患者情報を守る、
O2nextの
セキュリティ。

利用者を認証し、権限に応じて必要な機能だけを利用できるようにしています。また、総当たり・パスワードリスト攻撃などの不正なログインの試みは、クラウド型WAF「Scutum」で防御しています。最小権限、多要素認証（MFA）、セッション管理、ログについては、継続的な強化の対象として取り組んでいます。

認証強化の一つとして、MFAを改善対象に位置づけています。管理者・高権限の利用者を中心としたMFAの必須化などを含め、認証強化を進める方針です。

Google／Microsoftアカウントを用いたOpenID Connect（OIDC）連携ログインの仕組みがあります。利用条件や設定範囲は、個別にご案内します。

認証、操作記録、患者情報に関する重要な操作などのログを取得し、適切に保管しています。不正利用の早期発見やインシデント発生時の調査に活用し、追跡可能性をさらに高めるため、ログ基盤の強化も進めています。

異動・退職・役割変更などに合わせて、不要なアカウントや権限を見直す運用を整備しています。利用者の登録・変更など、ご利用環境側でのアカウント管理もあわせて重要です。

セッション管理の強化項目として、無操作時の自動ログオフや、トークンの有効期限・失効管理などに取り組んでいます。

はい。O2nextとの通信は、HTTPS/TLSで暗号化して保護しています。

患者情報等の保存データは、適切に暗号化し、改ざんや漏えいを防止しています。秘密情報や暗号鍵、バックアップも含めて、データの流れに沿って暗号化の範囲を継続的に確認・強化しています。

選定時だけでなく、契約、運用、変更、事故、終了まで継続して管理します。責任範囲、秘密保持、再委託、アクセス、障害、終了時のデータ削除などを管理の対象としています。

はい。定期的にバックアップを取得し、障害時は定めた手順に沿って復旧します。方式などの詳細は、ご検討の際に個別にご説明します。

影響を確認し、定めた手順に沿って復旧対応を行います。

SLA・RTO・RPOは定めています。具体的な内容は、サービス構成やご利用条件なども踏まえ、個別にご説明します。

被害の拡大防止を優先し、初動対応、影響範囲の確認、必要なご連絡、復旧、原因分析、再発防止の流れで対応します。

影響を確認し、必要な修正や対策を行います。WAFで防御できる重大な脆弱性については、Scutumが公表から24時間以内に防御を更新します。開発・改修時のレビュー、テスト、脆弱性対応、変更管理を標準化し、継続的に見直す方針です。

変更内容と影響を確認し、改修内容に応じたレビューやテストを行います。

システムの変更、外部サービスの変更、脆弱性情報、ガイドラインの改定などを踏まえ、継続的に確認・改善しています。

ISMSの考え方を活用して、文書・運用の整備を進めています。

SCSについても要求内容を確認し、今後の対応に活用していく位置づけです。

はい。O2next側の対策に加えて、利用者・端末・アカウント等を適切に管理していただくことが重要です。共有アカウントを避ける運用、異動・退職時のアカウント管理、端末の更新やマルウェア対策などが該当します。詳しくは「役割分担」をご覧ください。

お問い合わせフォームからお寄せください。確認が必要な内容は、正式な資料などを確認したうえでご回答します。