予約・問診・オンライン診療などのクラウドサービスで、アカウント管理の責任はどこで分かれるか

予約・問診・オンライン診療などのクラウドサービスでは、サービス側の仕組みと安全対策は事業者が受け持ちます。誰に ID を出していつ止めるかは、医療機関が受け持つのが基本の形です。ただし、実際の分かれ目はサービスと契約ごとに違います。厚生労働省の「医療情報システムの安全管理に関するガイドライン」第 7.0 版は、それを事業者と取り決めて文書にし、事業者が出す開示書で確かめるよう求めています。ガイドラインの全体像は医療・ヘルスケアのアカウント管理にまとめています。

予約や問診のサービスも対象になるか

第 7.0 版の Q&A(概説編 Q7)は、医療情報システムを「医療情報を扱うシステム・端末・ネットワーク全般」と答えています。患者の氏名や症状を入力する予約・問診のサービスも、ここに入ると読めます。同じ Q&A の Q10 は、SNS などの Web サービスで医療情報をやり取りする場合を扱っています。使う前に、本人の確かめ方、使える範囲の制限、責任分界(どこまでが誰の責任かの分かれ目)を確かめるよう答えています。

事業者に任せても、医療機関の責任は消えません。Q&A(企画管理編 Q5)は、クラウド型の電子カルテの事業者から患者の情報が漏れた場合でも、医療機関は医療情報の管理主体として責任を負うと答えています。原因が事業者にあれば、事業者も原因の究明や再発の防止の責任を負います。

分かれ目を決めるのは医療機関と事業者

企画管理編 2 章の遵守事項(守るべき決まり)は、事業者と責任分界を取り決め、安全管理の役割分担も決めるよう求めています(①④)。決めた内容は、契約書や SLA(サービスの水準の取り決め)のように双方を縛る文書にします(2.1.1)。Q&A(企画管理編 Q11)は、誰が何をどのタイミングで行うかを文書にするよう答えています。

オンライン診療のシステムには、厚労省の「オンライン診療の適切な実施に関する指針」もあります。指針は、事業者に責任分界点を医療機関へ明確に説明し、合意した範囲で責任を負うよう求めています。医療機関の側には、その説明を受けて責任分界点を確かめるよう求めています(Ⅴ 2.(5))。医師やスタッフの交代についてはオンライン診療で入れ替わる医師・スタッフのアカウント管理にまとめています。

アカウントの設定は、利用者の側に残るのが基本です。総務省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」は、インターネット越しに完成品のサービスを使う形(SaaS)を取り上げています。アプリの動作の設定は事業者、「利用者アカウントや業務データの設定」は利用者の責任、という整理です(Ⅱ.1.2)。

第 7.0 版も、ID の管理は医療機関に求めています。システム運用編 14 章は、ID を台帳で管理し、定期的に棚卸し(何があるか一覧にすること)をして不要なものを削除するよう求めています(遵守事項⑧)。保守委託機関編(セキュリティ更新を含むサーバーの保守を、契約で事業者に全て任せている医療機関向けの編)も同じ考え方です。利用者の ID の台帳と棚卸し、削除の手順は、医療機関が自ら作ることが想定されています(10 章の解説)。ID の管理を事業者に任せるなら、不要なアカウントを確実に削除できる運用を取り決めて文書にします(9 章の解説)。職員が辞めたときの止め方は医療機関で職員が退職・異動したとき、どのアカウントを、いつ、誰が止めるかにまとめています。

導入の前に開示書で確かめること

事業者の対策は、「製造業者/サービス事業者による医療情報セキュリティ開示書」(MDS/SDS)で確かめます。厚生労働省の標準規格になっている書式で、項目ごとに「はい」「いいえ」「対象外」で答えます。概説編 4.5 は、事業者から MDS/SDS などを受け取って合意し、契約書や SLA で明らかにするよう求めています。Q&A(企画管理編 Q17)は、保守委託機関編の別紙の項目がすべて「はい」か「対象外」かを見るよう答えています。保守委託機関編の対象なら、この確認は遵守項目でもあります(10 ⑨)。ただし「対象外」の項目は、医療機関の責任で対応します(同 Q17)。

別紙の SDS の項目のうち、アカウントと責任の範囲に関わるものと、見る理由は次のとおりです(括弧は別紙の項番)。

1. アクセス管理の機能(ID ごとに使える範囲を決める機能)と、それを職種・担当別に分けられるか(No.17、17.2)。これがないと、職種ごとの権限を設定できません。
2. 二要素認証(パスワードともう 1 つの方法で本人を確かめる仕組み)が使えるか(No.17.1)。保守委託機関編は、端末のアプリのログインに令和 9 年度までの採用を求めています(9 ④)。「はい」が対応予定の意味のこともあるので、いつから使えるかも聞きます。
3. アクセスの記録の機能と、記録を見られる人の制限(No.17.3/17.4、17.3.2)。記録の機能がなければ、業務日誌などで操作した人を残すことになります(システム運用編 17 章)。
4. 非常時のアカウントの管理手順を出せるか、平常に戻った後に使い続けられないよう変えられるか(No.57.1〜57.3)。
5. 管理責任の範囲を文書で示せるか(No.72、73)。

開示書は導入時に一度見れば済むものではありません。Q&A(保守委託機関編 Q7)は、製品やサービスの変更に合わせて確かめ直すよう答えています。厚生労働省のチェックリストも 2-③ で MDS/SDS の提出を求めています。チェックリストには、事業者に答えてもらう用紙(事業者確認用)もあります。院内で使う医療機関確認用との突き合わせ方は厚労省のサイバーセキュリティ対策チェックリスト(令和 8 年度版)で、アカウントとアクセスの項目をどう確かめるかにあります。

利用規約だけで申し込むサービス

予約や問診のサービスには、個別の契約を結ばず、全員共通の利用規約(約款)で申し込むものもあります。企画管理編 2.1.5 は、約款の契約では中身を個別に調整しにくいため、事業者に分かりやすい情報の提供を求めるよう書いています。例として、MDS/SDS などの判断材料、説明を求めたときの対応、約款上のリスクの表示を挙げています。加えて、医療機関がリスクと役割分担を確かめたうえで使うと示し、合意することも挙げています。MDS/SDS が出てこない場合は、契約書や製品の仕様、問い合わせで別紙の項目を確かめます。Q&A(保守委託機関編 Q5)がそう答えています。

委託などの形をとらずに導入した汎用のシステムやサービスを使うなら、医療機関はシステム運用編の遵守事項にも対応します(保守委託機関編 10 ⑩)。保守委託機関編の対象になるのは、サーバーのセキュリティ更新を事業者が受け持つと契約書や約款に書かれている医療機関です。書かれていなければ対象とは判断できない、と Q&A(保守委託機関編 Q3)は答えています。

取り決めに書いておくこと

使っているサービスが複数あるなら、まずサービスと事業者の一覧を作ります。事業者は互いのサービスを知らないので、医療機関の側で整理する必要があるためです(保守委託機関編 2 章の解説)。そのうえで、サービスごとに次を決めておくのが一例です。

1. スタッフの ID の発行と停止を誰が行い、どの連絡を受けて止めるか(保守委託機関編 9 ②)
2. 契約の後も、ガイドラインを守っていることを示す資料を求められること(企画管理編 2.1.2)
3. アクセスの記録をどう管理し、どの範囲で出してもらえるか(システム運用編 17.1)
4. 情報が漏れたときに、原因の調べと外部への説明をどう分けるか(企画管理編 2.1.3)

受付で 1 つの ID を何人かで使っていると、事業者の記録には ID しか残らず、誰が操作したかを記録から示せません。人ごとに ID を出せるか、その数に上限があるかは、事業者に問い合わせて確かめます。共有が残る理由と選択肢は電子カルテ・診療システムの ID を複数人で使うことの問題と現実にまとめています。