医療機関で職員が退職・異動したとき、どのアカウントを、いつ、誰が止めるか

職員が辞めたときに止めるのは、その人が使えるすべての医療情報システムの ID です。院内の電子カルテだけでなく、院外のクラウドサービスも含みます。複数人で使う ID は消せないので、パスワードを変えます。部署を移ったときは、ID を残して権限を変えます。厚生労働省の医療情報システムの安全管理に関するガイドライン(第 7.0 版)は、退職した職員を利用者の登録から削除するよう求めています。ID を人事の登録と合う形で管理するという考え方です。何日以内に止めるかは書かれていないので、期限と担当は施設で決めます。

止める対象になるアカウント

企画管理編 13 章の遵守事項(守るべき決まり)③は、院内の利用者を、医療機関に所属していることを前提に管理するよう求めています。考え方の節(13.1.2)には、職員が退職する場合は医療情報システムの利用者登録からも削除する、とあります。

医療情報システムは、医療に関する患者の情報(本人が分かる情報を含むもの)を扱う情報システム全般です(概説編 2.2・2.3)。院内で動くシステムに限らず、事業者が提供するサービスも含まれます。予約や問診のサービスも、受診の内容や症状を患者ごとに扱うなら対象になると読めます。退職者 1 人について、確かめる先と止め方は次のとおりです。無効化は、ID を残したまま使えなくすることです。

削除と無効化のどちらでもかまいません。厚労省の Q&A は、ID の「不要なものは適宜削除すること」に、不要な ID の無効化も含まれると答えています(システム運用編の Q33)。どちらを選べるかはシステムによって違うので、事業者に確かめます。IC カードについて Q&A は、カードを個人に結びつけ、紛失・貸し借り・失効を管理するよう求めています(同 Q34)。

いつ止めるか

ガイドラインもチェックリストも、退職から何日以内に止めるかを定めていません。手がかりになるのは、チェックリストのマニュアルにある利用者 ID の台帳の例です。退職予定の職員の行は、説明が「使用者/退職予定」、状態が「使用可（23年３月まで）」となっています。退職の日が決まった時点で、台帳に使える期限を書いておく形です。

期限をどこに置くかは施設が決めます。考え方のもとになるのは、システム運用編 14.2 の、付ける権限は必要最小限にすることが重要だという記述です。決め方の一例は、最終の勤務日の業務が終わった時点です。休暇の消化で最終勤務日と退職日が離れる場合も、この考え方で、その間に診療システムを使う業務があるかを見て決めます。

異動のときは、ID を消さずに権限を変えます。14.2 は、人事異動などで担当業務が変わるのに合わせて、アクセス権限を適宜更新する必要があるとしています。前の部署の権限を残したまま新しい権限を足すと、両方の部署の情報が見える状態が続きます。権限の付け直しは、システム運用編 14 章の遵守事項④にならい、異動先の部署の申請を受けて行い、その部署の管理者に確かめてもらいます。

長く休む職員の ID の扱いは、ガイドラインには書かれていません。マニュアルは、長い間使われていない ID も不正なアクセスに使われるおそれがあるとして、削除や無効化の対象に挙げています。休んでいる間は無効にして、復帰の日に戻すのが決め方の一例です。

誰が何をするか

ガイドラインは、経営層・企画管理者・システムの担当者の 3 つの役割ごとに編を分けています(概説編 3.1)。企画管理者は安全管理の実務を、システムの担当者は設定と運用の実務を担う人です。退職と異動の手続きは、この分け方に沿って役目を割り振れます。

出発点は人事の手続きです。退職と異動も、人事の記録から始まります。人事の担当から ID を扱う担当へ、退職日と異動日をいつ、どの手段で伝えるかを決めておきます。

手順づくりを指示するのは企画管理者です。企画管理編 13 章が担当者に作らせる手順のうち、退職と異動にかかわるのは 3 つです。人事の情報と合わせて ID を付ける手順(遵守事項③)、部署の申請を受けて権限を付ける手順(④)、ID の棚卸し(何があるか一覧にすること)の手順(⑦)です。システム運用編 14 章も、ID を台帳で管理し、定期的に棚卸しをして不要なものを削除すること、その手順を作ることを遵守事項にしています(⑧)。止める操作をするのは、システムの担当者か、契約している事業者です。棚卸しの結果は、企画管理者が経営層に報告し、承認を得ます(企画管理編 13 章 遵守事項⑦)。

ただし小さな医療機関では、役割が分かれていないことがあります。保守委託機関編の対象を説明する概説編 3.1.5 は、小規模な医療機関には専任のシステム担当者がおらず、経営層と企画管理者が分かれていないことが多いと想定しています。1 人が役目を兼ねていても、人事の記録と ID の台帳を突き合わせる作業はなくなりません。

事業者が ID を管理しているとき

保守委託機関編は、サーバーの保守を事業者に全て委託している医療機関向けの編です。その 9 章も、退職者や使っていないアカウントの削除か無効化を求めています。9 章の解説も、事業者に任せる場合は削除の運用を文書で取り決めるよう求めています。医療機関と事業者の責任の分け方の全体は、予約・問診・オンライン診療などのクラウドサービスで、アカウント管理の責任はどこで分かれるかにまとめています。

退職の場面で取り決めておくのは、誰が、どの手段で、いつまでに削除を頼むかと、済んだことをどう知らせてもらうかです。チェックリストで事業者が 2-⑤を「対象外」とした場合は、退職者の ID を止める責任は医療機関の側にあります。突き合わせ方は厚労省のサイバーセキュリティ対策チェックリストの記事にあります。

複数人で使う ID とパスワードを知る人

複数人で使う ID は、1 人が辞めても残る人が使い続けるので、削除できません。辞めた人はパスワードを覚えたままです。その人だけを止めるには、パスワードを変え、残る人にだけ新しいパスワードを伝えるほかありません。システム運用編 14 章は、ID とパスワードを本人しか知り得ない状態に保つことを遵守事項にしています。共有の ID は、もともとこの形に合いません。どんな場面で共有の ID が残るかは電子カルテ・診療システムの ID を複数人で使うことの問題と現実にまとめています。

止め漏れは、定期的な棚卸しで拾えます。退職のたびに、台帳の行ごとに止めた日と止めた人を書き残しておくと、棚卸しのときにどこまで済んでいるかが分かります。共有の ID の行には、パスワードを変えた日も書いておきます。