づき申請します。

記

取下げしようとする理由
認定の取下げをする期日
認定年月日

備考

１

用紙の大きさは、日本産業規格Ａ４とすること。

２

認定証を添付すること。