更新情報 最終更新日 H　24　年ネン　2　月ツキ　23　日ヒ
組織的ソシキテキ安全アンゼン管理カンリ対策タイサク
No チェック項目 実施済 実施予定（実施時期）
1 情報システム運用責任者の設置及び担当者（システム管理者を含む）の限定を行なっている。 ■ □（　　　　　　　）
2 個人情報が参照可能な場所においては、来訪者の記録・識別・入退を制限する等の入退管理を定めている。 ■ □（　　　　　　　）
3 情報システムへのアクセス制限、記録、点検等を定めたアクセス管理規程を作成している。 ■ □（　　　　　　　）
4 個人情報の取扱いを委託する場合、委託契約において安全管理に関する条項を含めている。 ■ □（　　　　　　　）
5 運用管理規程等において次の内容を定めている。 ■ □（　　　　　　　）
　 （a）個人情報の記録媒体の管理（保管・授受等）の方法
　 （b)リスクに対する予防、発生時の対応の方法
物理的ブツリテキ安全アンゼン対策タイサク
No チェック項目 実施済 実施予定（実施時期）
1 個人情報が保存されている機器の設置場所及び記録媒体の保存場所には施錠している。 ■ □（　　　　　　　）
2 個人情報を入力、参照できる端末が設置されている区画は、業務時間帯タイ以外は施錠等、権限者以外立ち入ることが出来ない対策を講じている。もしくは、同等レベルの他の取りうる手段がある。 ■ □（　　　　　　　）
3 個人情報の物理的保存を行なっている区画への入退管理を実施している。 ■ □（　　　　　　　）
4 入退者には名札等の着用を義務付け、台帳等に記入することによって入退の事実を記録している。 ■ □（　　　　　　　）
5 入退者の記録を定期的にチェックし、妥当性を確認している。 ■ □（　　　　　　　）
6 個人情報が依存するＰＣ等の重要な機器に盗難防止用ヨウチェーンを設置している。 ■ □（　　　　　　　）
7 離席時にも端末等での正当な権限者以外の者による窃視防止の対策を実施している。 ■ □（　　　　　　　）
技術的ギジュツテキ安全アンゼン対策タイサク
No チェック項目 実施済 実施予定（実施時期）
1 情報システムへのアクセスにおける利用者の識別と認証を行っている。 ■ □（　　　　　　　）
2 動作確認等で個人情報を含むデータを使用するときは、漏洩等に十分留意している。 ■ □（　　　　　　　）
3 関係職種ごとに、アクセスできる情報の範囲を定め、そのレベルに沿ったアクセス管理を行なっている。 ■ □（　　　　　　　）
4 アクセスの記録及び定期的なログを確認している。 ■ □（　　　　　　　）
5 アクセスの記録に用いる時刻情報は信頼できるものである。 ■ □（　　　　　　　）
6 システム構築時や、適切に管理されていないメディアを使用したり、外部からの情報を受け取る際にはウイルス等ナドの不正フセイなソフトウェアの混入コンニュウがないか確認カクニンしている。 ■ □（　　　　　　　）
7 システム内のパスワードファイルでパスワードは必ず暗号化（不可逆）され、適切な手法で管理及び運用が行なわれている。 ■ □（　　　　　　　）
8 利用者リヨウシャがパスワードを忘ワスれたり、盗用トウヨウされる恐オソれがある場合バアイで、システム管理者カンリシャがパスワードを変更ヘンコウする場合バアイには、利用者リヨウシャの本人ホンニン確認カクニンを行オコナい、 ■ □（　　　　　　　）
　どのような手法で本人確認を行ったのかを台帳に記載（本人確認を行った書類等のコピーを添付）し、本人以外が知りえない方法で再登録を実施している。
9 システム管理者であっても、利用者のパスワードを推定できる手段を防止している。 ■ □（　　　　　　　）
人的ジンテキ安全アンゼン対策タイサク（従業者ジュウギョウシャに対タイする人的ジンテキ安全アンゼン対策タイサク）
No チェック項目 実施済 実施予定（実施時期）
1 法令上の守秘義務のある者以外を事務職員等として採用するにあたっては、雇用及び契約時に守秘・非開示契約を締結すること等により安全管理を行なっている。 ■ □（　　　　　　　）
2 定期的に従業者に対し教育訓練を行っている。 ■ □（　　　　　　　）
3 従業者の退職後の個人情報保護規程を定めている。 ■ □（　　　　　　　）
人的ジンテキ安全アンゼン対策タイサク（事務ジム取ト扱アツカ委託イタク業者ギョウシャの監督カントク及オヨび守秘シュヒ義務ギム契約ケイヤク）
No チェック項目 実施済 実施予定（実施時期）
1 外部受託業者を採用する場合は、包括的な委託先の罰則を定めた就業規則等で裏づけられた守秘契約を締結している。 □ □（委託イタク予定ヨテイなし）
2 外部受託業者を採用する場合で、保守ホシュ作業サギョウ等ナドの情報ジョウホウシステムに直接チョクセツアクセスする作業サギョウの際サイには、作業者サギョウシャ・作業サギョウ内容ナイヨウ・作業サギョウ結果ケッカの確認カクニンを行オコなっている。 □ □（委託予定なし）
3 外部受託業者を採用する場合は、清掃セイソウ等ナドの直チョク接セツ医療イリョウ情報ジョウホウシステムにアクセスしない作業サギョウの場合バアイにおいても、作業サギョウ後ゴの定期的テイキテキなチェックを行オコなっている。 □ □（委託予定なし）
4 委託イタク先サキ事業者ジギョウシャが再サイ委託イタクを行オコなうか否イナかを明確メイカクにし、再委託サイイタクを行オコう場合バアイは委託先イタクサキと同等ドウトウの個人コジン情報ジョウホウ保護ホゴに関カンする対策タイサク及オヨび契約ケイヤクがなされていることを条件ジョウケンとしている。 □ □（委託予定なし）
情報ジョウホウの破棄ハキ
No チェック項目 実施済 実施予定（実施時期）
1 情報ジョウホウ種別シュベツごとに破棄ハキの手順テジュンを定サダめている。 ■ □（　　　　　　　）
2 情報ジョウホウ処理ショリ機器キキ自体ジタイを破棄ハキする場合バアイ、必カナラず専門的センモンテキな知識チシキを有ユウするものが行オコなうこととし、残存ザンゾンし、読ヨみ出ダし可能カノウな情報ジョウホウがないことを確認カクニンしている。 ■ □（　　　　　　　）
3 破棄ハキを外部ガイブ事業者ジギョウシャに委託イタクした場合バアイは、委託イタク元モトの医療イリョウ機関キカン等ナドが確実カクジツに情報ジョウホウの破棄ハキが行オコなわれたことを確認カクニンしている。 ■ □（　　　　　　　）
4 運用ウンヨウ管理カンリ規程キテイにおいて不要フヨウになった個人コジン情報ジョウホウを含フクむ媒体バイタイの廃棄ハイキを定サダめる規程キテイの作成サクセイを定サダめている。 ■ □（　　　　　　　）
情報ジョウホウシステムの改造カイゾウと保守ホシュ
No チェック項目 実施済 実施予定（実施時期）
1 動作ドウサ確認カクニンで個人コジン情報ジョウホウを含フクむデータを使用シヨウするときは、明確メイカクな守秘シュヒ義務ギムの設定セッテイを行オコナうともに、終了後シュウリョウゴは確実カクジツにデータを消去ショウキョする等ナドの処理ショリを行オコうことを求モトめている。 ■ □（　　　　　　　）
2 メンテナンスを実施ジッシするためにサーバに保守ホシュ会社カイシャの作業サギョウ員インがアクセスする際サイには、保守ホシュ要員ヨウイン個人コジンの専用センヨウアカウントを使用シヨウし、個人コジン情報ジョウホウへのアクセスの有無ウム、 ■ □（　　　　　　　）
 およびアクセスした場合バアイは対象タイショウ個人コジン情報ジョウホウを含フクむ作業サギョウ記録キロクを残ノコしている。
3 保守ホシュ要員ヨウイン個人コジンの専用センヨウアカウントは外部ガイブ流出リュウシュツ等ナドによる不正フセイ使用シヨウの防止ボウシの観点カンテンから適切テキセツに管理カンリすることを求モトめている。 ■ □（　　　　　　　）
4 保守ホシュ要員ヨウインの離職リショクや担当タントウ変カえ等ナドに対タイして速スミやかに保守用ホシュヨウアカウントを削除サクジョできるよう、保守ホシュ会社カイシャからの報告ホウコクを義務付ギムヅけまた、それに応オウじるアカウント管理カンリ体制タイセイを整トトノえている。 ■ □（　　　　　　　）
5 保守ホシュ会社ガイシャがメンテナンスを実施ジッシする際サイには、日ニチ単位タンイに作業サギョウ申請シンセイの事前ジゼン提出テイシュツすることを求モトめ、終了シュウリョウ時ジの速スミやかな作業サギョウ報告ホウコク書ショの提出テイシュツを求モトめること。 ■ □（　　　　　　　）
　それらの書類は医療機関等の責任者が逐一承認している。
6 保守ホシュ会社ガイシャと守秘シュヒ義務ギム契約ケイヤクを締結テイケツし、これを遵守ジュンシュさせている。 ■ □（　　　　　　　）
7 保守ホシュ会社ガイシャが個人コジン情報ジョウホウを含フクむデータを組織ソシキ外ガイに持モち出ダすことは避サけるべきであるが、やむ得エない状況ジョウキョウで組ク織外に持ち出さなければならない場合には、 ■ □（　　　　　　　）
　置き忘れ等に対する十分な対策を含む取扱いについて運用管理規定を定めることを求め、医療機関等の責任者が逐一承認している。
8 リモートメンテナンスによるシステムの改造カイゾウや保守ホシュが行オコなわれる場合バアイには、必カナラずメッセージログを採取サイシュし、当該トウガイ作業サギョウの終了シュウリョウ後ゴ速スミやかにメッセージログの内容ナイヨウを医療イリョウ機関キカン等ナドの責任者セキニンシャが確認カクニンしている。 □ □（リモート予定ヨテイなし）
9 再サイ委託イタクが行オコなわれる場合バアイは再サイ委託イタク先サキにも保守ホシュ会社ガイシャと同等ドウトウの義務ギムを課カしている。 ■ □（　　　　　　　）
災害サイガイ等トウの非常ヒジョウ時ジの対応タイオウ
No チェック項目 実施済 実施予定（実施時期）
1 医療イリョウサービスを提供テイキョウし続ツヅけるためのBCPの一環イッカンとして”非常ヒジョウ時ジ”と判断ハンダンする仕組シクみ、正常セイジョウ復帰フッキ時ジの手順テジュンを設モウけている。 ■ □（　　　　　　　）
2 正常セイジョウ復帰フッキ後ゴに、代ダイ替カ手段シュダンで運用ウンヨウした間アイダのデータ整セイ合ゴウ性セイを図ハカる契約ケイヤクを用意ヨウイしている。 ■ □（　　　　　　　）
3 非常ヒジョウ時ジのユーザアカウントや非常ヒジョウ時ジ用ヨウ機能キノウの管理カンリ手順テジュンを整備セイビしている。 □ ■（　検討中ケントウチュウ　）
4 非常ヒジョウ時ジ機能キノウが定テイ常時ジョウジに不適切フテキセツに利用リヨウされることがないようにし、もし使用シヨウされた場合バアイには使用シヨウされたことが多オオくの人ヒトにわかるようにする等ナド、適切テキセツに管理カンリおよび監査カンサを行オコなっている。 ■ □（　　　　　　　）
5 非常ヒジョウ時ジ用ヨウユーザアカウントが使用シヨウされた場合バアイ、正常セイジョウ復帰フッキ後ゴは継続ケイゾク使用シヨウが出来デキないように変更ヘンコウしている。 □ ■（　検討中　）
6 サイバー攻撃コウゲキで広範コウハンな地域チイキでの一部イチブ業務ギョウムの停止テイシなど業務ギョウム提供テイキョウ体制タイセイに支障シショウが発生ハッセイする場合バアイは、所管ショカン官庁カンチョウへの連絡レンラクを行オコなっている。 □ ■（　検討中　）
外部ガイブと個人コジン情報ジョウホウを含フクむ医療イリョウ情報ジョウホウを交換コウカンする場合バアイの安全アンゼン管理カンリ
No チェック項目 実施済 実施予定（実施時期）
1 ネットワーク経路ケイロでのメッセージ挿サ入イ、ウイルス混入コンニュウなどの改カイざんを防止ボウシする対策タイサク、施設シセツ間カンの経路ケイロ上ジョウにおいてクラッカーによるパスワード盗聴トウチョウ、本文ホンブンの盗聴トウチョウを防止ボウシする対策タイサク、 ■ □（　　　　　　　）
 セッション乗っ取りＩＰアドレス詐称などのなりすましを防止する対策をとっている。
2 データ送信ソウシン元モトと送信ソウシン先サキでの、拠点キョテンの出入デイり口グチ・使用シヨウ機器キキ・使用シヨウ機器キキ上ジョウの機能キノウ単位タンイ・利用者リヨウシャの必要ヒツヨウな単位タンイで、相手アイテの確認カクニン（認証ニンショウ）を行オコなっている。 ■ □（　　　　　　　）
3 施設シセツ内ナイにおいて、正規セイキ利用者リヨウシャへの成ナりすまし、許可キョカ機器キキへの成ナりすましを防フセぐ対策タイサクをとっている。 ■ □（　　　　　　　）
4 ルータなどのネットワーク機器キキは、安全アンゼン性セイが確認カクニンできる機器キキを利用リヨウし、施設シセツ内ナイのルータを経由ケイユして異コトなる施シ設セツ間アイダを結ムスぶVPNの間アイダで送受信ソウジュシンが出来デキないように経路ケイロ設定セッテイされている。 ■ □（　　　　　　　）
5 送信ソウシン元モトと相手先アイテサキの当トウ事業者ジギョウシャ間カンで当該トウガイ情報ジョウホウそのものに対タイする暗号化アンゴウカなどのセキュリティ対策タイサクを実施ジッシしている。 □ ■（　１０月ガツ　　）
6 通信ツウシン事業ジギョウ者シャやシステムインテグレーター、運用ウンヨウ委託イタク事業ジギョウ者シャ、遠隔エンカク保守ホシュを行オコなう機器キキ保守ホシュ会社ガイシャなどと、次ツギの事項ジコウについて、これら関連カンレン組織ソシキの責任セキニン分ブン界カイ点テン、責任セキニンの所在ショザイを契約書等ケイヤクショナドで明確メイカクにしている。 □ ■（　１０月ガツ　　）
　 診療シンリョウ情報ジョウホウ等ナドを含フクむ医療イリョウ情報ジョウホウを、送信ソウシン先サキの医療イリョウ機関キカン等ナドに送信ソウシンするタイミングと一連イチレンの情報ジョウホウ交換コウカンに係カカわる操作ソウサを開始カイシする動作ドウサの決定ケッテイ
　 送信元ソウシンモトの医療イリョウ機関キカン等ナドがネットワークに接続セツゾクできない場合バアイの対処タイショ
　 送信ソウシン先サキの医療イリョウ機関キカン等ナドがネットワークに接続セツゾクできない場合バアイの対処タイショ
　 ネットワークの経路ケイロ途中トチュウが不通フツウまたは著イチジルしい遅延チエンの場合バアイの対処タイショ
　 送信ソウシン先サキの医療イリョウ機関キカン等ナドが受ウけ取トった保存ホゾン情報ジョウホウを正タダしく受信ジュシンできなかった場合バアイの対処タイショ
　 伝送デンソウ情報ジョウホウの暗号化アンゴウカに不具合フグアイがあった場合バアイの対処タイショ
　 送信元ソウシンモトの医療イリョウ機関キカン等ナドと送信ソウシン先サキの医療イリョウ機関キカン等ナドの認証ニンショウに不具合フグアイがあった場合バアイの対処タイショ
　 障害ショウガイが起オこった場合バアイに障害ショウガイ部位ブイを切キり分ワける責任セキニン
　 送信元ソウシンモトの医療イリョウ機関キカン等ナドまたは送信ソウシン先サキの医療イリョウ機関キカン等ナドが情報ジョウホウ交換コウカンを中止チュウシする場合バアイの対処タイショ
7 医療イリョウ機関キカン内ナイにおいて次ツギの事項ジコウにおいて契約ケイヤクや運用ウンヨウ管理カンリ規程等キテイナドで定サダめている。 ■ □（　　　　　　　）
　 通信ツウシン機器キキ、暗号アンゴウ化カ装置ソウチ、認証ニンショウ装置ソウチ等ナドの管理カンリ責任セキニンの明確化メイカクカ。外部ガイブ事業者ジギョウシャへ管理カンリを委託イタクする場合バアイは責任セキニン分界ブンカイ点テンも含フクめた整理セイリと契約ケイヤクの締結テイケツ。
　 患者カンジャ等ナドに対タイする説明セツメイ責任セキニンの明確化メイカクカ
　 事故ジコ発生ハッセイ時ジにおける復旧フッキュウ作業サギョウ・他タ施設シセツやベンダとの連絡レンラクに当アたる専任センニンの管理者カンリシャの設置セッチ。
　 交換コウカンした医療イリョウ情報ジョウホウ等ナドに対タイする結果ケッカ責任セキニンの明確化メイカクカ。
　 個人コジン情報ジョウホウの取ト扱アツカいに関カンして患者カンジャから照会ショウカイ等ナドがあった場合バアイの送信ソウシン元モト、送信ソウシン先サキ双方ソウホウの医療機関等イリョウキカンナドへの連絡レンラクに関カンする事項ジコウ、またその場合バアイの個人コジン情報ジョウホウの取扱トリアツカいに関カンする秘密ヒミツ事項ジコウ。
8 リモートメンテナンスを実施ジッシする場合バアイは、必要ヒツヨウに応オウじて適切テキセツなアクセスポイントの設定セッテイ、プロトコルの限定ゲンテイ、アクセス権限ケンゲン管理カンリ等ナドを行オコって不必要フヒツヨウなログインを防止ボウシしている。 □ □（リモート予定ヨテイなし）
9 回線カイセン事業者ジギョウシャやオンラインサービス提供テイキョウ事業者ジギョウシャと契約ケイヤクを締結テイケツする際サイには、脅威キョウイに対タイする管理カンリ責任セキニンの範囲ハンイや回線カイセンの可用性等カヨウセイナドの品質ヒンシツに関カンして問題モンダイがないか確認カクニンしている。 ■ □（　　　　　　　）