JAHIS標準16-003

リモートサービスセキュリティガイドラインVer.3.0


ま え が き
 

 医療のICT 化は医事会計システム、部門システム、オーダエントリシステム、電子カルテシステムの順に整備され、電子化された医療情報は、施設間連携などの医療行為のなかでやりとりされるだけでなく、ネットワークを介して交換されるようになりました。
 医療機器の保守においても、医療機関と医療機器ベンダとをネットワークで結び、安全にかつ効率的に行うようになってきました。そのためには、扱う患者データ等の個人情報の持ち出しやシステムの運用妨害などのリスクを漏れなく把握し、医療機関と医療機器ベンダ双方がセキュリティ対策を講じていかなければなりません。
 JAHISセキュリティ委員会ではJIRA(一般社団法人 日本画像医療システム工業会)セキュリティ委員会と共同でリモートサービスセキュリティWG を発足させ、医療分野における遠隔保守(リモートサービス)のあり方と、情報セキュリティマネジメントと個人情報保護の視点からリモートサービスのリスクアセスメントを研究し、医療機関と医療機器ベンダがそれぞれどのようなセキュリティ対策を取るべきかの検討を行ってきました。
 その成果として、2004 年度にJAHIS標準「リモートサービスセキュリティガイド」(04-101)を、2006年度により踏み込んだ内容のJAHIS標準「リモートサービスセキュリティガイドライン」(06-001)を制定し、リモートサービスを安全に行うための実践的なガイドラインを示しました。
 上記の2つの文書で示されたリモートサービスにおけるセキュリティマネジメントの考え方は、国内に限らずどこでも参考になることから、本WGでは2008年度に、これらの記述から日本固有の法令、制度等に係る部分を取り除いたものを国際標準とすることを考え、ISO/TC215に提案し、ISO参加各国の賛同を受け、同作業会議における審議と修正を経て、「ISO TR 11633 Part 1&2」として2009年度に出版されました。またその際に施された修正や新たに加えられた記述に、再度国内での固有の法令、制度等に関する記述を加え直し、従来のガイド(04-101)とガイドライン(06-001)をガイドラインVer.2.0(09-002)として統合しました。
 今回の改定(Ver3.0)では引用規格であるJIS Q 27001:2014(ISO/IEC 27001:2013)及びJIS Q 27002:2014(ISO/IEC 27002:2013)の改定に伴い、その反映を中心に、同じく引用している経済産業省ガイドライン(改定版)、JIPDECのISMS最新ユーザガイドとあわせる等見直しを行いました。
 本ガイドラインが、医療情報システムにおける安全なリモート保守の普及・推進に多少とも貢献できれば幸いです。
 

2016年6月
一般社団法人 保健医療福祉情報システム工業会
医療システム部会 セキュリティ委員会
JAHIS/JIRA合同リモートサービスセキュリティ作成WG


目 次

1.    適応範囲... 1
2.    引用規格・引用文献... 1
3.    用語の定義... 2
4.    記号および略語... 4
5.    リモートサービスセキュリティ... 5
 5.1.     リモートサービスセキュリティとは... 5
 5.2.     法的適合性... 8
 5.3.     契約・合意事項... 11
6.    リモートサービスへのISMSの適用... 12
 6.1.     セキュリティ要件... 12
 6.2.     リモートサービスにおける情報セキュリティ方針... 20
 6.3.     標準的事例におけるリスクの評価... 21
 6.4.     標準的事例における管理すべきリスク... 23
 6.5.     本ガイドラインに記載のないリスクの識別... 24
 6.6.     リスク対応... 25
 6.7.     セキュリティ監査と外部監査の推奨... 26
7.    運用モデル... 28
 7.1.     故障時の対応... 30
 7.2.     定期保守・定期監視... 34
 7.3.     ソフトウェアの改訂... 36
8.    リスク分析とセキュリティ対策... 38
 8.1.     リスク分析... 38
 8.2.     セキュリティ対策方針の決定(安全管理措置の例) 39
 8.3.     セキュリティ対策... 43
9.    技術的・制度的変化への対応... 48
附属書 A リスクアセスメント表(附属書B)の使い方... 49
附属書 B ISMS準拠リモートサービスリスクアセスメント表... 68
付録1 参考文献... 77
付録2 作成者名簿... 79
 

ページトップへ