規程が整備され、責任者も決まった。それでも事故は起きます。公表されている医療機関の被害事例に共通して現れるのは、規程がなかったことではなく、規程どおりに運用できていなかったことです。バックアップは取っていたが同一ネットワーク上にあり同時に暗号化された。VPN機器の脆弱性は認識されていたが更新が後回しになっていた。復旧手順が文書化されておらず、紙運用への切替に時間がかかった。
「医療情報システムの安全管理に関するガイドライン 第6.0版」のシステム運用編は、この「日々どう回すか」を扱う編です。想定読者は、システムを実際に扱う運用者。院内の情報システム担当、医療情報部門の実務者、そして委託先の常駐担当者も含みます。
本記事では、システム運用編が扱う論点をアクセス管理・ログ・バックアップ・機器管理・インシデント対応の5つに整理し、それぞれ「最低限どこまで回せば運用していると言えるか」を示します。ルールを決める側の話は 企画管理編の要点、4編の関係は 医療情報システムの安全管理ガイドライン第6.0版の要点 をご覧ください。
免責：本記事は一般的な情報提供です。ガイドラインの要求事項の解釈および診療報酬の算定要件は、厚生労働省が公表する本文・通知・Q&A・疑義解釈が正本です。実際の運用・届出は一次資料に基づいて判断してください。
アクセス管理は「棚卸し」が本体
アクセス管理というと権限設計の話に聞こえますが、運用で効くのは棚卸しです。初期設計がどれだけ精緻でも、数年運用すれば権限は必ず膨らみます。異動のたびに権限を足し、退職時に消し忘れる。これが積み重なった状態が、内部からの情報流出と、侵入後の被害拡大の両方を招きます。
日々の運用で回すべきことは次の4つです。
| 運用項目 | 頻度の目安 | 具体的に何をするか |
|---|---|---|
| アカウントの発行・変更・削除 | 都度 | 申請と承認を記録に残す。口頭依頼で作らない |
| 退職・異動時の停止 | 都度（当日） | 人事の手続きと連動させる。情報システム側が後から知る構造にしない |
| 権限の棚卸し | 年1回以上 | 全アカウントを一覧化し、現在の職務に照らして要否を確認。部門長に確認させる |
| 特権IDの管理 | 常時＋棚卸し時 | 管理者権限を誰が持っているかを把握。共用しない、使用時に記録を残す |
とくに2つ目の退職・異動時の停止が構造的に弱い医療機関が多くあります。人事の手続きと情報システムの手続きが別々に走っていると、退職の事実が情報システム担当に伝わるのが数日後、ということが起きます。人事異動の決裁ルートにアカウント停止を組み込むのが最も確実です。
特権IDについては、ベンダーの保守用アカウントも対象です。「保守業者が使っている管理者アカウントを、誰が、いつ、何のために使ったか」を医療機関側が把握できていないケースは珍しくありません。リモート保守を許可している場合は、接続元・接続時間・作業内容の記録を求めてください。権限設計の考え方は 責任分界点の決め方 や MCPの権限設計 の考え方も参考になります。
ログは「取る」より「見る」
ログ管理でよくある状態が、取得はしているが誰も見ていないというものです。この状態では、侵入されても気づけませんし、事故後に何が起きたかを再構成することもできません。
システム運用編の観点でログに関して決めるべきは、次の4点です。
| 決めること | 考え方 |
|---|---|
| 何を取るか | 電子カルテのアクセスログ（誰がどの患者の記録を見たか）、認証ログ（成功・失敗）、管理者操作、ネットワーク機器のログ、バックアップの実行結果 |
| どれだけ残すか | 保存期間を定め、容量を確保する。上書きで消える設定になっていないかを確認 |
| 誰がいつ見るか | 定期点検の担当と頻度を決める。全件を見る必要はなく、異常の兆候を決めて拾う |
| 改ざん防止 | ログを管理者が自由に消せる構造にしない。可能なら別系統に保管 |
3つ目が肝心です。「全ログを毎日確認する」という運用は現実に続きません。見る対象を絞るほうが定着します。例えば次のような観点です。
- 認証失敗が短時間に多発しているアカウント
- 深夜・休日の管理者権限の使用
- 通常の担当範囲を超えた患者記録の閲覧（有名人・職員本人・近親者の記録は特に）
- リモート保守の接続記録と、事前連絡の有無の突き合わせ
電子カルテのアクセスログをどう点検するかは 電子カルテのアクセスログ点検、ログ全般の設計は ログ管理と監査証跡 で扱います。
バックアップは加算要件になった
2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算では、入院に係る区分のうち**加算1（160点）**の上乗せ要件として、**医療情報システムの複数方式によるバックアップ確保（一部はオフライン保管）**と、サイバー攻撃等を想定したBCPの策定・訓練が置かれました。加算2（80点）は共通要件（ガイドライン準拠と専任の医療情報システム安全管理責任者の配置）のみです。改定の全体像は 2026年度診療報酬改定 全科共通事項 をご覧ください。
「複数方式」「一部オフライン」が具体的に何を指すかは、疑義解釈で例が示されています。次のいずれも要件を満たすとされています。
| 方式 | 内容 | 実装上のポイント |
|---|---|---|
| 外部媒体方式 | RDX等の別媒体に保管し、世代管理も実施 | 媒体の保管場所と搬送手順を決める。媒体自体の劣化・紛失対策も必要 |
| 自動転送方式 | NAS等へ自動転送し、常時ネットワークから切り離された状態で保持 | 「自動転送」と「常時切離し」を両立させる構成設計が要 |
| クラウド内方式 | クラウドサービス内の論理的に切り離された領域へバックアップし、速やかな復旧が可能 | 事業者の仕様確認が必須。どこまでが事業者の責任かを文書化する |
世代管理については、日次でバックアップする場合は少なくとも3世代の確保が示されています。週次・月次については、病院規模やバックアップ方式によって異なるため一概には示されていません。
運用として押さえるべきは、**「取っている」ではなく「戻せることを確認した」**という点です。ランサムウェア被害の公表事例に共通して現れる構造のひとつが、バックアップが同一ネットワーク上にあり、本番と同時に暗号化されたというものです。オフライン保管が要件に入っている理由はここにあります。
日常運用としては次を回します。
- バックアップジョブの成功・失敗を毎日確認する（失敗通知が誰にも届かない設定になっていないか）
- 復旧試験を定期的に実施し、実際に戻せることと所要時間を記録する
- オフライン媒体の保管場所と持出記録を管理する
- バックアップ対象に漏れがないかを、情報資産台帳と突き合わせて確認する
4は見落とされやすい点です。電子カルテのデータは取っているが、部門システムや画像、オンライン資格確認関連のデータが対象外だった、ということが起こります。設計の考え方は 医療機関のバックアップ設計｜3-2-1ルール、サイバー攻撃を想定した事業継続の組み立ては サイバー攻撃を想定したBCP をご覧ください。
機器と媒体の管理
システム運用編は、サーバやPCだけでなく、ネットワークにつながるすべてを管理対象として扱います。運用の現場で問題になりやすい順に整理します。
1. ネットワーク機器（VPN機器・ルータ・無線AP）
公表されている被害事例に繰り返し現れるのが、この層の既知脆弱性が侵入口になる構造です。医療機関側で意識されにくいのは、これらが「導入したら触らない機器」として扱われがちなためです。最低限、次を管理します。
- 機種・ファームウェアのバージョンを台帳で把握している
- ベンダーからの脆弱性情報を受け取る経路がある
- 更新の判断を誰がするか決まっている（「業者がやってくれているはず」を排除する）
- 保守契約が切れていないか（サポート終了機器が残っていないか）
2. ネットワーク接続医療機器
生体情報モニタ、輸液ポンプ、内視鏡・画像システムなど。汎用OSを搭載していても、医療機器としての認証の関係で自由に更新できない場合があります。更新できないなら、ネットワーク側で守る（分離する、通信を絞る）という判断が必要です。
3. 端末（据置PC・ノートPC・タブレット）
持ち出しの可否、暗号化の有無、紛失時の手順を決めます。訪問診療や在宅で端末を持ち出す運用がある場合は、紛失を前提にした設計（ディスク暗号化、リモートワイプ、端末にデータを残さない構成）にします。
4. 可搬媒体（USBメモリ・外付けHDD・CD/DVD）
学会発表、他院への画像提供、業者とのデータ受け渡しなど、業務上どうしても発生します。禁止だけを掲げると、記録に残らない形で運用されるだけです。申請・承認・記録の手順を用意し、使うなら使うと決めるほうが管理できます。
5. 廃棄
見落とされやすいのが廃棄です。PCやサーバ、複合機のストレージ、バックアップ媒体には医療情報が残ります。廃棄方法と、廃棄した証明（証明書の取得）まで手順に含めてください。 情報資産台帳の更新も廃棄時に行います。
個別の論点は 端末管理｜持ち出しPC・タブレット、USBメモリ・可搬媒体の管理、ネットワーク接続医療機器のセキュリティ、VPN機器の脆弱性対策 で扱います。
インシデント時に動けるか
インシデント対応で決定的なのは、最初の1時間に誰が何をするかが決まっているかどうかです。技術的な解析は後からでも外部の力を借りられますが、初動の判断は院内でしかできません。
運用者の立場で最低限用意しておくべきものを挙げます。
| 準備しておくもの | 具体的に |
|---|---|
| 連絡網（紙で） | 責任者、ベンダー、保守業者、回線事業者、必要に応じて外部専門機関。ネットワークが使えない前提で紙に出して保管 |
| 初動の判断基準 | どういう事象が起きたら、誰の判断で、どこまでネットワークを遮断するか |
| 診療継続の手順 | 電子カルテが使えないときの紙運用。書式、保管場所、後からの入力方法 |
| 記録の様式 | 誰が何時に何をしたかを時系列で残す。後の報告と原因究明に必須 |
| 報告先の整理 | 個人データの漏えい等が疑われる場合の報告義務。管轄部署と期限 |
紙で持っておくという点を強調しておきます。ネットワークが使えない状況で、連絡先が電子カルテの中にしかない、という事態が実際に起きます。
診療継続の手順は、実際に一度やってみるまで穴が見つかりません。加算1の要件に「BCPの策定と訓練の実施」が入っているのは、計画書だけでは機能しないことが前提になっているためです。訓練といっても大規模なものである必要はなく、「電子カルテが使えない想定で、午前中の外来を紙で回してみる」程度でも、書式の不足や導線の問題が必ず見つかります。
個人情報の漏えいが疑われる場合の報告義務については 個人情報漏えい時の報告義務、初動全体の流れは ランサムウェア被害時の初動、対応計画の作り方は 医療機関のインシデント対応計画 をご覧ください。
なお、厚生労働省が2025年5月14日に公表した「医療機関等におけるサイバーセキュリティ対策チェックリスト」および同マニュアルには、クラウド環境・BCP・IoT・BYODへの言及が加わっています。運用側の抜け漏れ確認に使えます。
まとめ
- アクセス管理の本体は棚卸し。退職・異動時の停止を人事の決裁ルートに組み込む。ベンダーの保守用特権IDも管理対象
- ログは取るだけでは意味がない。見る対象を絞り、誰がいつ見るかを決める。上書きで消える設定になっていないか確認する
- バックアップは複数方式＋一部オフラインが加算1の要件。外部媒体／自動転送（常時切離し）／クラウド内の論理分離のいずれも例として示されている
- 日次バックアップの場合、少なくとも3世代の世代管理。週次・月次は規模と方式により一概に示されていない
- **「取っている」ではなく「戻せることを確認した」**へ。復旧試験と所要時間の記録、対象漏れの突き合わせを回す
- VPN機器・無線AP・ネットワーク接続医療機器は「導入したら触らない」になりやすい。更新の判断者を決める
- インシデント対応は最初の1時間が勝負。連絡網は紙で持ち、紙運用の手順は一度実際にやってみる
運用を回す型づくりや、加算の届出に向けたバックアップ・BCPの整理についてご相談があれば、お問い合わせ からご連絡ください。ルールを決める側の話は 企画管理編の要点、経営層の責任は 経営管理編の要点、責任者の選任は 医療情報安全管理責任者の役割と選任、小規模施設での優先順位は 小規模クリニックのガイドライン対応 をご覧ください。ガイドラインの位置づけは 3省2ガイドラインをわかりやすく解説、事業者側の体制証明は ISMS（ISO/IEC 27001）とは にまとめています。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 情報処理推進機構（IPA）
- 内閣サイバーセキュリティセンター（NISC）
※ガイドラインは改定され、診療報酬の算定要件は疑義解釈により運用が明確化されます。本記事は執筆時点の公表資料に基づくものです。届出・算定の判断は最新の通知および地方厚生局の確認に基づいて行ってください。