７．２．１ 医療機関等の職員による外部からのアクセス
➢

医療機関等の職員がテレワークを含めて自宅等や訪問先などから医療情報システムへアクセスすることを許可す
ることもあり得る。この場合、安全管理のため、職員からの接続については、
・ 接続できる職員に対関する事前の許可
・ 外部から接続する際の技術的対応
等の対応が考えられる挙げられる。事前の許可については、具体的な手続等について、システム運用担当者で手
順等を定めて、外部から接続できる利用者と利用権限の範囲を設定するための手続を行い、その結果を企画管
理者に報告するなどの対応が必要となる。

➢

事前の許可については、システム運用担当者が具体的手順等を定めて、接続可能な利用者と権限の範囲を設
定すること。また、その結果を企画管理者に報告すること。

➢

技術的な対応については、下記を含む措置を、システム運用担当者が講じる必要がある。
・ 外部からのアクセスに関する認証・認可
・ 外部から利用する際のネットワークの要件
・ 外部から利用する端末等の要件
等の措置を、システム運用担当者は講じる必要がある。

➢

外部からの認証・認可については、外部の環境から医療機関等が管理するネットワークに接続するための認証等
を行うの措置を講じることが求められる。認証等の要件は、「１４．１利用者認証 13．１ 医療情報システム
に共通する利用者に関する認証等及び権限」に示す。

➢

外部からネットワークを利用する場合、医療機関等が接続先を管理するネットワークに接続する前に、オープンな
ネットワーク（13.1 参照）を経由することがが想定される。この場合、「１３．１ 医療情報システムに共通す
る利用者に関する認証等及び権限」に示すオープンなネットワークを利用する場合の対策を講じてたうえで、十分
なチャネル・セキュリティをが確実に確保される措置を講じるすることが必要である。

➢

外部から利用する端末等の要件については、医療機関等が管理するにより支給された端末を使うことが想定され
る。一方で、が、医療機関等によっては、「９９．ソフトウェア・サービスに対する要求事項．ソフトウェア・サービス
に対する要求事項に対する安全管理措置」に示す措置を講じて、個人の所有する、あるいは個人の管理下にあ
る端末（ノートパソコン、スマートフォン、タブレット等）をの業務利用（Bring Your Own Device：以下
「BYOD」という。）など医療機関等が管理しない端末を使用すること（Bring Your Own Device：以下
「BYOD」という。）も想定される。端末等の要件に関しては、考慮すべき点が 3 つある。
・ PC 等といっても、その安全管理対策を確認するためには一定の知識と技能が必要で、一般の職員にその知
識と技能を要求することは難しい。
・ 運用管理規程や手順等で定めたこと内容が確実に実施されていることの実施状況を説確認明するためには、
適切な運用の点検と監査が必要であるが、が、外部からのアクセスの状況を点検、監査することは負担が大き
い。
・ 医療機関等の管理が及ばない私物の PC や、極端な場合は不特定多数の人間人が使用する PC の場合は
もちろん、医療機関等が管理する情報機器を使用する場合であっても、の想定と異なる環境で使用していれ
ばされ、想定外の安全管理影響を受ける上の支障が生じる可能性がある。したがって、職員による外部からの
アクセスを行う場合は、盗聴、なりすまし防止及びアクセス管理を実現した VPN 技術等により安全性を確保し
た上で、仮想デスクトップ等を利用する等の運用の要件を設定すること。ここでいう仮想デスクトップ等とは、利
用する端末の作業環境内に、ユーザ認証を経た後で、医療機関等に設置した機器の画面を表示する仕組み
であること。その他これ以外には、ユーザ権限を厳格に管理した専用端末の貸与等もが考えられる。
- 16 -