また、サイバー攻撃への対策については、PC や VPN 機器等の脆弱性対策をはじめとす
る 6.5 章及び 6.6 章に記載されている内容や、NISC から示されている「政府機関等の
サイバーセキュリティ対策のための統一基準群（令和３年度版）」
、2021 年 4 月 30 日の
「ランサムウェアによるサイバー攻撃に関する注意喚起について」も参照すること。メ
ンテナンス自体は 6.8 章を参照すること。
9. 電気通信事業者やオンラインサービス提供事業者と契約を締結する際には、脅威に対
する管理責任の範囲や回線の可用性等の品質を確認すること。また、上記 1 及び 4 を
満たしていることを電気通信事業者やオンラインサービス提供事業者に確認すること。
10. 患者等に情報を閲覧させる場合、情報を公開しているコンピュータシステムを通じて、
医療機関等の内部のシステムに不正な侵入等が起こらないように、例えば、システムや
アプリケーションを切り分け、ファイアウォール、アクセス監視、通信の TLS 暗号化、
PKI 個人認証等の対策を実施すること。また、情報の主体者となる患者等へ危険性や提
供目的についての納得できる説明を行い、IT に係る以外の法令等の遵守の体制等も含
めた幅広い対策を立て、それぞれの責任を明確にすること。
11. オープンなネットワークにおいて、IPsec による VPN 接続等を利用せず HTTPS を利用す
る場合、TLS のプロトコルバージョンを TLS1.3 以上に限定した上で、クライアント証
明書を利用した TLS クライアント認証を実施すること。ただしシステム・サービス等の
対応が困難な場合には TLS1.2 の設定によることも可能とする。その際、TLS の設定は
サーバ/クライアントともに「TLS 暗号設定ガイドライン 3.0.1 版」に規定される最も
安全性水準の高い「高セキュリティ型」に準じた適切な設定を行うこと。なお、SSL-VPN
は利用する具体的な方法によっては偽サーバへの対策が不十分なものが含まれるため、
使用する場合には適切な手法の選択及び必要な対策を行うこと。また、ソフトウェア型
の IPsec 又は TLS1.2 以上により接続する場合、セッション間の回り込み（正規のルー
トではないクローズドセッションへのアクセス）等による攻撃への適切な対策を実施
すること。
12. クローズドなネットワークで接続する場合でも、内部トラフィックにおける脅威の拡
散等を防止するために、不正ソフトウェア対策ソフトのパターンファイルや OS のセ
キュリティ・パッチ等、リスクに対してセキュリティ対策を適切に適用すること。
13. 電子署名に用いる秘密鍵の管理は、認証局が定める「証明書ポリシー」（CP）等で定め
る鍵の管理の要件を満たして行うこと。
D．推奨されるガイドライン
1. 従業者による外部からのアクセスを許可する場合は、PC の作業環境内に仮想的に安全
管理された環境を VPN 技術と組み合わせて実現する仮想デスクトップのような技術を
用いるとともに、運用等の要件を設定すること。
2. 共通鍵、秘密鍵を格納する機器、媒体については、FIPS140-2 レベル１相当以上の対応

48