信についても十分な安全性対策を求めること11。
➢

医療情報システムに対して、医療機関等の外部から接続する場合（例えばリモートメンテナンスによる場合や、テ
レワーク、訪問看護など）、医療機関等の内部のネットワークにおける盗聴リスクがあることから、セキュアなネットワ
ークによる接続が必要となる。これに対応するため、VPN 等を用いた経路の暗号化措置を施すこと。このとき、併
せて「７．２ 医療機関等外から医療情報システムに接続する利用の場合への対策」、「１０．医療情報シス
テム・サービス事業者による保守対応等に対する安全管理措置」に示す対策を講じること。
１３．３．２ 情報に対する暗号化

➢

医療機関等の内部のネットワークを通じて外部に医療情報を送信する場合、必要に応じて、送信する医療情報
自体に暗号化を施すことが求められる。特にオープンなネットワークの場合には、医療情報が相手先までに到達す
る経路が保証されないリスクに留意すること。
１３．３．３ 盗聴防止等

➢

ネットワークを利用して医療情報を外部と交換する場合、送信先に確実に情報を送り届ける必要がある。システ
ム運用担当者は下記脅威に対して適切な措置を講じることが求められる。
・ 盗聴
・ 改ざん
・ なりすまし
・ マルウェアの混入等や中間者攻撃
措置としては、ネットワークや機器、サービス等の監視、通信の相手先との相互認証などが想定される。

１３．４ 無線 LAN の利用における対策
➢

システム運用担当者は、医療情報システムにおいて無線 LAN を利用する際に、不正利用や盗聴などのほか、可
用性にも配慮した対策を講じることが求められる。

➢

無線を用いたネットワークであることから、本来利用が許されない第三者の利用に利用される、侵入者による攻撃
を受ける等のリスクがある。また適切な暗号化を講じないと、盗聴やマルウェアの混入などのリスクも生じる。さらに無
線 LAN で使用される電波は、その特性や、医療機関等の構造により接続がしにくくなるケースが生じることから、
可用性に留意した対応が求められる。
無線 LAN 通信の暗号化に際しては、通信内容の漏えいリスクを低減するため、安全な方法による暗号鍵の管
理が求められる。WPA2-PSK など事前入手方式は、利用者が同一の暗号鍵を共有することで、鍵が漏えいする
リスクが高いため、利用を避けること。

11

クラウドサービス事業者において、外部からの不正なアクセスを防止する観点から、併せて WAF（Web Application Firewall）を
用いることも効果的であることから、このような対策を講じている事業者を選択することで、より安全性が向上すると考えられる。

- 34 -