医療情報システムの安全管理GL 第6.0版 チェックリスト適合分析

対象: 平田康介 開発Webアプリ群 — 分析日: 2026-03-24 [AI構成]

対象チェック項目
19
適合
9
一部対応
6
未対応
4

対象アプリケーション

アプリ取扱データリスクスタック
endai-system 演者氏名・所属・連絡先・決済情報 High Next.js + Supabase + Vercel
drawing-cognitive-test 認知機能テスト結果・描画データ（生体情報） Critical React + Firebase/Firestore
visitcare 患者情報・訪問記録 Critical Next.js + Supabase
Editorial Manager 演者氏名・所属・論文原稿 High Next.js + Supabase + Vercel
bento_order_web 注文情報・ユーザー名 Medium React + Firebase/Firestore

カテゴリ1: 体制構築

項番チェック内容適合状況対象アプリ備考
1-ア 医療情報システム安全管理責任者を設置している 一部 全アプリ 開発者=運用者（個人）。責任者の明示的な文書化が必要

カテゴリ2: 医療情報システムの管理・運用

項番チェック内容適合状況対象アプリ備考
2-ア サーバ、端末PC、ネットワーク機器の台帳管理を行っている 未対応 全アプリ クラウドサービス利用のため物理台帳は不要だが、利用サービス一覧の文書化が必要
2-イ リモートメンテナンス（保守）を利用している機器の有無を事業者等に確認した 適合 全アプリ Supabase/Firebase/Vercelのサービス契約で確認済み
2-ウ 事業者から医療情報セキュリティ開示書（MDS/SDS）を提出してもらう 一部 endaivisitcare Supabase SOC2レポート確認済み。Firebase/Vercelは未確認
2-エ 利用者の職種・担当業務別のアクセス利用権限を設定している。管理者権限対象者の棚卸しを行っている 適合 endaiEditorialvisitcare Supabase RLSポリシーで role ベースアクセス制御を実装済み
2-オ 退職者や使用していないアカウントを削除または無効化している 一部 全アプリ 手動対応可能だが、定期棚卸しの運用ルールが未策定
2-カ セキュリティパッチ（最新ファームウェアや更新プログラム）を適用している 適合 全アプリ npm audit / dependabot による依存パッケージ管理。Vercel/Supabaseはマネージド
2-キ パスワードは英数字、記号混じり8文字以上とし、定期的に変更している。多要素認証、または13文字以上の場合は定期変更不要 適合 endaiEditorial Supabase Auth でパスワードポリシー設定済み
2-ク パスワードの使い回しを禁止している 適合 全アプリ 各サービス固有のパスワード。開発者はパスワードマネージャ使用
2-ケ USBストレージ等の外部記録媒体の接続を制限している 対象外 — Webアプリのためクライアント側USB制御は対象外
2-コ 多要素認証を導入している。または令和9年度までに実施予定である 一部 endaiEditorial 管理者向けMFA未実装。Supabase AuthはMFA対応可能だが未有効化
2-サ サーバのアクセスログを管理している 未対応 endaivisitcareEditorial Supabase pg_audit / カスタム監査ログテーブル未実装
2-シ バックグラウンドで動作している不要なソフトウェア及びサービスを停止している 適合 全アプリ マネージドサービス利用のため不要プロセスなし
2-ス ネットワーク機器の接続についての脆弱性対策を実施している 適合 全アプリ HTTPS強制（HSTS）、CSP設定済み。Vercel/Supabaseのネットワーク層で保護

カテゴリ3: インシデント発生に備えた対応

項番チェック内容適合状況対象アプリ備考
3-ア インシデント発生時における組織内と外部関係機関への連絡の整備がある 未対応 全アプリ インシデント対応手順書が未策定
3-イ 診療を継続するために必要な情報についてデータやシステムのバックアップの実施と復旧手順を確認している 一部 endaivisitcare Supabaseの日次バックアップは有効。復旧手順の文書化が未実施
3-ウ サイバー攻撃を想定した事業継続計画（BCP）を策定している 未対応 全アプリ BCP未策定。厚労省ひな形テンプレートを活用して策定すべき

カテゴリ4: 規程類の整備

項番チェック内容適合状況対象アプリ備考
4-ア 上記1-3の全ての項目について、具体的な実施方法を運用管理規程等に定めている 未対応 全アプリ 運用管理規程が未策定。セキュリティポリシー文書の作成が必要

推奨アクション（優先順）

P1 — 必須 監査ログの実装（2-サ）
Supabaseにカスタム監査ログテーブルを追加。誰が・いつ・何を操作したかを記録。
対象: endai-system, visitcare, Editorial Manager
実行方法: Claude自動実行可能（マイグレーション追加）
P1 — 必須 インシデント対応手順書の策定（3-ア）
連絡先一覧、初動対応、証拠保全、復旧手順を文書化。
実行方法: Claude自動実行可能（テンプレート生成）
P1 — 必須 BCP策定（3-ウ）
厚労省ひな形テンプレートをベースにWebアプリ向けにカスタマイズ。
実行方法: Claude自動実行可能（テンプレート生成）
P2 — 推奨 管理者向けMFA有効化（2-コ）
Supabase AuthのMFA機能を有効化。管理者ロールのユーザーに強制。
実行方法: 一部自動（コード変更）+ PC操作（Supabase Dashboard）
P2 — 推奨 運用管理規程の策定（4-ア）
カテゴリ1-3の実施方法を統合した運用管理規程を文書化。
実行方法: Claude自動実行可能（ドキュメント生成）
P3 — 改善 利用サービス台帳の文書化（2-ア）
Supabase, Firebase, Vercel, Cloudflare等の利用サービス一覧と契約状況を整理。
実行方法: Claude自動実行可能
P3 — 改善 アカウント定期棚卸しルールの策定（2-オ）
四半期ごとのアカウント棚卸し手順を運用規程に追加。
実行方法: Claude自動実行可能（ルール文書化）
出典: 厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版」
「医療機関におけるサイバーセキュリティ対策チェックリスト」（令和7年度版）
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
[AI構成] 本レポートはチェックリストPDFの構造解析＋各アプリの既知のセキュリティ状態に基づきAIが構成したものです。正式な適合評価には原本チェックリストでの自己点検が必要です。