🏥 病院情報システム 経営層向けシリーズ 理事長・院長・事務長・経営企画のみなさまへ。技術の解説ではなく、決裁と契約の話です。
結論から
厚生労働省のガイドラインには、経営層を対象とした巻があります。
そして同じガイドラインは、保守を事業者に委託していても、契約書に書いていなければ責任は医療機関側にある可能性があると注記しています。
契約書を確認できるのは、経営層です。
ガイドラインは5編に分かれています
「医療情報システムの安全管理に関するガイドライン 第7.0版」は、読者類型ごとに5編で構成されています。
| 編 | 対象読者 | 内容 |
|---|---|---|
| 概説編 | 全読者 | 各編に共通する前提 |
| 経営管理編 | 経営層 | 安全管理を組織としてどう統べるか |
| 企画管理編 | システムの安全管理者 | 管理組織的な対応 |
| システム運用編 | システム運用担当者 | 技術的な対応 |
| 保守委託機関編 | 医療機関管理者・担当者 | 事業者に委託しているときの管理と対策 |
出典: 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版 概説編」図3-1 （PDF）
経営層向けの巻が独立して用意されている、という事実そのものが答えです。国は、医療情報システムの安全管理を技術部門に委ねられる問題として扱っていません。
読む編は、契約の中身で変わります
同じ図には、分岐が描かれています。
すべてのサーバのセキュリティアップデート責任を
事業者に委託しているか？
YES → 概説編 + 保守委託機関編 で遵守しているものとみなす
NO → 概説編 + 経営管理編 + 企画管理編 + システム運用編委託していれば読む範囲が減る、という構造です。
ただし、その判定の条件が注記されています。
「事業者がセキュリティアップデート責任を負うこと」が、契約書や約款、サービスレベル合意書等に記載されている場合にのみ「YES」を選択可能となる。 記載がない場合や不明確な場合には医療機関側の責任となっている可能性がある。 不明確な場合は必ず事業者に直接確認し、責任の所在を明確にすること。
（同 図3-1 注釈※2）
「任せているつもり」では足りません。 書面に書いてあるかどうかで、責任の所在が変わります。
経営層が確認できること
技術的な対策の是非を判断する必要はありません。確認するのは契約書です。
① 保守契約に、セキュリティアップデートの責任が書かれているか
対象はすべてのサーバです。電子カルテのサーバだけでなく、部門システム、検査、画像なども含みます。
- 契約書・約款・SLA（サービスレベル合意書）のいずれかに記載があるか
- 一部のサーバだけが対象になっていないか
- 記載が曖昧な場合、事業者に直接確認したか
ガイドラインは「不明確な場合は必ず事業者に直接確認し、責任の所在を明確にすること」と書いています。確認すること自体が求められているわけです。
② 誰が確認したのかを記録しているか
「確認したはず」では、後から検証できません。いつ・誰が・何を確認したかが残っていること。それが「組織として管理している」ことの実態になります。
③ 部門システムを含めて把握できているか
病院のシステムは電子カルテだけではありません。部門ごとに導入された機器やソフトが、それぞれ外部と接続していることがあります。
厚生労働省は別の資料で、院内にサーバを置く方式（オンプレミス型）では多数の部門システムの外部接続点の確認等に関する病院側負担が大きく、セキュリティ面の脆弱性が解消できていないと指摘しています （病院の情報システムに関する現状と課題について、2024年12月2日）。
接続点の一覧が院内に存在するか。 これは技術の問題ではなく、把握できているかどうかの問題です。
第7.0版で変わったこと
第7.0版からは、ガイドラインの根拠法に サイバーセキュリティ対策基本法 が追加され、「重要インフラのサイバーセキュリティに係る安全基準等策定指針」との整合性が確保されました。
医療が重要インフラとして扱われる文脈が、より明確になったということです。
また、すべてのサーバのセキュリティアップデートを事業者に委託している医療機関等の負担軽減を図るため、保守委託機関編が新設されました。
⚠️ ガイドラインは随時見直される前提で作られています。同ガイドライン自身が「本ガイドラインを利用する場合は、最新の版であることに十分留意すること」と述べています。本記事の内容も、参照時点の版に基づくものです。
この記事で扱っていないこと
具体的な技術対策については触れていません。それは企画管理編・システム運用編の領域で、担当者向けの話です。
弊社のサイトにも、実務レベルの解説記事があります。
また、被害が起きた場合にどうするかという話も本記事には含めていません。まず確認できるのは契約書であり、そこから始めるのが現実的だと考えるためです。
まとめ
| ガイドラインに経営層向けの巻がある | 技術部門に委ねられる問題として扱われていない |
| 委託していても、契約書に記載がなければ | 医療機関側の責任となっている可能性がある |
| 不明確な場合 | 事業者に直接確認することが求められている |
最初の一歩は、保守契約を開いて確認することです。
弊社について
MEDICT は、大学病院の医療情報部・県立病院の電子カルテ統括などに携わってきたメンバーで構成しています。契約・仕様の観点からのご相談も承ります。
ℹ️ 本記事は厚生労働省の公開資料に基づく整理です。個別の契約・体制の適否については、 内容により判断が異なります。法的な評価が必要な場合は専門家にご相談ください。