ログの話をすると、医療機関から返ってくる答えはたいてい「取っています」です。電子カルテのアクセスログ、サーバのシステムログ、ファイアウォールの通信ログ。確かに取得はされています。
問題はその次です。**「では、先月それを見た人はいますか」**と尋ねると、答えが止まります。取得はしているが点検していない、保管期間が製品の初期設定のままで実は30日で消えている、インシデントが起きて初めて「あのログは残っていない」と分かる——これが医療機関の実情として珍しくありません。
ログは、事前に設計しておかないと、必要になった瞬間には手遅れという性質を持ちます。侵入に気づくのも、被害範囲を特定するのも、患者への説明責任を果たすのも、後から追えるかどうかにかかっています。本記事では、何を取り、どれだけ保管し、どう見るかを、限られた人員で回せる形に整理します。
免責：本記事は一般的な情報提供です。ガイドラインの解釈、保存期間に関する法令・通知の適用は、厚生労働省をはじめとする関係省庁の公表資料および地方厚生局の通知が正本です。実際の対応判断はそれらに基づいて行ってください。
ログは何のために取るのか
目的を整理しないままログの議論をすると、「全部取る」か「製品の初期設定のまま」のどちらかに落ち着きます。どちらも機能しません。医療機関がログを取る目的は、大きく4つに分かれます。
| 目的 | 何が必要か | 誰が使うか |
|---|---|---|
| 不正・不適切なアクセスの検知 | 参照ログ、権限変更ログ | 情報システム、医療安全 |
| インシデント時の調査 | 通信ログ、認証ログ、端末ログ | 情報システム、外部の調査支援 |
| 説明責任（患者・監督官庁） | 誰がいつ何を見たかの記録 | 事務長、経営層 |
| 診療録の真正性の確保 | 更新履歴、操作者の記録 | 診療情報管理、医療安全 |
この4つは必要なログの種類も保管期間も違います。 たとえば、不正アクセスの検知にはリアルタイム性が要りますが、真正性の確保には長期保管が要ります。インシデント調査には、通常は誰も見ない通信ログが決定的な材料になります。
医療機関に特有なのが3つ目と4つ目です。一般企業のログ管理はセキュリティ目的に寄りますが、医療機関では診療録としての性質が加わります。「誰が書いたのか」「いつ修正されたのか」が説明できることは、医療安全と法的要請の両面から求められます。この観点は 電子カルテのアクセスログ点検 でより詳しく扱います。
何を取るか
目的から逆算すると、取るべきログは次のように整理できます。
| 分類 | 具体的なログ | 優先度 | 主な用途 |
|---|---|---|---|
| 認証 | ログイン成功・失敗、ロックアウト | 高 | 侵入の兆候、不正利用 |
| 権限 | 権限の付与・変更・剥奪 | 高 | 攻撃者による権限拡張の検知 |
| 特権操作 | 管理者アカウントの操作 | 高 | 最も重大な操作の追跡 |
| 診療情報アクセス | 患者記録の参照・更新・削除 | 高 | 説明責任、真正性 |
| 出力 | 印刷、CSV出力、外部媒体への書出 | 高 | 大量持ち出しの検知 |
| 通信 | ファイアウォール、プロキシ、VPN接続 | 中〜高 | インシデント調査の中核 |
| 端末 | 端末の起動、USB接続、ソフトウェア導入 | 中 | 端末経由の侵入・持ち出し |
| システム | サービスの起動停止、エラー、設定変更 | 中 | 障害調査、改ざんの検知 |
| バックアップ | 取得成否、復旧操作 | 中 | 復旧可能性の担保 |
**最優先の5つ（認証・権限・特権操作・診療情報アクセス・出力）**は、リソースが限られていてもここだけは押さえるべき範囲です。理由は、この5つがあれば「誰が、どの権限で、どの情報に触れ、外に出したか」という筋が追えるためです。
ログに含めるべき項目は、あとから追跡できるかどうかを決めます。
- いつ（時刻。機器間で時刻が同期されていること）
- 誰が（利用者ID。共有IDの場合は端末・ICカード等の補助情報）
- どこから（端末、IPアドレス）
- 何に対して（患者ID、ファイル、システム）
- 何をした（参照・更新・削除・出力）
- 結果（成功・失敗）
時刻同期は見落とされやすい前提条件です。 機器ごとに時刻がずれていると、複数のログを突き合わせた時系列の再構成ができません。インシデント調査で最初に困るのがここです。NTPによる同期を全機器で行い、その状態を年1回確認してください。
共有IDが残る環境では、ログの利用者IDだけでは個人を特定できません。この場合、端末側での操作者識別（ICカード、簡易ログイン）を組み合わせることで追跡可能性を確保します。権限設計との接続は アクセス権限設計と特権ID管理 をご覧ください。
どれだけ保管するか
保管期間は、目的ごとに要求が異なります。
| 目的 | 期間の考え方 |
|---|---|
| インシデント調査 | 侵入から発覚までの期間をカバーできること。 数か月単位で遡れるのが望ましい |
| 説明責任 | 患者からの照会や監督官庁への報告に応じられる期間 |
| 診療録の真正性 | 診療録の保存に関する要請と整合させる |
| 障害調査 | 数週間〜数か月で足りることが多い |
設計の起点はインシデント調査です。 侵入から発覚までに時間が空くことがあり、発覚した時点で「その時期のログはもう消えている」となると、被害範囲の特定ができません。患者への説明も、監督官庁への報告も、範囲が分からないままでは進みません。
製品の初期設定は、多くの場合この目的には足りません。ディスク容量を節約するために短期間で上書きされる設定になっていることがあるため、導入時の設定のまま運用している場合は確認が必要です。「取っています」と「必要な期間残っています」は別の話です。
保管の設計で決めること
- ログ種別ごとの保管期間（目的から逆算する）
- 保管先（本番と分離された場所に。特権IDで消せない場所に）
- 容量の見積もりと増加時の対応
- 保管期間を過ぎたログの取扱い（削除か、長期保管に移すか）
- 保管されていることの定期確認（設定変更や機器交換で止まっていないか）
項目2が重要です。 ログを本番サーバ上にだけ置いている構成は、そのサーバが暗号化されればログも失われます。痕跡を消されることを前提に、別の場所へ転送して保管する設計にしてください。ネットワーク上の配置については ネットワーク分離と資産管理 を参照してください。
法令・通知に基づく保存期間の要件については、対象となる記録の種類により異なります。院内規程として期間を定める際は、厚生労働省の公表資料および関係する法令・通知でご確認ください（要一次確認）。
「取っているが見ていない」をどう解決するか
ここが本記事の核心です。ログ管理が形骸化する理由は、意識の問題ではなく設計の問題です。
全件を人が目で見ることは不可能です。電子カルテのアクセスログは1日で数万件になることもあります。したがって「ログを点検する」という運用は、見る対象を絞り込む仕組みとセットでなければ成立しません。
絞り込みの3つの方法
| 方法 | 内容 | 実現のしやすさ |
|---|---|---|
| 例外抽出 | 「通常あり得ない事象」だけを抽出する | 比較的容易。まずここから |
| 閾値による検知 | 件数や頻度が一定を超えたら通知する | 製品機能に依存 |
| 相関分析 | 複数のログを組み合わせて判断する | 専用の仕組みが必要 |
医療機関がまず着手すべきは例外抽出です。 専用製品がなくても、次のような条件で抽出すれば、確認すべき件数は現実的な水準に落ちます。
- 深夜・休日の管理者アカウントのログイン
- ログイン失敗が短時間に集中しているアカウント
- 90日以上使われていなかったアカウントの突然の利用
- 権限の付与・変更（本来は申請ベースで行われるはずのもの）
- 一定件数を超える患者記録の一括参照・出力
- 自部署以外の患者記録への継続的なアクセス
- 退職者・異動者のIDによるアクセス
- 通常と異なる接続元からのリモートアクセス
これらは**「起きているなら理由を確認すべき」**事象です。多くは正当な理由があります（夜勤帯の緊急対応、監査のための一括出力など）。重要なのは、理由を確認したという記録を残すことです。
点検を運用に乗せるためには、次の4点を決めます。
| 決めること | 具体例 |
|---|---|
| 頻度 | 月1回。重大な条件は日次の自動通知 |
| 担当 | 情報システム担当と、医療安全・診療情報管理の担当の複数名 |
| 手順 | 抽出条件、確認の方法、疑わしい場合のエスカレーション先 |
| 記録 | 実施日、確認件数、確認結果、エスカレーションの有無 |
担当を複数部門にまたがらせるのが医療機関では有効です。情報システム担当だけでは「この参照は業務上おかしいか」の判断ができないためです。診療情報管理士や医療安全担当が関与することで、技術的には正常に見えるが業務的には不自然なアクセスを拾えます。
なお、点検の実施頻度について「月1回以上」といった具体的な数値が二次情報で語られることがありますが、要件として一次資料で確認できないものがあります。院内規程に定める際は、厚生労働省の公表資料および地方厚生局の通知でご確認ください（要一次確認）。
インシデント時に実際に必要になるログ
被害が発生したとき、調査で最初に求められるログを知っておくと、平常時の設計が具体的になります。
調査で答えるべき問いと、それに対応するログは次のとおりです。
| 問い | 必要なログ | 平常時に確認すべきこと |
|---|---|---|
| いつ侵入されたか | 境界機器の接続ログ、認証ログ | 十分な期間残っているか |
| どこから入られたか | VPN・リモートアクセスの接続元記録 | 接続元を記録しているか |
| どのアカウントが使われたか | 認証ログ、権限変更ログ | 失敗ログも取っているか |
| どこまで到達されたか | 内部通信ログ、サーバのログイン記録 | セグメント間通信を記録しているか |
| 情報が外に出たか | プロキシ・出力ログ、外部媒体の接続記録 | 出力系のログを取っているか |
| 患者情報が対象になったか | 診療情報アクセスログ | 患者単位で追跡できるか |
| いつ復旧できるか | バックアップの取得記録 | 取得成否を記録しているか |
「情報が外に出たか」に答えられないことが、実務上いちばん重いという点は強調しておきます。漏えいの有無が特定できないと、患者への説明も、個人情報保護委員会への報告の判断も、最悪を想定して行うことになります。出力・通信系のログは、平常時に誰も見ないにもかかわらず、被害時には決定的な意味を持ちます。
報告義務の考え方は 個人情報漏えい時の報告義務、初動の手順は ランサムウェア被害時の初動 と 医療機関のインシデント対応計画 で扱います。全体の優先順位は 医療機関のランサムウェア対策 を、委託先が保有するログの扱いは 責任分界点の決め方 と ISMS（ISO/IEC 27001）の全体像 を参照してください。
クラウドサービスを利用している場合、ログの多くは事業者側にあります。契約時に次を確認してください。
- どのログが取得されているか
- 医療機関側が参照できるか、できるとすればどの範囲か
- 保管期間はどれだけか
- インシデント時に提供を受けられるか、その手続きと期間
- 提供に費用がかかるか
医療機関のクラウドセキュリティ と 責任共有モデル も併せてご覧ください。
制度との接続
2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算は、共通要件として「医療情報システムの安全管理に関するガイドラインへの準拠」と「専任の医療情報システム安全管理責任者の配置」を、加算1（160点）ではさらに複数方式バックアップ（一部オフライン）とサイバー攻撃等に対するBCP策定・訓練を求めています。
ログは、これらの要件を「実施している」と示すための証跡そのものでもあります。
- 安全管理責任者の業務として、ログ点検の実施と結果の確認が位置づけられる
- BCPの訓練では、ログから被害範囲を特定する手順が実効性を左右する
- バックアップの取得成否の記録は、復旧可能性を説明する材料になる
改定の全体像は 2026年度診療報酬改定の全体像、責任者の役割は 医療情報安全管理責任者の役割と選任 をご覧ください。
まとめ
- ログの目的は検知・調査・説明責任・真正性の4つ。必要な種類も保管期間も目的ごとに違う
- リソースが限られるなら、認証・権限・特権操作・診療情報アクセス・出力の5つを最優先で押さえる
- 全機器の時刻同期は追跡可能性の前提。ずれていると時系列の再構成ができない
- 保管期間はインシデント調査を起点に設計する。 製品の初期設定のままでは足りないことが多い
- ログは本番と分離した場所に転送して保管する。 特権IDで消せる場所に置かない
- 「取っているが見ていない」は設計の問題。例外抽出で対象を絞り、複数部門で点検し、確認した記録を残す
- 被害時に最も重いのは**「情報が外に出たか」に答えられないこと**。出力・通信系のログを平常時から確保しておく
自院のログ設計が被害時の調査に耐えるか、クラウド事業者に何を確認すべきかでお困りの場合は、お問い合わせ からご相談ください。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版｜厚生労働省
- 個人情報保護委員会
- 令和8年度診療報酬改定について｜厚生労働省
- 情報処理推進機構（IPA）
※保存期間に関する要件、点検頻度の要件は、関係法令・通知および厚生労働省の公表資料が正本です。改定や解釈の更新により変わり得ますので、最新の一次情報をご確認ください。