kotomosサービス仕様適合開示書
はじめに
本書面は「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」(総務省、経済産業省 令和7年3月。以下、「情報システム・サービスの提供事業者における安全管理ガイドライン」という。)に基づいて、株式会社メディカルアンドテクノロジーズ(以下、「当社」という。)が院内コミュニケーションを促進するグループウェア等を含む医療機関向けの業務効率化支援システム「kotomos」(以下、「本サービス」という。)の提供を行う際に求められる合意事項等を整理し、サービス仕様適合開示書としてまとめたものです。当社は、本書面の全部または一部を契約医療機関の承諾を得ることなく改定する場合があります。本書面の改定時には、改定について本サービス上もしくは電子メール等の手段で契約医療機関へ告知します。
なお、kotomos利用規約(契約医療機関向け)(以下、「利用規約」という。)とは、本サービスの提供条件及び本サービスの利用に関する当社と契約医療機関との間の権利義務関係を定めることを目的とした文書を指します。「契約医療機関」とは、本サービスを利用するすべての個人事業主、個人経営者または法人その他の団体をいいます。
1. 医療機関等が医療情報安全管理ガイドラインに基づき、医療情報を取り扱う情報システム・サービスの事業者の選定にあたり最低限確認する必要がある内容
1. 医療情報等の安全管理に係る基本方針・取扱規程等の整備状況
| 上記文書の整備状況 | 開示方法・条件・範囲 |
|---|---|
| 情報セキュリティ基本方針 クラウドサービス情報セキュリティ方針 |
開示可。当社HPにて提供 https://medtech.inc/security/ https://medtech.inc/cloud-security/ |
| セキュリティの取り組みについて | 開示可。当社HPにて提供 https://kotomos-cloud.com/security/ |
| 利用規約 | 本サービス契約医療機関のみ以下にて開示 ttps://kotomos-cloud.com/terms/ |
| プライバシーポリシー | 開示可。当社HPにて提供 https://kotomos-cloud.com/privacy/ |
2. 医療情報等の安全管理に係る実施体制の整備状況
| 情報セキュリティに関する役職 | 役職及び氏名 |
|---|---|
| 管理責任者 | 社長室 室長 平山 宗介 |
3. 実績等に基づく個人データ安全管理に関する信用度
| 個人情報の流出事故がない旨の実績 |
|---|
| これまで、個人情報の流出事故は発生しておりません |
| 受託情報の目的外利用、不当利用等を行っていないことに対する実績 |
|---|
| 受託情報の目的外利用・不当利用等は行っておりません |
4. 財務諸表等に基づく経営の健全性
| 上記を示す文書名 | 開示方法・条件・範囲 |
|---|---|
| 財務諸表・決算情報 | 原則、開示不可。 ※契約医療機関から要望があり、かつ当社が開示すべきであると判断した場合はこの限りではありません。 |
2. 医療機関等との共通理解を形成するために情報提供すべき内容
1. 医療機関等の運用管理規程に定める必要がある事項
別途、利用規約にて定めているため記載を省略いたします。
2. 医療情報システム等の安全管理に係る点検や評価の結果
| 情報点検や評価の内容 | 点検や評価の実施社 | 点検や評価の結果の開示方法・条件・範囲 |
|---|---|---|
| ISMSクラウドセキュリティ認証 | 認証機関:SGSジャパン株式会社 | 開示可。認証機関の認証クライアントディレクトリのHPにて提供 https://www.sgsgroup.jp/ja-jp/certified-clients-and-products/certified-client-directory |
3. 医療情報システム等の全体構成図
| 上記を定めた文書名 | 開示方法・条件・範囲 |
|---|---|
| 本サービスの全体構成図 | 原則、開示不可。 ※契約医療機関から要望があり、かつ当社が開示すべきであると判断した場合はこの限りではありません。 |
4. リスク対応一覧
| 上記を定めた文書名 | 開示方法・条件・範囲 |
|---|---|
| リスクアセスメント・対応マニュアル (「情報セキュリティ基本規程」に基づき管理) |
原則、開示不可。 ※契約医療機関から要望があり、かつ当社が開示すべきであると判断した場合はこの限りではありません。 |
5. 医療情報システム等の安全管理に係る基本方針
本開示書の1-1.医療情報等の安全管理に係る基本方針・取扱規程等の整備状況をご参照ください。
6. 医療情報システム等の提供に係る体制
a. サービス提供体制
| 部門 | 役割 |
|---|---|
| 社長室 | 本サービスの開発ならびに本サービスの提供と契約医療機関のサポート |
b. サービス提供に係る再委託の状況
| 再委託事業者の有無 (ある場合には事業者名) |
再委託事業者がある場合には、再委託業務内容 |
|---|---|
| Amazon Web Services, Inc. | 本サービスのシステムインフラストラクチャの管理 |
| Google LLC. | 本サービスのシステムインフラストラクチャの管理 |
7. 契約書・マニュアル等の文書の管理方法
| 上記を定めた文書名 | 開示方法・条件・範囲 |
|---|---|
| 運用手順書 (「情報セキュリティ基本規程」に基づき管理) |
原則、開示不可。 ※契約医療機関から要望があり、かつ当社が開示すべきであると判断した場合はこの限りではありません。 |
8. 機器等を用いる場合の機器等の管理方法
該当する機器が存在しないため記載を省略いたします。
9. リスク対応策の運用方法
| 上記を定めた文書名 | 開示方法・条件・範囲 |
|---|---|
| 運用手順書 (「情報セキュリティ基本規程」に基づき管理) |
原則、開示不可。 ※契約医療機関から要望があり、かつ当社が開示すべきであると判断した場合はこの限りではありません。 |
10. 事故発生時の対応方法及び医療機関等への報告方法
| 事故発生時の対応方法及び医療機関等への報告方法 |
|---|
|
11. 医療情報を格納する記憶媒体の管理方法
該当する記録媒体が存在しないため記載を省略いたします。
12. 医療情報の外部保存に係る患者等への説明方法
| 医療情報の外部保存に係る患者等への説明方法 |
|---|
|
13. 医療情報システム等に対する監査の実施方針
| 監査の実施方針 | 監査結果の概要に関する開示の有無 | 開示する場合の開示方法・条件・範囲 |
|---|---|---|
| ISMSクラウドセキュリティ認証の更新審査(年1回) | 有 | 認証機関の認証クライアントディレクトリのHPにて提供 https://www.sgsgroup.jp/ja-jp/certified-clients-and-products/certified-client-directory |
14. 医療機関等の管理者からの問い合わせ窓口
当社が定めるサービス利用マニュアルをご確認ください。
15. 制度上の要求事項への対応
a. 医療分野の制度が求める安全管理の要求事項
| サービス提供に際して遵守している個人情報に係る法令、ガイドライン・ガイダンス |
|---|
|
| 医療情報システム等及び医療情報に対する国内法の適用状況 |
|---|
|
b. 電子保存の要求事項
ⅰ. 真正性の確保
医療機関等に保存する場合の要求事項への対応 (医療情報安全管理ガイドライン 7.1 C. 最低限のガイドライン)
| 対応項目 | 対応内容 |
|---|---|
| (1) 入力者及び確定者の識別及び認証 | 利用者は組織ごとの職務や権限に応じて登録され、個人を識別可能なアカウント認証機能を有しています。 |
| (2) 記録の確定手順の確立と、識別情報の記録 | 投稿や情報共有に際し、作成者の識別情報および時刻情報(信頼できる時刻源に基づく)を自動的に記録します。 |
| (3) 更新履歴の保存 | 本サービスは診療録等の確定情報を対象とせず、メッセージ編集や削除における更新前後の内容保存機能は提供していません。 |
| (4) 代行入力の承認機能 | 代行操作を前提とした機能は設けておらず、すべての操作は個々の利用者アカウントにより実行および記録されます。 |
| (5) 機器･ソフトウェアの品質管理 | 情報セキュリティ規程に基づき、定期的な監査を実施しています。また、本サービスのシステムインフラストラクチャの管理を委託しているAmazon Web Services(AWS)およびGoogle Cloud Platform(GCP)の物理的安全管理対策については、各社が公開している医療情報システム向けのリファレンスおよびコンプライアンス情報を参照し、適切に実施されていることを確認しております。 【参考情報】 AWS「医療情報システム向けAWS利用リファレンス」 https://aws.amazon.com/jp/compliance/medical-information-guidelines/ GCP「Google Cloud セキュリティとコンプライアンス」 https://cloud.google.com/security/compliance?hl=ja |
ネットワークを通じて医療機関等の外部に保存する場合の要求事項への対応 (医療情報安全管理ガイドライン 7.1 C. 最低限のガイドライン)
| 対応項目 | 対応内容 |
|---|---|
| (1) 通信の相手先が正当であることを認識するための相互認証を行うこと | 誤った経路での通信を防止するため、送受信の拠点の出入り口から当社の送受信の拠点までのネットワーク経路につき、情報機器ごとに、接続する相手方を確認しています。 |
| (2) ネットワーク上で「改ざん」されていないことを保証すること | ネットワークにおける、情報の盗聴、改ざん、誤った経路での通信、破壊等への対抗措置として通信の暗号化を行なっています。 |
| (3) リモートログイン機能を制限すること | 本サービスの提供に従事する要員(当社従業員・派遣従業者)によるリモートログインは、契約医療機関からアクセス許可が付与された場合のみできるよう制御しています。 |
ⅱ. 見読性の確保
医療機関等に保存する場合の要求事項への対応 (医療情報安全管理ガイドライン 7.2 C. 最低限のガイドライン)
| 対応項目 | 対応内容 |
|---|---|
| (1) 情報の所在管理 | 日本国内のクラウドサービス上のストレージに保管しています。 |
| (2) 見読化手段の管理 | 保存される情報は、利用者およびグループ等に応じて所在が把握できるように管理されています。 |
| (3) 見読目的に応じた応答時間 | 利用目的に応じて現実的な応答時間で、検索表示もしくは画面表示による参照が可能です。 |
| (4) システム障害対策としての冗長性の確保 | 医療情報を取り扱うサービスに供するシステム、ネットワーク等に関し、通常の診療等に影響が生じないよう、サービスの継続に必要な冗長化対応を講じています。 |
医療機関等に保存する場合の要求事項への対応 (医療情報安全管理ガイドライン 7.2 D. 推奨されるガイドライン)
| 対応項目 | 対応内容 |
|---|---|
| (1) バックアップサーバ | サービスの継続性を確保するため、クラウド基盤における冗長化およびバックアップ構成を採用しています。 |
| (2) 見読性確保のための外部出力 | 本サービスは診療情報の原本管理を目的としておらず、外部媒体等への出力機能は提供していません。必要に応じて画面表示等で内容の確認が可能です。 |
| (3) 遠隔地のデータバックアップを使用した見読機能 | 医療記録の見読性確保を対象とはしていませんが、障害発生時にも参照できるよう、クラウド事業者の遠隔バックアップや冗長化機能を利用しています。 |
ネットワークを通じて医療機関等の外部に保存する場合の要求事項への対応 (医療情報安全管理ガイドライン 7.2 D. 推奨されるガイドライン)
| 対応項目 | 対応内容 |
|---|---|
| (1) 緊急に必要になることが予測される診療録等の見読性の確保 | 本サービスは診療録等の保存を目的とするものではありませんが、障害時等においても業務連絡や情報共有が継続できるよう、医療機関側における代替的な確認手段を運用上確保することが可能です。 |
| (2) 緊急に必要になるとまではいえない診療録等の見読性の確保 | 本サービスは診療録等の保存を目的としたシステムではありませんが、運用管理規程に則り、データが毀損した場合でも、速やかに回復できるよう、バックアップ対応及び冗長化対応を講じると共に、その回復手順を定めています。 |
ⅲ. 保存性の確保
保存する場所について共通する要求事項への対応 (医療情報安全管理ガイドライン 7.3 C. 最低限のガイドライン)
| 対応項目 | 対応内容 |
|---|---|
| (1) ウイルスや不適切なソフトウェア等による情報の破壊及び混同等の防止 | 本サービスの開発や運用に係るパソコンに対しては、ウイルスあるいはマルウェア対策ソフトウェアを導入し、最新の攻撃への対策を講じています。 |
| (2) 不適切な保管･取扱いによる情報の滅失、破壊の防止 | 運用・開発担当者のIDは必要最小限の範囲で発行し、定期的に棚卸しを行い、不要なID等の削除を行います。医療情報を取り扱うサービスに供するシステムへのアクセスについて記録しています。 |
| (3) 記録媒体、設備の劣化による読み取り不能又は不完全な読み取りの防止 | データはクラウド上のサーバに保管され、取外し可能な記憶媒体には保存していません。なお、当該クラウド環境(AWS/GCP)におけるデータ保全については、事業者が提供する冗長化・多重保存・耐久性確保の仕組みにより担保されており、媒体劣化による読取不能や欠損が発生しない設計となっています。 |
| (4) 媒体･機器･ソフトウェアの不整合による情報の復元不能の防止 | 復元したデータに整合するソフトウェアを世代管理する対策を講じています。 |
保存する場所について共通する要求事項への対応 (医療情報安全管理ガイドライン 7.3 D. 推奨されるガイドライン)
| 対応項目 | 対応内容 |
|---|---|
| (1) 不適切な保管･取扱いによる情報の滅失、破壊の防止 | データベースに保管される契約医療機関の各種情報は、24時間ごとにバックアップを取得しています。 また、取得したバックアップは、35日分以上保管しています。 |
c. 法令で定められた記名・押印を電子署名で行うことについて
本項に係る項目(HPKI等)を本サービスでは使用していないため記載を省略いたします。
d. その他取扱いに注意を要する文書等の取扱い
| サービスの提供に際して処理するその他取扱いに注意を要する文書等 |
|---|
| 上記文書についても、区別なく医療情報安全管理ガイドラインに基づき管理しています。 |
e. 外部保存の要求事項
| 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン及び個人情報保護法への準拠状況 |
|---|
| 本適合書の15-a. 医療分野の制度が求める安全管理の要求事項で定める内容に準拠しています。また、ISMSクラウドセキュリティ認証の更新審査により、定期的な監査を実施しています。 |
3. クラウドサービスの利用終了に関する要求事項
1. 契約医療機関に都合による本サービスの利用停止等における対応
| 契約医療機関都合による本サービスの利用停止等による当社の対応は下表に示している項目です。 | |
|---|---|
| 本サービスの一部又は全部の利用を停止する場合、受託した医療情報の返却対応を実施 | 返却するデータの範囲(データ種類、期間等)、データ形式(データの項目、項目の詳細、ファイル形式)、返却方法、条件について、データに関しては当社指定のフォーマットで返却し、返却方法や条件についても当社指定の手続きにより実施します。 |
| 本サービスの一部または全部の利用を停止することにより、契約医療機関が他のサービスあるいはシステムの利用に変更する場合 | 当社指定のフォーマットによりデータを返却します。 |
2. お預かりしている医療情報の削除等
契約医療機関の本サービス利用停止が生じた際は、お預かりしている情報の削除等に関する当社の対応については、受託した医療情報を解約の翌日を起算日として、起算日から30日以内を目安に削除処理を実施し、返却データ、バックアップデータを含め90日以内に完全消去します。
以上
変更履歴
| 版数 | 開示日 | 変更内容 |
|---|---|---|
| 第1.0版 | 2025年11月14日 | 初版開示 |