医療機関のセキュリティ教育は、しばしば年1回の集合研修に集約されます。事務部門が会議室を押さえ、外部講師を呼び、参加できなかった職員には資料を回覧する。実施記録は残り、監査でも説明できる。しかし、その研修のあとに職員の行動が変わったかと問われると、答えに詰まります。
問題は熱意ではなく設計にあります。医療現場は教育のためのまとまった時間を確保できない前提で動いており、そこに集合研修という形式を当てはめるとどうしても「出られる人が出る」運用になります。夜勤者、非常勤、委託職員、実習生——実際にリスクに近い人ほど、集合研修から漏れやすい構造があります。
本記事は、時間が取れないことを与件として、それでも機能する教育・訓練をどう設計するかを扱います。目標は「研修を実施した」という事実ではなく、インシデントの兆候に気づいた職員が、迷わず報告できる状態をつくることです。
免責：本記事は一般的な情報提供です。ガイドラインの要求事項および診療報酬の算定要件は、厚生労働省の公表資料が正本です。教育の実施頻度等に関する具体的な要件は、必ず一次資料でご確認ください。
教育の目的を「報告できること」に置く
セキュリティ教育の目的を「職員がセキュリティに詳しくなること」に置くと、内容が際限なく膨らみます。医療機関の職員に求められているのは専門知識ではありません。異常に気づいて、正しい相手に、早く伝えられることです。
この目的から逆算すると、全職員に共通して必要なのは次の4点に絞れます。
- 何が「おかしい」のか — 見慣れない画面、動作の異変、心当たりのないメールと添付、心当たりのないログイン通知
- どこへ、どう伝えるか — 連絡先、夜間・休日の連絡方法。まず電話か、システム経由か
- やってはいけないこと — 自分で対処しようとしない、再起動を繰り返さない、他の端末で同じファイルを開かない
- 報告して不利益を受けないこと — 誤ってクリックした人を責めない方針が明示されていること
4つ目が最も重要です。 報告が遅れる最大の理由は知識不足ではなく、責められることへの怖れです。「自分のミスかもしれない」と思った職員が黙ると、対応の開始が数時間から数日遅れます。この点は 標的型攻撃メール訓練 でも中心的な論点になります。
全職員共通と役割別に分ける
全員に同じ内容を配ると、必要な人には足りず、不要な人には長すぎるという状態になります。共通部分を最小化し、役割別に足す構成が効率的です。
| 対象 | 内容 | 分量の目安 |
|---|---|---|
| 全職員共通 | 気づき方、報告先、やってはいけないこと、報告して責められないこと | 10〜15分。これ以上長くすると届かない |
| 医師・看護職 | ID共有の禁止、離席時の画面ロック、持ち出し端末、患者情報の院外での取扱い | 15分程度 |
| 事務・医事 | 外部からのメール・添付、請求関連システムの取扱い、送付先の確認 | 15分程度 |
| 情報システム担当 | 権限管理、ログの確認、バックアップ、保守事業者の受入れ、初動手順 | 別建て。実技を含む |
| 管理職・部門長 | 停止時の判断、部門の業務継続、報告の受け方 | BCP訓練と合わせて実施 |
| 経営層 | 責任の所在、投資判断、公表の判断 | 年次の報告と合わせる |
| 非常勤・委託・実習生 | 共通部分＋アカウントと持ち出しの規則 | 着任時に必ず実施する |
非常勤・委託職員・実習生の扱いを明示してください。 正規職員向けの年次研修だけを設計すると、この層が抜けます。医療機関では清掃・保守・給食・派遣事務など、多くの外部要員が院内ネットワークに近い場所で働いています。着任時の短時間の説明と、記録の取得を運用に組み込みます。
情報システム担当者には別建ての内容が必要です。アクセス権限設計と特権ID管理、ログ管理と監査証跡、医療機関のバックアップ設計 といった実務が対象になります。
時間が取れない前提での配信設計
集合研修だけに依存しない配信方法を組み合わせます。**「集める」のではなく「届ける」**という発想に切り替えるのが要点です。
| 方法 | 向いている内容 | 留意点 |
|---|---|---|
| 短時間の動画・eラーニング | 全職員共通の基礎 | 受講記録が自動で残る。視聴のみで理解確認がないと形骸化する |
| 朝礼・部門ミーティングでの5分 | 直近の注意喚起、事例共有 | 部門長の協力が前提。話す内容を用意して渡す |
| 掲示・端末の起動時表示 | 反復が必要な少数の原則 | 慣れると読まれなくなる。定期的に文面を変える |
| 着任時オリエンテーション | 新規職員・委託・実習生 | 抜けやすい層をここで捕捉する |
| 集合研修・訓練 | 判断を伴う内容、机上訓練 | 管理職・情シス向けに絞ると成立しやすい |
| メール訓練 | 気づきと報告行動 | 設計を誤ると逆効果。別記事参照 |
理解の確認を必ず入れてください。 動画を再生しただけでは記録の価値が下がります。3〜5問の簡単な設問を付け、全問正解まで再受講とする運用が一般的です。設問は知識を問うものではなく、「この状況でどうするか」という行動を問う形にすると、目的と一致します。
なお、教育の実施頻度について「年2回以上」といった具体的な回数が二次情報で示されることがありますが、一次資料での確認が必要です（要一次確認）。自院で頻度を決める際は、ガイドラインと診療報酬の算定要件の原文にあたってください。
記録をどう残すか
教育は、実施したことを説明できなければ実施していないのと同じです。監査、診療報酬の算定要件、保険の引受審査、そしてインシデント発生後の説明——いずれの場面でも記録が問われます。
残すべき項目は次のとおりです。
| 項目 | 内容 |
|---|---|
| 実施日時・形式 | 集合／eラーニング／オリエンテーション |
| 対象と受講者 | 対象者名簿と実際の受講者。未受講者と、その後のフォローまで |
| 内容 | 教材そのもの（版管理する） |
| 理解の確認 | 設問と結果 |
| 未受講者への対応 | いつ、どうやって補ったか |
| 改善 | 出た質問、分かりにくかった点、次回への反映 |
未受講者の記録が最も重要です。 受講率100%と書かれた記録より、「対象120名中112名受講、未受講8名は夜勤・産休等のため翌月に個別実施、記録あり」という記録のほうが信頼されます。追えていることが示せるかどうかが分かれ目です。
教材の版管理も忘れられがちです。どの職員がどの版を受けたかが分からないと、規則が変わったときに誰に再教育すべきかを特定できません。
事業者側の従業者教育をISMSの枠組みで設計する場合の考え方は 従業者教育の設計｜受講率100%の運用 にまとめています。委託先に教育の実施を求める場合の確認事項は ベンダーへのセキュリティチェックシート をご覧ください。
訓練を教育の上に積む
知識の配信だけでは行動は変わりません。**訓練（実際に動いてみること）**を上に積みます。医療機関で現実的に実施できる訓練は次の3種類です。
| 訓練 | 対象 | 頻度の考え方 | 見るべき指標 |
|---|---|---|---|
| メール訓練 | 全職員 | 年間計画に組み込む | 報告率（開封率ではない） |
| 机上訓練（インシデント／BCP） | 管理職・情シス・診療部門代表 | 計画改訂時、体制変更時 | 判断の滞り、情報の欠落 |
| 縮退運用の試行 | 診療部門 | 年次の計画に組み込む | 紙様式で書けるか、所要時間 |
メール訓練で見るべきは報告率です。 開封率の低下を目標にすると、「引っかかった人を減らす」圧力が働き、報告しづらい空気を生みます。この論点は 標的型攻撃メール訓練 で詳しく扱います。
机上訓練と縮退運用の試行は、2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算の加算1が求める「サイバー攻撃等に対するBCP策定と訓練の実施」に直結します。訓練の設計は サイバー攻撃を想定したBCP と 医療機関のインシデント対応計画 を、改定の全体像は 2026年度診療報酬改定のポイント をご覧ください。
訓練後のフォローまでを設計に含めてください。 訓練で見つかった課題が翌年も同じまま残っていると、訓練自体が儀式になります。課題・担当・期限を一覧にし、次の訓練の冒頭で前回の課題の進捗を確認する運用にすると、積み上がります。
まとめ
医療機関の職員教育・訓練を設計する際に押さえるべき点は次のとおりです。
- 目的は知識の習得ではなく、気づいて、迷わず報告できる状態をつくること
- 全職員共通は10〜15分に絞り、役割別に足す。非常勤・委託・実習生を着任時に捕捉する
- 集合研修に依存せず、届ける方法を組み合わせる。理解の確認を必ず入れる
- 記録は未受講者とそのフォローまで残す。教材の版管理も行う
- 教育の上に訓練を積む。メール訓練は報告率を、机上訓練は判断の滞りを見る
- 実施頻度の具体的な回数は一次資料で確認する（要一次確認）。訓練後の課題は次回までに追う
教育設計で難しいのは、内容そのものより「誰に、いつ、どう届けるか」の運用です。ポテックは医療情報システムの設計・運用の立場から、体制づくりと運用ルールの整備についてご相談を受けています。お問い合わせ からご連絡ください。委託先事業者側の教育体制を評価する枠組みは ISMS（ISO/IEC 27001）とは が参考になります。
参考・出典
※教育・訓練の実施頻度や記録に関する具体的な要件は、ガイドラインの改定および診療報酬の告示・通知・疑義解釈により変わり得ます。最新の内容は厚生労働省の公表資料をご確認ください。