経営層が方針を決め、責任者を選任した。次に困るのは、実際に手を動かす立場の人です。「リスクアセスメントをやれと言われたが、何から書けばいいのか」「規程は何本作ればいいのか」「文書はどこまで作れば足りるのか」——ここで止まる医療機関が非常に多い。
「医療情報システムの安全管理に関するガイドライン 第6.0版」の企画管理編は、この層に向けて書かれた編です。想定読者はシステムの管理者。医療情報部門、情報システム担当、あるいは小規模施設なら事務長が兼ねている立場の人です。
企画管理編を一言でいえば、「決めごとを作り、守らせ、記録を残す」仕組みの設計図です。技術そのものより、運用の枠組みを扱います。個々の機器やアカウントをどう扱うかは システム運用編の要点 の領域で、企画管理編はその手前にある「何をどう決めるか」を扱う、と整理すると分かりやすくなります。
本記事では、企画管理編の中身を実務の順序に並べ直し、最小限どこまで作れば「説明できる状態」になるかを示します。4編の関係と全体像は 医療情報システムの安全管理ガイドライン第6.0版の要点 をご覧ください。
免責：本記事は一般的な情報提供です。ガイドラインの要求事項の解釈は、厚生労働省が公表する本文・Q&Aが正本です。実際の対応は一次資料に基づいて行ってください。
リスクアセスメントは「資産の棚卸し」から始まる
リスクアセスメントが進まない最大の理由は、いきなり「リスクを洗い出そう」とするからです。手がかりがない状態でリスクを想像しても、抽象的な不安が並ぶだけで対策につながりません。
順序は逆で、まず守るべきものを一覧にするところから始めます。
| 段階 | やること | 成果物 |
|---|---|---|
| ① 資産の棚卸し | 医療情報を扱うシステム・機器・媒体・回線を一覧化する | 情報資産台帳 |
| ② 重要度の評価 | 各資産について、止まったら／漏れたら／改ざんされたらどうなるかを評価 | 台帳に重要度欄を追加 |
| ③ 脅威と脆弱性の特定 | 各資産に対して、何が起こり得て、どこが弱いかを書く | リスク一覧 |
| ④ リスクの評価 | 起こりやすさ×影響の大きさで優先順位をつける | リスク評価表 |
| ⑤ 対応方針の決定 | 低減する／移転する／回避する／受容する を決める | リスク対応計画 |
①の情報資産台帳が土台です。 ここが空欄だと、以降のすべてが空中戦になります。逆に、台帳さえ埋まれば③以降は機械的に進みます。
台帳に載せるべきものは、電子カルテサーバとクライアントPCだけではありません。見落とされやすいのは次のような資産です。
- オンライン資格確認端末、レセコン、PACS、検査機器につながる端末
- ネットワーク接続された医療機器（生体情報モニタ、輸液ポンプ、内視鏡システムなど）
- VPN機器、ルータ、無線アクセスポイント（公表されている被害事例では、この層の既知脆弱性が侵入口になった構造が繰り返し現れます）
- バックアップ媒体、可搬媒体（USBメモリ・外付けHDD）
- 職員の個人所有端末（BYODを黙認している場合は、していると認めたうえで台帳に載せる）
- クラウドサービスのアカウント（誰が管理者権限を持っているか）
台帳は一度作れば終わりではなく、機器の追加・更新・廃棄のたびに更新する運用が必要です。更新されない台帳は、数年で実態と乖離して使い物にならなくなります。更新の引き金を「機器を買ったとき」ではなく「検収時と廃棄時に必ず台帳を触る」という業務手順に埋め込むのが定着のコツです。
⑤で「受容する」と決めたリスクは、必ず経営層の判断として記録に残します。担当者が予算不足で見送ったものは受容ではありません。この点は 経営管理編の要点｜経営層が負う責任 で扱っています。
規程は何本作るのか
「規程を整備せよ」と言われたときの最大の疑問が、何本作るのかです。結論から言えば、本数に決まりはありません。求められているのは冊数ではなく、次の問いに答えられる状態です。
- 誰が何をしてよく、何をしてはいけないのか
- 判断に迷ったとき、誰に聞けばよいのか
- 何が起きたとき、誰にどう報告するのか
- その記録はどこに残るのか
この4つに答えられるなら、1本の文書でも足ります。答えられないなら、10本あっても足りません。
実務的には、次の3層構成にすると管理しやすくなります。
| 層 | 文書 | 中身 | 改定頻度 |
|---|---|---|---|
| 第1層 | 基本方針 | 医療情報の安全管理に関する院の基本姿勢。経営層が決裁し、対外的にも示せるもの | ほぼ改定しない |
| 第2層 | 管理規程 | 体制と役割、リスク管理、委託先管理、教育、インシデント対応、監査。「何を決めているか」 | 年1回見直し |
| 第3層 | 手順書・運用マニュアル | アカウント発行手順、バックアップ手順、持ち出し申請書式など。「どうやるか」 | 随時 |
分け方の要点は、変更頻度で層を分けることです。手順が変わるたびに経営決裁の文書を改定する構造にすると、実態と文書がすぐ乖離します。第3層は現場の判断で改定できるようにしておくのが現実的です。
小規模施設では、第2層を1本の「医療情報システム安全管理規程」にまとめ、第3層を数本の手順書にする形がよく機能します。逆に、大規模病院で部門ごとに運用が違う場合は、第3層を部門別に分ける必要があります。規模と運用の分かれ方に合わせて層の厚みを決めると考えてください。
なお、ISMS（ISO/IEC 27001）を取得している事業者の文書体系とこの3層は、構造がほぼ同じです。ベンダーと文書の話をする際に共通言語になります。事業者側の枠組みは ISMS（ISO/IEC 27001）とは にまとめています。
委託先管理は契約と確認の二段構え
医療機関の情報システムは、ほぼ確実に外部に依存しています。電子カルテベンダー、保守業者、クラウド事業者、回線事業者、場合によっては医事業務の委託先。企画管理編が求める委託先管理は、契約で決め、運用で確認するという二段構えです。
契約で決めておくこと
| 項目 | 具体的に何を書くか |
|---|---|
| 責任分界 | どこまでが事業者、どこからが医療機関か。バックアップ、パッチ適用、監視、ログ保管のそれぞれについて |
| 再委託 | 再委託の可否、事前承諾の要否、再委託先の管理義務 |
| インシデント時 | 事業者側で事故が起きたときの連絡先・連絡期限・報告内容 |
| 監査・報告 | 医療機関が確認できる手段（定期報告、監査の受入れ、第三者認証の提示） |
| 契約終了時 | データの返却・消去の方法と証明 |
| 準拠の表明 | 経産省・総務省ガイドラインへの準拠 |
運用で確認すること
契約書に書いただけでは管理になりません。年1回程度、次を確認する運用にします。
- 責任分界の前提が変わっていないか（サービス仕様の変更、クラウド構成の変更）
- 事業者側でインシデントがなかったか
- 第三者認証（ISMS等）が有効期限内か、適用範囲に自院が使うサービスが含まれているか
- 連絡先の担当者が変わっていないか
3は意外と落とし穴があります。認証の適用範囲に、実際に使っているサービスが含まれていないことがあるためです。認証書の写しをもらうときは、範囲の記載まで確認してください。
事業者に何を聞くか、どのようなチェックシートを使うかは ベンダーへのセキュリティチェックシート、責任分界の決め方は 責任分界点の決め方、クラウド利用時の追加論点は 医療機関のクラウドセキュリティ をご覧ください。
2026年度診療報酬改定では、電子的診療情報連携体制整備加算の要件としてガイドライン準拠と専任の安全管理責任者配置が入りました。委託先管理も、加算の届出時に「体制として整っているか」を説明する対象になります。改定の全体像は 2026年度診療報酬改定 全科共通事項 をご覧ください。
職員教育は「受講率」で設計する
教育は、企画管理編のなかで最も形骸化しやすい領域です。「年1回、全職員に研修を実施した」と書いてあるのに、実際には誰が受けていないかを把握していないという状態がよくあります。
教育の設計で決めるべきは、内容より先に運用の型です。
| 決めること | 現実的な選び方 |
|---|---|
| 対象 | 常勤・非常勤・派遣・委託先常駐者まで含めるか（含めるのが原則） |
| 方法 | 集合研修だけだとシフト勤務者が漏れる。資料配布＋確認テストの併用が現実的 |
| 記録 | 誰がいつ受講したかを個人単位で残す。未受講者を特定できることが要件と考える |
| 未受講者への対応 | 誰が督促するか、いつまでに完了させるか |
| 内容の更新 | 直近のインシデント傾向、院内で実際に起きたヒヤリハットを入れる |
実施頻度については、二次情報では「年2回以上」といった数値が流通していますが、一次資料で確認できていません（要一次確認）。自院の運用を決める際は、最新の通知およびQ&Aをご確認ください。
内容面で押さえたいのは、職員が実際に判断を迫られる場面を扱うことです。規程の読み合わせよりも、次のような具体例のほうが行動につながります。
- 添付ファイル付きのメールが業者名で届いたが、いつもと差出人アドレスが違う
- 患者から「家族の検査結果を見せてほしい」と言われた
- 自分のIDで同僚が代わりに入力してほしいと頼まれた
- 学会発表用にデータをUSBメモリに入れて持ち出したい
- 院外から電子カルテを見たいと医師に言われた
これらは技術ではなく運用の問題で、規程に書いてあるかどうかより、判断に迷ったとき誰に聞けばよいかを全員が知っているかが効きます。標的型攻撃メール訓練のような実践的な訓練と組み合わせると、受講の実感が残ります。
文書化はどこまでやるか
企画管理編で最も判断に迷うのが、文書化の範囲です。過剰に作れば維持できず、不足すれば説明できません。
判断の基準はひとつです。「第三者に、自院が何を決め、どう運用しているかを説明できるか」。届出や監査の場面でも、事故後の説明の場面でも、問われるのはこれです。
最小限、次の7点が揃っていれば説明可能な状態になります。
| # | 文書・記録 | なぜ必要か |
|---|---|---|
| 1 | 情報資産台帳 | 何を守っているかの起点。これがないと他が説明できない |
| 2 | リスク評価表と対応計画 | 何を危険と判断し、どう対応すると決めたか |
| 3 | 未対応リスクの一覧と受容の記録 | 対応しなかったことが判断の結果であると示す |
| 4 | 安全管理規程 | 誰が何をしてよいかのルール |
| 5 | 体制図と責任者の任命記録 | 誰が責任者かを示す。加算の要件にも直結 |
| 6 | 教育の実施記録（個人単位） | 周知したことの証拠 |
| 7 | 委託先一覧と契約・確認の記録 | 委託先の管理をしていることの証拠 |
逆にいえば、この7点より先に手順書を量産しても、説明可能性は上がりません。着手の順序としては、1→5→4→2→3→7→6が現実的です（資産を把握し、責任者を決め、ルールを書き、リスクを評価し、受容を記録し、委託先を整理し、教育を回す）。
小規模施設でこれをどこまで圧縮できるかは 小規模クリニックのガイドライン対応、実際の運用側の中身は システム運用編の要点、責任者の選任は 医療情報安全管理責任者の役割と選任 をご覧ください。対応全体の流れは 3省2ガイドライン対応の実務ステップ、ガイドラインの位置づけは 3省2ガイドラインをわかりやすく解説 にあります。
なお、厚生労働省が2025年5月14日に公表した「医療機関等におけるサイバーセキュリティ対策チェックリスト」および同マニュアルは、現状把握の道具として有効です。クラウド環境・BCP・IoT・BYODへの言及が加わっており、台帳作成の抜け漏れチェックにも使えます。
まとめ
- リスクアセスメントは情報資産台帳から。リスクを想像するのではなく、守るものを一覧にするところから始める
- 台帳の抜けやすい対象は、ネットワーク接続医療機器、VPN機器・無線AP、可搬媒体、クラウドの管理者アカウント
- 規程の本数に決まりはない。基本方針／管理規程／手順書の3層を変更頻度で分けると維持しやすい
- 委託先管理は契約で決め、運用で確認する二段構え。第三者認証は適用範囲まで確認する
- 教育は内容より先に運用の型を決める。未受講者を特定できることを要件と考える
- 文書化の基準は「第三者に説明できるか」。最小7点（台帳・リスク評価・受容記録・規程・体制図と任命・教育記録・委託先記録）が揃えば説明可能な状態になる
台帳作成やリスク評価は、型さえ決まれば院内で回せる作業です。その型づくりや、加算の届出を見据えた文書の優先順位について相談されたい場合は、お問い合わせ からご連絡ください。委託先の事業者側で体制の証明が必要なケースは ISMS認証取得支援 でも対応しています。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 情報処理推進機構（IPA）
- 個人情報保護委員会
※ガイドラインは改定され、Q&Aにより解釈が明確化されます。本記事は執筆時点の公表資料に基づくものです。