無料メルマガ登録でプレゼント！書籍「セキュリティ対策の基礎知識」

医療機関のサイバーセキュリティ対策に不備がある場合、患者情報の漏洩や診療業務の停止など、深刻な事態を招くおそれがあります。この記事では、医療情報システムのセキュリティ確保に向けて、厚生労働省が策定した最新ガイドラインの概要と、医療機関が取り組むべき具体的な対策について詳しく解説します。ガイドラインをしっかりと理解し、適切な対策を講じることで、患者の権利利益を守り、医療サービスの安全性と継続性を担保することができるでしょう。

医療セキュリティガイドラインとは

医療現場におけるセキュリティ対策の指針として、厚生労働省が定めたガイドラインがあります。本章では、このガイドラインの概要と重要性について解説します。

ガイドラインの正式名称と最新版

このガイドラインの正式名称は、「医療情報システムの安全管理に関するガイドライン」です。平成17年に初版が公表され、その後複数回の改定を経て、現在の最新版は令和5年5月に公表された第6.0版となります。

医療現場のデジタル化が進む中、サイバー攻撃の脅威も増大しており、適宜ガイドラインの更新が行われています。最新版では、外部委託・外部サービス利用に関する責任分界の明確化や、ゼロトラストなどの新たな情報セキュリティの考え方への対応などが盛り込まれました。

ガイドラインの目的と策定経緯

このガイドラインの主な目的は、医療機関におけるシステムの適切な管理と運用のための指針を提供することです。医療情報は患者の機微な個人情報を含むため、厳重な保護が求められます。

一方で、医療の質と安全性の向上のためには、システムの活用と情報共有も欠かせません。このガイドラインは、セキュリティと利便性のバランスを取るための具体的な方策を示しています。

ガイドラインの対象範囲と適用対象

このガイドラインの対象となるのは、病院、クリニック、歯科医院、薬局など、あらゆる医療機関です。また、対象となる情報は、電子カルテやレセプトコンピュータなどのシステムで取り扱われる、患者の個人識別情報を含む医療関連情報全般を指します。

法定保存義務の有無に関わらず、診療記録、手術記録、処方箋、看護記録、紹介状、調剤記録など、広範な文書が対象となります。つまり、医療情報を取り扱う全ての部門・職種に、このガイドラインは適用されるのです。

医療情報の特性と保護の重要性

医療情報は、個人情報保護法上の「個人情報」に該当し、多くの場合「要配慮個人情報」にも該当します。要配慮個人情報とは、漏洩した場合に本人の権利利益を大きく侵害するおそれのある、特に機微な個人情報を指します。

したがって、医療情報の保護は、患者の権利利益を守るために不可欠です。加えて、医療情報は診療の継続性を確保するためにも重要な役割を果たします。セキュリティ事故により情報が失われたり、システムが停止したりすれば、医療提供そのものに大きな支障をきたすことになります。

以上のように、医療情報のセキュリティ確保は、患者の利益保護と医療の質・安全の維持のために、医療機関の重大な責務といえるでしょう。本ガイドラインは、その責務を果たすための羅針盤として、医療機関に広く活用されています。

ガイドラインの構成と内容

医療情報システムの安全管理に関するガイドラインは、厚生労働省により策定された医療機関におけるシステム管理・運用の指針です。本ガイドラインは、医療機関の規模や形態を問わず、医療情報システムを安全に管理・運用するための基本的な考え方や具体的な対策を示しています。

ガイドラインは大きく4つの編で構成されており、それぞれが対象読者や目的に応じた内容となっています。以下では、各編の概要と役割、対象読者について詳しく解説していきます。

概説編の概要と役割

概説編は、ガイドラインの基礎となる共通の前提知識や考え方を説明している部分です。

この編では、医療情報システムの安全管理に関する基本的な概念や、医療機関におけるセキュリティ対策の重要性について述べられています。医療情報は個人情報保護法上の「個人情報」に該当し、多くの場合「要配慮個人情報」にも該当するため、高度な機密性が求められます。また、医療情報システムの安全管理は、患者の権利利益保護と医療提供の継続性確保のために不可欠であることが強調されています。

概説編は、ガイドラインの導入部としての役割を担っており、経営者からシステム運用者まで、医療機関の全ての関係者が理解しておくべき内容が含まれています。

経営管理編の概要と対象読者

経営管理編は、主に医療機関の経営陣を対象とした内容となっています。

この編では、経営者の立場から見た医療情報システムの安全管理の重要性や、組織的な対策の必要性について説明されています。特に、サイバー攻撃の脅威増大を受けて、経営者の意識向上と積極的な関与の必要性が強調されています。また、外部委託や外部サービス利用に関する責任分界の明確化など、経営判断に関わる事項も取り上げられています。

経営管理編は、医療機関の意思決定者である経営陣に向けて、システム管理・運用に関する方針決定や資源配分の重要性を訴える内容となっています。

企画管理編の概要と対象読者

企画管理編は、主にシステム管理者を対象とした内容となっています。

この編では、医療情報システムの企画・設計段階から運用・保守に至るまでの全般的な管理事項について、具体的な方法論や留意点が示されています。特に、情報セキュリティに関する最新の考え方（ゼロトラストなど）や、新技術・制度変更への対応方法などが詳しく解説されています。また、外部委託先や外部サービス提供者との責任分界の設定方法なども含まれています。

企画管理編は、システム管理者が医療情報システムの安全管理を実践する上で、必要な知識と具体的な方法論を提供する役割を果たしています。

システム運用編の概要と対象読者

システム運用編は、主に実際のシステム運用者を対象とした内容となっています。

この編では、日常的なシステム運用における注意点や、トラブル発生時の対応手順など、現場レベルでの実践的な事項が中心となっています。例えば、アクセス管理、ログ管理、バックアップ、パッチ適用などの具体的な運用手順や、インシデント発生時の報告・連絡体制などが詳しく説明されています。また、教育・訓練の重要性や、業務委託先の監督方法なども含まれています。

システム運用編は、実際にシステムを運用する担当者が、安全管理の考え方を実践に移すための手引きとしての役割を担っています。

各編の相互関係と全体像

ガイドラインの4つの編は、それぞれが独立した内容ではなく、相互に関連し合って全体像を形作っています。

概説編で示された基本的な考え方は、経営管理編、企画管理編、システム運用編の全てに通底するものです。経営管理編で決定された方針や資源配分は、企画管理編におけるシステム設計や運用ルールの策定に反映されます。そして、システム運用編は、企画管理編で定められた方針やルールを実際の運用の中で具体化するための手引きとなります。

つまり、ガイドラインの4つの編は、医療機関における医療情報システムの安全管理を、経営層からシステム運用者まで、組織の全階層で一貫して実践するための体系的な指針となっているのです。医療機関の全ての関係者が、自らの役割に応じてガイドラインを活用し、協力して安全管理に取り組むことが求められています。

最新版ガイドラインの改定ポイント

このセクションでは、医療情報システムの安全管理に関するガイドライン第6.0版における主要な改定ポイントについて詳しく解説します。

改定の背景とニーズ

近年、医療機関を狙ったサイバー攻撃の脅威が増大しており、患者の権利利益保護と医療提供の継続性確保のため、より強固なセキュリティ対策が求められています。また、オンライン資格確認の原則義務化など、新たな制度変更への対応も必要となっています。

こうした状況を踏まえ、経営者の意識向上とともに、医療情報システムの安全管理体制の強化が喫緊の課題となっています。本ガイドラインの改定は、これらのニーズに応えるべく行われたものです。

外部委託・外部サービス利用に関する責任分界の明確化

医療機関がシステム管理や運用の一部を外部委託する場合、委託先との間で責任範囲を明確にすることが重要です。

改定されたガイドラインでは、医療機関と委託先それぞれの役割分担と責任範囲を契約書等で明文化することを求めています。これにより、セキュリティインシデント発生時の迅速な対応と、再発防止策の確実な実施が可能となります。

情報セキュリティの考え方の整理とゼロトラストの導入

改定版ガイドラインでは、情報セキュリティに関する基本的な考え方が整理されています。特に注目すべきは、「ゼロトラスト」の概念の導入です。

ゼロトラストとは、ネットワーク内外を問わず全ての通信を untrusted (信頼できない) と見なし、常に厳格な認証と検証を行う考え方です。この考え方に基づき、医療情報システムへのアクセス制御を徹底することが推奨されています。

新技術や制度・規格変更への対応

改定版ガイドラインでは、医療分野における新技術の活用や、関連する制度・規格の変更にも対応しています。

例えば、オンライン資格確認の原則義務化に伴い、医療機関のシステムと支払基金・国保中央会のシステムとの接続に関するセキュリティ要件が明示されました。また、スマートフォンやタブレット端末を利用した医療情報の取り扱いについても、具体的な留意点が示されています。

多要素認証の推奨と導入方法

改定版ガイドラインでは、医療情報システムへのアクセス制御の一環として、多要素認証の導入が強く推奨されています。多要素認証とは、パスワードに加え、ICカードや生体認証など複数の認証要素を組み合わせる方式です。

ガイドラインでは、多要素認証の具体的な導入手順や留意点も解説されています。例えば、認証要素の選択や組み合わせ方、パスワードの定期的な変更、ICカードの厳重な管理などです。医療機関は、これらを参考にしながら、自施設の状況に合わせた最適な多要素認証の仕組みを構築することが求められます。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録・ダウンロードは
こちらから

医療機関におけるセキュリティ対策の意義

医療機関にとって、情報セキュリティ対策は極めて重要な経営課題です。その理由は、患者の権利利益保護、医療情報の機微性、医療提供の継続性確保など、多岐にわたります。

患者の権利利益保護とプライバシー確保

医療機関が扱う情報の多くは、個人情報保護法上の「要配慮個人情報」に該当します。これには、病歴、診療記録、処方箋など、患者のプライバシーに深く関わる情報が含まれます。

こうした情報が漏洩した場合、患者の尊厳や権利利益が著しく侵害されるおそれがあります。したがって、医療機関には患者のプライバシーを厳格に保護し、その権利利益を守る責務があるのです。

医療情報の機微性と漏洩リスク

医療情報は、他の個人情報と比べても極めて機微性が高いという特徴があります。病状、治療内容、家族歴など、本人が他者に知られたくない情報が多数含まれているためです。

その一方で、医療情報の電子化が進む中、サイバー攻撃などによる情報漏洩のリスクは年々高まっています。医療機関には、こうしたリスクを適切に管理し、情報漏洩を防ぐための十分なセキュリティ対策が求められます。

医療提供の継続性確保とサイバー攻撃対策

医療機関がサイバー攻撃を受けた場合、電子カルテなどの重要システムが機能不全に陥り、医療提供が滞るおそれがあります。これは患者の生命・健康に直結する深刻な事態です。

したがって、医療機関には、サイバー攻撃を予防・検知・対処するための総合的な対策を講じ、医療提供の継続性を確保する責任があります。これは、医療機関の社会的使命とも言えるでしょう。

法令遵守と社会的責任

医療機関には、個人情報保護法をはじめとする各種法令を遵守し、適切に情報を管理する義務があります。コンプライアンス違反は、行政処分や損害賠償請求などのリスクにつながります。

加えて、医療機関には、患者や地域社会からの厚い信頼に応える社会的責任もあります。情報セキュリティ対策の不備は、その信頼を大きく損ねることになりかねません。

以上のように、医療機関におけるセキュリティ対策は、単なるシステム管理の問題にとどまらず、経営上の重大課題と言えるのです。厚生労働省のガイドラインを踏まえた組織的な取り組みが強く求められています。

セキュリティ対策チェックリストの活用

医療情報システムのセキュリティ対策を講じる上で、適切なチェックリストの活用が欠かせません。ここでは、厚生労働省が公表している「サイバーセキュリティ対策チェックリスト」について詳しく解説します。

チェックリストの概要と目的

サイバーセキュリティ対策チェックリストは、医療機関におけるセキュリティ対策の現状把握と目標設定のためのツールです。このチェックリストは、医療情報の高い機微性と医療提供の継続性確保の重要性を踏まえ、医療機関のシステム管理・運用指針として策定されました。

チェックリストの主な目的は、医療機関がサイバー攻撃の脅威に対して適切な対策を講じ、患者の権利利益を保護することにあります。また、経営者のセキュリティ意識向上や、オンライン資格確認の原則義務化への対応も視野に入れています。

チェックリストの構成と使い方

サイバーセキュリティ対策チェックリストは、以下の4つの編で構成されています。

1. 概説編：共通の前提知識や考え方を解説
2. 経営管理編：経営陣向けの指針
3. 企画管理編：システム管理者向けの指針
4. システム運用編：実際の運用者向けの指針

各編は、医療機関内の役割に応じて参照・活用することができます。チェックリストを使用する際は、自組織の規模や特性に合わせて必要な項目を選択し、現状の対策レベルを確認しながら、目標とするレベルを設定していきます。

現状把握と目標設定への活用

サイバーセキュリティ対策チェックリストを活用する第一歩は、現状の対策レベルを正確に把握することです。チェックリストの各項目について、自組織の取り組み状況を確認し、不足している点や改善すべき点を明らかにします。

現状把握の結果を基に、目標とする対策レベルを設定します。その際、医療情報の機微性や医療提供の継続性確保の観点から、優先度の高い項目から着手することが肝要です。目標設定には、経営層の理解と支援も不可欠となります。

段階的な対応の推奨とロードマップ作成

サイバーセキュリティ対策チェックリストでは、段階的な対応が推奨されています。具体的には、令和5年度中に対応すべき項目と、令和6年度中に対応すべき項目が示されています。各医療機関は、自組織の実情に合わせて、これらの推奨期限を目安にロードマップを作成することが求められます。

ロードマップの作成に当たっては、対策の優先順位付けが重要となります。優先度の判断基準としては、患者への影響度、実現可能性、コストなどが挙げられます。段階的に対策を進めることで、無理なく着実にセキュリティレベルを向上させることができるでしょう。

ガイドラインを踏まえた医療機関の取り組み

厚生労働省が策定した「医療情報システムの安全管理に関するガイドライン」は、医療機関におけるセキュリティ対策の指針を提供するものです。本ガイドラインを踏まえ、医療機関は以下のような取り組みを進めていく必要があります。

経営層の理解と関与の重要性

医療情報システムのセキュリティ対策を効果的に実施するためには、経営層の理解と関与が不可欠です。経営層は、セキュリティ対策の重要性を認識し、必要な資源を割り当てるとともに、組織全体でセキュリティ意識を高めるための取り組みを推進しなければなりません。

具体的には、経営層自らがセキュリティ対策の方針を示し、その実施状況を定期的にレビューすることが求められます。また、セキュリティ対策の予算を確保し、専門人材の育成や外部専門家の活用など、必要な投資を行うことが重要です。

セキュリティポリシーの策定と周知徹底

医療機関は、自組織の実情に応じたセキュリティポリシーを策定し、全ての関係者に周知徹底する必要があります。セキュリティポリシーには、情報資産の分類、アクセス制御、ログ管理、インシデント対応などに関する方針や手順を明記します。

策定したセキュリティポリシーは、定期的に見直しを行い、必要に応じて改訂を行います。また、全ての職員に対し、セキュリティポリシーの内容を教育・訓練し、遵守状況を監視・評価する体制を整備することが肝要です。

システム管理体制の整備と責任者の設置

医療情報システムを安全に管理・運用するためには、適切なシステム管理体制を整備し、責任者を設置することが重要です。システム管理責任者は、システムの導入、設定変更、アクセス管理、セキュリティ対策の実施などを統括する役割を担います。

また、システム管理責任者を補佐するために、部門ごとのシステム管理者を置くことも有効です。これらの責任者・管理者は、専門的な知識と技能を有することが求められ、定期的な教育・訓練を受ける必要があります。

定期的な教育・訓練の実施と啓発活動

セキュリティ対策の実効性を高めるためには、全ての職員に対する定期的な教育・訓練と啓発活動が欠かせません。教育・訓練では、セキュリティポリシーの内容、各自の役割と責任、具体的な対策方法などを解説します。

加えて、日常的な啓発活動として、セキュリティ対策に関する情報発信、ポスターの掲示、eラーニングの提供などを行います。これらの活動を通じて、職員一人ひとりのセキュリティ意識を高め、実践的な対応力を養成することが目標です。

インシデント対応体制の整備と訓練の実施

サイバー攻撃などのセキュリティインシデントが発生した場合に備え、医療機関はインシデント対応体制を整備しておく必要があります。対応体制には、インシデントの検知、報告、分析、対処、再発防止までの一連のプロセスを定義します。

また、インシデント対応の実効性を確保するために、定期的な訓練を実施することが重要です。訓練では、想定シナリオに基づいて、関係者の役割分担、連絡体制、意思決定プロセスなどを確認し、課題を洗い出して改善に繋げます。

ガイドラインの定期的な見直しと改善

医療情報システムを取り巻く環境は絶えず変化しており、新たな脅威や技術の出現に応じてセキュリティ対策を見直す必要があります。医療機関は、ガイドラインで求められる事項を定期的にチェックし、自組織の取り組みを評価・改善していくことが肝要です。

また、ガイドラインの改定動向を踏まえ、最新の基準に照らして対策の妥当性を確認することも重要です。これらの取り組みを通じて、医療情報システムのセキュリティ水準を継続的に向上させることが、医療機関に課された責務と言えるでしょう。

まとめ

医療情報システムの安全管理に関するガイドラインは、医療機関におけるシステム管理・運用の指針として、患者の権利利益保護とサイバー攻撃対策の重要性を示しています。最新の第6.0版では、外部委託先との責任分界の明確化や、ゼロトラストなどの新たな情報セキュリティの考え方の導入が求められています。

医療機関には、医療情報の高い機微性を認識し、セキュリティ対策を適切に講じる責務があります。経営層の理解と関与の下、セキュリティポリシーの策定、システム管理体制の整備、定期的な教育・訓練などの取り組みを進めることが肝要です。

また、サイバーセキュリティ対策チェックリストを活用して現状を把握し、段階的な改善を図ることも重要です。医療機関がガイドラインを踏まえて継続的にセキュリティ対策を強化していくことで、患者の信頼に応え、安全で質の高い医療を提供し続けることができるでしょう。