本開示書は、医療機関等が立入検査・導入審査においてサービス事業者へ確認する事項を、当社サービスについて開示するものです。 JAHIS「製造業者/サービス事業者による医療情報セキュリティ開示書」ガイド Ver.5.0 および厚生労働省ガイドライン第6.0版、総務省・経済産業省ガイドラインの趣旨を参考に作成しています。 電子カルテ本体の MDS に代わるものではなく、クラウド業務支援 SaaS としての SDSです。
1. 開示の対象サービス
| サービス群 | 概要 | 本保存の位置づけ |
|---|---|---|
| 外来ワークス | 受付・呼出・診察券・外来提出支援等 | いいえ（業務支援・提出データはクラウド保管の場合あり） |
| 院内ワークス | シフト・経営分析・会計支援等 | いいえ |
| 院外・けんさポケット | PHR・検査結果閲覧等 | あり（本保存先は施設ポリシーによる） |
| コクピット・コネクタ等 | 施設管理・連携基盤 | 管理メタ・連携データ |
2. 組織的安全管理
- 方針: 3省2ガイドラインを踏まえたリスクベース管理（セキュリティ・コンプライアンス情報）
- 窓口: security@meditoku.com
- 従業者: 秘密保持、最小権限
- 委託先: AWS・PAY.JP 等を契約・監督（一覧は セキュリティ・コンプライアンス情報）
- インシデント: 検知・初動・封じ込め・復旧・再発防止。重大事案は影響施設へ連絡
3. 技術的安全管理（認証）
- 個人ごとのアカウント（Amazon Cognito）。共有ID非推奨
- 管理者は TOTP による MFA 必須（令和9年度二要素の趣旨に先行）
- 開院認証（1日1回完全 MFA）後、当日・院内ネットワークに限りリスクベースで MFA 省略可
- RBAC、サービスにより PIN 追加認証
- 監査ログ: 重要操作を記録（ホット 365 日。S3 へ最大約 3 年アーカイブ）
4. 通信・保存
- 通信: TLS 1.2 以上
- 保存時: AWS マネージド暗号化
- データ所在: AWS ap-northeast-1（東京）・国内法適用
- WAF、トークン検証、決済 Webhook 署名検証
- 常時リモートデスクトップ型の院内保守ログインは前提としない
5. 三原則への対応方針
当社は電子カルテの本保存を主目的としませんが、クラウド保存データについて次の方針です。
真正性
個人アカウントによる識別・認証、重要操作の監査ログ。診療録相当の確定機能が必要な機能追加時は、確定者識別・更新履歴を設計に含めます。
見読性
Web UI・必要に応じた印刷/PDF（サービス依存）。稼働は ステータス で公開。
保存性
PITR および日次バックアップ（対象は運用定義）。標準医療交換形式の汎用出力は段階導入。
6. バックアップ・事業継続
7. データの二次利用（第9条）
利用規約第9条に基づき、個人および特定施設を識別できないよう加工したうえで利活用する場合があります。 生データの独断解析・第三者提供は行いません。施設は患者説明を実施してください（ コンプライアンスキット）。
8. 未取得の認証・今後の課題
- ISMS / Pマーク: 未取得（検討中）
- SOC 2 Type II: 準備中
- 監査ログ: ホット 365 日 ＋ S3 約 3 年アーカイブ
- 年次セキュリティ報告書: 自動生成し社内コクピットに保存（施設送付は要請対応）
9. 改訂
重要な仕様・委託先・データ所在の変更時に改訂します。契約更新のみで仕様変更がない場合の再提出は必須ではありません（チェックリスト Q&A の趣旨）。