医療情報システム安全管理責任者は、どの医療機関にも必ず置く、サイバーセキュリティ対策の責任者です。
経営層が担うのが基本で、小さな診療所なら院長が現実的です。資格は必須ではなく、決めた人を院内のルールに書いておけば、チェックリストの1-①は「はい」になります。
19項目の中で、いちばん早く「はい」にできる項目です。最初に片づけてしまいましょう。
医療情報システム安全管理責任者は、何をする人か
厚生労働省のチェックリストマニュアルでは、経営層は、安全管理を直接実行する医療情報システム安全管理責任者を置く必要があるとされています。
責任者の仕事は、大きく言うと次の2つです。
- 情報セキュリティの方針を決める
- 職員への教育や訓練も含めて、対策を進める
ここでいう「医療情報システム」は、電子カルテやレセコンだけではありません。サーバ・受付や診察室のパソコン・ルータや無線LANまで含めた全体を指します。
ガイドラインの各編を読むと、責任者には、ほかにも次のような場面で役割があります。
- システムを新しく入れる・変えるときの承認（院内に委員会がない場合）
- 業者が行う保守作業の申請や報告の承認（事前の承認が難しい作業は、業者との合意で事後の承認もできる）
- 年に1回などの区切りで、運用がうまくいっているかを点検する
難しそうに見えますが、自分で機械を設定する役ではありません。何をするかを決め、業者や職員が動けるようにし、うまくいっているかを確かめる役です。
誰がなるか。院長が担い、事務長と分けてもいい
ガイドラインが想定しているのは経営層
ガイドライン第7.0版の経営管理編は、安全管理責任者は経営層が担うことを想定していると書いています。
あわせて、実務を担う「企画管理者」が責任者を兼ねることも妨げない、とも書かれています。
小規模な医療機関向けの保守委託機関編では、さらに具体的に、院長などの経営層が安全管理責任者を担うことは十分に想定されるとしています。
3つの役割と、兼ね方
チェックリストやガイドラインには、似た名前の役割が3つ出てきます。小さな診療所では、次のように兼ねるのが現実的です。
3つの役割は、小さな診療所なら1〜2人で兼ねられる
- 医療情報システム安全管理責任者院長安全管理の方針を決め、教育・訓練を含めて対策を進める。必ず置く
- 企画管理者院長・事務長安全管理の実務を担う。院内ルールを整え、業者への指示や確認をする
- システム運用担当者保守の業者機器やソフトの設定・運用。小さな診療所では業者に任せ、役割分担を決めておく
責任者は経営層が担うのが基本。企画管理者が責任者を兼ねることも、経営層が企画管理者を兼ねることもできる
企画管理者は、ガイドラインでは「安全管理を行うために必要な運用管理の管理責任者」と定義されています。経営層の判断を支えて、日々の安全管理を回す人です。
システム運用担当者は、経営層や企画管理者の指示を受けて、機器やソフトの設定・運用を実際に行う人です。業者に委託して、業務と責任を分担することも想定されています。その場合は、どこまでを業者が担うかを先に取り決めておきます。
事務長に任せるときの注意
院長が忙しくて、事務長に任せたいこともあると思います。
その場合も、最終的な管理責任は経営層にあるとされています。事務長を責任者または企画管理者にしたうえで、院長が定期的に報告を受ける形にしておくと、ガイドラインの考え方に沿います。
資格は要る？必須ではない
責任者になるための資格要件は、ガイドラインにもQ&Aにもありません。
資格に触れているのは、チェックリストマニュアルの「望ましい」という書き方だけです。
- 情報セキュリティマネジメント試験の合格
- 情報処理安全確保支援士の資格
どちらも情報処理推進機構（IPA）の国家試験です。持っていればもちろん心強いですが、持っていないから責任者になれない、ということはありません。
代わりにおすすめしたいのが、厚生労働省が案内している医療機関向けのセキュリティ研修です。e-ラーニングがあり、経営層向け・医療従事者向けなど立場別の内容がそろっています。
責任者になったら、まず経営層向けの研修を1つ受けておくと、何を判断すればいいのかの全体像がつかみやすくなります。
職員に最初に伝える4つのこと
責任者の仕事には、職員への教育も含まれます。最初から研修会を開く必要はありません。チェックリストの中で、職員一人ひとりの行動で決まる項目から伝えるのが近道です。
- パスワードを付箋に書いてモニターに貼らない。マニュアルでも「絶対に避けなければならない」とされています（2-⑦）
- 同じパスワードを、ほかの機器やサービスで使い回さない（2-⑧）
- 私物のUSBメモリなどを、院内のパソコンにつながない（2-⑨）
- 画面がおかしい、ファイルが開けないなど異変に気づいたら、すぐ責任者に知らせる。連絡の順番は連絡体制図に書いておきます（3-①）
朝礼などで1回伝え、新しい職員が入ったときにも同じ説明をします。説明した日を記録しておくと、教育を行った証拠にもなります。
決めたら、院内のルールに書いておく
責任者を決めても、口約束のままでは「はい」と言いにくい項目です。
チェックリストの4-①は、1〜3の対策の具体的な実施方法を、運用管理規程などに書いておくことを求めています。責任者が誰かも、その中に書きます。
厚生労働省が公開している運用管理規程の文例には、小規模な病院・診療所向けに、院長が複数の役割を兼ねる場合の書き方が載っています。考え方は次のとおりです。
当クリニックに〔安全管理の責任者〕を置き、院長をもってそれに充てる。
文例は以前の版の用語（運用責任者・システム管理者）で書かれているので、今の呼び方（医療情報システム安全管理責任者・企画管理者）に置き換えて使ってください。
書いておくとよいのは、次の3点です。
- 誰が責任者か（役職と氏名）
- 誰が企画管理者か（責任者と同じ人なら、その旨）
- 業者に任せる範囲（どのシステムの、どの作業を、どの業者が担うか）
責任者の1年。いつ何をするか
責任者の仕事は、一度決めたら終わりではありません。1年の流れにすると、次のようになります。
| 時期 | やること |
|---|---|
| 新しい年度の様式が出たとき（例年5〜6月ごろ） | 新しいチェックリストとマニュアルを入手し、前年からの変更点を確認する |
| 職員が入る・辞めるとき | アカウントの発行と削除（2-⑤）、パスワードの説明、研修の案内 |
| システムを入れる・変えるとき | 導入や変更を承認する。業者からMDS/SDSを受け取る |
| 業者が保守作業をするとき | 作業の申請と報告を確認する（事前が難しいものは事後でも可） |
| 年に1回 | チェックリストで点検する。問題があればルールや業者との契約を見直す |
| 立入検査の前 | チェックリストをもう一度確認し、書類4つの現物をそろえる |
小規模な医療機関向けの保守委託機関編は、第三者の監査は負担が大きいと想定したうえで、最低限、年に1回などの区切りで、責任者などが運用状況を点検するよう求めています。
点検といっても、大がかりなものではありません。チェックリストの19項目をもう一度見て、「はい」が「いいえ」に戻っていないかを確かめるのが出発点です。
責任者がいないと、何が起きやすいか
責任者が決まっていない医療機関では、セキュリティが「業者の仕事」になりがちです。
チェックリストマニュアルは、業者が遠くから保守するための入口（リモートメンテナンス）からの攻撃が相次いでいる原因の1つとして、医療機関の側が、その入口の存在を把握しきれていないことを挙げています。
業者は契約した範囲のことはしてくれますが、院内に何があって、誰が何を任されているかの全体を知っているのは医療機関の側だけです。その全体を把握しておくのが、責任者のいちばん大事な役目です。
業者の側にも責任者がいる
もう1つ知っておきたいのが、業者の側にも同じような責任者を置く決まりがあることです。
チェックリストマニュアルには、事業者においても、医療情報システムの提供に関わる管理責任者を置く必要がある、と書かれています。業者に送る「事業者確認用」のチェックリストにも、同じ1-①の項目があります。
事業者確認用が戻ってきたら、業者側の責任者の名前と連絡先を確認して、連絡体制図（3-①）にも書き込んでおくと、いざというときに迷いません。
責任者になったら、最初の1か月でやること
責任者が決まったら、次の順で動くとチェックリスト全体が進みます。
- 令和8年度版のチェックリストとマニュアルを手元に置く
- 保守契約のある業者を書き出し、事業者確認用を送る（回答に時間がかかるので最初に）
- 院内の機器を書き出して、台帳（2-①）の下書きを作る。IPアドレスなどは業者に聞けば埋まります
- 連絡体制図（3-①）を作る。院内・業者・警察・厚生労働省の連絡先を1枚に
- ここまでの内容を運用管理規程（4-①）に書く
ここまでで、19項目のうち院内で決める項目の多くが「はい」に近づきます。残りの項目は、チェックリストの書き方で1つずつ確認してください。
