在宅医療・訪問診療の広がりとともに、診療情報を載せた端末が院外に出る場面が確実に増えています。訪問先でタブレットからカルテを参照する、移動中にノートPCで記録を入力する、オンコール対応のために自宅から接続する。これらは業務上の必然であり、止めるという選択肢はありません。
一方で、端末管理は医療機関のセキュリティのなかで最も統制が届きにくい領域でもあります。院内のサーバやネットワーク機器と違い、端末は物理的に手を離れます。置き忘れる、盗まれる、私物と混ざる、使われなくなったまま職員の手元に残る。「どの端末が、今どこにあり、何が入っているか」を把握できている医療機関は多くありません。
本記事では、持ち出し端末と私物端末をどう扱うか、紛失時に何ができるようにしておくべきか、そして資産台帳との接続をどう設計するかを整理します。
免責：本記事は一般的な情報提供です。ガイドラインの解釈、個人情報の取扱いに関する法令の適用、診療報酬の算定要件は、関係省庁の公表資料および地方厚生局の通知が正本です。実際の対応判断はそれらに基づいて行ってください。
端末が院外に出るときに何が変わるか
院内の端末と持ち出し端末では、リスクの性質が変わります。
| 論点 | 院内端末 | 持ち出し端末 |
|---|---|---|
| 物理的な管理 | 施錠・入退室管理で守られる | 守れない。紛失・盗難が現実的な脅威 |
| ネットワーク | 管理されたネットワークのみ | 自宅、公衆Wi-Fi、モバイル回線 |
| 利用者 | 職員に限定される | 家族が触れる可能性がある |
| 更新の適用 | 院内で一括管理できる | 接続されないと更新が届かない |
| 状態の把握 | 常時把握できる | 手元にないと分からない |
| 廃棄 | 院内の手順に乗る | 返却されないまま所在不明になりうる |
最も重要なのは1行目です。 院内のセキュリティは、物理的な統制（建物に入れる人が限られている）を暗黙の前提にしています。端末が外に出た瞬間にその前提が消えるため、物理的な管理に依存しない対策——暗号化、認証、遠隔での制御——に置き換える必要があります。
もうひとつ見落とされやすいのが4行目です。持ち出し端末が長期間ネットワークに接続されないと、OSやソフトウェアの更新が適用されません。**「持ち出し端末だけ数か月前の状態のまま」**という事態は容易に起こります。
在宅医療の現場での端末選定や運用については、在宅医療のタブレット・モバイル電子カルテ で、業務の観点から詳しく扱っています。本記事はその安全管理の側面を補完するものです。
持ち出し端末に必要な措置
対策は「何を守るか」から逆算します。持ち出し端末で守るべきは、端末に保存されている情報と、端末を経由して到達できる院内システムの2つです。
| 措置 | 目的 | 優先度 |
|---|---|---|
| ディスク全体の暗号化 | 端末が手元を離れても中身を読めなくする | 最高 |
| 端末ログインの認証強化 | 拾われても操作できなくする | 最高 |
| 端末側にデータを残さない設計 | 紛失時の影響そのものを小さくする | 高 |
| 遠隔でのロック・消去 | 紛失時に無効化できるようにする | 高 |
| 自動ロック（短時間） | 置き忘れ時の露出時間を減らす | 高 |
| 更新の適用状況の把握 | 古いまま使われ続けることを防ぐ | 高 |
| マルウェア対策 | 一般的な脅威への備え | 中 |
| 外部媒体の利用制限 | 端末経由の持ち出しを制限 | 中 |
| 画面の覗き見対策 | 訪問先・公共交通での露出 | 中 |
**3行目の「端末側にデータを残さない設計」**が、実は最も効果の高い方針です。端末をビューアとして使い、実データは院内またはクラウド側に置く構成にできれば、端末を紛失しても保存された診療情報は存在しません。暗号化や遠隔消去は「万一のときの備え」ですが、そもそもデータがなければ備え自体が不要になります。
ただし、訪問先で通信が不安定な環境もあるため、完全にオンライン前提にできない場合があります。その場合は、オフラインで保持する範囲を最小限に限定し（当日の訪問予定分のみ等）、同期後に自動削除するといった設計が現実的です。
遠隔でのロック・消去については、期待しすぎないことも重要です。端末の電源が入っていない、通信圏外にある、初期化されているといった状況では機能しません。「遠隔消去があるから大丈夫」ではなく、暗号化を第一の防御線とし、遠隔消去は補助的な手段と位置づけるのが妥当です。
認証の強化については 多要素認証の導入 を、端末から院内へ接続する経路の管理については VPN機器の脆弱性対策 をご覧ください。
私物端末（BYOD）をどう扱うか
私物端末の業務利用は、医療機関では**「認めていないが実際には起きている」**という状態になりがちです。オンコール時の連絡、シフト表の確認、業務用チャットの利用。個人のスマートフォンで行われていることは少なくありません。
厚生労働省が2025年5月14日に公表した「医療機関等におけるサイバーセキュリティ対策チェックリスト」および同マニュアルでは、従来より具体的・実践的な内容としてクラウド環境・BCP・IoT・BYODへの言及が加わりました。BYODが論点として明示されている以上、「認めていない」で済ませるのではなく、方針を決めて文書化することが求められる方向にあります。チェックリストの使い方は 厚労省のチェックリストをどう使うか で扱います。
取り得る方針は3つです。
| 方針 | 内容 | 必要な措置 |
|---|---|---|
| 全面禁止 | 私物端末での業務利用を認めない | 業務用端末の配備が前提。禁止の実効性を確保する仕組みが必要 |
| 限定許可 | 用途を限定して認める（連絡のみ、閲覧のみ等） | 許可する用途・アプリ・データ範囲の明文化。管理方法の合意 |
| 管理下での許可 | 業務領域を分離する仕組みを導入して認める | 導入・運用コスト。私物への介入範囲の整理 |
最も避けるべきは「禁止だが黙認」の状態です。 規程上は禁止されているため管理も教育も行われず、実態としては診療情報が私物端末に存在する。紛失しても報告されにくい。この状態は、限定許可して管理するよりリスクが高くなります。
限定許可を採る場合、明文化すべきは次の点です。
- 許可する用途（連絡手段のみか、記録の参照も含むか）
- 許可するアプリケーション
- 端末に保存してよい情報の範囲（原則として診療情報は保存しない）
- 求める設定（画面ロック、OS更新、紛失時の報告）
- 紛失時の報告先と手順
- 退職時の措置（業務アプリの削除、アカウントの無効化）
- 医療機関側が私物端末に対して行える／行わない操作の範囲
最後の項目は、職員の理解を得るうえで重要です。私物端末の何をどこまで管理するのか（あるいはしないのか）を明示することで、協力を得やすくなります。
紛失したときに何ができるか
端末管理の設計は、「紛失した」という連絡が入った瞬間に何ができるかから逆算すると具体的になります。
紛失時に必要になる情報
| 情報 | なぜ必要か | 平常時の準備 |
|---|---|---|
| どの端末か（識別情報） | 遠隔操作の対象特定 | 資産台帳に管理番号・シリアルを記録 |
| 誰が使っていたか | 事実確認の窓口 | 貸出記録 |
| 何が保存されていたか | 漏えい範囲の判断 | 保存を許可する範囲の事前定義 |
| 暗号化されていたか | 影響度の判断 | 全端末の暗号化状態の把握 |
| どのアカウントが紐づくか | 無効化の対象特定 | 端末とアカウントの対応表 |
| 最後の通信はいつか | 遠隔操作の可否判断 | 管理ツールでの状態確認 |
「何が保存されていたか」に答えられるかどうかが、事後対応の質を決めます。答えられなければ、最悪を想定した対応——患者への説明、個人情報保護委員会への報告の検討——を行わざるを得ません。逆に、「この端末には診療情報を保存しない設計であり、暗号化されており、遠隔でロックした」と説明できれば、対応の幅が大きく変わります。
漏えい時の報告義務の考え方は 個人情報漏えい時の報告義務、インシデント対応全体の設計は 医療機関のインシデント対応計画 をご覧ください。
紛失時の手順として、あらかじめ決めておくこと
- 誰に連絡するか（夜間・休日を含む。訪問診療は時間外に発生しやすい）
- 連絡を受けた人が最初に行う操作（遠隔ロック、アカウント無効化）
- 事実確認の担当と確認項目
- 影響範囲の判断基準（保存データの有無、暗号化の有無）
- 報告の要否を判断する人と基準
- 警察への届出の要否
- 記録として残す内容
1番目が実務上のボトルネックになりがちです。 訪問診療中の紛失は日中でも夜間でも起こり得ますが、「情報システム担当に連絡」だけでは担当者不在の時間帯に止まります。時間帯ごとの連絡先を1枚にまとめて、持ち出し端末の利用者全員に配布してください。
資産台帳との接続
端末管理が形骸化する最大の理由は、台帳が実態と合わなくなることです。院内の据置端末と違い、持ち出し端末は貸出・返却・交代があるため、更新されなければすぐに実態から乖離します。
端末台帳に必要な項目
| 項目 | 用途 |
|---|---|
| 管理番号・機種・シリアル | 個体の特定 |
| 利用者／利用部署 | 責任の所在 |
| 持ち出しの可否 | 統制の区分 |
| 暗号化の有無 | 紛失時の影響判断 |
| OS・更新の適用状況 | 脆弱性対応 |
| 導入ソフトウェア | 影響範囲の判断 |
| 保存を許可している情報の範囲 | 紛失時に最初に問われる項目 |
| 遠隔管理の対象か | 対処可能性 |
| 取得日・更新予定 | 更改計画 |
| 返却・廃棄の記録 | 所在不明を防ぐ |
最後の行を軽視しないでください。 退職者が返却しなかった端末、故障して交換したが旧機が回収されていない端末、部署に置かれたまま誰も使っていない端末。所在が分からない端末は、紛失しても紛失したと気づけません。 年1回の実物照合（現物を確認して台帳と突き合わせる）を行うだけで、この種の抜けは相当に減ります。
端末台帳は、ネットワーク全体の資産管理と一体で維持するのが効率的です。ネットワーク分離と資産管理 で扱った資産台帳に、持ち出し関連の項目を足す形が現実的でしょう。廃棄時のデータ消去については USBメモリ・可搬媒体の管理 も関連します。
制度との接続：2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算は、共通要件として「医療情報システムの安全管理に関するガイドラインへの準拠」と「専任の医療情報システム安全管理責任者の配置」を求め、加算1（160点）ではさらに複数方式によるバックアップ（一部はオフライン保管）とサイバー攻撃等に対するBCP策定・訓練を要件としています。端末管理は、ガイドライン準拠を説明するうえで避けて通れない領域です。改定の全体像は 2026年度診療報酬改定の全体像、ガイドラインの基礎は 3省2ガイドラインをわかりやすく解説、事業者側に求められる管理体制の枠組みは ISMS（ISO/IEC 27001）の全体像 をご覧ください。
まとめ
- 端末が院外に出ると、物理的な統制という暗黙の前提が消える。 暗号化・認証・遠隔制御で置き換える必要がある
- 最も効果が高いのは端末側にデータを残さない設計。ビューアとして使い、実データは院内・クラウド側に置く
- 暗号化が第一の防御線。 遠隔消去は電源オフ・圏外では機能しないため、補助的な位置づけとする
- 持ち出し端末は更新が届かなくなりやすい。 適用状況を把握する仕組みを持つ
- 私物端末は**「禁止だが黙認」が最悪。** 全面禁止・限定許可・管理下での許可のいずれかを選び、文書化する
- 設計は紛失の連絡が入った瞬間から逆算する。 とくに「何が保存されていたか」に答えられるかが事後対応の質を決める
- 台帳には保存を許可している情報の範囲と返却・廃棄の記録を持たせ、年1回の実物照合を行う
持ち出し端末の運用ルールの整備や、在宅医療での端末選定と安全管理の両立でお困りの場合は、お問い合わせ からご相談ください。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版｜厚生労働省
- 個人情報保護委員会
- 令和8年度診療報酬改定について｜厚生労働省
- 情報処理推進機構（IPA）
※ガイドラインの解釈、個人情報の取扱いに関する要件、算定要件は、関係省庁の公表資料・通知が正本です。改定により変わり得ますので、最新の一次情報をご確認ください。