2015年度セキュリティ委員会成果報告
2016年2月26日
セキュリティ委員会 委員長
西田慎一郎
2015年度活動内容
１）
ISO/TC215 WG4
(セキュリティ&プライバシ）で検討
されている国際標準への対応を行った。
２）厚生労働省「
医療情報システムの安全管理に関
するガイドライン
」に対して、ベンダの立場で取り組
みを行った。
３）医療機器における
サイバーセキュリティ
への対応
を行った。
４）
リモートサービスセキュリティ・ガイドライン
の改訂
および
「製造業者による医療情報セキュリティ開示
書」ガイド
の普及活動を行った。
2
年２回開催されている会議へ２名の
エキスパートを派遣
– 2015年 4月 米国・サンフランシスコ – 2015年 10月 スイス・ベルン – 2016年 5月 オランダ・アムステルダム（予定）
規格検討への
積極的な取り組み
– 新規作業項目へエキスパートとして登録 – ドラフトの内容検討、JIRAとしての意見集約 – JIRAの主張のドラフトへの反映
日本から
規格提案
– リモートサービスセキュリティWGで作成したガイドラインがベースであ１） ISO/TC215 WG4(セキュリティ＆プライバシ）
で検討されている国際標準への対応
DIS27799 Information security management in health using ISO/IEC 27002
（27002を利用したヘルス分野における情報セキュリティマネジメント）
DIS25237 Psudonymisation （仮名化）
PWI20429 Priciples and guidelines for protection of personal health information（個人健康情報保護の原則とガイドライン）
PWI Cloud computing security and privacy requrements for Health Information System
(クラウド・コンピューティングにおけるセキュリティとプライバシー要件）
IS17090-4:PKI-Digital signatures for healthcare documents
（PKIを利用したヘルスケア文書への電子署名）
ISO/TC215 WG4で検討中の主な国際標準
ISO/TC215 WG4
日本
からの提案
IS17090-5
PKI - Authentication using Healthcare PKI credentials
(
PKI資格情報を利用した認証
)
– 日本からの提案
– JAHIS標準の「JAHIS HPKI電子認証ガイドライン V1.1」とほぼ同じ 内容
ISO/TC215 WG4
日本
からの提案
TS11633-1
Information security management for remote maintenance of
medical devices and medical information systems
(
医療機器と医療情報システムのリモート保守における情報
セキュリティマネジメント
)
– 日本からの提案 – JESRAの「リモートサービスセキュリティガイドライン」とほぼ同じ内容 – 引用規格のIS27001, 27002が改訂されたため、それを反映させる改 定案を出し、承認された。 – 元はTR（技術レポート）であったが、リスクアセスメントの実施を必須 要件とし、TS（技術仕様）となる予定。 6２）厚生労働省「安全管理ガイドライン」に対する
ベンダとしての取り組み
厚生労働省「医療情報システムの安全管理に関するガイドラ
イン
第４．３版
」に対しての取り組み
– 改訂を行う作業班へ2名参加 – 来年度公開見込み – 以下の項目が改訂される見込み（変更の可能性あり） 代行承認の自動確定に関しての言及 「製造業者による医療情報セキュリティ開示書」ガイドへの言及 個人持ちタブレット等のBYODの運用についての記載 標的型メール攻撃への対応 電子処方箋ガイドライン（移行期用）発出に伴う改訂２）厚生労働省「安全管理ガイドライン」に対する
ベンダとしての取り組み
「製造業者による
医療情報セキュリティ開示書」ガイドVer2.0
医療情報システムの製造業者向けに、利用者への開示を目的とした、 「安全管理ガイドライン」への適応性のチェックリスト的な文書 略称MDS(Manufacturer Disclosure Statement for Medical Information Security)
「安全管理ガイドライン」の第6～8章の技術的対策の要求事項を適 用範囲 顧客より開示を求められている情報システムのセキュリティに関する 資料の書式や粒度（どこまで記述すれば十分か）などに対する標準 的なテンプレートとしての利用を想定 製造業者にとっては、自社の製品の「安全管理ガイドライン」への適 合性の確認に利用できる JIRA-HPで公開中
