・復旧措置のための対応
・再発防止策の検討
などがある。
➢

サイバー攻撃に対しては情報セキュリティ責任者（CISO：（Chief Information Security Officer））の
配置や、CSIRT（Computer Security Incident Response Team）の構築が有効とされており、企画管
理者はこれらの整備の要否や、必要な場合にはその構成や非常時の対応内容などについて検討し、経営層の承
認を得ること。

➢

また、医療情報の漏洩漏えいが生じた場合も、法令上必要な対応（個人情報保護法に基づく漏洩漏えい等の
報告など）や説明責任の実施等の必要な措置を講じる必要があるため、体制や手順等を整備して、経営層の
承認を得ること。
３．１．３６ 医療機関等の内部における職員等に対する教育・訓練等の体制

➢

医療情報システムの安全管理においては、医療機関等において医療情報システムに関与するすべて全ての者に
おいて当該安全管理に対する知識と意識付けが求められる。そのため、企画管理者は、職員に対して安全管理
に関する教育・訓練等を行うとともに、必要な体制を整備することが求められる。
３．１．４７ 委託等における安全管理の体制

➢

医療情報システムの安全管理においては、何らかの形でシステム関連事業者が関与する場合が多く、運用等を
システム関連事業者へ委託することも多い。

➢

個人情報保護法第 25 条において委託先の監督義務が示されているとおり、医療機関等においては委託先事
業者の安全管理の体制も含めて把握することが必要となる。

➢

企画管理者は、委託等における安全管理を行うため、委託先事業者については、委託先事業者の運用等の体
制や連絡体制を明確にするほか、運用状況を定期的に把握するために必要な体制を整備すること。
３．１．５８ 監査体制の整備と監査責任者の設置

➢

医療情報システムの安全管理が適切に行われていることを担保するためには、担当者による自己点検だけではな
く、客観的な監査によることが重要である。監査は、担当者や企画管理者以外の医療機関等内の第三者による
方法や、外部の第三者による方法などが挙げられる。

➢

企画管理者は、安全管理が適切に行われていることを確認するために監査等の必要な体制を整備すること。
３．１．６９ 患者等からの苦情・質問の受付体制

➢

「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」では、医療機関等が患者などに
対して説明責任を果たすためには、個人情報の取扱いに関し患者等からの問い合わせや苦情への対応等を行う
窓口機能等を整備することが必要とされている。

➢

企画管理者は、患者等からの相談や苦情への対応を行うための受付体制の整備を行うこと。
３．１．７10 体制整備の可視化

➢

医療情報システムの安全管理の体制を明確にすることは、医療機関等内において医療情報を取り扱う者が滞り
なく安全管理に関する対応を行うために必要であり、また非常時において迅速かつ適切な対応をとる上でも重要
である。
- 17 -