該当の資料のP.28にある脚注22ですね。他の人にもわかるように全文を引用します。
22 医療情報安全管理ガイドラインでは、専用線、公衆網、閉域 IP 通信網、IPsec を用いた VPN、HTTPS による暗号化等が例示されている。そこでは、HTTPS 接続においては、TLS の設定はサーバ/クライアントともに CRYPTREC が定める「SSL/TLS 暗号設定ガイドライン(第 2.0 版)平成 30 年 5 月 8 日」(以下、「SSL/TLS 暗号設定ガイドライン」という。)に規定される最も安全性の高い「高セキュリティ型」に準じた適切な設定を行うこと、また、SSL-VPN を原則として利用せず、やむを得ず SSL-VPN を利用する場合は、SSL/TLS 暗号設定ガイドラインに基づき、「クライアント型」での SSL-VPN とすること、そして、IPsec を用いる場合は、IKE を組み合わせる等して、確実にその安全性を確保するように求めている。
上記の通り、SSL-VPNよりもIPsecにするよう「求めている」は「医療情報安全管理ガイドライン」であり、「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」が直接求めているのではありません。つまり、その根拠を確認すべきは「医療情報安全管理ガイドライン」の方であり、それが何であるかはP.2に書いてある通り、正式名称は「医療情報システムの安全管理に関するガイドライン」という資料になります。現在は第6.0版となっているようです。
医療情報システムの安全管理に関するガイドライン 第6.0版(令和5年5月)|厚生労働省
上記の「システム運用編(Control)」にSSL-VPNに関する記載があります。
P.34
⑥ オープンなネットワークにおいて、IPsec による VPN 接続等を利用せず HTTPS を利用する場合、TLS のプロトコルバージョンを TLS1.3 以上に限定した上で、クライアント証明書を利用した TLS クライアント認証を実施すること。ただしシステム・サービス等の対応が困難な場合
には TLS1.2 の設定によることも可能とする。その際、TLS の設定はサーバ/クライアントともに「TLS 暗号設定ガイドライン 3.0.1 版」に規定される最も安全性水準の高い「高セキュリティ型」に準じた適切な設定を行うこと。なお、SSL-VPN は利用する具体的な方法によっては偽サ
ーバへの対策が不十分なものが含まれる ため、使用する場合には適切な手法の選択及び必要な対策を行うこと。また、ソフトウェア型の IPsec 又は TLS1.2 以上により接続する場合、セッション間の回り込み(正規のルートではないクローズドセッションへのアクセス)等による攻撃
への適切な対策を実施すること。
P.37
オープンなネットワークであるインターネットを用いるサービスとしては、IPsec+IKE で実現する VPN と SSL-VPN がある。IPsec は、ネットワーク層レベルでの暗号化を図る方法で、インターネット VPN の中でも安全性が高いとされる。SSL-VPN は SSL 技術を利用した VPN でセッション層における暗号化を図るものである。端末側でのアプリケーションが不要など、導入が容易である反面、偽サーバへの対策リスク等がある とされる。
P.39
13.3.1 ネットワーク回線の暗号化
ネットワーク回線の暗号化については、特にオープンなネットワークを利用する際に求められる。オープンなネットワークでは、盗聴のリスク等があることから、システム運用担当者は、医療情報を医療機関等の外部とやり取りする場合には、TLS の設定を適切に行って、通信するための措置を講じることが求められる。またオープンなネットワークを経由して SSL-VPN を利用する場合には、偽サーバの接続リスクなど も鑑みて、適切な手段を選択することが求められる。
言い方は異なりますが、いずれも偽サーバーへ接続してしまうリスクを懸念しています。偽サーバーへ接続する懸念がない形態、例えば、(特定のサーバー証明書を用いたサーバー以外への接続は拒否するように設定された)専用のクライアントを用いる形式であればIPsecに近い運用形態とみなすことができるので問題ないとされます(Q&AのP.93の「シQ-40」の回答参照)。