医療情報システムの安全管理に関するガイドライン第7.0版
企画管理編

1. 企画管理編とは何か

企画管理編は、医療情報システムの安全管理について、現場で具体的な管理を担う「企画管理者」を主な読者とした編です。ここでいう企画管理者とは、単なるIT担当者ではありません。医療機関の情報セキュリティ方針、運用管理規程、委託先管理、証跡管理、リスク評価、教育、BCP、サイバーセキュリティ対応などを横断的に整理し、経営層と現場の間をつなぐ役割を担う人です。

重要なのは、企画管理編が「システムをどう設定するか」だけを扱う資料ではないという点です。むしろ中心にあるのは、医療機関としてどのような方針を定め、誰にどの権限を与え、どの事業者に何を委託し、問題が起きたときに誰が判断するのかという、組織統制の設計です。

つまり、第7.0版の企画管理編は、医療機関に対して「医療DXを進めるなら、システム導入と同時に、安全管理の責任体制も整備しなければならない」と伝えているといえます。

2. 衝撃1：サイバーセキュリティは「ITの問題」ではなく「経営の問題」になった

医療機関では、電子カルテ、オンライン資格確認、電子処方箋、予約システム、検査システム、クラウドストレージなど、日常業務の多くが情報システムに依存しています。そのため、サイバー攻撃やシステム障害は、単なる情報漏えいリスクにとどまりません。診療停止、会計停止、処方停止、検査結果の確認不能など、医療提供そのものに影響します。

企画管理編では、医療情報システムの管理に関係する法令等を理解し、組織全体として遵守できるよう必要な措置を講じること、委託先事業者にも必要な措置を契約で求めること、法令遵守状況を経営層に報告し確認を取ることが示されています。

これは、経営層が「専門的なことはベンダーに任せている」「担当者に任せている」と言うだけでは不十分であることを意味します。企画管理者は、現場での運用状況を整理し、経営層に報告し、必要な改善措置を提案する必要があります。一方、経営層は、その報告を受けて承認し、必要に応じて予算、人員、契約変更などの判断を行う責任があります。

3. 衝撃2：電子保存の3原則は、単なる形式ではなく「証拠能力」の土台である

医療機関が診療録や各種医療情報を電子的に保存する場合、必ず押さえるべき考え方が「真正性」「見読性」「保存性」の3原則です。これは、電子カルテやスキャン文書、クラウド上の医療情報を、紙の文書と同じように信頼できる記録として扱うための基本条件です。

真正性とは、記録が不正に改ざん・削除されていないこと、誰が作成・修正したのかが明確であることです。電子カルテの入力者、修正履歴、確定処理、アクセス権限、ログ管理がここに関係します。

見読性とは、必要なときに内容を画面で確認でき、必要に応じて明瞭な形で出力できることです。バックアップがあっても、復旧後に読めない、専用端末がないと開けない、古い形式で表示できないという状態では問題があります。

保存性とは、法令等で求められる期間中、記録を復元可能な状態で保存できることです。クラウドサービスを利用している場合でも、契約終了時のデータ返却、バックアップ、削除証明、移行手順を確認しておく必要があります。

4. 衝撃3：クラウド利用でも、医療機関の責任は消えない

近年、医療機関ではSaaS型電子カルテ、クラウド予約システム、オンライン問診、クラウドストレージ、リモート保守などの利用が急速に広がっています。クラウドサービスは、サーバ管理やセキュリティアップデートを事業者側に委ねられるため、小規模医療機関にとって大きなメリットがあります。

しかし、クラウドを利用しても、医療機関の責任がゼロになるわけではありません。企画管理編では、委託先事業者に必要な措置を契約で求め、その対応状況を定期的に把握することが求められています。再委託がある場合も同様です。

ここで重要になるのが「責任分界」です。どこまでが医療機関の責任で、どこからが電子カルテベンダー、クラウド事業者、保守会社、ネットワーク会社の責任なのか。これが契約書、約款、SLA、運用手順書で明確になっていなければ、障害発生時に対応が遅れます。

5. 衝撃4：企画管理者・CISO・CSIRTという司令塔が必要になる

医療情報システムの安全管理は、院内の誰かが片手間で対応できる範囲を超えています。端末管理、ID管理、職員教育、委託先管理、障害対応、サイバー攻撃対応、監査対応、患者からの問い合わせ対応など、複数部門にまたがる管理が必要です。

そのため、企画管理編では、安全管理体制の構築、企画管理者の設置、非常時の体制、CSIRT等の整備、教育・訓練、監査体制、患者からの苦情・質問の受付体制、体制整備の可視化などが取り上げられています。

大規模病院であればCISO、情報システム管理委員会、CSIRTを正式に置くことが望まれます。一方、小規模クリニックや歯科医院、薬局では、専任者を置くことが難しい場合もあります。その場合でも、少なくとも「誰が安全管理の責任者か」「誰がベンダーと連絡するか」「誰が経営判断を行うか」「非常時に誰へ報告するか」を明確にしておく必要があります。

6. 衝撃5：証跡管理は、医療機関を守る「盾」になる

ガイドライン対応で見落とされやすいのが、証跡、つまりエビデンスの整備です。規程を作っただけ、研修を実施しただけ、契約書を保管しただけでは、実際に安全管理が行われていることを説明するには不十分です。

証跡には、アクセスログ、ID申請書、権限変更履歴、委託先確認記録、研修実施記録、インシデント対応記録、バックアップ確認記録、点検チェックリスト、経営層への報告記録などがあります。これらは、問題が起きたときに「医療機関として必要な管理を行っていた」と説明するための重要な資料になります。

すべてのログを毎日詳細に確認することは現実的ではありません。重要なのは、リスクに応じて確認対象を決め、定期的なレビューを行い、異常があった場合に記録を残すことです。たとえば、退職者アカウントが残っていないか、管理者権限が過剰に付与されていないか、外部接続が適切に制限されているか、バックアップが復元可能かといった点は、定期確認の対象にすべきです。

7. 医療機関が今すぐ始めるべき5つの対応

企画管理編への対応は、一度にすべてを完璧に整える必要はありません。まずは、現状を見える化し、リスクの高い部分から優先順位を付けて整備することが重要です。

1. 医療情報システムの棚卸し
   電子カルテ、レセコン、予約、問診、画像、検査、会計、クラウドストレージ、院内Wi-Fi、外部接続などを一覧化します。
2. 責任分界の確認
   各システムについて、医療機関、ベンダー、クラウド事業者、保守会社の責任範囲を契約書・約款・SLAで確認します。
3. 運用管理規程の整備
   ID管理、端末管理、持ち出し、バックアップ、障害対応、委託先管理、ログ確認、教育訓練などを文書化します。
4. 証跡の保管ルール化
   チェックリスト、報告書、議事録、研修記録、契約書、提出原本などを、いつ、誰が、どこに保管するか決めます。
5. 経営層への定期報告
   企画管理者が安全管理状況を定期的に報告し、経営層が確認・承認する流れを作ります。

8. まとめ：安全管理は、医療機関の信頼を守る経営インフラである

医療情報システムの安全管理に関するガイドライン第7.0版の企画管理編は、医療機関に対して、情報システムを単なる便利な道具としてではなく、医療提供を支える重要なインフラとして管理することを求めています。

これからの医療機関に必要なのは、強いシステムを導入することだけではありません。誰が責任を持つのか、どの契約で守られているのか、どの証跡で説明できるのか、非常時にどう動くのかを、組織として整理することです。

医療DXが進むほど、安全管理は経営の中心課題になります。まずは、自院の医療情報システムを一覧化し、責任分界と証跡管理の状態を確認することから始めてください。

用語集

引用・参照

• 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版（令和8年6月）」
  https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
• 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版（企画管理編）（令和8年5月）」
  https://www.mhlw.go.jp/content/10808000/001716292.pdf
• 厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（令和8年6月）」
  https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
• 厚生労働省「サイバー攻撃を想定した事業継続計画（BCP）策定の確認表等」
  https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
• 経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」
  https://www.meti.go.jp/

免責事項