医療情報安全管理ガイドライン
第7.0版で
クリニック経営は何が変わるのか

MDSとは？

MDSとは、Manufacturer Disclosure Statement for Medical Information Securityの略で、日本語では「製造業者による医療情報セキュリティ開示書」と呼ばれます。

簡単に言うと、医療情報システムのメーカーが、自社製品のセキュリティ機能や安全管理に関する情報を医療機関向けに整理した資料です。 たとえば、電子カルテ、レセコン、画像管理システム、検査システムなどを導入する際に、その製品がどのようなセキュリティ機能を持っているのかを確認するために使います。

MDSでは、次のような内容を確認できます。

• アクセス制御はどうなっているか
• 利用者ごとにIDを分けられるか
• 操作ログを記録できるか
• データの暗号化に対応しているか
• バックアップや復旧に関する機能があるか
• 外部接続やリモート保守時の安全対策はどうなっているか

JAHISによると、MDSは製造業者による製品のセキュリティに関する説明を標準書式とすることを想定して作成されたものです。

SDSとは？

SDSとは、Service Disclosure Statement for Medical Information Securityの略で、サービス事業者が提供する医療情報サービスのセキュリティ情報を開示する資料です。 MDSが「製品」を対象にした資料であるのに対し、SDSは主に「サービス」を対象にした資料と考えるとわかりやすいです。

たとえば、次のようなサービスで関係してきます。

• クラウド型電子カルテ
• 予約管理システム
• オンライン診療システム
• クラウド型問診システム
• 医療機関向けクラウドストレージ
• 外部委託型のバックアップサービス
• ホームページ管理サービス
• 患者向けアプリ

クラウドサービスの場合、医療機関の中にサーバーがあるわけではありません。データは外部のクラウド環境に保存され、サービス事業者が管理していることが多くなります。 そのため、医療機関としては「どこまで事業者が責任を持つのか」「障害時にどう対応するのか」「データはどこに保管されるのか」「再委託先はあるのか」を確認する必要があります。

SDSは、こうしたクラウドサービスや外部サービスの安全性を確認するための資料です。JAHISでは、Ver.4.0でサービス事業者が提供する医療情報サービスを対象としたSDSが追加されたと説明されています。

MDSとSDSの違い

MDSとSDSは、どちらも医療情報システムのセキュリティを確認するための資料ですが、対象が少し違います。

つまり、院内に導入するシステムや製品について確認するのがMDS、クラウド型サービスや外部サービスについて確認するのがSDS、というイメージです。 医療機関が新しいシステムを導入する際には、見積書やパンフレットだけでなく、MDSやSDSの提出が可能かを確認することが重要になります。

SBOMとは？

SBOMとは、Software Bill of Materialsの略で、日本語では「ソフトウェア部品表」と呼ばれます。 簡単に言えば、ソフトウェアがどのような部品で作られているかを示す一覧表です。

たとえば、電子カルテや予約システム、クラウドサービスは、すべて一から独自に作られているわけではありません。 実際には、さまざまなソフトウェア部品、ライブラリ、外部プログラムを組み合わせて作られています。 SBOMは、そのソフトウェアの中にどの部品が使われているかを把握するための資料です。

経済産業省は、SBOMを「ソフトウェア部品表」と呼び、ソフトウェアの脆弱性管理に活用する手法として注目されていると説明しています。

SBOMが重要になるのは、脆弱性が発見されたときです。あるソフトウェア部品に重大な脆弱性が見つかった場合、SBOMがあれば、自院で使っているシステムにその部品が含まれているかを確認しやすくなります。

SLAとは？

SLAとは、Service Level Agreementの略で、日本語では「サービスレベル合意書」と呼ばれます。 これは、サービス提供会社と利用者の間で、提供するサービスの範囲や品質、対応時間などを明確にするための取り決めです。

医療機関にとって重要なのは、次のような項目です。

• 障害発生時の対応時間
• 夜間、休日の対応範囲
• 復旧までの目標時間
• 問い合わせ窓口
• 保守対象となる範囲
• 対象外となる作業
• データ復旧の条件
• リモート保守の方法

たとえば、「電子カルテが止まったときに、何時間以内に対応してもらえるのか」「診療時間中の障害は優先対応されるのか」「バックアップから復旧する作業は契約に含まれるのか」といったことを確認するために重要です。 SLAが曖昧なままだと、障害時に「それは契約対象外です」と言われる可能性があります。

BCPとは？

BCPとは、Business Continuity Planの略で、日本語では「事業継続計画」と呼ばれます。 医療機関におけるBCPとは、災害、サイバー攻撃、システム障害、通信障害、感染症の流行などが起きた場合でも、できる限り診療を継続するための計画です。

医療機関の場合、BCPは単なる経営計画ではありません。 患者対応、診療、処方、会計、紹介、検査、行政対応など、医療提供をどう続けるかに直結します。

たとえば、次のようなことを決めておく必要があります。

• 電子カルテが使えない場合、紙で診療を続けるか
• 予約情報が見られない場合、受付をどう運用するか
• レセコンが止まった場合、会計をどうするか
• 処方内容をどう確認するか
• 誰がベンダーに連絡するか
• 患者への説明は誰が行うか
• 復旧までの間、どの診療を継続し、どの診療を制限するか

厚生労働省の医療情報システム安全管理ガイドライン関連ページでも、医療機関向けのサイバーセキュリティ対策チェックリストや、サイバー攻撃を想定したBCP策定の確認表が公開されています。

VPNとは？

VPNとは、Virtual Private Networkの略で、外部から院内システムへ安全に接続するための仕組みです。 たとえば、電子カルテ会社や保守会社が、院外から院内のサーバーに接続してメンテナンスを行う場合に使われることがあります。

VPNそのものは便利な仕組みですが、設定や管理が不十分だと、不正アクセスの入口になる可能性があります。

医療機関では、次の点を確認することが重要です。

• VPN接続を誰が許可しているか
• 常時接続になっていないか
• 接続ログが残るか
• 二要素認証に対応しているか
• 退職者や旧担当者のアカウントが残っていないか
• 保守作業後に接続が切断される運用になっているか

リモート保守を受けている医療機関では、VPNや外部接続の管理状況を必ず確認しておきたいところです。

二要素認証とは？

二要素認証とは、本人確認を2つの要素で行う仕組みです。 たとえば、パスワードに加えて、スマートフォンアプリの確認コード、ワンタイムパスワード、ICカード、生体認証などを組み合わせます。

パスワードだけの場合、漏えいしたり推測されたりすると、不正ログインされる可能性があります。 しかし、二要素認証を導入していれば、パスワードが知られても、もう一つの認証要素がなければログインできません。

医療機関で特に優先すべきなのは、次のような場所です。

• クラウド型電子カルテ
• 予約システムの管理画面
• メール管理画面
• VPN
• リモート保守
• ホームページ管理画面
• バックアップサービス
• 管理者アカウント

すべての端末に一斉導入するのが難しい場合でも、まずは外部からアクセスできる場所、管理者権限を持つアカウント、リモート保守接続から優先的に対応することが現実的です。

オフラインバックアップとは？

オフラインバックアップとは、ネットワークから切り離された状態で保管するバックアップのことです。 通常のバックアップは、院内ネットワークやクラウド環境に接続された状態で保存されていることがあります。 しかし、ランサムウェア攻撃を受けた場合、接続されたバックアップデータまで暗号化される可能性があります。

そのため、ネットワークから切り離したバックアップを用意しておくことが重要になります。 オフラインバックアップは、攻撃者の手が届きにくい場所にデータを逃がしておく考え方です。

医療機関では、次のような確認が必要です。

• バックアップはどこに保存されているか
• ネットワークから切り離された保存先があるか
• 何日前の状態まで戻せるか
• 復旧にどれくらい時間がかかるか
• 復旧作業は誰が行うか
• バックアップの復旧テストを行ったことがあるか

まとめ：専門用語を覚えるより、「何を確認すべきか」を押さえる

MDS、SDS、SBOMという言葉は、最初は難しく感じるかもしれません。 しかし、医療機関の視点で考えると、目的はとてもシンプルです。

• MDSは、製品の安全性を確認する資料。
• SDSは、サービスの安全性を確認する資料。
• SBOMは、ソフトウェアの部品表。
• SLAは、保守や障害対応の約束事。
• BCPは、診療を止めないための計画。
• 二要素認証は、不正ログインを防ぐ仕組み。
• オフラインバックアップは、攻撃からデータを守るための備えです。

医院長・事務長に求められているのは、これらを技術者のように細かく理解することではありません。 大切なのは、自院のシステムについて、必要な資料を提出してもらい、契約内容を確認し、緊急時に誰が何をするのかを明確にしておくことです。

医療DXが進むほど、システムは診療の土台になります。その土台を守るために、MDS、SDS、SBOMなどの用語は、これからの医療機関経営において避けて通れない確認項目になっていきます。