７．１ 外部へ持ち出す医療情報の管理対策
➢

システム運用担当者は、企画管理者が策定する規程を踏まえて、外部への医療情報の持出しに関する具体的
な手順を作成する。手順は、持ち出す医療情報や記録媒体、持出し方法の種類や特性に応じて策定すること。
持出し前の手続から、外部からの持ち帰り等に関する手順も対象となる。

➢

情報機器等を持ち出す場合には、盗難や紛失のリスクを想定した内容を含めること。例えば端末の起動パスワー
ド等の設定は必須であり、このパスワード等は認証ルールに沿った内容であることが求められる。

➢

医療情報が保存されている場合には、記録媒体に暗号化を施す必要があるほか、患者等の医療情報を表示や
編集できる場合は、その機能を持つアプリの起動にパスワードを設定するなどの措置も必要である。

➢

またタブレット PC 及びスマートフォンの持出しに際して、その目的から見て不要なプログラム等はインストールしない
/させないことや、情報機器等に対する管理者権限等を原則付与しないなどの措置を講じることも重要である。

➢

ネットワークを通じて外部に保存する場合、システム運用担当者は利用可能な保存先やサービスを限定する必要
がある。クラウドサービスは、容易に医療情報の外部保存ができるため、システム運用担当者が管理しないものが
使われるリスクがある。医療機関等が定める安全管理の基準や、プライバシーポリシー、その他のルールに適合した
サービスを利用させること。

➢

例えば、医療機関等が許可したサービス以外の接続を遮断する等の技術的対応を取ることや、許可されていな
いサービスの利用禁止を規則等に盛り込むなどの対応が想定される。

➢

漏えい防止等の観点から、保守等の目的で、事業者が医療情報を持ち出す行為は原則として禁止する必要が
ある。業務上、やむを得ず持ち出す場合には、持ち出しの目的や件数、項目、持出し先での保存環境等を事前
に示したうえで、システム運用担当者の許可を要すること等を手順として定めること。

７．２ 医療機関等外から医療情報システムに接続する利用の場合への対策
➢

システム運用担当者は、外部から医療情報システムに接続して利用する場合の、技術的対応を講じることが求
められる。利用場面としては、下記が想定される。
・ 職員が、訪問先やテレワークなどにより、医療機関等が管理する端末を通じてアクセスする場合
・ 患者等が、自宅から自らの医療情報にアクセスする場合
・ 事業者が外部から医療情報システムにアクセスして保守等を行う場合
７．２．１ 医療機関等の職員による外部からのアクセス

➢

職員が自宅等や訪問先などから医療情報システムへアクセスする場合、安全管理のため、
・ 接続できる職員に対する事前の許可
・ 外部から接続する際の技術的対応
等の対応が考えられる。

➢

事前の許可については、システム運用担当者が具体的手順等を定めて、接続可能な利用者と権限の範囲を設
定すること。また、その結果を企画管理者に報告すること。

➢

技術的な対応については、下記を含む措置を、システム運用担当者が講じる必要がある。
・ 外部からのアクセスに関する認証・認可
・ 外部から利用する際のネットワークの要件
・ 外部から利用する端末等の要件

- 14 -