【連載第3回】医療情報システム安全管理ガイドライン第7.0版を読み解く｜「企画管理編①」を解説―管理体系・方針・責任分界

「医療情報システムの安全管理に関するガイドライン第7.0版」を読み解く全12回連載。

第1回ではガイドライン全体の構成と読み方、第2回では「経営管理編」を取り上げ、理事長・院長などの経営層に求められる責任と判断について解説しました。

第3回からは、医療情報システムの安全管理を実務へ落とし込む企画管理編を複数回に分けて解説します。

今回取り上げるテーマは、次の3点です。

管理体系
情報セキュリティ方針と管理規程
通常時・非常時の責任分界

企画管理編は、医療情報システムの安全管理やシステム運営の実務を担う「企画管理者」を主な対象としています。経営層が決定した方針を院内の規程や運用へ反映し、システム運用担当者や外部事業者へ必要な対応を指示・管理するための考え方が示されています。

今回の内容を一言で表すと、次のようになります。

誰が、何を、どこまで責任を持つのかを、方針・規程・契約によって明確にするための章

医療機関が外部事業者へシステム管理を委託していたとしても、医療機関側の責任がなくなるわけではありません。

平常時の運用だけでなく、サイバー攻撃やシステム障害が発生したときに、誰が停止を判断し、誰が原因を調査し、誰が復旧し、誰が患者や行政へ説明するのかまで整理しておく必要があります。

この記事で分かること

項目	内容
企画管理編の役割	経営層の方針を規程・運用・契約へ落とし込む
管理体系とは	法令、経営判断、院内規程、技術運用をつなぐ仕組み
策定すべき方針	情報セキュリティ、医療情報保護、医療情報システム安全管理に関する方針
管理規程の役割	方針を実際の業務で実行するための院内ルール
責任分界とは	医療機関、事業者、関係者が担う責任と作業範囲の整理
非常時のポイント	初動、調査、復旧、報告、説明の担当を事前に決める
実務上の注意点	「事業者に任せている」という認識だけでは不十分

前回までの連載記事

公式資料｜必要に応じて確認してください

本記事は、厚生労働省等が公表した次の資料をもとに作成しています。

ガイドライン各編、チェックリストのExcel版、BCPのひな形、運用管理規程文例などは、厚生労働省の関連資料一覧ページから確認できます。

1．企画管理編とは

企画管理編は、医療機関等において、医療情報システムの安全管理に関する実務を担う企画管理者を対象としたものです。

経営管理編が「経営層として何を判断し、何に責任を持つか」を示すのに対し、企画管理編では、経営層が決定した方針を具体的な仕組みへ変換します。

経営管理編と企画管理編の違い

区分	主な対象	主な役割
経営管理編	理事長、院長、経営層	方針決定、リスク判断、予算・人材の確保
企画管理編	企画管理者、安全管理の実務担当者	方針の具体化、規程整備、責任分界、運用管理
システム運用編	システム運用担当者、技術担当者	技術的対策の実装と日常運用

例えば、経営層が「医療情報を安全に取り扱う」「サイバー攻撃が発生しても診療を継続する」という方針を承認したとしても、そのままでは現場は動けません。

企画管理者が、次の内容を具体化する必要があります。

どの規程を整備するか
誰を対象にするか
誰が承認するか
誰が実際の作業を行うか
事業者へ何を委託するか
実施状況をどのように確認するか
問題が発生した場合に誰へ報告するか

つまり企画管理者は、経営と現場、院内と事業者をつなぐ役割を担います。

2．企画管理編①で求められる主な事項

今回扱う範囲を、実務上の観点から整理すると次のようになります。

分野	主な要求事項
管理体系	関係法令を把握し、組織全体で遵守できる措置を整える
経営層への報告	法令遵守や安全管理の状況を報告し、承認を得る
方針の策定	情報セキュリティ、医療情報保護、システム安全管理の方針を定める
規程への反映	方針を実行するための運用管理規程等を整備する
通常時の責任分界	日常運用、保守、更新、監視、報告の分担を決める
非常時の責任分界	初動、停止、調査、復旧、報告、説明の分担を決める
委託先との取決め	契約書、SLA、仕様書、手順書等で役割を可視化する
複数事業者への対応	事業者間の隙間や重複が生じないよう全体を整理する

企画管理編の「管理体系」では、医療機関全体として法令を遵守するための措置を整え、委託先事業者にも必要な対応を契約上求めることが示されています。

また、法令遵守状況を経営層へ報告し、方針を実行するための体制、規程、技術的措置を整備し、それらが適切に運用されているか確認することが求められています。

3．「管理体系」とは何か

管理体系とは、単に責任者を置くことではありません。

医療情報システムの安全管理に関係する次の要素を、組織としてつなげる仕組みを指します。

法令・ガイドライン
↓
経営層の方針・判断
↓
院内規程・規則・手順
↓
システム運用・職員の行動
↓
点検・報告・改善

医療機関には、個人情報保護法だけでなく、医療法、医師法、薬剤師法、e-文書法、電子署名法など、医療情報の取扱いに関係する複数の法令があります。

企画管理者には、これらの法令やガイドラインをすべて暗記することではなく、医療機関の業務へどのような影響があるかを整理し、必要な対応へ変換することが求められます。

管理体系が機能していない例

法令やガイドラインが改定されても規程が更新されない
規程と実際のシステム運用が一致していない
経営層が安全管理の状況を把握していない
担当者が独自の判断でシステムやクラウドサービスを導入している
事業者へ委託している範囲が分からない
問題が発生しても経営層へ報告されない
改善が担当者任せとなり、予算や人員が確保されない

このような状態を防ぐため、企画管理者は法令上の要求や現場の課題を整理し、経営層へ報告して承認を受ける必要があります。

4．企画管理者に求められる法令遵守の実務

企画管理編では、医療情報の取扱いに関する法律上の責任として、行政法上、刑事上、民事上の責任が整理されています。

代表的なものを簡単に整理すると次のとおりです。

分野	主な法令・考え方	医療機関に求められる対応
個人情報	個人情報保護法	安全管理措置、委託先監督、第三者提供の管理
医療情報	医師法、医療法、薬剤師法等	診療録等の適正な作成・保存
電子保存	e-文書法、関連通知	真正性・見読性・保存性の確保
外部保存	外部保存に関する通知	保存場所や事業者の安全性確認
電子署名	電子署名法等	署名者本人と資格の確認
サイバー対策	医療法施行規則等	医療提供に支障を及ぼさないための必要な措置

企画管理者は、これらの法令等が求める内容を把握し、院内で実施可能な形へ整理します。

法令要求を実務へ落とし込む例

法令・ガイドライン上の要求	院内で必要となる仕組み
安全管理措置を講じる	運用管理規程、アクセス管理、ログ管理
委託先を監督する	事業者選定基準、契約、定期確認
診療録の真正性を確保する	利用者認証、確定手順、更新履歴
医療情報を適切に保存する	保存期間、バックアップ、復旧手順
インシデントへ対応する	報告手順、連絡体制、初動手順
患者へ説明する	説明窓口、説明資料、記録

重要なのは、法令の文言をそのまま規程へ転記することではありません。

職員や事業者が、実際にどのような行動を取ればよいかが分かる状態にする必要があります。

5．医療情報システムの安全管理に必要な3つの方針

企画管理編では、組織として次の方針を策定し、経営層の承認を得ることが求められています。

①情報セキュリティ方針

組織全体として情報セキュリティへどのように取り組むかを示す基本方針です。

主に次の内容を示します。

情報資産を適切に保護すること
法令・契約・院内規程を遵守すること
必要な安全管理体制を整備すること
職員への教育を行うこと
インシデントへ適切に対応すること
継続的に点検・改善すること

②医療情報の取扱い・保護に関する方針

患者の診療情報や個人情報を、どのように取り扱い、保護するかを示す方針です。

例えば、次の事項が関係します。

医療情報の利用目的
院内での共有範囲
第三者提供
外部保存
持ち出し
保存期間
廃棄
患者への説明

③医療情報システムの安全管理に関する方針

電子カルテ、部門システム、ネットワーク、端末などを安全に運用するための基本的な方針です。

例えば、次の事項を含みます。

利用者認証
アクセス権限
システム変更
セキュリティ更新
ログ管理
バックアップ
外部接続
障害・インシデント対応
委託先との役割分担

3つの方針を完全に別々の文書として作らなければならないわけではありません。

医療機関の規模や既存の文書体系に応じて、情報セキュリティ基本方針や医療情報システム運用管理規程の中で整理することも考えられます。

ただし、それぞれの観点が抜け落ちていないかは確認する必要があります。

6．方針と管理規程は何が違うのか

方針と規程は、役割が異なります。

文書	役割	例
方針	組織としての基本的な考え方	医療情報を適切に保護する
規程	方針を実現するための基本ルール	医療情報の持ち出しには承認を要する
規則・基準	個別テーマの条件	使用できる媒体、暗号化、保存期間
手順書	実際の作業方法	申請、承認、貸出、返却、記録
記録・証跡	実施したことの証明	申請書、台帳、点検記録

企画管理編では、明文化されたルールを整備し、重要な規程については経営層の承認を得ることが求められています。

また、規程を踏まえて細則や通常時の手順を整備し、必要に応じて企画管理者自身が策定するか、担当者へ策定権限を移譲することが示されています。

規程にありがちな問題

抽象的で具体的な作業が分からない
実際には使用していないシステム名が残っている
退職者が責任者として記載されている
事業者との契約内容と一致していない
非常時の記載が「速やかに対応する」で終わっている
現場が規程の存在を知らない
改定日や承認者が記録されていない

規程は、作成することが目的ではありません。

実際のシステム構成、業務フロー、職員の行動、事業者との契約と一致している必要があります。

7．管理規程へ盛り込むべき基本事項

今回のテーマである管理体系、方針、責任分界に関係する範囲では、運用管理規程等に少なくとも次の内容を整理しておくことが重要です。

管理体系に関する事項

規程の目的
適用範囲
関係法令・ガイドライン
経営層への報告と承認
規程の見直し方法
違反時や例外時の取扱い

方針に関する事項

情報セキュリティの基本的な考え方
医療情報の取扱いと保護
医療情報システムの安全管理
継続的な点検・改善
患者等への説明

責任分界に関する事項

医療機関側の責任
システム運用担当者の役割
委託先事業者の責任
再委託先の取扱い
通常時の役割分担
非常時の役割分担
報告・連絡・承認の方法
契約終了時の対応

ただし、責任者の詳細な体制、職員教育、外部保存、機器台帳、サプライチェーン管理については、次回の「企画管理編②」で詳しく取り上げます。

8．責任分界とは何か

責任分界とは、医療情報システムの安全管理について、医療機関と事業者、その他の関係者がそれぞれ何を担うかを明確にすることです。

責任分界には、大きく分けて2つの観点があります。

①法律上の責任

患者や行政などに対して、最終的に誰が説明や対応の責任を負うかという観点です。

医療機関がシステム管理を外部へ委託しても、患者に対する医療機関の責任や、委託先を適切に管理する責任まで移転するわけではありません。

②具体的な運用・作業上の責任

実際に誰が作業するかという観点です。

例えば、次のような作業があります。

セキュリティ更新
アカウント登録・削除
ログ確認
バックアップ
障害切り分け
マルウェア調査
システム復旧
行政報告に必要な資料の作成

法律上の責任と、実際の作業担当は同じとは限りません。

事業者が技術的調査を行ったとしても、患者や行政への説明は医療機関が担うことがあります。

そのため、契約書に「保守を行う」と書くだけでは不十分です。

9．通常時の責任分界で決めること

通常時の責任分界では、日常的な運用や保守について、誰が何を実施するかを整理します。

通常時の責任分界表の例

対応項目	医療機関	事業者	確認すべき事項
利用者登録	申請・承認	システム登録	誰の承認で登録するか
不要アカウント削除	対象者の把握	削除作業	退職後いつまでに削除するか
OS更新	対象確認	更新作業	保守契約に含まれるか
アプリ更新	実施承認	更新作業	診療影響と実施時間
ログ管理	確認・報告	取得・保存	保存期間と提供方法
バックアップ	取得状況の確認	取得作業	保存先、世代数、復旧試験
リモート保守	接続許可	接続・作業	認証、記録、接続元
障害対応	連絡・院内調整	原因調査・復旧	対応時間、優先順位

ここで重要なのは、作業を事業者へ委託した後も、医療機関が実施状況を把握できることです。

「事業者が対応しているはず」という状態では、管理責任を十分に果たせません。

10．非常時の責任分界で決めること

サイバー攻撃、システム障害、災害などの非常時には、通常時とは異なる判断と対応が必要になります。

非常時の責任分界では、少なくとも次の事項を整理しておく必要があります。

段階	主な対応	事前に決めること
検知	異常の発見、通報	誰がどこへ連絡するか
初動	ネットワーク切断、機器隔離	誰が実施・承認するか
判断	システム停止、診療継続	誰が最終判断するか
調査	原因、影響範囲、侵入経路	事業者がどこまで調査するか
復旧	バックアップ復元、動作確認	復旧順序と承認者
報告	厚生労働省、警察等への連絡	誰が情報を集約するか
説明	患者、関係機関、報道対応	誰が資料を作成するか
再発防止	原因に基づく改善	誰が計画し承認するか

特に整理すべき5つの責任

①システムを停止する責任

感染拡大を防ぐためにシステム停止が必要であっても、診療への影響が生じます。

技術担当者や事業者だけで停止を判断するのか、院長や対策本部の承認が必要なのかを決めておく必要があります。

②被害拡大を防止する責任

端末隔離、ネットワーク遮断、リモート接続停止など、初動対応の担当を明確にします。

③原因を調査する責任

医療機関の職員だけでは、ログ解析やマルウェア調査が困難な場合があります。

保守事業者がどこまで調査するのか、専門事業者へ依頼する場合は誰が契約するのかを整理します。

④復旧する責任

バックアップからの復旧、端末再構築、安全確認、診療再開判断などを分けて考える必要があります。

⑤説明・報告する責任

技術的な調査結果は事業者が保有していても、厚生労働省、警察、患者等への説明は医療機関が行うことになります。

事業者が説明資料の作成へ協力するかどうかも、事前に取り決めておくことが重要です。

11．責任分界はどの文書で明確にするのか

責任分界は、契約書だけでなく、複数の文書を組み合わせて管理することが現実的です。

文書	主な役割
委託契約書	委託業務、法的責任、秘密保持等
保守契約書・仕様書	保守対象、作業内容、受付時間等
SLA	稼働率、応答時間、復旧目標等
責任分界表	項目ごとの担当者・実施者
システム構成図	対象範囲、接続関係、事業者の境界
通常時の運用手順	日常作業、申請・承認、報告
非常時対応手順	初動、連絡、調査、復旧、報告
連絡体制図	院内・事業者・外部機関の連絡先

経営管理編でも、一般的な契約書だけでは具体的な運用範囲を表現しにくい場合があるため、企画管理者やシステム運用担当者のマニュアル等を事業者と共有し、具体的な対応範囲を明確にする方法が示されています。

12．複数の事業者が関与する場合の注意点

医療機関のシステムは、1社だけで構成されるとは限りません。

例えば、次のような複数事業者が関係します。

電子カルテ事業者
レセプトシステム事業者
検査・画像・薬剤などの部門システム事業者
ネットワーク事業者
クラウド事業者
医療機器事業者
セキュリティ事業者
保守委託事業者

この場合、責任分界を事業者ごとに個別確認するだけでは不十分です。

よくある責任の空白

電子カルテと部門システムの接続部分
院内ネットワークとクラウドの境界
医療機器と一般端末の接続
VPN装置とリモート保守
バックアップシステムと元システム
障害原因が複数システムにまたがる場合
再委託先が管理するサービス

複数事業者が関与する場合には、医療機関が責任分界を直接取り決める相手を特定し、事業者間の役割分担も含めて漏れなく整理することが重要です。

保守委託機関編でも、複数の関係者が関与する場合には、その関係を整理し、責任分界の相手方を特定した上で、事業者間の役割分担も含めて取決め内容に漏れがないよう求めています。

13．「クラウドだから事業者が全部対応する」は誤り

クラウドサービスを利用している場合でも、すべての責任をクラウド事業者が負うわけではありません。

一般的に、サービス形態によって管理範囲が異なります。

サービス形態	事業者側の管理範囲が広い部分	医療機関側に残りやすい管理
SaaS	アプリケーション、基盤、更新	利用者、権限、設定、データ利用
PaaS	OS・ミドルウェア・基盤	アプリケーション、設定、利用者
IaaS	仮想基盤・物理設備	OS、アプリ、更新、設定、利用者

特にSaaSでは、システム更新を事業者が行っていたとしても、次の管理は医療機関側に残ることがあります。

利用者アカウント
アクセス権限
多要素認証の設定
共有設定
データの登録・変更・削除
端末の管理
院内ネットワーク
職員の操作
契約終了時のデータ処理

そのため、「クラウドを利用しているから安全」「事業者が管理しているから医療機関側の対応は不要」とは判断できません。

14．責任分界表を作成する際の実務手順

責任分界を整理するときは、次の順序で進めると分かりやすくなります。

ステップ1：対象システムと関係事業者を洗い出す

電子カルテだけでなく、部門システム、クラウド、ネットワーク、リモート保守まで確認します。

ステップ2：契約書と保守仕様を確認する

「保守一式」などの曖昧な表現ではなく、具体的な作業内容を確認します。

ステップ3：通常時の作業を一覧化する

更新、ログ、バックアップ、アカウント、障害対応などを整理します。

ステップ4：非常時の作業を一覧化する

初動、停止、調査、復旧、報告、説明、再発防止を整理します。

ステップ5：各項目の担当を決める

「実施」「承認」「報告」「確認」を分けて設定します。

ステップ6：空白と重複を確認する

誰も担当しない項目と、複数者が担当すると考えている項目を確認します。

ステップ7：文書化し、事業者と合意する

契約、SLA、責任分界表、手順書等へ反映します。

ステップ8：定期的に見直す

システム更改、契約更新、事業者変更、インシデント発生後には再確認します。

15．第3回の実務確認チェックリスト

自院の管理体系・方針・責任分界について、次の項目を確認してみてください。

確認項目	確認
情報セキュリティ方針が策定され、経営層が承認している	□
医療情報の取扱い・保護に関する方針が整理されている	□
医療情報システムの安全管理方針が整理されている	□
方針を実行するための運用管理規程がある	□
規程と実際のシステム運用が一致している	□
法令・ガイドライン改定時の見直し方法が決まっている	□
安全管理状況を経営層へ報告している	□
通常時の医療機関と事業者の役割分担が明確である	□
セキュリティ更新の担当が明確である	□
ログ、バックアップ、アカウント管理の担当が明確である	□
インシデント時の初動・調査・復旧の担当が明確である	□
行政報告や患者説明への事業者の協力範囲が明確である	□
複数事業者間の責任の空白が確認されている	□
責任分界が契約書、SLA、手順書等に記録されている	□
契約更新やシステム変更時に責任分界を見直している	□

「契約書を見ても分からない」「事業者へ聞いても明確な回答がない」という項目がある場合は、責任分界が十分に整理されていない可能性があります。

16．よくある不備と改善方法

不備1：方針はあるが、運用管理規程へ反映されていない

情報セキュリティ基本方針だけをWebサイト等へ掲載し、実際の院内ルールが整備されていないケースです。

改善方法

方針ごとに、実行するための規程、規則、手順、記録を対応付けます。

不備2：「事業者に任せている」で終わっている

どの事業者が何を担当しているのか確認できないケースです。

改善方法

業務項目ごとに責任分界表を作成し、契約書や保守仕様書と照合します。

不備3：通常時の役割しか決めていない

保守や更新の担当は決まっていても、サイバー攻撃時の調査や復旧が契約に含まれていないケースです。

改善方法

非常時の初動、証拠保全、原因調査、復旧、行政報告への協力を個別に確認します。

不備4：契約書の表現が抽象的である

「必要なセキュリティ対策を講じる」「速やかに対応する」とだけ記載されているケースです。

改善方法

対象、担当、期限、報告方法、成果物をSLAや別紙仕様書で具体化します。

不備5：複数事業者間の接続部分が管理されていない

各事業者は自社製品だけを管理し、接続部分に問題が発生すると担当が決まらないケースです。

改善方法

システム構成図に事業者の管理範囲を重ね、境界部分の一次対応者と調整責任者を設定します。

17．企画管理編①に関するよくある質問

Q1．情報セキュリティ方針と運用管理規程は同じものですか？

同じではありません。

情報セキュリティ方針は組織の基本的な考え方を示すもので、運用管理規程はその方針を実行するための具体的なルールを定めるものです。

Q2．事業者へ保守を委託すれば、医療機関の責任はなくなりますか？

なくなりません。

作業を事業者へ委託することはできますが、適切な事業者を選定し、契約内容を確認し、実施状況を監督する責任は医療機関側に残ります。

Q3．責任分界は契約書に記載すれば十分ですか？

契約書だけでは不十分な場合があります。

具体的な作業範囲は、保守仕様書、SLA、責任分界表、通常時・非常時の手順書等を用いて明確にすることが重要です。

Q4．非常時の責任分界では何を優先して決めるべきですか？

システム停止の判断、初動対応、原因調査、復旧、行政報告、患者説明の担当を優先して決める必要があります。

特に、夜間・休日でも連絡できる相手と、事業者が提供できる支援範囲を確認することが重要です。

Q5．小規模な医療機関でも責任分界表は必要ですか？

必要です。

小規模な医療機関ほど専任担当者が不在で、事業者への依存度が高くなる傾向があります。簡易な表でもよいため、医療機関と事業者の役割を可視化しておくことが重要です。

まとめ｜方針と責任分界がなければ安全管理は実行できない

企画管理編①で重要となるポイントは、次のとおりです。

法令やガイドラインの要求を院内運用へ落とし込む
情報セキュリティ、医療情報保護、システム安全管理の方針を整理する
方針を実行するための運用管理規程を整備する
医療機関と事業者の通常時の役割を明確にする
非常時の初動、調査、復旧、報告、説明の分担を決める
責任分界を契約書だけでなく、SLAや手順書等でも可視化する
複数事業者が関与する場合は責任の空白を防ぐ
委託しても医療機関側の管理責任はなくならない

医療情報システムの安全管理では、セキュリティ製品を導入することより前に、組織としての方針と役割を決める必要があります。

誰が責任を負うのか分からない状態では、平常時の対策も、非常時の対応も機能しません。

まずは既存の情報セキュリティ方針、運用管理規程、委託契約書を並べ、実際の業務と一致しているか確認することが、企画管理編への対応の第一歩となります。

医療情報システムの安全管理でお困りではありませんか

医療機関では、電子カルテ、部門システム、医療機器、ネットワークなどを複数の事業者へ委託していることが多く、契約書を確認しても責任範囲が明確にならない場合があります。

株式会社クロイツでは、医療機関の実際のシステム構成や運用状況を確認した上で、次のような支援を行っています。

情報セキュリティ方針の策定・改定
医療情報システム運用管理規程の見直し
規程と実際の運用状況のギャップ確認
委託契約書・保守仕様書・SLAの確認
医療機関と事業者の責任分界整理
通常時・非常時の責任分界表作成
複数事業者が関与するシステム構成の整理
ガイドライン第7.0版への対応状況確認

規程を新たに作る前に、現在の契約、システム構成、院内で行っている作業を整理することが重要です。

お問い合わせ