医療情報システムの安全管理に関するガイドラインとは

医療情報システムの安全管理に関するガイドラインとは、厚生労働省が医療機関等に向けて定める、医療情報システムの安全管理の指針です。平成 17 年 3 月の初版から改定を重ね、現行は第 7.0 版(令和 8 年 6 月)です。読む人の役割ごとに編が分かれています。経営管理編以降の各章は、冒頭に遵守事項(守るべき決まり)を置き、その後に考え方を書く形です。

何を対象にしているか

対象は、医療機関等で医療情報システムの導入、運用、利用、保守、廃棄に関わる人です。医療機関等は、病院、一般診療所、歯科診療所、助産所、薬局、訪問看護ステーション、介護事業者などを想定しています(概説編 2.1)。医療情報システムは、患者の個人識別情報を含む情報を扱う情報システム全般で、医療情報を含まない会計・経理システムは含みません。

直接の目的は、個人情報保護法と e-文書法(書類を電子データで保存してよいと定める法律)への対応です。概説編は、医療法施行規則 14 条 2 項が病院・診療所・助産所の管理者にサイバーセキュリティを確保する措置を義務づけていることも挙げています(4.3)。事業者向けガイドラインの本文によると、このガイドラインは保険診療の点数表でも引用され、保険医療機関として守ることが求められます。

どんな構成か

保守委託機関編は第 7.0 版で加わりました。サーバーの保守(セキュリティ更新を含む)を事業者に全て委託できている医療機関等は、概説編とこの編に対応すれば遵守しているとみなされます(概説編 3.1.5)。みなされるのは、事業者が更新の責任を負うと契約書や約款に書かれている場合だけです(保守委託機関編 図 1 の注)。

認証と記録について何を求めているか

アカウント管理に関わる遵守事項は、システム運用編 14 章と 17 章にあります。項目の一覧は医療・ヘルスケアのアカウント管理の表にまとめています。14 章は、利用者の識別・認証、ID とパスワードを本人しか知り得ない状態に保つこと、申請に基づく権限付与、ID の台帳と棚卸しを求めています。二要素認証は、パスワードに加えてもう 1 つの方法で本人を確かめる仕組みです。対象は、令和 9 年 4 月 1 日時点で稼働が想定される医療情報システムです。それを新しく入れるか、機器の入替などを伴う入れ替えをする際に、採用するか相当する対応を行うこと、が文言です。端末とサーバーの両方が対象になります(表 14-1)。

パスワードの桁数は、遵守事項ではなく 14.1.1 の考え方にあります。二要素認証がある場合は 8 桁以上、ない場合は 13 桁以上で、いずれの場合も定期的な変更は不要です。

17 章は、利用者のログイン時刻、アクセス時間、ログイン中に操作した医療情報が分かる記録を残し、定期的に確認することを遵守事項にしています。記録機能がないシステムでは、業務日誌などで操作者と操作内容を記録します。管理を委託している場合は、記録の管理方法や提供を事業者と取り決めます(17.1)。

章ごとの読み解きは厚労省ガイドライン(第 7.0 版)が求める認証・アクセス管理を自施設に当てはめるにまとめています。記録の残し方と年数は医療機関のアクセスの記録(監査ログ)は何をどこまで残す必要があるかにあります。