医療機関のIT管理、
丸投げは危険？

IT管理をベンダーに任せる時代の落とし穴

「ITのことはよくわからないから、電子カルテ会社に任せています」「院内に専門担当者はいないので、ネットワークも保守会社に見てもらっています」。小規模クリニックでは、このような運用が一般的です。

しかし、医療情報安全管理ガイドライン第7.0版では、外部委託を前提とした現実的な対応が整理される一方で、医療機関側の責任がなくなるわけではありません。厚生労働省の資料では、委託先事業者の選定や管理を適切に行うこと、非常時の業務継続の判断基準を整理することなどが示されています。

365メディカルでは、医療DXは単に便利なシステムを導入することではなく、患者情報を安全に扱い、診療を止めないための体制づくりだと考えています。本記事では、保守委託機関編の意味と、医院長・事務長が確認すべき実務ポイントを整理します。

自院は「保守委託機関」に該当するのか

保守委託機関編を理解するうえで重要なのは、自院がどこまでIT管理を事業者へ委託しているかです。特に、電子カルテ、レセコン、サーバー、クラウドサービス、ネットワーク機器のセキュリティアップデートについて、誰が責任を持つのかを確認する必要があります。

ここで最も危険なのは、「実際には保守会社が対応しているから大丈夫」と思い込むことです。実務上は対応してくれていても、契約書やSLAに明記されていなければ、非常時に責任範囲が曖昧になります。

保守委託機関編で押さえる5つのポイント

1. 契約書に「誰が守るか」が書かれているか

保守委託機関編で最初に確認すべきなのは、セキュリティアップデートや障害対応の責任が契約上どこにあるかです。電子カルテ、レセコン、サーバー、VPN機器、バックアップ、クラウドサービスについて、誰が何を担当するかを一覧化します。

契約書に記載がないまま「ベンダーがやってくれているはず」と考えるのは危険です。契約上の責任が曖昧な場合、インシデント時に医療機関側が説明できないリスクがあります。

2. 事業者を選ぶことも院長・事務長の責任

保守を外部へ委託しても、委託先を選ぶ責任は医療機関側に残ります。専門知識がなくても、確認できることはあります。プライバシーマーク、ISMS、ISMAPなどの認証、医療情報システムへの対応実績、MDS/SDSの提出可否、障害時の対応体制などです。

特に新規導入・更新時には、二要素認証への対応可否、バックアップの復旧手順、VPNやリモート保守のログ管理を確認することが重要です。

3. SaaSとMDS/SDSを活用する

専門のIT担当者がいない医療機関では、院内サーバーを自院で管理するよりも、クラウド型電子カルテや予約システムなどのSaaSを活用した方が、保守負担を抑えられる場合があります。

ただし、SaaSであっても「安全かどうか」は確認が必要です。その確認に使うのが、MDS/SDSです。MDS/SDSは、製品やサービスのセキュリティ機能、運用体制、委託範囲を医療機関が確認するための資料です。JAHIS/JIRA等は、製造業者・サービス事業者による医療情報セキュリティ開示書の標準書式を整備しています。

4. システム停止時の「紙運用」を決めておく

どれほど優れたシステムを使っていても、サイバー攻撃、通信障害、クラウド障害、停電は起こり得ます。重要なのは、システムが止まった時に診療をどう続けるかです。

厚生労働省のガイドライン関連資料では、短時間のシステム障害なら他の手段で診療を継続し、回復に数日以上を要する場合は診療縮小や紙を用いた対応に切り替えるなど、判断基準と対応策を整理することが示されています。

5. VPNとリモート保守に釘を刺す

過去のサイバー攻撃では、VPN機器の脆弱性や、外部保守用アカウントの管理不備が問題になるケースがありました。リモート保守は便利ですが、外部から院内システムへ入る入口でもあります。

医療機関は、VPN機器のアップデート責任、接続ログ、二要素認証、保守作業後の切断、保守用IDの管理について、ベンダーへ明確に確認する必要があります。

契約書を「盾」にする実務対応

保守委託機関編を活かすためには、契約書を単なる保管書類ではなく、医療機関を守るための盾として使う必要があります。以下の項目を、契約書・約款・SLA・仕様書で確認してください。

システム停止時のBCPと紙運用

IT管理を外部へ委託していても、診療は外部委託できません。システムが止まった時に、患者をどう受け入れ、診療をどう続け、会計や処方をどう行うかは、医療機関側で決めておく必要があります。

BCPは大病院だけのものではありません。小規模クリニックであっても、電子カルテやレセコンが止まれば患者対応に支障が出ます。最低限、紙運用へ切り替える判断基準と、復旧までの院内役割分担を決めておくべきです。

医院長・事務長が今すぐ確認すべき5つのこと

365メディカルの考え方

365メディカルでは、医療DXを「システム導入」だけで捉えていません。医療機関が患者情報を安全に扱い、診療を止めず、施設基準やWEB掲示、証憑管理まで含めて継続的に管理できる体制を整えることが重要だと考えています。

保守委託機関編は、小規模医療機関を締め出すためのものではありません。むしろ、SaaSや外部専門家を上手に使い、限られた人員でも安全管理を現実的に進めるための道筋です。

まとめ：丸投げではなく、賢く委託する

医療情報安全管理ガイドライン第7.0版が示しているのは、ITを自院ですべて抱え込むことではありません。重要なのは、専門家に任せる部分と、医療機関が経営判断として管理すべき部分を分けることです。

電子カルテ会社や保守会社は重要なパートナーです。しかし、契約内容、責任分界、MDS/SDS、SLA、VPN管理、BCPを確認しないまま任せることは、丸投げに近い状態です。

まずは、契約書を開き、自院のサーバー、端末、VPN、クラウドサービス、バックアップを誰が守ることになっているのかを確認してください。そこから、医療DX時代の安全管理は始まります。

用語集