◼

サイバーセキュリティ対策は、医療情報の漏えいリスクを軽減するものと、インシデント発生時の業務
継続に関するものに別れる。インシデント発生時に業務継続を必要とする場合は、被害範囲を特
定してネットワークの切断やバックアップの復元等、BCP に基づく対応を要する。警察や所管省庁等
に報告を行うことも求められるので、直ちに報告できるように、報告先の名称及び連絡手段等をリス
ト化し、インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）
への連絡体制図を整備しておくこと。クラウドサービスを利用している場合や、運用を委託している場
合には、バックアップの復元等の対応は事業者に対して依頼することが想定される。

◼

個人情報の漏えい等（又はそのおそれ）が生じた場合には、個人情報保護法上の対応を図るこ
と。

◼

「接続サービス」においても、サービスの内容と責任分界（委託先事業者は VPN 装置に関するセ
キュリティアップデート等の管理責任を有するかなど）を明確にすること。例えば、サイバー攻撃発生
時に侵入経路の特定や影響範囲の把握を行えるよう、委託先が保有するログ等について、提供さ
れる情報の内容、提供条件、提供範囲をあらかじめ確認しておくことが重要である。

９．医療情報システムの利用者に関する認証等及び権限
① 利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定すること。
特に、管理者権限を与えるアカウントは最低限のユーザとすること。
② 退職者や使用していないアカウント等、不要なアカウントを削除または無効化すること。
③ 電子カルテにおける記録の確定（入力者・確定者の識別、確定手順、更新履歴、代行入
力等）に関して、真正性、見読性、保存性の確保が可能なシステムを選定し、必要なルー
ルを規程等に含めること。
④ クライアント端末のアプリケーションログイン時には、令和 9 年度までに二要素認証を採用する
こと。対応が困難な場合には令和９年度以降のシステム更新時に対応可能な事業者を選
定すること。
⑤ オンプレミスのサーバが院内に存在する場合は OS（Operating System）のログイン時に
二要素認証を採用すること。対応が困難な場合には、令和９年度以降のシステム更新時
に対応可能な事業者を選定すること。
◼

医療情報システムでは、許可された利用者だけが閲覧、作成、変更、削除できることがシステム上
で実現される必要がある。このため、医療情報システムでは、適切な利用者を識別するための認証
機能や利用者ごとに適切な権限を付与する機能も要する。

◼

特に、すべてのユーザに OS の管理者権限が付与されていることで、攻撃者がマルウェア対策ソフ
トを無効化やパスワードを窃取するためのソフトウェアインストールが可能となり、医療情報にア
クセスされる事案が複数発生している。管理者権限を付与するユーザは最小限とすることが必須で
あり、このアクセス権限管理を事業者に委託する場合には、その業務の実施状況を管理すること。

◼

退職者アカウントや使用していないアカウントは不正アクセスに利用されるリスクがある。退職者アカ
ウントや不要なテスト用アカウント等を定期的に削除する等の運用を取り決め、実行すること。この
-15-