GemMed | データが拓く新時代医療 > 医療提供体制改革 > 医療情報システム安全管理ガイドライン改訂版の骨子を公表、病院院長等もサイバー攻撃の恐ろしさを十分に認識せよ！

医療情報システム安全管理ガイドライン改訂版の骨子を公表、病院院長等もサイバー攻撃の恐ろしさを十分に認識せよ！

2023.2.21.（火）

医療機関のサイバーセキュリティ対策を強化するために、医療機関管理者（院長）にも▼「サイバー攻撃を受けた場合に、経営の危機に陥ることも少なくない」点をしっかり理解してもらう▼どこまでが医療機関の責任で、どこからが外部業者の責任となるのかを明確化してもらう▼自院にどのような情報機器が保有され、どのような情報なのか（セキュリティ対策は確保されているのかなど）をきちんと把握してもらう—。

政府は２月16日から、こうした内容を盛り込んだ「医療情報システムの安全管理に関するガイドライン」改訂版（ver.6.0）の骨子についてパブリックコメントの募集を始めました（3月7日まで、パブコメ募集サイトはこちら）。

●「医療情報システムの安全管理に関するガイドライン第 6.0 版」の骨子（案）はこちら）

医療機関の「経営層」も、セキュリティ確保の重要性など基本的部分の認識を

医療機関がサイバー攻撃を受け、甚大な被害が発生する事例が散発しています。例えば、2021年秋には徳島県の病院がランサムウェア攻撃を受け、昨秋（2022年秋）には大阪府の大規模急性期病院が被害にあいました。患者の電子カルテをはじとする医療データがすべて暗号化され病院内で利用できなくなり、全面復旧までには数か月がかかっています。

このため、厚生労働省の「健康・医療・介護情報利活用検討会」や、下部組織である「医療等情報利活用ワーキンググループ」において、「医療情報システムの安全管理に関するガイドライン」の再改訂論議がまとまり、例えば、システム管理者のみならず、医療機関の管理者（院長）にも▼「サイバー攻撃を受けた場合に、経営の危機に陥ることも少なくない」点をしっかり理解してもらう▼どこまでが医療機関の責任で、どこからが外部業者の責任となるのかを明確化してもらう▼自院にどのような情報機器が保有され、どのような情報なのか（セキュリティ対策は確保されているのかなど）をきちんと把握してもらう—ことなどを求める改訂が行われます（関連記事はこちら）。

ガイドライン改訂に向けては、広く国民から意見（パブリックコメント）を募り、それを反映させる必要があります。厚労省と医療等情報利活用ワーキンググループでは「まず改訂版（第6.0版）の骨子についてパブリックコメントを募集し、その後に改訂版の本編についてパブリックコメントを募集する」という2段構え方針を決定。今般、第1弾となる「改訂版（第6.0版）の骨子」を公表し、パブリックコメントの募集を始めました（本年（2023年）2月16日－同年3月7日、パブコメ募集サイトはこちら）。

ここでは「改訂版（第6.0版）の骨子」について眺めてみましょう。

新たなガイドライン（第6.0版）は、（1）各編に共通する前提内容を整理した概説編（Overview）（2）医療機関等において組織の経営方針を策定し意思決定を担う「経営層」を対象とした経営管理編（Governance）（3）医療情報システムの安全管理（企画管理、システム運営）の「実務を担う担当者」を対象とした企画管理編（Management）（4）医療情報システムの「実装・運用の実務を担う担当者」を対象としたシステム運用編（Control）—の4編構成となります。

このうち（1）の概説編では、▼ガイドラインの目的▼ガイドラインの対象（医療機関等の範囲、医療情報・文書の範囲、医療情報システムの範囲） ▼ガイドラインの構成、読み方▼各編を読むに当たって前提となる考え方（医療情報システムの安全管理の目的、安全管理に必要な要素、関連する法令等）—などを記載することが示されました。

また（2）の経営管理編では、院長などの医療機関経営層に対して、▼医療情報システムの安全管理に関する責任・責務▼リスク評価を踏まえた管理（情報セキュリティマネジメントシステム（ISMS）の実践等）▼医療情報システムの安全管理全般（経営層による内部統制、情報セキュリティ対策の設計および管理、事業継続計画（BCP）の整備を含む情報セキュリティインシデントへの対策等）▼医療情報システム・サービス事業者との協働（当該事業者の選定、管理、当該事業者との責任分界等）—を求める内容となります。

医療機関の経営層は、ICTの専門家ではないケースがほとんどです。このため、ともすれば「私はまったく分からない。セキュリティ関係は担当者にすべて任せている」となりがちです。もちろん、実際の対策は担当者（院内、外部）が行いますが、経営層も「私は専門外なのでまったく分からない」と考えるのではなく、▼「サイバー攻撃を受けた場合に、経営の危機に陥ることも少なくない」点を理解し、サイバーセキュリティ確保に努める▼どこまでが医療機関の責任で、どこからが外部業者の責任となるのかを明確化する▼自院にどのような情報機器が保有され、どのような状況なのか（セキュリティ対策は十分に確保されているのかなど）を医療機関管理者も把握する—ことなどが強く求められていることを、（2）の経営管理編で十分に認識することが求められます。

さらに（3）（4）の実務者向け編では、次のような内容が記載されます。

（3）企画管理編
→▼医療情報システムの安全管理全般（関連法制度、安全管理方針の策定、責任分界、管理・監査体制、必要な規程、文書類の整備、職員・委託先の医療情報システム・サービス事業者の人的管理等）▼リスクアセスメント（リスク分析・評価）とリスクマネジメント（リスク管理）▼情報管理（情報の持ち出し、破棄等）▼医療情報システムに用いる情報機器等の管理▼非常時（災害、サイバー攻撃、システム障害）の対応と非常時に備えた通常時からの対策▼サイバーセキュリティ対策（通常時、サイバー攻撃に起因する非常時・復旧対応時における対応を整理した計画の整備等）▼医療情報システムの利用者に関する認証等および権限管理▼法令で定められた記名・押印のための電子署名—

（4）システム運用編
→▼医療情報システムの安全管理における技術的対策（端末等の情報機器、ソフトウェア、ネットワークに対する安全管理措置等）▼システム設計・運用に必要な規程類と文書体系▼ 技術的な対応における責任分界▼リスクアセスメントを踏まえた安全管理対策▼非常時（災害、サイバー攻撃、システム障害）の対応と非常時に備えた通常時からの対策▼サイバーセキュリティ対策（情報機器等の脆弱性対策、バックアップの実施・管理等）▼医療情報システムの利用者や連携するアプリケーションの認証等および権限管理▼電子署名に関する技術的対応—

繰り返しになりますが、医療機関がサイバー攻撃を受け、診療停止に追い込まれる事例も生じています。平時よりセキュリティ対策を確保することがますます重要になってきています。