１１．システム運用管理（通常時・非常時等）
【遵守事項】
① 非常時の医療情報システムの運用について、次に掲げる対策を実施すること。
(1) 「非常時のユーザアカウントや非常時用機能」の手順を整備すること。
(2) 非常時機能が通常時に不適切に利用されることのがないように管理するとともに、もし使用された場合に
使用されたことがは検知できるよう、適切に管理及び監査すること。
(3) 非常時用ユーザアカウントが使用された場合、正常復帰後は継続使用ができないように変更すること。
(4) 医療情報システムにマルウェアが混入した場合に備えて、関係先への連絡手段や紙での運用等の代替
手段を準備すること。
(5) サイバー攻撃による被害拡大の防止の観点から、論理的／物理的に構成分割されたネットワークを整備
すること。
(6) 重要なファイルは数世代バックアップを複数の方式で確保し、その一部はマルウェアの混入による影響が波
及しない手段で管理するとともに、バックアップからの重要なファイルの復元手順を整備すること。
②

医療情報システムの稼働状況などを把握するため、パフォーマンス管理、死活監視などを行うこと。

１１．１ 通常時における運用対策
➢

システム運用担当者は、通常時から非常時において行うべきを想定した技術的対応を、通常時から講じることが
求められる。

➢

非常時が発生すのる原因としてはについては、下記が想定される。
・ 災害
・ サイバー攻撃
・ システム障害（ネットワーク障害含む）

上記対策として等が想定される。
➢

それぞれの原因により、講じるべき対策が異なるところがあるが、共通することは、システム運用担当者は非常時が
生じた際の医療情報システムの利用に関する手順等について、通常時から整理をすることや、非常時を想定した
措置について、通常時に訓練を行うことなどが挙げられる。

➢

通常時における対策例については、企画管理編「11．２2 非常時に備えた通常時からの対応」の「非常時の
事象発生原因に応じた通常時からの対策例」に示しているが、技術的な対応としては、
・ ネットワーク（論理的／物理的な構成分割など）
・ バックアップ（冗長化、データバックアップなど）
・ 非常時用の臨時措置としての情報システム、情報機器
等に対する技術的な対応を検討することが求められる。技術的な検討は、経営層が行うリスク判断や企画管理
者によるリスク評価を踏まえて、に整合性のあるする内容のものを検討することが求められるとすること。特にサイバ
ー攻撃などの場合、医療情報や、医療情報システムのソフトウェアのバックアップデータには既にマルウェアの混入に
よる影響が及んでいる可能性もが高く、不用意にバックアップデータから復旧することで被害を繰り返し、場合によっ
てはす、被害を拡大する等のことになりかねないリスクもある。加えて、ハードウェアについても原因検証のために利
用できないなどのリスクもあることから、バックアップの設計や整備に関しては、総合的な観点からのリスク評価を踏ま
えてを行った技術的な検討を行い、結果を企画管理者に報告すること。対応が求められる。

検討結果については、企画管理者に報告する必要がある。

- 28 -