【連載第5回】医療情報システムの安全管理に関するガイドライン第7.0版｜企画管理編③「点検・監査・BCP・認証管理」を解説

医療情報

医療情報システムの安全管理では、規程や体制を整備しただけでは十分ではありません。

定めたルールが実際に守られているかを点検し、問題があれば改善すること、そしてサイバー攻撃やシステム障害が発生しても医療を継続できるように備えておくことが重要です。

また、電子カルテなどの医療情報システムでは、誰がどの情報にアクセスできるのか、誰が記録を入力・確定したのかを明確にしなければなりません。

本連載の第5回では、当初の連載計画に沿って、「企画管理編」のうち次の内容を解説します。

運用状況の自己点検
内部監査・外部監査
災害、サイバー攻撃、システム障害を想定したBCP
サイバーセキュリティ対応計画
利用者ID、認証、アクセス権限の管理
電子カルテ記録の確定
電子署名・タイムスタンプ

企画管理編では、企画管理者が組織体制や規程を整備するだけでなく、システム運用担当者に必要な対応を指示し、その実施状況を確認・管理することが求められています。

この記事で分かること

この記事では、次の内容を実務目線で整理します。

自己点検と監査の違い
医療機関のBCPに盛り込むべき内容
サイバーセキュリティ対応計画とBCPの関係
利用者IDとアクセス権限の管理方法
電子カルテの記録確定で注意すべき点
電子署名と通常のシステム認証の違い
医療機関が優先して整備すべき文書・台帳・記録

前回までの連載記事

公式資料｜必要に応じて確認してください

本記事は、厚生労働省等が公表した次の資料をもとに作成しています。

ガイドライン各編、チェックリストのExcel版、BCPのひな形、運用管理規程文例などは、厚生労働省の関連資料一覧ページから確認できます。

結論：企画管理編で求められるのは「作って終わりにしない仕組み」

企画管理編③のポイントを一言でまとめると、次のようになります。

定めた対策が実際に機能しているかを確認し、非常時に動ける状態を維持し、利用者と権限を適切に管理すること

規程を作成していても、職員が内容を知らなければ機能しません。

バックアップを取得していても、復元できるか確認していなければ、非常時に利用できない可能性があります。

利用者IDが登録されていても、退職者のアカウントが残っていたり、必要以上の権限が付与されていたりすれば、不正アクセスや被害拡大の原因になります。

そのため、企画管理者には、次のサイクルを継続的に回す役割があります。

方針・規程・手順を整備する
現場で運用する
証跡を残す
点検・監査する
問題を改善する
訓練によって実効性を確認する

1．「点検」と「監査」は何が違うのか

医療情報システムの安全管理では、自己点検と監査の両方が求められます。

両者は似ていますが、目的と実施者が異なります。

項目	点検・自己点検	監査
主な目的	日常運用が規程どおり行われているか確認する	安全管理の状況を客観的に評価する
実施者	企画管理者、システム運用担当者、各担当部署	担当者から独立した内部組織または外部の第三者
確認対象	台帳、アカウント、ログ、教育記録、バックアップ、手順など	管理体制、規程、運用状況、証跡、改善状況など
実施時期	定期的、システム変更時、インシデント後など	あらかじめ定めた周期または必要時
結果	改善項目や対応期限を整理する	客観的な指摘と改善勧告を行う

企画管理編では、各規程や手順に基づいた運用が行われているかを、証跡に基づいて点検することが求められています。

また、医療情報システムの取扱いを外部事業者に委託している場合には、事業者からの報告やSLAの評価などを通じて、委託先の運用状況も確認しなければなりません。

さらに、企画管理者やシステム運用担当者から独立した組織、または第三者による監査を定期的に実施することが示されています。

点検で確認したい主な証跡

点検を「担当者への聞き取り」だけで終わらせてはいけません。

次のような証跡を確認します。

医療情報システム・機器台帳
利用者ID・権限台帳
退職者・異動者のアカウント処理記録
アクセスログや操作ログ
セキュリティパッチ適用記録
バックアップ実施記録
バックアップ復元テスト記録
職員教育・訓練の実施記録
委託先事業者からの報告書
インシデント対応記録
規程や手順の改定履歴
過去の監査指摘と改善記録

重要なのは、単に「実施した」と回答することではなく、第三者が後から確認できる状態にしておくことです。

点検結果は経営層へ報告する

企画管理者だけで問題を抱え込むことも避けなければなりません。

点検によって、古いOSやサポート終了製品、管理されていない端末、復元できないバックアップなどが判明した場合、予算や人員の判断が必要になります。

そのため、点検結果は次のように整理し、経営層へ報告します。

問題の内容
想定されるリスク
対応の優先度
必要となる費用・人員
対応責任者
改善期限
対応後の確認方法

監査や点検は、現場を責めるためのものではありません。

組織として対応が不足している部分を見つけ、経営判断につなげるための仕組みです。

2．医療機関のBCPは「バックアップ計画」だけではない

BCPとは、災害やシステム障害などによって通常業務が継続できなくなった場合に、重要な業務を継続または早期復旧するための計画です。

医療機関では、電子カルテが停止したとしても、患者への医療提供を可能な限り継続しなければなりません。

そのため、医療機関のBCPでは、システムの復旧だけでなく、診療をどのように継続するかを決めておく必要があります。

BCPであらかじめ決めるべき内容

少なくとも次の内容を整理します。

1．非常時と判断する基準

電子カルテが一定時間以上停止した場合
院内ネットワークが利用できない場合
ランサムウェア感染が疑われる場合
医療情報の漏えいが疑われる場合
委託先のクラウドサービスが停止した場合
停電、火災、地震などでシステムが利用できない場合

2．意思決定者

誰が非常事態を宣言するのか
誰がシステム停止を判断するのか
誰が紙運用への切替えを判断するのか
誰が診療制限や受入停止を判断するのか
誰が外部機関への報告を判断するのか

3．継続する医療業務

救急患者の受入れ
入院患者への診療
投薬・注射
検査・画像診断
手術・処置
会計・請求
他医療機関との情報連携

すべての業務を同時に継続することが困難な場合には、優先順位を定めておく必要があります。

4．代替運用

紙カルテの利用
紙処方箋や指示書の運用
患者情報の確認方法
検査・画像部門との連絡方法
復旧後のデータ入力方法
紙記録と電子記録の突合方法

5．連絡体制

院長・理事長などの経営層
医療情報システム安全管理責任者
システム運用担当者
医療安全管理部門
診療部門・看護部門・薬剤部門
電子カルテ・ネットワーク事業者
セキュリティ事業者
警察、厚生労働省、所管行政機関
必要に応じた外部専門家

6．復旧手順

被害範囲の確認
ネットワークや機器の隔離
原因調査
バックアップの安全性確認
システムの再構築
データ復元
動作確認
診療部門による確認
通常運用への切替え

企画管理編では、災害、サイバー攻撃、システム障害では必要な対応が異なることを踏まえ、発生原因ごとに通常時から準備を行うよう求めています。

BCPとインシデント対応計画の違い

BCPとインシデント対応計画は、同じものではありません。

項目	BCP	インシデント対応計画
主な目的	医療・業務を継続する	被害の拡大を防止し、原因を調査する
主な判断	どの業務を継続・停止するか	どの機器を隔離し、誰に報告するか
主な対象	診療、看護、薬剤、検査、会計など	システム、ネットワーク、端末、アカウントなど
主な担当	経営層、各部門責任者、企画管理者	システム担当者、事業者、外部専門家など
最終目標	重要業務の継続・早期再開	封じ込め、原因究明、復旧、再発防止

実際のインシデントでは、この2つを並行して進めます。

システム担当者が被害拡大防止や原因調査を行っている間、医療現場では紙運用などによって診療を継続しなければならないためです。

3．BCPは訓練しなければ機能しない

BCPを作成していても、訓練を実施していなければ、非常時に機能するとは限りません。

令和8年度版のサイバーセキュリティ対策チェックリストマニュアルでも、BCPを策定していても実際には運用できず、バックアップから復旧できない事例があるとして、BCP訓練の重要性が示されています。

医療機関で実施したい訓練

最初から大規模な実動訓練を行う必要はありません。

まずは、関係者が会議形式で対応を検討する机上訓練から始める方法が現実的です。

机上訓練のシナリオ例

朝8時30分、複数の電子カルテ端末でログインできないとの連絡が入った。
その後、共有フォルダ内のファイルが開けず、身代金を要求する画面が表示された。
電子カルテ、部門システム、インターネットの一部が利用できない。

この状況に対して、参加者が次の事項を検討します。

誰に最初に報告するか
どの時点で非常事態を宣言するか
ネットワークを切断するか
診療を継続するか
紙運用へ切り替えるか
救急患者の受入れをどうするか
どの事業者へ連絡するか
行政機関や警察へいつ連絡するか
患者や報道機関への説明を誰が行うか
どのシステムから復旧するか

訓練後は、対応できなかった点や判断が分かれた点を整理し、BCPや連絡体制図、手順書を改定します。

4．サイバーセキュリティ対応計画を策定する

企画管理編では、BCPとは別に「サイバーセキュリティ対応計画」の策定も求めています。

この計画は、サイバー攻撃を受けた後だけでなく、攻撃を受ける前の予防から、被害発生後の復旧・再発防止までを対象とします。

サイバーセキュリティ対応計画の3つの段階

通常時

脆弱性情報の収集
セキュリティパッチの適用
アカウント・権限の管理
ログの取得・確認
バックアップの取得
職員教育
委託先との連絡体制整備
インシデント対応訓練

インシデント発生時

異常の検知・通報
被害範囲の確認
ネットワーク切断
感染端末の隔離
経営層への報告
委託先・外部専門家への連絡
証拠となるログや機器の保全
行政機関・警察等への連絡

復旧・事後対応

安全なバックアップの確認
システム・データの復旧
原因究明
影響範囲の確定
患者・関係機関への説明
再発防止策の策定
規程・手順の見直し
追加教育・訓練

企画管理者は、組織的対策と技術的対策の両面から対応内容を整理し、経営層の承認を得なければなりません。

また、計画に基づく訓練を定期的に実施し、その結果を踏まえて計画を見直すことも求められています。

5．利用者ID・認証・アクセス権限を管理する

医療情報システムでは、患者の病歴、検査結果、投薬情報など、機微性の高い情報を取り扱います。

そのため、「院内の職員だからすべての情報を見られてよい」という考え方ではなく、職種や担当業務に応じてアクセスできる範囲を制限する必要があります。

利用者ID管理の基本

利用者IDは、次のライフサイクルで管理します。

採用・配属時に登録する
本人確認を行う
職種・所属・業務に応じた権限を設定する
異動時に権限を変更する
休職時に停止する
退職時に削除または無効化する
定期的に不要IDを確認する

企画管理編では、職員登録の内容と整合する形で利用者登録を行い、退職時には医療情報システム上の登録も削除することが示されています。

また、利用者本人を認証する方法には、二要素認証またはこれに準じた厳格な方法が求められています。

共用IDは原則として避ける

「外来共通」「看護師共通」「夜勤用」などの共用IDを使用すると、誰が操作したのか特定できなくなる可能性があります。

共用IDには次のような問題があります。

操作者を特定できない
パスワードが広く共有される
退職者も利用できる可能性がある
不正操作の追跡が困難になる
電子カルテ記録の作成責任が曖昧になる

医療情報システムでは、原則として個人ごとのIDを発行し、操作ログと紐付けられる状態にします。

管理者権限は最小限にする

管理者権限を持つアカウントは、設定変更、アカウント作成、セキュリティ機能の停止など、通常の利用者にはできない操作が可能です。

攻撃者に管理者権限を奪われると、医療機関内で被害が急速に拡大する可能性があります。

そのため、管理者権限は最低限の担当者に限定します。

令和8年度版チェックリストでも、職種・担当業務別のアクセス権限設定、管理者権限対象者の明確化、不要アカウントの削除・無効化が確認項目となっています。

利用者ID台帳で管理したい項目

管理項目	内容
氏名	利用者本人の氏名
所属部署	診療科、看護部、事務部など
職種	医師、看護師、薬剤師、事務職など
ユーザーID	システムに登録されたID
対象システム	電子カルテ、部門システムなど
権限	参照、入力、確定、管理者など
利用開始日	IDを有効化した日
利用終了日	退職・異動等による終了日
状態	有効、停止、削除予定など
承認者	権限付与を承認した責任者

人事異動や退職情報と連携して更新できる仕組みを整えることが重要です。

6．電子カルテの「入力」と「確定」を区別する

電子カルテでは、単に情報を入力できればよいわけではありません。

誰が入力し、誰が内容を確認し、いつ記録を確定したのかを識別できる必要があります。

特に注意したいのが、代行入力です。

代行入力時に明確にすること

実際に入力した者
入力を指示した者
内容を確認した者
記録を確定した者
入力・確定した日時
修正した場合の更新履歴

例えば、医師の指示に基づいて医療事務職員や看護師が入力した場合、入力者と記録の確定者が異なることがあります。

この場合、誰がどの責任を負っているのかを運用管理規程に定め、システム上でも識別できるようにしなければなりません。

企画管理編では、電子カルテにおける記録の確定、更新履歴、代行入力について、利用者の識別や権限に関する措置を規程へ反映するよう求めています。

7．電子署名と通常のログイン認証は異なる

電子署名は、電子カルテにログインするための認証とは別の仕組みです。

通常のログイン認証は、システムを利用している人物が誰であるかを確認するために使われます。

一方、電子署名は、法令上、記名・押印が求められる文書について、次の事項を確認するために利用されます。

誰が署名したのか
署名後に内容が改ざんされていないか
署名者が必要な資格を持っているか
いつ署名されたのか

医療情報を含む文書に電子署名を行う場合は、電子署名法上の要件に加え、署名者の医師・歯科医師・薬剤師などの資格確認に関する要件も考慮する必要があります。

電子署名・タイムスタンプで確認したい点

法令上、電子署名が必要な文書か
署名者本人を適切に確認できるか
署名者の資格を確認できるか
署名後の改ざんを検知できるか
証明書の有効期限を管理できるか
長期保存後も署名の有効性を確認できるか
必要に応じてタイムスタンプが付与されるか
委託サービス終了後も検証できるか

システム運用担当者は、企画管理編に示された電子署名の要件を満たすサービスを選択し、医療情報システムで利用できるようにすることが求められています。

8．令和8年度版サイバーセキュリティ対策チェックリストとの関係

今回解説した内容は、令和8年度版の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」とも密接に関係しています。

主な関連項目は次のとおりです。

企画管理編の内容	チェックリストの主な確認項目
利用者・権限管理	職種・担当業務別のアクセス権限設定
不要IDの管理	退職者・未使用アカウントの削除・無効化
認証管理	アプリケーション・OSログイン時の二要素認証
証跡管理	アクセスログの管理
BCP	サイバー攻撃を想定したBCPの策定
インシデント対応	組織内・外部関係機関の連絡体制図
復旧	バックアップ確保と復旧手順の確認
規程管理	実施方法を運用管理規程等に明記

チェックリストは立入検査でも確認され、台帳、連絡体制図、BCP、運用管理規程等については現物確認の対象とされています。

つまり、「はい」と回答するだけではなく、実際の文書や記録を提示できる状態が必要です。

9．医療機関でよくある不十分な対応

規程はあるが、点検記録がない

規程を作成した時点で対応が完了したと考えてしまうケースです。

実際の運用状況、点検日、確認者、問題点、改善内容まで記録する必要があります。

バックアップを取得しているが、復元していない

バックアップファイルが存在していても、破損している、暗号化されている、復旧手順が分からないといった可能性があります。

定期的に復元テストを実施することが重要です。

BCPが自然災害しか想定していない

地震や停電に対するBCPはあっても、ランサムウェア、情報漏えい、クラウド障害、委託先への攻撃が想定されていない場合があります。

災害、サイバー攻撃、システム障害では対応が異なるため、原因別のシナリオが必要です。

退職者アカウントが残っている

人事部門とシステム担当者の連携がなく、退職後もアカウントが有効なままになっているケースです。

採用、異動、休職、退職の手続きとアカウント管理を連動させる必要があります。

ベンダーに任せているため確認していない

外部委託していても、医療機関側の管理責任がなくなるわけではありません。

委託範囲、責任分界、報告内容、インシデント時の連絡方法を確認する必要があります。

電子署名と電子カルテのログインを混同している

ログインできることだけで、法令上必要な電子署名の要件を満たすとは限りません。

対象文書、署名者の本人確認、資格確認、改ざん検知、タイムスタンプなどを個別に確認する必要があります。

10．企画管理者向け実務チェックリスト

次の項目を確認してみてください。

点検・監査

安全管理の点検時期と担当者を定めている
点検項目と確認する証跡を定めている
委託先事業者から定期報告を受けている
点検結果を経営層へ報告している
改善項目、責任者、期限を管理している
担当者から独立した内部監査または外部監査を実施している

BCP・インシデント対応

災害、サイバー攻撃、システム障害を想定している
非常時の判断基準を定めている
継続する医療業務の優先順位を定めている
紙運用などの代替手順を整備している
院内外の連絡体制図を作成している
バックアップの復元手順を確認している
BCP・インシデント対応訓練を実施している
訓練結果を規程や手順へ反映している

認証・権限管理

利用者ID台帳を作成している
個人ごとにIDを付与している
職種・業務別にアクセス権限を設定している
管理者権限を必要最小限にしている
異動・退職時の変更手順を定めている
不要アカウントを定期的に確認している
二要素認証の導入状況を確認している
電子カルテの入力者・確定者を識別できる

電子署名

電子署名が必要な対象文書を整理している
署名者本人と資格を確認できる
改ざんの有無を検証できる
タイムスタンプの必要性を確認している
長期保存後の検証方法を確認している

よくある質問

Q1．自己点検だけで監査は省略できますか？

原則として、自己点検と監査は目的が異なります。

自己点検は担当者自身が運用状況を確認するものですが、監査は独立した立場から客観的に評価するものです。組織規模に応じて、内部の独立した担当者または外部専門家による監査方法を検討します。

Q2．BCPがあればインシデント対応手順は不要ですか？

不要にはなりません。

BCPは医療や重要業務を継続するための計画であり、インシデント対応手順は被害の封じ込め、原因調査、報告、復旧などを定めるものです。両方を整備し、連携させる必要があります。

Q3．バックアップを毎日取得していれば十分ですか？

取得だけでは十分ではありません。

バックアップの保存場所、世代管理、オフライン化、マルウェア混入の有無、復元手順、復元に必要な時間まで確認する必要があります。

Q4．電子カルテのIDは部署共通でも問題ありませんか？

操作した個人を識別できなくなるため、原則として個人IDが必要です。

やむを得ず共用IDを使用する場合には、利用条件や追加の操作記録などを整備する必要がありますが、個人IDへの移行を優先すべきです。

Q5．ベンダーがシステムを管理していれば、医療機関で監査する必要はありませんか？

委託していても、医療機関側には委託先を管理する責任があります。

事業者から報告を受け、SLA、保守内容、セキュリティ対策、障害・インシデントの発生状況などを確認する必要があります。

Q6．電子署名はすべての電子カルテ記録に必要ですか？

すべての記録に一律で必要となるものではありません。

法令上、記名・押印が求められる文書を電子化する場合など、対象となる文書と要件を確認して導入します。

まとめ

「企画管理編③」で重要なのは、規程や体制を作ることではなく、実際に機能している状態を維持することです。

今回のポイントを整理すると、次のようになります。

規程どおりに運用されているか証跡に基づいて点検する
担当者から独立した立場で監査を行う
点検・監査の結果を経営層へ報告し、改善につなげる
災害、サイバー攻撃、システム障害を想定したBCPを整備する
BCPとインシデント対応計画を連携させる
定期的な訓練によって実効性を確認する
利用者IDを人事情報と連動して管理する
職種・業務に応じて必要最小限の権限を付与する
電子カルテの入力者・確定者・更新履歴を明確にする
電子署名が必要な文書と要件を正しく整理する

安全管理は、一度完成させれば終わるものではありません。

点検、訓練、監査、改善を継続し、医療機関の規模やシステム構成、脅威の変化に合わせて更新していく必要があります。

医療情報システムの点検・BCP・規程整備でお困りではありませんか？

医療情報システムの安全管理では、規程、台帳、BCP、連絡体制図などを個別に作成するだけではなく、それぞれを実際の運用と結び付ける必要があります。

株式会社クロイツでは、医療機関の規模や既存の運用状況を確認したうえで、次のような支援を行っています。

ガイドライン第7.0版への対応状況確認
運用管理規程・関連手順の整備
利用者ID・権限管理の見直し
委託先との責任分界の整理
サイバーBCPの策定・改定
インシデント対応手順・連絡体制図の整備
机上訓練の企画・実施
点検・監査に必要な証跡の整理

「何から確認すべきか分からない」「規程はあるが実際の運用と合っていない」「立入検査に向けて不足している文書を整理したい」といった段階からでも、現状に合わせて対応を整理できます。

お問い合わせ