情報処理安全確保支援士 2011年 秋期 午後2 問01

解答の論理構成

1. 【問題文】はディジタル署名について、表1の要件(G)で
   “①ディジタル署名に用いる秘密鍵が、ICカードの外部に読み出されないこと。”
   と規定しています。
2. 秘密鍵が外部に読み出されると、ICカードを保持しない第三者でも電子カルテに対して署名が可能になります。
3. 署名は表1(F)で
   “記録に対する責任者（以下、作成責任者という）の利用者IDや氏名などの識別情報”
   と結び付きます。すなわち署名＝作成責任者の真正性保証そのものです。
4. 故に秘密鍵流出は「作成責任者以外の者が作成責任者になりすまし、電子カルテに署名する」という侵害行為を招きます。
5. 以上より模範解答は「作成責任者以外の者による電子カルテへの署名」となります。

誤りやすいポイント

• 「秘密鍵が読み出されると改ざんされる」とだけ書いてしまい、“誰が何をするのか”という行為の具体性を欠く。
• 署名機能付きICカードの目的を「認証」と誤解し、認証突破の説明に終始してしまう。
• 署名の対象を「電子カルテ全体」ではなく「データベース」などとズラしてしまう。

FAQ

解答の論理構成

1. 表1の要件(G)には
   “①ディジタル署名に用いる秘密鍵が、ICカードの外部に読み出されないこと。”
   と明記されています。
2. 秘密鍵を外部へ取り出されないようにするには、ICカード内部を解析・改ざんしても情報を得られない構造が必要です。
3. このような構造は、ICカードそのものが「物理的侵害や解析行為に耐える機能」を備えていることを意味し、一般に“耐タンパ性”と呼ばれます。
4. よって、下線①の実現に必須となるICカードの性質は「耐タンパ性」です。

誤りやすいポイント

• 「暗号化機能」や「鍵生成機能」など内部処理の能力と勘違いしやすいですが、問題は“外部に読み出されないこと”が目的であり、外部解析への耐性が論点です。
• 「二要素認証」「パスワード保護」など論理的対策を挙げてしまうと、物理的取り出し防止という要求を満たしません。
• 8字以内という制約から略語を選び誤表記をするケースがありますが、正式な専門用語「耐タンパ性」で十分です。

FAQ

解答の論理構成

1. 電子カルテは「カルテは、取扱いに注意が必要な個人情報を含み、機密性や完全性の確保が必要である」と記されており、閲覧自体がリスクとなります。
2. 情報セキュリティ基本方針には「情報資産に対するアクセスは、業務上、必要最小限の範囲で許可する」とあります。
3. しかし「電子カルテになると、担当外の患者の電子カルテの参照及び職務権限外のアクセスも容易にできるようになる」と課題が挙げられています。
4. そこで表1の要件N「電子カルテに対する全ての操作についてのアクセス証跡を残すこと」を実装し、誰が・いつ・何を見たかを記録します。
5. 利用者は「証跡が残る＝後から追跡・調査される」ことを自覚するため、不要不急の閲覧を自制します。
6. 以上より、アクセス証跡の保存は“医療行為に必要な範囲を超えて患者の医療情報にアクセスすることを抑止する効果”を狙ったものだと導けます。

誤りやすいポイント

• 改ざん検知や責任追跡だけを書き、閲覧抑止の観点を落とす。
• 「情報漏えい防止」とだけ書き、具体的に“業務範囲外アクセス”を明示しない。
• 電子署名と混同し、「真正性確保のため」と答えてしまう。
• ログ保存の目的を“後で調査するため”と過去形で説明し、抑止という事前効果を示さない。

FAQ

解答の論理構成

1. 表3のパターン確認
   表3では「医師（研修医以外）」が “A, R, U, D, F, P” を持ち、同じ医療行為を行う「研修医」の欄 a だけが空欄になっています。つまり、医師とほぼ同じ権限を与えつつ、何かを 1 つ外す設計です。
2. “確定”登録の権限は研修医に無い

「研修医による診療内容の記録は、確定登録にならず、仮登録になる。」
(表2 脚注 注1）
この引用により、研修医は “F”（確定登録）の権限を持たないことが確定します。

1. その他の操作は必要
   研修医も診療経過を入力・修正し、患者や指導医へ説明するために印刷します。よって
   A（追記）、R（参照）、U（書換え）、D（消去）、P（印刷）は必要です。
2. まとめ
   a には “F” を除いた “A, R, U, D, P” が入ります。

誤りやすいポイント

• 「研修医は見習いだから削除(D)や印刷(P)も制限される」と早合点する。実務上は入力ミスの訂正や患者説明があるため必要です。
• 「確定登録は指導医が後で行うから、研修医にもFを付けても良い」と考えるミス。引用のとおり“仮登録”に限定されます。
• 医療事務員と研修医の権限を混同し、医療事務員と同じ “F” を付けてしまう。医療事務員は事務処理上の確定が必要ですが、研修医は不可です。

FAQ

解答の論理構成

1. 既存の設計は「医療情報システムの利用者を職種などの観点で整理したアクタ種別と、電子カルテのデータ項目の組合せで制御」する方式でした。
   ──【問題文】「アクセス権限の設定については、…アクタ種別と、電子カルテのデータ項目の組合せで制御する必要がある」
2. ところが追加要件として「診療記録の記載内容の開示を“特定の診療科の医師に限定する”」ケースが発生。
   ──【問題文】「傷病名によっては…開示を“特定の診療科の医師に限定する”という要件」
3. この要件は“職種＝アクタ種別”だけでは表現できず、「②アクタ種別ごとではない別のアクセス制御」が必要と宣言されています。
   ──【問題文】「②アクタ種別ごとではない別のアクセス制御の併用が必要」
4. つまり人物単位で、しかもデータ項目単位にきめ細かく制御するメカニズム（利用者個別 × データ項目）を組み込むしかありません。
   ⇒ 解答：個別の利用者ごとに、電子カルテのデータ項目ごとに行うアクセス制御

誤りやすいポイント

• 「診療科単位での制御」と早合点し、利用者個別という粒度を落としてしまう。
• 「ロールベースアクセス制御（RBAC）強化」とだけ書き、データ項目粒度を示さない。
• 「患者ごと制御」と書き、アクセス主体（利用者）を示し忘れる。

FAQ

解答の論理構成

1. 本文の下線③は「過去に確定した全ての記録を表示する方式」です。
   引用：【問題文】「市場のパッケージでは、電子カルテのデータ項目にカーソルを置いた際に、③過去に確定した全ての記録を表示する方式…」
   ここから「確定済みの記録を後から参照できる」機能であることが分かります。
2. 表1の要件を確認すると、更新履歴の保存と参照に関する記述が次のとおり存在します。
   ・(J)「記録に対する操作の履歴が後から確認でき識別できること。」
   ・(K)「記録の内容を容易に確認できること。」
3. 下線③の方式は、 ①「確定済みの過去記録を一覧表示」→ 操作履歴を確認・識別できる ⇒ (J) に合致。
   ② 画面に即時・簡便に表示できる → 内容を“容易に”確認できる ⇒ (K) に合致。
4. よって、該当する要件は「(J)」「(K)」の二つです。

誤りやすいポイント

• 「履歴が見える＝アクセス証跡」と早合点し、(N)〜(P)を選んでしまう。アクセス証跡は操作ログであり、カルテ内容の表示可否とは別要件です。
• (I)「過去に“確定”登録が行われた記録が正しく保存されること」と混同するケース。③は“保存”ではなく“表示”に着目しているため(I)は該当しません。
• 「容易に確認できる」という表現を見落とし、(K)を外してしまう失点が多発します。

FAQ

解答の論理構成

1. 電子カルテの長期保存要件
   • 本文には「カルテは医師法によって5年間の保存が義務付けられている。」とありますが、実際の診療では「10年以上継続して受診する患者がいる」ことが指摘されています。したがって電子カルテの真正性を“長期”に保証する仕組みが不可欠です。
2. 既存方式の限界
   • 図4の仕組みでは「タイムスタンプのサービスには、有効期限が10年など長期のものもある」が、その有効期限を超えると「真正性を保証できない」という問題が残ります。
3. ディジタル署名と検証情報の期限
   • 本文中に「電子証明書の有効期限は約2年」とあり、署名検証に必要な CRL や OCSP 応答なども同様に期限を迎えます。したがって、単に最初のタイムスタンプを付与するだけでは保存期間全体をカバーできません。
4. 改善案の要件整理
   • 目的：電子カルテの真正性を保存期間全体にわたり担保
   • 手段：署名検証に必要な情報（証明書、失効情報、タイムスタンプトークンなど）をまとめて改ざん不可にする
   • 方法：有効期限が切れる前に “追加のタイムスタンプ” を重ねる。これを「アーカイブタイムスタンプ」と呼びます。
5. 結論（答案）
   • 以上より、改善案は「電子カルテのディジタル署名の有効期限が切れる前に、署名検証に必要な情報を含むアーカイブタイムスタンプを付与する」となります。

誤りやすいポイント

• 「タイムスタンプの有効期限＝真正性保証期間」と誤解し、再付与の必要性を忘れる。
• 電子証明書だけを更新すれば十分と考え、CRL や OCSP など検証に必要な付帯情報を保存対象に含めない。
• 単純に再署名を提案し、元の署名との整合性保持（過去署名の改ざん検知）を考慮しない。

FAQ

解答の論理構成

1. 表1の要件 (G) で
   “記録を“確定”登録する際は、… 電子証明書を利用したディジタル署名を付与すること。”
   と明記され、電子カルテの真正性確保にはディジタル署名が必須であると示されています。
2. さらに本文中に
   “ディジタル署名は、電子カルテのデータ項目ごとに付与することにした。”
   とあり、データ項目単位で署名が付く設計が採用されています。
3. 図4は「タイムスタンプ付与の仕組み」の流れを説明しています。
   手順2で “変更があった各データ項目のbのハッシュ値を作成” とあり、 ハッシュ値を取る対象は「各データ項目に付与された真正性の証拠」です。
   ①で確認したように真正性の証拠は“ディジタル署名”であるため、 b には「ディジタル署名」が入ることになります。
4. よって解答は
   b：ディジタル署名

誤りやすいポイント

• ハッシュ生成＝改ざん検知と短絡し、「ハッシュ値」そのものを b と誤記する。
• “電子証明書”と“ディジタル署名”を混同し、証明書を選んでしまう。
• 表1 (G) の記載を見落とし、真正性確保手段が一意に決まっていることに気付かない。
• “タイムスタンプそのものがb” と早合点してしまう。

FAQ

解答の論理構成

1. 本文では改ざん発生時の検知だけでなく、継続して医療を提供できる仕組みが必要と強調されています。
   引用：「⑤その後も、正しい電子カルテを用いて医療を提供する必要があります」
2. さらに要件表では、改ざん時の回復手段を明示しています。
   引用：「(M) 改ざんが検知された場合は、バックアップなどを用いて回復できること。」
3. よって、医療情報システムに求められるのは、バックアップデータを使って“改ざん前の状態”へ迅速に戻す機能です。
4. 以上から、模範解答「バックアップから改ざん前の電子カルテを復旧する機能」が導かれます。

誤りやすいポイント

• 「改ざんを検知するだけ」と勘違いし、復旧方法まで触れない。
• 「ログの再生」など証跡面に寄り過ぎ、バックアップというキーワードを欠落させる。
• 「再入力」など人手による手段を想定し、システム機能としての自動復旧を示さない。

FAQ

解答の論理構成

1. 目的の確認
   本文には、非常時でも診療を継続するために「⑥最低限、NPC で USB ディスクを活用して電子カルテを参照できるレベルの対策を講じる」とあります。ここから、 ・閲覧端末＝NPC
   ・記録媒体＝USBディスク
   を使い、サーバが停止してもカルテを読める仕組みを組み込む必要があると分かります。
2. 日々行うべき業務の導出
   オフライン閲覧を可能にするには、最新のカルテを見読可能な形でUSBディスクに保持しておく運用が不可欠です。
   既に図5のサーバルームには「USBディスク」が5台配置されているため、通常時に
   ・電子カルテから患者ごとの画像（PDF 等）を生成
   ・USBディスクへ書き出し／差分更新
   という日常業務を定義するのが自然です。
3. 災害時に行うべき業務の導出
   サーバ群が停止してもNPCは「長時間のバッテリ駆動が可能」と記載されているため、USBディスクをNPCに接続して閲覧する手順を用意すれば、医師はカルテを確認できます。
   したがって、非常時は
   ・USBディスクをNPCへ接続
   ・医師ごとに必要な患者分の画像を配布
   という具体的オペレーションが求められます。
4. 模範解答との一致
   上記の導出結果は、問題文掲載の模範解答
   「患者ごとに、見読可能な画像データを電子カルテから生成し、USBディスクに書き出しておく」
   「電子カルテの画像データを保管したUSBディスクを端末に接続して、患者の電子カルテの画像データを医師に配布する」
   と一致します。

誤りやすいポイント

• 「バックアップ＝DB全体のコピー」と早合点し、オフライン閲覧用に加工せず保存してしまう。非常時にDBが無いと閲覧できません。
• USBディスクへの書き出し頻度を週次などに設定してしまい、最新情報が欠落する。
• NPC ではなく病棟の無線LAN経由で閲覧する前提を立て、ネットワーク断に対応できなくなる。
• 画像データ生成だけを自動化し、USBディスクへの転送作業を失念する。

FAQ

解答の論理構成

1. 事態の整理
   本文には下線⑦として
   「非常時には、外部から医療従業者が応援に駆け付けてくることがあります」
   と明記されています。Z病院の基本方針には
   「情報資産に対するアクセスは、業務上、必要最小限の範囲で許可する。」
   が掲げられているため、応援医師にも同方針を適用する必要があります。
2. 身元・資格の確認が必須
   要件(A)は「利用者ID及びパスワードと、電子証明書を格納した認証機能付きのICカードを組み合わせた識別及び認証」を求めています。
   応援医師はICカードを即時には所持していない可能性が高く、かつICカードの発行には「通常、申請から入手するまで1週間ほど掛かる。」とあります。したがって、BCPには
   ・本人確認手順
   ・予備ICカードの貸与と臨時利用者ID発行手順
   を整備しなければなりません。
3. 権限付与は最小限に限定
   要件(B)(C)は「職種、所属などの区分、又は利用者の権限範囲に基づくアクセス制御」を規定します。非常時でも不要な閲覧・更新を防ぐため、応援医師に与える権限内容と付与方法を BCP に盛り込む義務があります。
4. 模範解答に至る流れ
   以上を踏まえると、BCPに盛り込むべき事項は
   ・本人確認と臨時認証手続き
   ・医師資格確認と最小権限設定
   の二系統となり、模範解答
   「本人確認の方法と、認証に用いるICカードの貸与及び利用者IDの付与の方法」
   「応援者の資格の確認方法と、応援者に付与するアクセス権限の内容と付与方法」
   が導かれます。

誤りやすいポイント

• 予備ICカードの記述を忘れ、「パスワードのみで良い」と判断してしまう。
• 「資格確認」と「本人確認」を混同し、手続きの二段階構成を整理できない。
• 権限設定を通常時と同一としてしまい、最小権限の原則を欠落させる。
• BCPに技術的手順だけを書き、人・書類による確認プロセスを盛り込まない。

FAQ