「アクセスログは取っています」——医療機関でこの答えが返ってくることは多いのですが、続けて「では、直近3か月で何件確認しましたか」と聞くと、答えが止まることがあります。
ログの取得と、ログを見る運用は別物です。そして、電子カルテのアクセスログに関しては、見る運用のほうが圧倒的に難しい。理由は単純で、1日に発生する閲覧の件数が膨大だからです。数百床の病院なら1日で数万件、場合によってはそれ以上のアクセス記録が生まれます。これを全部見ることはできません。
しかし、見ないままでよいわけでもありません。電子カルテの不正閲覧は、外部からの攻撃とは違う経路で起きます。職務上アクセス権を持っている職員が、職務と関係のない目的でカルテを開く。知人や家族、地域で知られた人物、報道された事件の関係者。この種の閲覧は、ウイルス対策でもネットワーク分離でも止まりません。止められるのは、検知できるという事実と、それが周知されていることです。
本記事は、電子カルテのアクセスログ点検を「続く運用」として設計するための整理です。膨大なログを前に何から見るか、誰がどの頻度で見るか、そして点検を形骸化させないためにどうするかを扱います。
免責：本記事は一般的な情報提供です。医療情報の取扱いおよび記録の保存に関する要求事項は、厚生労働省「医療情報システムの安全管理に関するガイドライン」、個人情報保護法および関係ガイドラインが正本です。職員への対応は就業規則・労務管理の観点も伴うため、必要に応じて専門家にご相談ください。
何を検知したいのか
「不正アクセスの検知」と言うと外部からの侵入を思い浮かべますが、電子カルテのアクセスログ点検が主に扱うのは内部の不適切な閲覧です。両者は性質が異なるため、分けて考えます。
| 類型 | 内容 | 検知の手がかり |
|---|---|---|
| 知人・家族のカルテ閲覧 | 職務と関係なく、知っている人の記録を見る | 閲覧者と患者の姓が同じ。同一住所。診療科と患者の受診科が無関係 |
| 著名な患者・話題の患者の閲覧 | 報道等で知られた患者の記録が、多数の職員から閲覧される | 特定患者への短期間の集中的なアクセス |
| 自分自身のカルテ閲覧 | 職員本人の記録を業務外で閲覧する | 閲覧者と患者が同一人物 |
| 退職予定者による大量閲覧・出力 | 退職前に情報を持ち出す | 通常より多い件数、印刷・出力の増加 |
| 権限の逸脱 | 本来の職務範囲を超える範囲の記録を閲覧する | 所属部署と関係のない診療科の記録への継続的アクセス |
| 共有アカウントによる操作 | 誰が操作したか特定できない | そもそも個人が特定できない状態（パスワードポリシーの設計） |
| 認証情報の不正利用 | 他人のIDでのログイン | 通常と異なる時間帯・端末からのアクセス、同時刻の別端末ログイン |
このうち、最初の3つは技術的な検知の手がかりが比較的はっきりしています。姓の一致、住所の一致、短期間のアクセス集中は、機械的に抽出できる条件です。点検を始めるなら、ここからです。
一方、「権限の逸脱」は判断が難しい領域です。他科の記録を見ることには正当な理由が多数あります（他科受診歴の確認、当直対応、症例検討）。機械的に抽出したうえで、業務を知る人が判断するという二段構えが必要になります。
「共有アカウント」の行は特に重要です。 個人が特定できなければ、どれだけログを取っても点検は成立しません。共用端末での個人識別の確保は、ログ点検の前提条件です。この論点は パスワードポリシーの設計 と アクセス権限設計と特権ID管理 で扱っています。
ログに何が残っている必要があるか
点検を設計する前に、自院の電子カルテがどこまで記録しているかを確認します。ベンダーに確認すべき項目は次のとおりです。
| 確認項目 | 見るべき点 |
|---|---|
| 記録される操作 | 参照（閲覧）も記録されるか。更新・削除だけではないか |
| 記録項目 | 操作日時、利用者ID、端末、対象患者、操作内容 |
| 保存期間 | 標準の保存期間と、延長の可否・追加費用 |
| 出力方法 | 点検用に抽出できるか。条件指定での検索が可能か |
| 抽出条件 | 患者単位、利用者単位、期間、部署などで絞れるか |
| 改ざん防止 | ログ自体の保護。管理者による削除が可能か |
| 標準機能の点検支援 | 不正閲覧の疑いを抽出する機能が標準で備わっているか |
最初の行が肝心です。 更新履歴（誰が何を書いたか）は記録していても、参照の記録が取得されていない、または短期間しか残らないシステムがあります。不正閲覧の検知は参照記録がなければ成立しないため、ここは必ず確認してください。参照記録が取れない場合は、電子カルテ更新時の要件に含めます（電子カルテ更新時のセキュリティ要件）。
保存期間も論点です。不正閲覧が発覚するのは、たいてい事後——患者からの申し出や、職員からの報告がきっかけです。発覚時点でログが残っていなければ、事実確認ができません。保存期間は、発覚までの時間差を織り込んで設定する必要があります。ログ設計全般は ログ管理と監査証跡 を参照してください。
抽出のしやすさは点検の継続性を左右します。毎回ベンダーに依頼しなければ取り出せない状態では、点検は続きません。院内の担当者が自分で抽出できる形になっているかを確認し、難しければ定期的な出力を保守契約に含めることを検討します（事業者に確認すべき質問リスト）。
点検をどう設計するか
全件を見ることはできないという前提から出発します。設計の要は、見る対象を絞る条件を決めることです。
実務的な点検の組み立ては、次の3層になります。
| 層 | 内容 | 頻度 | 担当 |
|---|---|---|---|
| ① 条件抽出による定期点検 | 姓の一致、自身のカルテ、短期間の集中アクセスなど、機械的な条件で抽出して確認する | 月次 | 情報システム担当＋医事課 |
| ② 対象を限定した重点点検 | 職員本人・家族が受診した記録、注目度の高い患者の記録を対象に確認する | 発生の都度 | 医療情報安全管理責任者 |
| ③ 申出・通報を起点とした調査 | 患者からの問い合わせ、職員からの報告を受けて特定の記録を調べる | 都度 | 医療情報安全管理責任者＋事務長 |
①から始めてください。 条件抽出は自動化しやすく、担当者の負担が小さいためです。最初は条件を2〜3個に絞り、月次で回すところから始めます。条件を増やすのは、運用が定着してからで構いません。
具体的な抽出条件の例を挙げます。
- 閲覧者の姓と患者の姓が一致する閲覧
- 閲覧者と患者が同一人物である閲覧
- 直近1か月で、ある患者への閲覧が特定の件数を超えた場合
- 所属部署と診療科が一致しない閲覧のうち、件数が上位の職員
- 深夜・休日の閲覧のうち、当直勤務の記録がない職員によるもの
抽出された結果は「不正」ではありません。 姓の一致は同姓の他人である可能性が高く、他科の閲覧には正当な理由があります。抽出は「確認の対象を選ぶ手続き」であり、判断は業務を知る人が行うという区別を、運用する全員が理解している必要があります。ここを誤ると、職員との関係を損ないます。
確認の手順も定めておきます。
- 抽出結果のうち、業務上の説明がつかないものを一次選別する
- 必要に応じて、所属長に業務上の必要性を確認する
- 説明がつかない場合、医療情報安全管理責任者へ報告する
- 事実確認と、就業規則に基づく対応の要否を判断する
- 患者への対応が必要な場合の判断（個人情報漏えい時の報告義務）
職員への確認は慎重に行ってください。 結論を決めてから確認するのではなく、業務上の必要性を尋ねる形にします。多くの場合は正当な理由が示され、それで完結します。そのプロセス自体が「点検が行われている」という事実を組織に伝える働きもします。
周知が抑止になる
ログ点検の効果の大部分は、検知そのものではなく、点検されていると職員が知っていることから生まれます。
不正閲覧は、多くの場合、悪意ある情報窃取ではありません。「知人が入院したと聞いた」「気になった」という動機で、見られることを想定せずに行われます。したがって、「アクセス記録は残っており、定期的に点検されている」という事実が共有されていれば、実行前に踏みとどまる効果が期待できます。
周知の方法としては次が考えられます。
| 方法 | 内容 | 効果 |
|---|---|---|
| 採用時・配属時の説明 | アクセス記録が残ること、点検されることを明示する | 全員に確実に伝わる。就業規則・誓約書との整合を取る |
| ログイン時の表示 | 電子カルテのログイン画面等に一文を表示する | 日常的に目に入る。実装可否はベンダー確認 |
| 定期の全体周知 | 年1〜2回、点検を実施している旨を周知する | 実施件数を示すと具体性が増す |
| 事例に基づく研修 | 実在事例を特定しない形で、起こり得る状況を扱う | 「自分ごと」になりやすい（職員教育・訓練の設計） |
周知で重要なのは、脅すのではなく、理由を説明することです。 「監視されている」という伝え方は職場の信頼関係を損ないます。患者の情報を守ることが医療機関の責務であり、記録と点検はそのための仕組みであること、そして職員自身を不当な疑いから守る仕組みでもあることを伝えるほうが受け入れられます。
職員自身や家族が自院を受診する場合の取り扱いも、あらかじめ決めて周知しておくと親切です。自分の検査結果を電子カルテで確認する行為は、規程上どう扱うのか。正規の手続き（通常の診療の枠組みでの説明、文書での開示請求）を示しておけば、「見てしまった」を減らせます。
続く運用にするために
点検が止まる理由はほぼ決まっています。担当者の負荷が高いか、やっても何も出ないので価値を感じなくなるかのどちらかです。
続けるための工夫を挙げます。
| 工夫 | 内容 |
|---|---|
| 条件を絞る | 最初から多くの条件で回そうとしない。2〜3条件で始める |
| 抽出を自動化する | 手作業の抽出を減らす。定期出力をベンダーに設定してもらう |
| 手順書を作る | 担当者が替わっても同じ手順で回せるようにする |
| 実施記録を残す | 実施日、対象期間、抽出件数、確認結果を記録する。何も出なかったことも記録する |
| 報告先を決める | 月次または四半期で医療情報安全管理責任者・管理部門へ報告する |
| 年1回見直す | 抽出条件が有効に機能しているかを点検し、条件を調整する |
「何も出なかった」を記録に残すことは特に重要です。実施した事実が残らないと、点検していること自体を説明できません。そして、記録がなければ「やらなくても誰も気づかない」状態になり、静かに止まります。
2026年度改定で新設された電子的診療情報連携体制整備加算は、共通要件としてガイドラインへの準拠と専任の医療情報システム安全管理責任者の配置を求めています。ログ点検は、この責任者の職務として明確に位置づけやすい業務です。役割設計の際には、点検の実施と報告を職務に含めることを検討してください。改定の全体像は 2026年度診療報酬改定 を、ガイドラインの基礎は 3省2ガイドラインとは をご覧ください。
また、AI機能を備えた電子カルテや音声入力を導入している場合、どの処理でどこまでのデータが参照されるかという別の論点が加わります。責任範囲の考え方は AI電子カルテのセキュリティ設計と責任共有モデル、音声入力については AI音声カルテのセキュリティ にまとめています。
まとめ
- 電子カルテのアクセスログ点検が扱うのは、主に内部の不適切な閲覧。外部攻撃とは検知の方法が異なる
- 点検の前提として、参照（閲覧）の記録が取得され、十分な期間保存されていることをベンダーに確認する
- 全件は見られない。機械的な条件で抽出し、業務を知る人が判断する二段構えで設計する
- 抽出結果は「不正」ではない。確認の対象を選ぶ手続きであることを、運用する全員が理解しておく
- 効果の大部分は周知から生まれる。脅すのではなく、理由とともに伝える
- 続けるには、条件を絞る・自動化する・手順書を作る・何も出なかったことも記録する。実施記録がないと静かに止まる
ログ点検は、電子カルテの機能と院内の体制の両方に依存するため、設計には自院の状況を踏まえた整理が必要です。どこから着手するかの相談は お問い合わせ から承ります。
電子カルテやクラウドサービスを提供する事業者側でも、ログの取得・保全・提供は医療機関から問われる項目です。事業者としての管理体制の作り方は ISMS（ISO/IEC 27001）とは をご覧ください。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文）｜厚生労働省
- 個人情報保護委員会
- 情報処理推進機構（IPA）
- 令和8年度診療報酬改定について｜厚生労働省
※職員への対応は、就業規則および労務管理上の手続きに従ってください。個人データの取扱いに関する義務は、個人情報保護法および個人情報保護委員会のガイドラインをご確認ください。