１７．証跡のレビュー・システム監査
【遵守事項】
① 利用者のアクセスについて、アクセスログ等を記録するとともに、定期的にログを確認すること。アクセスログは、
少なくとも利用者のログイン時刻、アクセス時間及びログイン中に操作した医療情報が特定できるように記録す
ること。医療情報システムにアクセスログの記録機能があることが前提であるが、ない場合は、業務日誌等により
操作者、操作内容等を記録すること。
②

ログへのアクセス制限を行い、ログの不当な削除／改ざん／追加等を防止する対策を実施すること。

③

ログの記録に用いる時刻には、信頼できる情報を利用すること。利用する時刻情報は、医療機関等の内
部で同期させるとともに、標準時刻と定期的に一致させる等の手段で診療事実の記録として問題のない範
囲の精度を保つ必要がある。

④ 監査等を行うに際し、技術的な対応に関する監査実施計画の作成や証跡の整理等を行い、企画管理者
に報告すること。

１７．１ 証跡のレビュー
➢

システム運用担当者は、医療情報システムが適切に運用されていることを確認するため、システム上のログを収集
し、レビューすることが求められる。特に個人情報を含む資源については、全てのアクセスログを収集し、定期的にそ
の内容をチェックして不正利用がないことを確認しなければならない。この確認は、全てのログを目視確認することを
指すのではなく、システムでの監視や、実際の運用に基づく適切な閾値を用いたスクリーニング後のログを確認する
ことを想定する。

➢

アクセスログは、それ自体に個人情報が含まれている可能性があること、情報セキュリティインシデントが発生した際
の調査に非常に有用な情報であることから、その保護は必須である。システム運用担当者は、ログへのアクセス制
限や不当な削除／改ざん／追加等を防止する対策を講じること。

➢

なお、例えば外部ネットワークとの接続点の集約に際しては、外部に接続されているサービス毎にログ管理等を分
散させるのではなく、接続先制御・監査ログ集約・責任分界整理を一元管理することが負担軽減のために有効
である。

➢

ログの正確性を保つため、記録する時刻の精度も重要である。精度の高いものを使用し、管理対象の全てのシス
テムで同期を取ること。

➢

アクセスログを分析し、緊急時にアラートを発する仕組みを講じることも求められる。

➢

医療情報システムの管理を委託している場合には、事業者との間でログの管理方法や提供等に関して、明確に
取り決めを行うこと。

➢

なお、医療情報システムにアクセスログを収集する機能がない場合には、システム操作に係る業務日誌等を作成
し、操作の記録（操作者及び操作内容等）を管理するなどの代替策を講じることが必要となる。

１７．２ 監査の実施の支援
➢

システム運用担当者は、企画管理者が監査実施計画を作成する際に、技術的な対応に該当する内容を作成
し、企画管理者に報告することが求められる。また監査に必要な証跡（手順等の実施証跡や、システムログ及び
レビューの結果等）を整理したうえで、企画管理者に報告すること。監査で指摘された事項については、企画管
理者と協議し、改善に向けた対応を行うこと。

➢

日々のセキュリティ対策の発展に対応するためには、システムセキュリティ監査（内部・外部）を継続的に実施す
- 42 -