１７．証跡のレビュー・システム監査
【遵守事項】
① 利用者のアクセスについて、アクセスログ等を記録するとともに、定期的にログを確認すること。アクセスログは、
少なくとも利用者のログイン時刻、アクセス時間及びログイン中に操作した医療情報が特定できるように記録す
ること。医療情報システムにアクセスログの記録機能があることが前提であるが、ない場合は、業務日誌等により
操作者、操作内容等を記録すること。
②

② アクセスログへのアクセス制限を行い、アクセスログの不当な削除／改ざん／追加等を防止する対策を
実施すること。

③ ③ アクセスログの記録に用いる時刻に情報は、信頼できるもの情報を利用すること。利用する時刻情報は、
医療機関等の内部で同期させるとともに、標準時刻と定期的に一致させる等の手段で診療事実の記録とし
て問題のない範囲の精度を保つ必要がある。
④ 監査等を行うに際し、技術的な対応に関する監査実施計画の作成や証跡の整理等を行い、企画管理者
に報告すること。

１７．１ 証跡のレビュー
➢

システム運用担当者は、医療情報システムが適切に運用されていることを確認するために、技術的な対応として、
システム上のログを収集し、レビューすることが求められる。特に個人情報を含む資源については、全てのアクセスロ
グを収集し、定期的にその内容をチェックして不正利用がないことを確認しなければならない。

➢

アクセスログは、それ自体に個人情報が含まれている可能性があること、さらには情報セキュリティインシデントが発
生した際の調査に非常に有用有効な情報であることから、その保護は必須である。システム運用担当者は、アク
セスログへのアクセス制限や改ざん防止措置等を行い、アクセスログへの不当な削除／改ざん／追加等を防止す
る対策を講じることが求められる。

➢

アクセスログの正確性を保つのため、記録する時刻の精度も重要である。精度の高いものを使用し、管理対象の
全てのシステムで同期を取らなければならないること。

➢

アクセスログを分析し、緊急時にアラートを発する仕組みを講じることも求められる。

➢

医療情報システムの管理を委託している場合には、事業者との間でログの管理方法や提供等に関して、明確に
取り決めを行うことする必要がある。

➢

なお、医療機関等において取り扱っている医療情報システムにアクセスログを収集する機能がない場合には、シス
テム操作に係る業務日誌等を作成し、操作の記録（操作者及び操作内容等）を管理するなどの代替策を講
じることが必要となる。

１７．２ 監査の実施の支援
➢

システム運用担当者は、企画管理者が監査実施計画を作成する際に、技術的な対応における部分の内容に
該当する内容を作成し、企画管理者に報告することが求められる。また監査に必要な証跡（手順等の実施証
跡や、システムログ及びレビューの結果等）を整理したうえで、企画管理者に報告することが求められる。監査結
果で指摘された事項については、企画管理者と協議し、改善に向けた対応を行うすることも求められる。

- 51 -