評価申請と評価方針

医療機関等において医療情報システムやクラウドサービス等を利用するに当たっては、厚生労働省が定める指針・ガイドラインに沿った管理・運営が求められています。
また、医療情報システムやサービスの提供事業者には、総務省及び経済産業省が策定した「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（以下、このウェブページでは「２省ガイドライン」といいます。）への対応が求められています。
こうした状況の下、医療情報システムやサービスのセキュリティ機能及び安全管理対策に関する情報を医療機関等が確認できるよう、製品・サービスの提供事業者には、「製造業者／サービス事業者による医療情報セキュリティ開示書（MDS／SDS）」の作成・提出が求められています。

MDS（Medical Device Security）及びSDS（Service Provider Disclosure Statement）は、医療情報システムやクラウドサービス等のセキュリティ機能及び安全管理対策の適合状況について、提供事業者が、JAHIS-JIRA合同開示説明書WGにより公表されているチェックリスト等の標準的な書式を用いて、医療機関等に情報を開示するための文書です。
さらに、近年の医療機関に対するランサムウェア攻撃等を踏まえ、医療情報システムの外部接続に関するセキュリティ対策も重要となっています。
このような背景を踏まえ、HISPROでは、事業者から提出された資料について、次の２点を基本的な観点として評価を行います。
　・ガイドラインへの適合性を確認するために必要な情報が示されていること。
　・医療機関がシステムやサービスを利用するに当たり、必要な運用規程等を作成するために役立つ情報が示されていること。
医療機関には、ガイドラインに基づき、システムやサービスを主体的に運用できる組織体制を構築するとともに、リスク評価を実施し、物理的・人的セキュリティ対策を徹底することが求められます。

HISPROでは、こうした医療機関側の対応にも資するよう、MDS／SDS等を情報提供資料の一部として評価します。
なお、評価に必要な資料は、原則として申請者が一式そろえた上で申請していただき、提出された資料に基づいて評価を行います。
ただし、評価用資料が未完成の場合でも、事前にご相談いただければ、資料の準備状況に応じて評価の進め方を検討します。

必要に応じて、評価用資料の作成支援についてもご相談に応じます。
また、これから評価用資料を準備する事業者からのご相談も受け付けています。