【連載第6回】医療情報システム安全管理ガイドライン第7.0版「システム運用編①」を解説｜文書・リスク評価・情報管理

「医療情報システムの安全管理に関するガイドライン第7.0版」を読み解く全12回連載です。

これまでの連載では、経営層が判断すべき事項と、企画管理者が整備すべき方針・体制・規程・BCPなどを解説してきました。

今回の第6回からは、いよいよ「システム運用編」に入ります。

第6回のテーマは、次の内容です。

システム運用編①｜文書・リスク評価・情報管理

企画管理編で決めた方針やルールを、ネットワーク構成図、システム構成図、運用手順、責任分界、情報持ち出し管理など、実際のシステム運用へ落とし込む方法を解説します。

システム運用編は、経営層や企画管理者の指示に基づき、情報機器、ソフトウェア、ネットワークなどの設計・実装・運用を担う担当者を主な対象としています。運用を事業者へ委託している場合も、医療機関と事業者が役割と責任を事前に取り決め、協働することが求められます。

この記事で分かること

この記事では、主に次の点を解説します。

システム運用担当者が整備すべき文書
ネットワーク構成図・システム構成図の管理方法
医療機関と保守事業者の責任分界
MDS／SDSやSLAを使った確認方法
情報資産の棚卸とリスク評価
医療情報の持ち出し、外部アクセス、破棄の管理
紛失・盗難が発生した場合に備えるべき事項

前回までの連載記事

公式資料｜必要に応じて確認してください

本記事は、厚生労働省等が公表した次の資料をもとに作成しています。

ガイドライン各編、チェックリストのExcel版、BCPのひな形、運用管理規程文例などは、厚生労働省の関連資料一覧ページから確認できます。

結論｜安全な運用の出発点は「見える状態」にすること

システム運用編で最初に求められるのは、高度なセキュリティ製品の導入ではありません。

まず必要なのは、次の事項を明確にすることです。

どのようなシステムがあるか
どのようにつながっているか
どの情報を扱っているか
誰が管理しているか
どの事業者が関与しているか
障害や攻撃が発生したとき、誰が何をするか

構成図や手順書が古い、保守事業者との役割が曖昧、外部接続点を把握していないといった状態では、適切な対策を選ぶことも、インシデント発生時に迅速に対応することもできません。

第6回で取り上げる文書整備、責任分界、リスク評価、情報管理は、以降の端末・サーバ・ネットワーク対策を支える基盤です。

第6回で扱う主な要求事項

分野	ガイドラインの要求事項	医療機関が行うこと	必要な文書・証跡の例
文書体系	システムの仕様・利用方法・構成・運用手順を最新化する	現在の環境を反映した資料を整備する	システム構成図、ネットワーク構成図、運用手順書
責任分界	医療機関と事業者の役割を明確にする	通常時・非常時の対応範囲を整理する	責任分界表、契約書、SLA、連絡先一覧
リスク評価	情報資産を把握し、重要度とリスクに応じて管理する	情報の種類、保存場所、利用者、持ち出し状況を整理する	情報資産台帳、リスク評価表
情報持ち出し	持ち出し方法と条件を定める	USB、端末、クラウド利用等を管理する	持ち出し申請書、利用記録、媒体台帳
外部アクセス	接続を許可する者・条件・範囲を定める	職員、患者、保守事業者の接続を管理する	外部アクセス手順、承認記録、接続ログ
情報破棄	情報の種類ごとに安全な破棄方法を定める	データ、媒体、端末の消去・廃棄を確認する	廃棄記録、データ消去証明書
紛失・盗難	発生時の対応手順を整備する	連絡、停止、調査、報告の流れを決める	紛失・盗難対応手順、連絡体制図

1．システム運用編で求められる文書とは

ガイドライン第7.0版では、システム運用担当者に対して、少なくとも次の資料を整備し、最新の状態に維持することを求めています。

システム、サービス、情報機器の機能仕様・利用方法
ネットワーク構成図・システム構成図
システム責任者・関係事業者の一覧
システムの維持・運用に必要な手順
利用者向けのマニュアル
非常時・インシデント発生時の対応手順

古い手順書や技術資料が混在すると、脆弱性が残ったり、システムの正常な稼働を損なったりする可能性があるため、作成するだけでなく継続的な更新が必要です。

文書を作って終わりにしてはいけない

医療機関でよく見られるのが、電子カルテ導入時に作成した構成図を、その後更新していないケースです。

しかし、実際の環境では次のような変更が発生します。

新しい端末や医療機器の追加
サーバやネットワーク機器の更新
VPNやリモート保守回線の追加
クラウドサービスの導入
保守事業者や連絡先の変更
システム間連携の追加
バックアップ先の変更

構成図と実環境が一致していなければ、障害やサイバー攻撃が発生した際に、どの機器を切り離すべきか、どの事業者へ連絡すべきかを判断できません。

最低限整備したい文書

医療機関の規模にかかわらず、次の文書は優先的に整備する必要があります。

文書	主な記載内容
システム構成図	電子カルテ、部門システム、サーバ、クラウドサービスの関係
ネットワーク構成図	ルータ、ファイアウォール、VPN、無線LAN、外部接続点
システム・事業者一覧	製品名、事業者名、保守窓口、契約範囲、緊急連絡先
通常時運用手順	起動・停止、バックアップ確認、アカウント管理、ログ確認
変更管理手順	機器追加、設定変更、アップデート時の申請・確認方法
非常時対応手順	障害、マルウェア感染、情報漏えい、通信障害時の対応
利用者マニュアル	職員が守るべき操作方法、禁止事項、異常時の連絡方法

2．責任分界は「契約」と「実際の運用」の両方で確認する

医療情報システムの運用は、電子カルテ事業者、ネットワーク事業者、医療機器事業者、クラウド事業者など、複数の事業者が関与することが一般的です。

そのため、単に「保守契約を締結している」というだけでは不十分です。

具体的に、次の事項を確認する必要があります。

OSやソフトウェアの更新は誰が行うか
ネットワーク機器の更新は誰が行うか
アカウントの登録・削除は誰が行うか
ログの保存・確認は誰が行うか
バックアップは誰が取得し、復旧確認を行うか
インシデント発生時の調査は誰が行うか
医療機関への情報提供は誰が行うか
再委託先を誰が管理するか

ガイドラインでは、事業者から機能仕様等の情報を収集し、その内容が正確であることを確認したうえで、技術的な対応の役割分担を調整するよう求めています。通常時だけでなく、サイバー攻撃発生時の被害拡大防止、原因究明、対外説明に必要な資料提供についても、事前に取り決めることが重要です。

「ベンダーに任せている」では責任分界にならない

例えば、医療機関側が「電子カルテ事業者がすべて対応している」と考えていても、実際の契約では次の部分が対象外になっていることがあります。

院内の端末
ネットワーク機器
無線LAN
他社製のバックアップ装置
医療機器との接続部分
職員のアカウント管理
USBメモリ等の利用管理

問題が起きてから「そこは当社の保守範囲ではありません」と判明することを防ぐため、契約書だけでなく、実際の運用単位で責任分界表を作成しておく必要があります。

責任分界表の例

管理項目	医療機関	電子カルテ事業者	ネットワーク事業者
利用者アカウントの申請	○	－	－
アカウント設定作業	△	○	－
サーバOSの更新	－	○	－
院内PCの更新	○	△	－
VPN機器の更新	△	－	○
バックアップ取得	－	○	－
復旧可否の判断	○	支援	支援
障害原因の調査	情報提供	○	○
行政機関への報告	○	資料提供	資料提供

「○」「△」だけでなく、実施時期、連絡方法、必要な承認者も記載すると、より実効性の高い資料になります。

3．MDS／SDSは回収するだけでは不十分

事業者の技術的対策を確認する資料として、ガイドラインではMDS／SDSの活用を挙げています。

MDS／SDSとは、製造業者・サービス事業者が、医療情報システムのセキュリティ機能や対応状況を標準的な書式で示す開示資料です。

令和8年度版のサイバーセキュリティ対策チェックリストでも、医療機関が事業者からMDS／SDSを提出してもらうことが確認項目に含まれています。

ただし、MDS／SDSをファイルに保管しただけでは、リスク管理を実施したことにはなりません。

医療機関側で、少なくとも次の確認が必要です。

自院が必要とする機能を備えているか
対応していない項目は何か
医療機関側で補う対策は何か
契約や設定によって有効化が必要な機能はないか
インシデント時に事業者から提供される情報は何か
保守終了やサポート終了の予定はないか

MDS／SDSは、事業者とのリスクコミュニケーションを行うための材料です。自院の要求事項と照らし合わせ、差異を確認し、必要に応じて追加対策や契約上の調整を行うことが重要です。

4．クラウドサービスでも医療機関側の責任は残る

クラウドサービスには、SaaS、PaaS、IaaSなどの提供形態があります。

SaaS型の電子カルテであれば、アプリケーションやサーバ基盤の実装・更新・運用を事業者へ委ねられる範囲は広くなります。

一方で、次のような管理は、医療機関側に残ることがあります。

利用者アカウントの登録・削除
アクセス権限の設定
データの入力・編集・削除
外部アクセスの許可
端末の管理
職員への教育
インシデントの院内連絡
患者や行政機関への説明

クラウドを利用しているからといって、すべての責任が事業者へ移るわけではありません。

サービスの提供範囲、契約、SLA、設定権限を確認し、医療機関と事業者の管理範囲を明確にする必要があります。

5．リスク評価は情報資産の棚卸から始める

リスク評価というと、専門的な分析手法を想像するかもしれません。

しかし、最初に行うべきことは、医療機関が保有する情報と、その取扱状況を整理することです。

ガイドラインでは、情報資産の把握をリスク分析と安全管理設計の出発点としています。システム運用担当者は企画管理者と協働し、医療情報やシステムに関する情報を棚卸する必要があります。

棚卸で確認する項目

医療情報システムごとに、次の事項を整理します。

取り扱う情報の種類
保存されている患者数
情報の保存場所
利用する部署・職員
アクセス権限
外部提供や持ち出しの有無
バックアップの保存場所と形式
保管期間
廃棄方法
関係する事業者
システム停止時の診療への影響

情報の重要度だけで判断しない

医療情報のリスク評価では、漏えいの影響だけでなく、情報が利用できなくなった場合の影響も考える必要があります。

例えば、同じ患者情報でも次のように影響が異なります。

情報・システム	主なリスク
電子カルテ	診療情報の漏えい、改ざん、診療停止
画像システム	検査画像の閲覧不能、診断遅延
検査システム	検査結果の欠落、誤った結果表示
調剤・薬剤情報	投薬情報の参照不能、誤投薬リスク
バックアップ	本番障害時に復旧できない
ネットワーク構成図	攻撃者に悪用される、復旧作業に支障が出る
管理者ID情報	システム全体を不正操作される

医療機関では、機密性だけでなく、正確性を確保する完全性と、必要なときに利用できる可用性も重視しなければなりません。

6．リスク評価を技術対策へ落とし込む

リスク評価は、評価表を作成すること自体が目的ではありません。

評価結果を踏まえて、実際の対策へつなげる必要があります。

例えば、次のように整理します。

確認されたリスク	必要な対策の例
管理者IDが複数職員で共有されている	個人別ID、利用者記録、権限の最小化
リモート保守接続を把握していない	外部接続点一覧、接続元制限、利用時のみ有効化
USBメモリを自由に接続できる	接続制限、承認制、暗号化、利用記録
構成図が更新されていない	変更管理手順、更新責任者、定期確認
バックアップの復旧確認をしていない	定期的な復旧テスト、結果記録
サポート終了機器がある	更新計画、ネットワーク分離、代替策
保守事業者との役割が不明	責任分界表、契約・SLAの見直し

費用や人員の都合ですべての対策を一度に実施できない場合でも、リスクの大きさと診療への影響を踏まえて優先順位を付けることが重要です。

7．医療情報の持ち出しを管理する

医療情報の持ち出しには、USBメモリだけでなく、さまざまな方法があります。

USBメモリや外付けストレージ
ノートPCやタブレット
メール送信
クラウドストレージ
Web会議やファイル共有サービス
外部からのリモートアクセス
保守事業者によるデータ取得
患者へのデータ提供

ガイドラインでは、持ち出しの方法、利用者、承認条件、利用範囲、持ち帰り後の確認などを定めることが求められています。

USBメモリ等を利用する場合

SBメモリ等の外部記録媒体については、少なくとも次の対策が必要です。

利用できる媒体を限定する
利用目的と利用者を記録する
持ち出し前に承認を得る
必要なデータだけを保存する
暗号化する
利用前後にマルウェア確認を行う
返却・初期化を確認する
紛失時の連絡方法を周知する

令和8年度版チェックリストでも、USBストレージ等の外部記録媒体や情報機器への接続制限が確認項目となっています。チェックリストマニュアルでは、医療機関が管理する特定媒体に限定し、利用前のウイルススキャンや利用後の初期化を行う対策などが例示されています。

重要なのは、単に「USB禁止」と規程に書くことではありません。

診療や研究、他院への情報提供などで例外利用が発生する場合は、その例外を安全に管理する仕組みが必要です。

8．外部からのアクセスを管理する

医療機関外から医療情報システムへ接続するケースとして、主に次の3種類があります。

医療機関の職員によるアクセス
患者等による診療情報へのアクセス
保守事業者によるリモートメンテナンス

それぞれ、目的とリスクが異なるため、同じルールで管理することはできません。

職員が外部から接続する場合

接続を許可する職員
接続できるシステム
接続できる時間・場所
利用端末の条件
多要素認証
通信の暗号化
操作ログ
紛失時の停止方法

などを定めます。

保守事業者が接続する場合

リモート保守対象機器
接続事業者
接続元
接続方法
常時接続か必要時接続か
医療機関側の承認の要否
作業内容の記録
作業終了後の切断確認
インシデント時の連絡先

を整理する必要があります。

令和8年度版チェックリストでも、リモートメンテナンスを利用している機器の有無を事業者に確認することが求められています。外部接続点を医療機関側が把握していないことは、サイバー攻撃の重大なリスクになります。

9．医療情報を安全に破棄する

医療情報の管理は、保存している間だけではありません。

保存期間を終えたデータ、廃棄する端末、返却するリース機器、契約終了後のクラウド上のデータなども、最後まで管理する必要があります。

情報種別ごとに破棄方法を決める

破棄手順には、少なくとも次の項目を含めます。

破棄対象
保存期間
破棄を承認する者
破棄を実施する者
具体的な破棄方法
委託先事業者
完了確認方法
記録の保存方法

端末を初期化しただけでは、データを復元できる場合があります。

端末や記録媒体を廃棄する場合は、データ消去、物理破壊、廃棄事業者による処理など、情報の重要度に応じた方法を選び、実施結果を記録します。

外部事業者へ委託する場合は、廃棄証明書やデータ消去証明書の提出を求めることも重要です。

10．紛失・盗難時の対応を事前に決める

ノートPC、タブレット、USBメモリ、スマートフォンなどの紛失・盗難は、完全に防ぐことが難しい事故です。

そのため、発生を防ぐ対策に加え、発生後の対応を事前に決めておく必要があります。

対応手順に含める事項

発見者からの連絡先
医療情報システム安全管理責任者への報告
アカウント停止・パスワード変更
リモートロック・データ消去
保存されていた情報の確認
暗号化の有無の確認
ログの確認
個人情報漏えいの可能性評価
経営層への報告
関係機関への報告判断
患者等への説明判断
原因分析と再発防止

「紛失した職員が所属長へ報告する」というだけでは不十分です。

情報システム担当者、個人情報保護担当者、経営層、事業者がどの時点で関与するのかを明確にしておく必要があります。

11．攻撃者から見た「管理されていない運用」

攻撃者にとって狙いやすいのは、最新のセキュリティ製品を導入していない組織だけではありません。

実際には、次のような管理上の隙が侵入や被害拡大につながります。

誰も把握していないリモート保守回線
長期間変更されていない事業者用アカウント
管理されていないUSBメモリ
更新されていないVPN機器
古いネットワーク構成図
保守範囲が曖昧な機器
廃棄前の端末に残った医療情報
複数事業者の接続部分で発生した管理の空白

技術対策だけを個別に導入しても、全体構成や責任分界が不明確であれば、対策の抜け漏れが生じます。

「誰かが対応しているはず」という状態をなくすことが、システム運用の基本です。

12．令和8年度サイバーセキュリティ対策チェックリストとの関係

今回解説した内容は、令和8年度版の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」とも直接関係します。

特に関係する項目は次のとおりです。

チェック項目	第6回で整備する内容
サーバ・端末・ネットワーク機器の台帳管理	機器・システムの棚卸
リモートメンテナンス機器の確認	外部接続点・保守事業者の把握
MDS／SDSの提出依頼	事業者の技術対策の確認
USB等の接続制限	外部記録媒体の利用管理
アクセス権限の設定	情報区分・利用者・権限の整理
不要アカウントの削除	利用者管理手順
アクセスログの管理	証跡・調査資料の確保
規程類への具体的方法の記載	実際の運用手順への落とし込み

令和8年度版チェックリストでは、立入検査時に医療機関用・事業者用の回答状況が確認されます。また、台帳、連絡体制図、BCP、運用管理規程等については現物確認の対象とされています。

システム運用担当者向け実務チェックリスト

次の項目を確認してください。

文書・構成管理

現在のシステム構成図がある
現在のネットワーク構成図がある
外部接続点を図面上で確認できる
システム・保守事業者・緊急連絡先の一覧がある
構成変更時に資料を更新する手順がある
非常時対応手順が企画管理者に承認されている

責任分界

システムごとの保守範囲を確認している
セキュリティアップデートの担当者が明確である
リモート保守の管理責任が明確である
バックアップと復旧の役割が明確である
インシデント調査時の役割が明確である
複数事業者間の接続部分について担当者が決まっている
MDS／SDSを回収し、内容を確認している

リスク評価

取り扱う医療情報をシステムごとに整理している
保存場所とバックアップ先を把握している
利用者とアクセス権限を把握している
診療停止時の影響を評価している
サポート終了機器を把握している
評価結果から対策の優先順位を決めている

情報管理

医療情報の持ち出し方法を定めている
USB等の利用を制限・記録している
外部アクセスの許可条件を定めている
リモート保守機器を把握している
情報・媒体・端末の破棄方法を定めている
紛失・盗難時の連絡・停止手順がある

よくある質問

Q1．小規模な診療所でも構成図や手順書は必要ですか？

必要です。

ただし、大規模病院と同じ分量や複雑さにする必要はありません。小規模な医療機関であれば、1枚の構成図や一覧表にまとめる方法もあります。

重要なのは、実際のシステム、接続関係、事業者、責任範囲を確認できることです。

Q2．MDS／SDSを回収すれば、事業者管理は完了ですか？

完了ではありません。

MDS／SDSは、製品・サービスのセキュリティ機能を確認するための資料です。自院の要求事項と比較し、不足する対策を医療機関側で補うのか、事業者へ追加対応を求めるのかを判断する必要があります。

Q3．クラウド電子カルテなら構成図は不要ですか？

不要ではありません。

クラウド側の詳細な内部構成まで把握する必要がない場合でも、院内端末、ネットワーク、インターネット接続、認証、バックアップ、外部連携など、自院が管理すべき範囲を整理する必要があります。

Q4．リモートメンテナンスは禁止すべきですか？

一律に禁止するものではありません。

接続対象、接続事業者、接続方法、認証、接続元制限、作業記録、利用時のみ有効化する方法などを検討し、リスクに応じて管理します。

Q5．USBメモリはすべて禁止しなければなりませんか？

業務上必要な場合は、管理された例外利用を設けることが考えられます。

利用媒体の限定、承認、暗号化、マルウェア確認、利用記録、返却・初期化などを組み合わせ、自由に接続できる状態をなくすことが重要です。

まとめ｜技術対策の前に運用の土台を整える

システム運用編では、企画管理編で定めた方針や規程を、実際のシステム運用へ落とし込んでいきます。

第6回で特に重要なポイントは、次の5点です。

システム構成図・ネットワーク構成図・手順書を最新化する
医療機関と事業者の責任分界を具体的に決める
情報資産を棚卸し、診療への影響を含めてリスク評価する
医療情報の持ち出し・外部アクセス・破棄を管理する
紛失・盗難やインシデント発生時の対応を事前に決める

情報セキュリティ対策は、製品の導入だけで完結するものではありません。

現状を把握し、責任者を決め、運用手順を文書化し、実際に実施できる状態にすることが重要です。

医療情報システムの安全管理に関するご相談

株式会社クロイツでは、医療機関を対象に、次のような支援を行っています。

医療情報システム安全管理ガイドライン第7.0版への対応状況確認
システム構成図・ネットワーク構成図の整理
医療情報システム・機器台帳の整備
事業者との責任分界の整理
MDS／SDS・契約内容の確認
リスク評価と改善計画の作成
運用管理規程・手順書の整備
立入検査前のサイバーセキュリティ対策確認

「どの資料から整備すればよいか分からない」「ベンダーとの責任分界が曖昧」「構成図が古く、現在の環境と一致していない」といった場合も、現在の運用状況を確認し、医療機関の規模に応じて優先順位を整理します。

お問い合わせ