リスク分析で明らかとなった脅威について対策を行うことにより、発生可能性を低減し、
リスクを実際上問題のないレベルにまで小さくすることが必要である。
C．最低限のガイドライン
1. 医療情報システムで扱う情報を全てリストアップすること。
2. リストアップした情報を、安全管理上の重要度に応じて分類し、常に最新の状態を維持
すること。
3. リストアップした情報は、医療情報システム安全管理責任者が必要に応じて速やかに
確認できる状態で管理すること。
4. リストアップした情報に対してリスク分析を実施すること。脅威に関してはリスク分
析に関する解説（別冊）を参照
5. 医療情報システムベンダ及びサービス事業者から技術的対策等の情報を収集すること。
例えば、
「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理
ガイドライン」
（総務省・経済産業省 令和 2 年 8 月 21 日）における「サービス仕様適
合開示書」を利用することが考えられる。
6. 医療情報システムに関する全体構成図（ネットワーク構成図・システム構成図等）
、及
びシステム責任者一覧（設置事業者等含む）を作成し、常に最新の状態を維持すること。
例えば、前述の「サービス仕様適合開示書」を利用することが考えられる。
7. リスク分析により得られたリスクに対して、6.3 章～6.12 章に示す対策を実施するこ
と。
D．推奨されるガイドライン
1. 上記 1 から 7 の結果を系統的に文書化して管理すること。

17