この資料について
8月21日に曽根さんからいただいた「セキュリティ担保が叶うのであれば、1システムで 複数企業に展開できる構造が理想」というご要望への回答です。
8月25日に緑川技師長からいただいた「個人情報保護・医療ガイドライン」の項目に、 1つずつお答えする形でまとめました。同じ法人の基準ですので、そのまま当てはめております。
最初にお伝えしておくべきことがございます。
このアンケートで扱うのは「2次検査を受けられたかどうか」で、これは要配慮個人情報にあたります。
さらにお名前をサーバーに保存する必要があります。ご担当者と保健師さんが
「どなたにお声がけするか」を見るのが用途そのものであるためです。
MRI筋量レポートでは「お名前を1文字も置かない」形で守っておりますが、こちらではその手が使えません。 そのぶん「見える範囲を仕組みで切る」ことで守ります。
MRI筋量レポートでは「お名前を1文字も置かない」形で守っておりますが、こちらではその手が使えません。 そのぶん「見える範囲を仕組みで切る」ことで守ります。
1. 誰が、何を見られるか
ここがこの資料の中心です。運用ルールではなく、仕組みとして切ります。
| 見る人 | 見える範囲 | 個人ごとの回答 | 他社のデータ |
|---|---|---|---|
| 職員の方 | ご自身の回答のみ | 自分の分だけ | 見えません |
| 企業のご担当者 | 自社の対象者のみ | 見えます | 見えません |
| 貴会の保健師 | 担当する企業を横断 | 見えます | 担当分は見えます |
| 当方（開発・保守） | 本番データは見ません | 見ません | 見ません |
「見えません」は、画面に出さないという意味ではありません。
サーバー側で他社のデータをそもそも渡さない設定にします。
画面を作り変えても、通信を直接叩いても、他社のデータは返ってきません。
2. 企業ごとに混ざらない仕組み
ご要望の「1システムで複数企業」を成立させる中心です。 データの1件ごとにどの企業のものかを持たせ、サーバー側で照合します。
| やること | 中身 |
|---|---|
| 企業の識別 | 回答1件ごとに企業を紐づけて保存します |
| ご担当者の所属で自動的に決まる | ログインされた方の所属企業を、サーバー側が判定します。 URLやボタンで切り替えることはできません |
| 照合 | データを取り出すたびに「この人の所属と、このデータの企業が一致するか」を サーバーが確認します。一致しなければ返しません |
| 保健師の担当範囲 | 担当する企業をあらかじめ登録し、その範囲だけを見られるようにします |
企業をまたいで見えてしまう事故は、たいてい「画面で絞っているだけ」で起きます。
そのため、こちらではデータを渡す手前で止める形にいたします。
3. ガイドラインの項目への回答
いただいた資料の順に、1つずつお答えします。
| 項目 | 当方の回答 | 状況 |
|---|---|---|
| 1-① 本番データを開発環境に持ち込まない | お約束します。現在お見せしている画面はすべて架空のデータで、 企業名もお名前も実在しません | 満たしています |
| 1-② 病院が許可した端末以外での作業禁止 1-③ 端末の保護 |
「一旦スルーで」とのお言葉に甘えております。本番の前に、 作業する端末を特定して書面に残します | 本番前に対応 |
| 1-④ アクセス制限（VPN・IP制限・権限の最小化） | 職員の方がご自宅から回答されるため、IP制限は現実的ではありません。 代わりにログインした人ごとに、取り出せるデータをサーバー側で制限します。 管理用の画面には、別途アクセス元の制限をかけられます | 代替案でご提案 |
| 1-⑤ 秘密保持契約（NDA）・安全管理の覚書 | 締結させていただきます。雛形は当方でご用意できます （自宅作業時のルール、架空データのみ使用、終了後のデータ消去、 漏洩時の報告体制） | ご相談させてください |
| 2-① アクセス制御と本人確認・二要素認証 | ご担当者と保健師さんはGoogleログインにいたします。
★二要素認証は、Googleアカウント側の設定がそのまま効きます。
こちらで別に作る必要がなく、令和9年度の要求を最初から満たせます。 職員の方は、お一人ずつの専用URLに生年月日での確認を1枚挟みます |
満たせます |
| 2-② 通信とデータの暗号化 | 通信はすべて暗号化されます（https）。 保存時の暗号化について「ここまでやらなくてもいいような」とのご指摘ですが、 ★クラウド側で標準的に暗号化されており、すでに満たしております。 そのうえでアプリ側で二重に暗号化しますと、検索も集計もできなくなります |
満たしています |
| 2-③ アクセスログの保存 | お答えします。いつ・誰が・どのデータを見たかを記録できます。 記録は後から書き換えられない形で保存します | 実装で対応 |
| 2-④ バックアップと復元 | お答えします。自動で日々のバックアップを取り、別の場所に保管します。 誤って消した場合も、過去の時点に戻せる設定にいたします | 実装で対応 |
| 3-① 対応表の分離管理 | 「当院で保管すればOK」とのご判断、承知しました。 ★ただしこのアンケートでは、お名前をサーバーに保存する必要があります （ご担当者が「どなたにお声がけするか」を見るため）。その前提でご検討ください |
要ご確認 |
| 3-② 利用目的の説明と同意 | ご指摘のとおりの形にいたします。回答の前に説明を表示し、 「同意します」にチェックしていただいてから進む作りです。 ★現在の試作でも、冒頭に「貴社のご担当者と当会の保健師が確認します」と 表示しております | 実装で対応 |
| 3-③ 運用手順書・緊急時マニュアル | 当方で作成いたします。スマートフォンを紛失された場合の停止手順、 漏洩が疑われた際のご報告のながれなどを、書面でご用意します | 当方で作成 |
4. ご判断いただきたいこと
当方だけでは決められない点です。
| 内容 | |
|---|---|
| 1 | お名前をサーバーに保存することについて このアンケートでは避けられません。同意の文面に、その旨を明記いたします。 それでも避けたいというご判断であれば、ご担当者には人数と割合だけをお見せし、 お名前は保健師さんの画面だけに出す形にもできます |
| 2 | 秘密保持契約と安全管理の覚書 締結の要否と、どちらの雛形を使うか（貴会のものか、当方でご用意するか） |
| 3 | 保健師さんの担当範囲 すべての企業をご覧になるのか、担当企業だけに絞るのか |
5. 現在の試作について
画面のイメージは下記でご覧いただけます。データはご覧になっている端末の中だけに保存され、 サーバーには何も置いておりません。企業名もお名前もすべて架空です。
本資料の内容はこれから実装するものです。現在の試作にはログインの仕組みが入っておらず、
本番の形とは異なります。ご覧いただいたうえで、違うところ・足りないところがございましたら
お知らせください。