医療情報システムの安全管理に関するガイドライン 第7.0版
経営企画編

近年、医療機関を標的としたサイバー攻撃は、単なる情報漏えいリスクにとどまらず、 診療停止、救急受入制限、手術延期、会計停止、薬剤部門や検査部門の混乱など、 医療提供体制そのものを揺るがす経営リスクになっています。

厚生労働省の「医療情報システムの安全管理に関するガイドライン 第7.0版」は、 医療情報を取り扱うシステムの安全管理について、経営層、企画管理者、システム運用担当者、 医療従事者がそれぞれ何を担うべきかを整理した重要文書です。 特に経営層にとって重要なのは、セキュリティを「IT部門の問題」として扱うのではなく、 患者安全、医療の質、地域医療の継続、法令遵守、社会的信用を守る経営課題として捉えることです。

365メディカルでは、医療機関のWEB掲示、施設基準管理、証憑管理、医療DX支援、 医療情報システム安全管理MSOサービスの観点から、今回の第7.0版を 「経営企画が主導して整備すべき実務ガイド」と捉えています。 本記事では、医療機関の経営層・事務長・企画管理者が直視すべき5つのポイントを整理します。

1. セキュリティ対策は「コスト」ではなく、医療継続への投資である

医療機関では、電子カルテ、レセコン、画像管理システム、予約システム、オンライン資格確認、 電子処方箋、クラウドストレージ、グループウェア、勤怠管理、WEBサイトなど、 多数のシステムが日常業務に組み込まれています。 これらは便利な反面、停止すれば診療そのものに影響します。

これまで一部の医療機関では、セキュリティ対策は「利益を生まない費用」と見られがちでした。 しかし、第7.0版の考え方では、安全管理は質の高い医療を提供するための基盤です。 つまり、セキュリティは守りの経費ではなく、診療継続、患者安全、職員の安心、 地域医療の信頼を維持するための投資です。

たとえば、クラウドサービスを導入しているにもかかわらず、管理者アカウントの棚卸しをしていない、 二要素認証が徹底されていない、退職者アカウントが残っている、バックアップ復旧訓練をしていない、 という状態では、表面的にはDXが進んでいても、実態としては脆弱な運用です。 経営層は「システムを入れたか」ではなく、「安全に運用できているか」を確認する必要があります。

2. 委託先に任せても、医療機関の責任は消えない

多くの医療機関では、電子カルテはA社、レセコンはB社、画像システムはC社、 WEBサイトはD社、クラウド保管はE社というように、複数の外部事業者が関与しています。 そのため、経営層から見ると「専門業者に任せているから大丈夫」と考えたくなる場面があります。

しかし、医療情報システムの安全管理において重要なのは、 外部委託をしても、医療機関側の管理責任がなくなるわけではないという点です。 医療機関は、どの事業者が、どの範囲を、どの水準で、どのように管理しているのかを把握し、 責任分界を明確にしなければなりません。

特に注意すべきなのが、クラウドサービスやSaaSを利用している場合です。 「データはクラウドにある」「保守はベンダーが行う」というだけでは十分ではありません。 アクセス権限、ログ確認、バックアップ、障害時対応、契約終了時のデータ返却、 インシデント発生時の連絡体制など、医療機関側が確認すべき項目は多岐にわたります。

• 契約書・仕様書・SLAに責任分界が明記されているか
• 障害・サイバー攻撃時の一次連絡先が明確か
• 保守委託先の再委託先まで把握しているか
• 管理者権限を誰が保有しているか
• バックアップの取得頻度と復旧手順を確認しているか
• システム構成図・ネットワーク図が最新化されているか

3. 100％防ぐ発想から、止まっても診療を続ける発想へ

サイバー攻撃やシステム障害を完全にゼロにすることは困難です。 そのため、経営層に求められるのは「絶対に止めない」という精神論ではなく、 「止まる可能性を前提に、どの診療機能をどう継続するか」を決めておくことです。

BCPは、単なる紙の計画書ではありません。 電子カルテが停止した場合、外来受付はどうするのか。 救急受入は継続するのか。 手術予定は延期するのか。 紙カルテ運用に切り替える条件は何か。 検査結果や薬剤情報をどのように確認するのか。 これらは現場任せではなく、経営判断として事前に定めておくべき事項です。

とりわけ中小病院やクリニックでは、情報システム部門が存在しない、または担当者が兼務であるケースも少なくありません。 その場合、BCPの実効性を高めるには、事務長、看護部門、医局、受付、委託先ベンダーが一緒に参加する訓練が必要です。 「電子カルテが使えない半日」を想定した机上訓練だけでも、連絡網、紙運用、処方、会計、患者説明の課題が見えてきます。

4. ランサムウェア対応は、経営方針として決めておく

ランサムウェア攻撃では、攻撃者がデータを暗号化し、復旧や情報非公開と引き換えに金銭を要求することがあります。 しかし、医療機関が金銭を支払ったとしても、データが完全に戻る保証はありません。 さらに、支払いが犯罪組織の活動資金となり、社会的信用の失墜につながる可能性があります。

そのため、経営層は平時から「身代金を支払わない」という基本方針、 警察・行政・保守委託先・顧問専門家への連絡手順、 患者・職員・取引先への説明方針、 報道対応の責任者を定めておく必要があります。

ここで重要なのは、インシデント発生時に初めて考えないことです。 システム停止中は、院内が混乱し、患者対応、職員対応、ベンダー対応、行政対応が同時に発生します。 判断が遅れれば、診療機能の低下だけでなく、説明責任の面でも大きなダメージとなります。

• 初動対応責任者を決めているか
• 夜間・休日の緊急連絡先があるか
• 保守委託先との連絡方法が複数あるか
• バックアップから復旧できるかを検証しているか
• 患者説明・行政報告・報道対応の方針があるか

5. 経営管理と企画管理をつなぐ「経営企画」の役割が重要になる

第7.0版を実務に落とし込むうえで、365メディカルが特に重要だと考えるのが、 経営管理と企画管理をつなぐ「経営企画」的な役割です。 経営層が方針を示し、企画管理者が制度設計を行い、運用担当者が日々の管理を実行する。 この流れがなければ、ガイドラインは院内文書として保管されるだけで終わってしまいます。

医療機関では、部門ごとにシステムが導入され、医局、看護部、事務部、検査部門、薬剤部門が それぞれ独自の運用をしていることがあります。 いわゆるシャドーITや、管理されていない端末、個人アカウントによるクラウド利用は、 サイバーセキュリティ上の大きなリスクです。

経営企画として取り組むべきことは、システムを一つひとつ技術的に理解することではありません。 まず、院内のシステムと委託先を棚卸しし、責任者を決め、規程を整え、証憑を残し、 点検と改善を継続できる管理体制をつくることです。

• 医療情報システム安全管理責任者の任命
• 医療情報システム一覧・委託先一覧の作成
• 責任分界点の整理
• 運用管理規程・インシデント対応手順の整備
• 自己点検・内部監査・外部監査の実施
• 課題管理表による改善状況のフォロー
• 職員教育と定期的な注意喚起

365メディカルが考える、医療機関の現実的な進め方

医療情報システムの安全管理は、一度にすべてを完璧に整備しようとすると、現場が止まります。 特に中小病院、クリニック、歯科医院、薬局、訪問看護ステーションでは、 専任の情報システム部門がないことも多く、日常業務と並行して対応する必要があります。

そのため、365メディカルでは、まず「見える化」から始めることを推奨します。 どのシステムを使っているのか、誰が管理しているのか、どの委託先が関与しているのか、 契約書や仕様書はどこにあるのか、緊急時に誰へ連絡するのか。 これらを一覧化するだけでも、リスクの多くは可視化されます。

365メディカルでは、365Registry、医療機関WEB掲示サポート、証憑管理、 医療情報システム安全管理MSOサービスを通じて、 医療機関がガイドライン対応を「属人的な作業」ではなく、 「継続できる管理体制」として整備できるよう支援していきます。

© 一般社団法人365メディカル。本記事は医療DX・医療情報システム安全管理に関する情報提供を目的としています。