日医発第 494 号（情シ）
令和 5 年 6 月 5 日
都道府県医師会長

殿
公益社団法人 日本医師会会長 松 本 吉 郎（公 印 省 略）「医療情報システムの安全管理に関するガイドライン 第 6.0 版」の策定について
拝啓 時下ますますご健勝のこととお慶び申し上げます。日頃より会務運営に対しましてご高配を賜り深く感謝申し上げます。
さて今般、厚生労働省医政局長より、本会に対して標記に関する周知方依頼がありました。
本件は、平成 17 年 3 月 31 日「民間事業者等が行う書面の保存等における情報通信の技術の利用に関する法律等の施行等について」（医政発第 0331009 号薬食発第0331020 号保発第 0331005 号厚生労働省医政局長厚生労働省医薬食品局長厚生労働省保険局長連名通知）の別添として示された「医療情報システムの安全管理に関するガイドライン」が改定され、第 6.0 版が策定・発出された旨の通知であります。
同ガイドラインは、医療機関等における診療録等の電子保存に係る責任者を対象とし、「遵守すべき事項として、個人情報保護に関する方針の制定および公表、外部と個人情報を交換する場合の安全管理、ネットワークからの不正アクセス対策等」、「診療録等の電子保存にかかわる要求事項として、真正性、見読性、保存性の確保、電子署名を行う場合の要件等および受託機関の選定・責任の明確化等」、「診療録等をスキャナ等により電子化して保存する場合の要件等」について指針を示したもので、これまで定期的に見直しが行われてまいりました。
第 6.0 版では、ネットワーク関連のセキュリティ対策が、今後より多くの医療機関等に共通して求められることや、医療等分野及び医療情報システムに対するサイバー
攻撃の一層の多様化・巧妙化が進み、医療機関等における診療業務等に大きな影響が生じていることなどを踏まえ、医療機関等にガイドラインの内容の理解を促し、医療情報システムの安全管理の実効性を高めるため、構成の見直しや医療機関等に求められる安全管理措置を中心に内容の見直しが行われました。
■改定の概要１．全体構成の見直し
本文を、概説編、経営管理編、企画管理編及びシステム運用編に分け、各編で想定する読者に求められる遵守事項及びその考え方を示すとともに、ＱＡ等において現状で選択可能な具体的な技術にも言及するなど、構成の見直しを行う。
1２．外部委託、外部サービスの利用に関する整理クラウドサービスの特徴を踏まえたリスクや対策の考え方を整理するとともに、医療機関等のシステム類型別に責任分界の考え方等を整理する。
３．情報セキュリティに関する考え方の整理
ネットワークの安全性の考え方や認証のあり方を踏まえて、ゼロトラスト思考に則した対策の考え方を示すほか、サイバー攻撃を含む非常時に対する具体的な対応について整理する。
４．新技術、制度・規格の変更への対応
オンライン資格確認の導入に必要なネットワーク機器等の安全管理措置等について整理する。
なお、令和 5 年 6 月 5 日付、日医発第 470 号(情シ)「日本医師会サイバーセキュリ
ティ支援制度拡充について」にてお知らせさせていただきましたが、日本医師会サイバーセキュリティ支援制度の一環として、本ガイドラインの解説資料や解説動画の提供、および相談窓口の設置を令和 5 年 9 月以降に予定しておりますので、是非ご活用下さい。
つきましては、貴会におかれましても本件についてご了知いただくとともに、貴会
管下郡市区医師会及び会員への周知方につき、ご高配賜りますようよろしくお願い申し上げます。
以上【医療情報システムの安全管理に関するガイドライン第 6.0 版について】
本ガイドラインにつきましては、下記の通り、厚生労働省ホームページにて PDF
形式で公開されております。
「医療情報システムの安全管理に関するガイドライン第 6.0 版（令和 5 年 5 月）」
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html【別添資料】
・産情発 0531 第 3 号「医療情報システムの安全管理に関するガイドライン第 6.0 版」の策定について・産情発 0531 第 1 号「医療情報システムの安全管理に関するガイドライン第 6.0 版」の策定について・（別添 1）医療情報システムの安全管理に関するガイドライン第 6.0 版 概説編
・（別添 11）医療情報システムの安全管理に関するガイドライン第 6.0 版 参照文書
リンク集2

【別添 2～10、12 について】※サイズの関係で本文書には添付しておりません。上記の厚生労働省ホームページよりご確認ください。
・（別添 2）医療情報システムの安全管理に関するガイドライン第 6.0 版 経営管理編
・（別添 3）医療情報システムの安全管理に関するガイドライン第 6.0 版 企画管理編
・（別添 4）医療情報システムの安全管理に関するガイドライン第 6.0 版 システム運用編・（別添 5）医療情報システムの安全管理に関するガイドライン第 6.0 版 Q&A・（別添 6）医療情報システムの安全管理に関するガイドライン第 6.0 版 用語集
・（別添 7）医療情報システムの安全管理に関するガイドライン第 6.0 版 特集-小規
模医療機関等向けガイダンス
・（別添 8）医療情報システムの安全管理に関するガイドライン第 6.0 版 特集-医療機関等におけるサイバーセキュリティ
・（別添 9）医療情報システムの安全管理に関するガイドライン第 6.0 版 第 5.2 版→
第 6.0 版項目移行対応表
・（別添 10）医療情報システムの安全管理に関するガイドライン第 6.0 版 各編間相関表・（別添 12）医療情報システムの安全管理に関するガイドライン第 6.0 版 ガイドラ
イン改定の経緯に関する年表3

産情発０５３１第３号
令 和 ５ 年 ５ 月 31 日
公益社団法人 日本医師会会長

殿

厚 生 労 働 省 大 臣 官 房
医薬産業振興・医療情報審議官
（
公
印
省
略
）

「医療情報システムの安全管理に関するガイドライン
策定について第 6.0 版」の標記につきまして、別紙のとおり、各都道府県知事、保健所設置市長及び特別区長に通知いたしましたので、御了知の上、貴職におかれては、貴下団体会員等に周知徹底を図るとともに、その実施に遺漏なきようお願いいたします。

産 情 発 0531 第 １ 号
令 和 ５ 年 ５ 月 31 日
都道府県知事
各 保健所設置市長
特 別 区 長殿

厚 生 労 働 省 大 臣 官 房
医薬産業振興・医療情報審議官
（
公
印
省
略
）

「医療情報システムの安全管理に関するガイドライン
策定について第 6.0 版」の「医療情報システムの安全管理に関するガイドライン」（以下「ガイドライン」という。
）については、直近では令和４年３月に第 5.2 版を策定し、医療情報シス
テムの適切な取扱い等についてお示ししてきたところです。
今般、ガイドラインの見直しを行い、別添１～４のとおり「医療情報システムの安全管理に関するガイドライン第 6.0 版」を策定するとともに、別添５～12 のとおり参考資料を作成しました。
ガイドラインの改定の趣旨や概要等については下記のとおりですので、貴職におかれては、御了知の上、関係団体、関係機関等に周知徹底を図るとともに、その実施に遺漏なきよう御配慮願います。

記
第１ 改定の趣旨
保険医療機関・薬局においては令和５年４月からオンライン資格確認の導入が原則義務化されており、今後はガイドラインに記載されているネットワーク
関連のセキュリティ対策がより多くの医療機関等に共通して求められることとなる。よって、医療機関等にガイドラインの内容の理解を促し、医療情報シ
ステムの安全管理の実効性を高めるため、構成の見直しを行う。
また、医療等分野及び医療情報システムに対するサイバー攻撃の一層の多様化・巧妙化が進み、医療機関等における診療業務等に大きな影響が生じていること等を踏まえ、医療機関等に求められる安全管理措置を中心に内容の見直しを行う。

第２ 改定の概要
１．全体構成の見直し
本文を、概説編、経営管理編、企画管理編及びシステム運用編に分け、各編で想定する読者に求められる遵守事項及びその考え方を示すとともに、Ｑ＆Ａ
等において現状で選択可能な具体的な技術にも言及するなど、構成の見直しを行う。
２．外部委託、外部サービスの利用に関する整理クラウドサービスの特徴を踏まえたリスクや対策の考え方を整理するとともに、医療機関等のシステム類型別に責任分界の考え方等を整理する。
３．情報セキュリティに関する考え方の整理
ネットワークの安全性の考え方や認証のあり方を踏まえて、ゼロトラスト思考に則した対策の考え方を示すほか、サイバー攻撃を含む非常時に対する具体的な対応について整理する。
４．新技術、制度・規格の変更への対応
オンライン資格確認の導入に必要なネットワーク機器等の安全管理措置等について整理する。
そのほか、所要の改定を行う。
第３ 留意事項
ガイドライン及び参考資料については厚生労働省ホームページに掲載する予定。
以上

医療情報システムの安全管理に関するガイドライン
第 6.0 版

概説編
[ Overview ]目次
１．はじめに .................................................................................................................. - 1 ２．本ガイドラインの対象 ............................................................................................. - 1 -２．１ 医療機関等の範囲 ..................................................................................................... - 1 -２．２ 医療情報・文書の範囲.............................................................................................. - 1 -２．３ 医療情報システムの範囲 .......................................................................................... - 2 -３．本ガイドラインの構成、読み方 .............................................................................. - 2 -３．１ 各編の目的・概要 ..................................................................................................... - 3 ３．１．１

概説編（Overview） ........................................................................................................ - 3 -３．１．２

経営管理編（Governance） ............................................................................................. - 3 -３．１．３

企画管理編（Management） ........................................................................................... - 3 -３．１．４

システム運用編（Control） ............................................................................................. - 3 -３．２．医療機関等の特性に応じた読み方 ............................................................................ - 4 ３．２．１

医療機関等の特性についての考え方 ................................................................................ - 4 -３．２．２

医療機関等の特性に応じたガイドライン参照箇所 .......................................................... - 4 -３．３ 第 5.2 版との関係 ..................................................................................................... - 6 -４．

本ガイドラインの前提 ......................................................................................... - 6 -４．１ 医療情報システムの安全管理の目的 ........................................................................ - 6 ４．１．１

医療情報システムで取り扱う医療情報の重要性 .............................................................. - 6 -４．１．２

医療情報システムの有用性 .............................................................................................. - 6 -４．１．３

医療情報システムの安全管理の必要性 ............................................................................ - 6 -４．２ 医療情報システムの安全管理に必要な要素 .............................................................. - 7 i

４．３ 医療情報システムの安全管理に関連する法令 .......................................................... - 7 -４．４ 医療情報システムに関する統制 ............................................................................... - 8 -４．５ リスク評価とリスク管理 .......................................................................................... - 8 -４．６ 医療情報システムにおける認証・認可 ..................................................................... - 9 -４．７ 医療情報の外部保存 ................................................................................................- 10 -ii

１．はじめに本ガイドラインは、医療情報システムの安全管理や、民間事業者等が行う書面の保存等における情報通信の技術の利用に関する法律（平成 16 年法律第 149 号。以下「e-文書法」という。
）等の法令等への適切な対応を行うため、技術的及び運用管理上の観点から所要の対策を示したものである。平成 17 年
3 月に初版が策定され、以降、技術の進展及び制度改定などに対応する観点から、数度の改定を行ってきた。
（これまでの改定経緯については Q＆A 等を参照。
）
第 6.0 版では、本ガイドラインの内容の理解を促進し、医療情報システムの安全管理の実効性を高める観点から、本文について経営管理編、企画管理編及びシステム運用編に分け、各編で想定する読者に求められる遵守事項及びその考え方を示すとともに、Q＆A 等で現状選択可能な具体的技術にも言及するかたちとすべく、構成の見直しを行った。そのほか、近時のサイバー攻撃及びクラウドサービス利用の普及等を踏まえ、医療機関等に求められる安全管理措置を中心に内容面の見直しを行った。
医療情報システムを取り巻く環境は刻一刻と変動していくものであるため、今後も技術的な記載の陳腐化を避けるために随時内容を見直す予定である。本ガイドラインを利用する場合は、最新の版である
ことに十分留意することが求められる。
なお、医療情報システムの安全管理は、患者の診療情報をはじめとする機微な個人情報について適切な取り扱いが行われていることが前提となることから、本ガイドライン関係者は、「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」を十分理解すること。

２．本ガイドラインの対象
本ガイドラインは、医療機関等において、すべての医療情報システムの導入、運用、利用、保守及び廃棄に関わる者を対象とする。
２．１ 医療機関等の範囲
医療機関等とは、病院、一般診療所、歯科診療所、助産所、薬局、訪問看護ステーション、介護事業者、医療情報連携ネットワーク運営事業者等を想定する。
２．２ 医療情報・文書の範囲
本ガイドラインで対象とする医療情報とは、医療に関する患者情報（個人識別情報）を含む情報を想定する。
本ガイドラインで対象とする文書は、医療情報を含む文書全般を想定し、法定の保存義務の有無を問
わない。

-1-

２．３ 医療情報システムの範囲
本ガイドラインが対象とする医療情報システムは、医療情報を保存するシステムだけではなく、医療情報を扱う情報システム全般を想定する。これには、医療情報システム・サービス事業者（※）により提供されるシステムだけでなく、医療機関等において自ら開発・構築されたシステムが含まれる。
なお、医療情報を含まない患者への費用請求に関する情報しか取り扱わない会計・経理システム等は、
本ガイドラインにおける医療情報システムには含まない。
（※）本ガイドラインで用いる「医療情報システム・サービス事業者」とは、医療情報システムの製造、開発、販売及び保守を行う事業者や、医療情報システムを活用したサービスの提供、保守等を行う事業者など、医療機関等が医療情報システムを利用・管理する上で関係する事業者全般を想定する。

３．本ガイドラインの構成、読み方
本ガイドラインは、各編に共通する内容を整理した概説編（Overview）と、医療情報システムの安全管理を実施するための統制・管理について各編で想定する読者類型ごとに整理した、経営管理編（Governance）、企画管理編（Management）、システム運用編（Control）の４編から構成する（図３－１参照）。

意思決定・経営層（経営管理編）
全
読
者
（
概
説
編
）

医療機関等における医療情報システムの安全管理の統制

医療機関等全体の安全対策の管理

各編に共通する
前提となる内容

システムの安全管理者（企画管理編）組織的な対応に関する対策

システムの運用担当者（システム運用編）

技術的な対応に関する対策

図３－１ ガイドライン第 6.0 版を構成する各編
各編の目的と概要は以下のとおりである。

-2-

３．１ 各編の目的・概要
３．１．１ 概説編（Overview）
概説編は、本ガイドラインの目的や対象、全体構成に加え、経営管理編、企画管理編、システム運用編を理解する上で前提となる考え方等を示している。
３．１．２ 経営管理編（Governance）
経営管理編は、主に医療機関等において組織の経営方針を策定し、意思決定を担う経営層を対象にしており、経営層として遵守・判断すべき事項、並びに企画管理やシステム運営の担当部署及び担当者に対して指示又は管理すべき事項及びその考え方を示している。
３．１．３ 企画管理編（Management）
企画管理編は、主に医療機関等において医療情報システムの安全管理（企画管理、システム運営）の実務を担う担当者（企画管理者）を対象にしており、組織体制や情報セキュリティ対策に係る規程の整
備等の統制等の安全管理の実務を担う担当者として遵守すべき事項、医療情報システムの実装・運用に関してシステム運用担当者に対する指示又は管理を行うに当たって遵守すべき事項及びその考え方を示している。
３．１．４ システム運用編（Control）
システム運用編は、主に医療機関等において医療情報システムの実装・運用の実務を担う担当者を対象にしており、医療機関等の経営層又は企画管理者の指示に基づき、医療情報システムを構成する情報
機器、ソフトウェア、インフラ等の各種資源の設計、実装、運用等の実務を担う担当者として適切に対応すべき事項とその考え方を示している。
なお、医療情報システムの実装・運用において、医療機関等が医療情報システム・サービス事業者に委託し、その業務及び責任を分担することも考えられる。そのため、委託事業者においても本編を参照の上、医療機関等と協働する必要がある。その際、業務や役割、責任の分担の在り方については、あらかじめ両者で取り決めておくことが必要になる。

-3-

３．２．医療機関等の特性に応じた読み方
３．２．１ 医療機関等の特性についての考え方
本ガイドラインは、すべての医療機関等における医療情報システムを対象とした安全管理に関して、各編で遵守事項及びその考え方等を示している。
医療機関等の組織体制、稼働している医療情報システムの構成、採用しているサービス形態等の特性は様々であるため、それぞれの医療機関等の特性に応じたかたちで本ガイドラインを遵守する必要がある。そのため、本項では、医療機関等の特性ごとに、医療機関等が必要な安全管理を確保するために本ガイドラインで最低限参照すべき箇所について明記する。
具体的には、医療機関等における専任のシステム運用担当者の有無と導入している医療情報システムの形態に応じた、４種の参照パターンを例示する（表３－１）。自施設の特性を分析した上で、最も近しい参照パターンに基づく対応を行っていただきたい。（なお、参照パターンに示した参照箇所以外の箇所についても、必要に応じてご参照いただきたい。
）
表３－１ 医療機関等の特性に応じた本ガイドラインの参照パターン
医療情報システムを

医療情報システムを医療機関等に保有し運用

医療機関等に保有しない運用（いわゆるオンプレミス型）（いわゆるクラウドサービス型）

Ⅰ

Ⅱ

Ⅲ

Ⅳ

システム運用専任の担当者がいる
システム運用専任の担当者がいない

なお、医療機関等において、カルテ等の医療情報を紙媒体で扱い、情報システム上では医療情報を扱わない業務のみ行っている場合でも、医療機関等内の端末上又はシステムとの連携によって、医療機関
等外の医療情報へのアクセスが発生する場合は、参照パターンⅡやⅣに基づき本ガイドラインを参照する必要がある。
ただし、システム全体の構成等により、参照パターンが異なるので、必要に応じて、システムの提供元である医療情報システム・サービス事業者に参照パターンを確認することが必要になる。
３．２．２ 医療機関等の特性に応じたガイドライン参照箇所
前項で例示した「医療機関等の特性に応じた本ガイドラインの参照パターン」（表３－１）による参照
箇所の詳細を次頁に示す（表３―２）。

-4-

表３－２ 参照パターンに応じた参照箇所
パターン

経営管理編

企画管理編

Ⅰ

システム運用編

すべて参照

担当者あり
Ⅱ

基本的にすべて参照

以下項目は参照

担当者あり

１～４、６～８、１１、

クラウド

１２．３、１４，１８※ 医療情報システムの構成に応じて、当該※ 他の項目は、医療情報

情報システム・サービス事業者に確認し、システムの構成に応じ事業者と締結する契約等に含まれているて、当該情報システム・

場合は、以下について簡略化が可能。

サービス事業者に確認

４．４ マニュアル等及び各種資料の整備

し、事業者と締結する契５．安全管理におけるエビデンス

約等に含まれている場

１５．技術的な対策の管理

合は、簡略化が可能。

遵守事項：④、⑥、⑦、⑧、⑬以外
Ⅲ
担当者なし
Ⅳ

すべて
参照

すべて参照
※ 各編内の「担当者」という記載を「企画管理者」に置換し、参照。

基本的にすべて参照

以下項目は参照

担当者なし

１～４、6～８、１１、

クラウド

１２．３、１４，１８※「担当者」という記載を「企画管理者」に置換し、参照。

※「担当者」という記載を「企画管理者」に置換※医療情報システムの構成に応じて、当該し、参照。

情報システム・サービス事業者に確認し、 ※ 他の項目は、医療情報事業者と締結する契約等に含まれているシステムの構成に応じ場合は、以下について簡略化が可能。

て、当該情報システム・

４．４ マニュアル等及び各種資料の整備サービス事業者に確認

５．安全管理におけるエビデンス

し、事業者と締結する契１５．技術的な対策の管理約等に含まれている場

遵守事項：④、⑥、⑦、⑧、⑬以外

合は、簡略化が可能。

-5-

３．３ 第 5.2 版との関係
第 5.2 版では、本編及び別冊編に分けて、原則として医療機関等の情報システムの安全管理に必要な内容を本編に、前提となる考え方及び具体的な方策の例を別冊編に示した。
第 6.0 版では、システム運用担当者並びに、経営層や企画管理者に対しても本ガイドラインの内容を理解してもらい、医療情報システムの安全管理の実効性を高める観点から、全体構成を大幅に変更した。
具体的には、主に第 5.2 版の本編について、「１．１ 背景・経緯」に示す観点から分冊化を図り、第 5.2版の本編及び別冊編の一部について、Q＆A へ移動するなどにより、読みやすさの向上を図っている。

４．

本ガイドラインの前提

ここでは、各編における遵守事項を理解する上で、前提となる考え方等について示す。
４．１ 医療情報システムの安全管理の目的
４．１．１ 医療情報システムで取り扱う医療情報の重要性
医療情報システムで取り扱う医療情報は、病歴等の機微性の高い情報を含む患者の個人情報である。
当該情報は、適切な管理がなされなければ、患者の生命、身体の安全に直接影響を及ぼす可能性があるものであるため、慎重な取扱いが求められる。加えて、医療情報は、インフォームド・コンセントの観点からも、医療機関等と患者等との信頼関係に基づいて取り扱われるものであるため、医療機関等が行う業務の範囲内で適切に管理されることが求められる。
また、継続した医療の提供の観点からも、医療機関等の間で絶え間なく患者の医療情報が提供・共有
されることが重要である。医療の継続性を支える観点からも、適切な管理の下、医療情報システムが利用され、医療情報が活用できる状態に置かれることが重要となる。
４．１．２ 医療情報システムの有用性
医療情報システムは、効率的かつ正確に医療行為を行う上で重要な役割を果たしている。医療情報を電子化して活用することにより、医療機関等内の複数の部門で同時かつ正確な医療情報を確認することができることになり、医療従事者や患者の負担を軽減することが可能となる。
さらには一医療機関等を越えて、外部の医療機関等や患者自身などと医療情報の共有や連携を図ることにより、地域医療又はチーム医療などにおいて、より質の高い医療の提供や、個人の健康増進に寄与することが期待される。
４．１．３ 医療情報システムの安全管理の必要性
医療情報の機微性や重要性を鑑みると、医療情報システムに対して求められる安全管理は、一般の情報システムに求められる安全管理よりも高い水準で行われることが求められる。

-6-

４．２ 医療情報システムの安全管理に必要な要素
医療情報システムの安全管理において、情報セキュリティ対策は必須であり、医療機関等の特性を踏
まえ、情報セキュリティの要素である「機密性（Confidentiality）」、「完全性（Integrity）」、「可用性（Availability）」のバランスを取りながら、リスクに対応することが求められる。
「機密性（Confidentiality）」は、情報資産に対して、許可された者のみがアクセスできることを指す。
機密性が確保されないと、許可していない者による情報システムの利用や改ざん、破壊などが生じうる
ほか、医療情報システムで取り扱う医療情報の不正な利用（参照、登録、改変）や漏えいなどが生じうる。
「完全性（Integrity）」は、情報資産が正確かつ完全な形で利用できることを指す。完全性が確保されないと、表示されるべき情報が欠落したり、不完全な又は不正確な形で表示されたりすることなどが生じうる。
「可用性（Availability）」は、情報資産に対して、許可された者が必要な時点でアクセスできることを指す。可用性が確保されないと、情報システムが利用できなかったり、利用目的に応じた適切な速度等での処理がなされなかったりすることで、医療情報などの利用が妨げられることなどが生じうる。
医療情報システムにおける安全管理は、これら３要素への対応を想定するものであるが、医療機関等の業務内容や導入する医療情報システムなどを踏まえたリスク評価により、これら 3 要素への対応を随時検討し判断することになる。
これら 3 要素への対応を踏まえて講じた安全管理措置を的確かつ継続的に実施・改善するために、３要素を保護するための体系的な仕組みである情報セキュリティマネジメントシステム（ISMS：
Information Security Management System）を構築・運用することなどが求められる。
４．３ 医療情報システムの安全管理に関連する法令
医療情報システムに直接関連する法令としては、・ 個人情報の保護に関する法律（平成 15 年法律第 57 号）
・ e-文書法、厚生労働省の所管する法令の規定に基づく民間事業者等が行う書面の保存等における情報通信の技術の利用に関する省令（平成 17 年厚生労働省令第 44 号）及び「民間事業者等が行う書面の保存等における情報通信の技術の利用に関する法律等の施行等について」（平成 17 年３月 31 日付け医政発第 0331009 号・薬食発第 0331020 号・保発第 0331005 号厚生労働省医政局長・医薬食品局長・保険局長連名通知。平成 28 年３月 31 日最終改正。
）
・ 「診療録等の保存を行う場所について」（平成 14 年３月 29 日付け医政発第 0329003 号・保発第0329001 号厚生労働省医政局長、保険局長連名通知。平成 25 年３月 25 日最終改正。
）
が挙げられる。
また、サイバー攻撃の脅威が近年増大していることに鑑み、医療法施行規則（昭和 23 年厚生省令第50 号）第 14 条第２項において、病院、診療所又は助産所の管理者が遵守すべき事項として、医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律施行規則（昭和 36 年厚生省令第１号）第11 条第２項において薬局の管理者が遵守すべき事項として、サイバーセキュリティの確保について必要な措置を講じなければならないとしている。
なお、医療従事者等が作成する文書については、関係する法令により示されており（例えば医師法における診療録）、各法令が求める内容に従って作成する必要がある。その上で、電磁的記録による保存を-7-

行うことができる文書等に記録された情報を電子媒体に保存する場合には、当該情報の見読性・真正性・保存性が確保されている必要がある。
また、医療情報を含む文書であって署名を求めるものに対して、電子署名を施す場合には、電子署名及び認証業務に関する法律（平成 12 年法律第 102 号）第 2 条に基づく電子署名を行うほか、本ガイド
ラインに基づき適切な措置を講じることが求められる。
４．４ 医療情報システムに関する統制
医療情報システムの安全管理を行うためには、医療機関等内において、医療情報システムの運営や利用に対する統制が行われていることが求められる。
内部統制としては、・ 組織としての安全管理等に関する基本的な方針や計画の策定
・ 安全管理等に必要な組織・体制の整備
・ 組織における安全管理のルールとなる規程類の整備
・ 上記に基づく運用等を実施することが求められる。
適切な統制を行うためには、体系的な運用を行うとともに、適宜、企画管理者が管理運営状況を把握して必要な情報を経営層に報告し、経営層において医療機関等の組織全体の医療情報システムの安全性を継続的に管理することが求められる。
また、医療情報システムの運営や利用に際しては、様々な医療情報システム・サービス事業者と協働しながら安全管理措置を実施する場合が想定される。医療機関等においては、医療情報システムに求められる安全管理の水準に鑑み、本ガイドライン、総務省・経済産業省が定めている「医療情報を取り扱
う情報システム・サービスの提供事業者における安全管理ガイドライン」、その他の法令等に掲げる基準を満たした医療情報システム・サービス事業者を選定し、当該事業者との契約等において、双方の認識の齟齬が生じないよう、提供される情報システムやサービスの内容、当該事業者が行う業務内容、当該事業者との責任分界、役割分担、協働体制などを明確にした上で合意形成を図ることが求められる。
加えて、当該事業者に対して、必要に応じて、「医療情報を取り扱う情報システム・サービスの提供事
業者における安全管理ガイドライン」の遵守状況を確認するなど、当該事業者の管理も求められる。
４．５ リスク評価とリスク管理
安全に医療情報システムを管理し、医療情報を取り扱うに当たっては、安全を脅かす又は損なう原因となる「脅威」を認識する必要がある。この脅威としては、地震等の自然災害や、サイバー攻撃、シス
テム障害などの環境要因によるもの、医療情報の漏洩や改ざんなどの人的要因によるものが挙げられる。
また、これらの脅威によって生じる被害等が発生する可能性がリスクとして表される。
医療情報は、患者の生命・身体の安全に関わるものであり、これらの脅威にさらされると、医療の提供が停止するといった影響が生じることも考えられる。各医療機関等においては、自組織にとっての脅威を特定し、そのリスクを評価した上で対策を講じることが重要である。特に、自然災害やサイバー攻撃、システム障害などについては、被害の影響がより大規模となる可能性が高いため、高度なリスク評
価を踏まえた対策が求められる。

-8-なお、医療情報システムの安全管理上のリスク評価、リスク管理を実施するに当たっては、医療情報システム・サービス事業者から技術的対策等の情報を収集することが重要である。例えば、総務省・経済産業省が定めている「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガ
イドライン」における「サービス仕様適合開示書」や日本画像医療システム工業会（JIRA）の工業会規格（JESRA：Japanese Engineering Standards of Radiological Apparatus）及び保健医療福祉情報システ
ム工業会（JAHIS）の JAHIS 標準となっている「『製造業者/サービス事業者による医療情報セキュリテ
ィ 開 示 書 （ 略 称 ： MDS/SDS ： Manufacturer / Service Provider Disclosure Statement for Medical
Information Security）』ガイド」で示されているチェックリスト等を参考に、当該事業者から情報提供
していただく等により、当該事業者と医療情報システムの安全管理上のリスクについて共通の理解を得た上で、リスク管理に関する合意形成（リスクコミュニケーション）を図ることが求められる。また、合意した内容を契約書や SLA（Service Level Agreement：サービス品質保証、サービスレベル合意書）
等の形で双方の合意文書として明らかにした上で、具体的な責任分界を踏まえた運用を行うことが求められる。
４．６ 医療情報システムにおける認証・認可
認証された利用者等が、許可された範囲で情報やサービスを利用する情報システムは、今日多く存在する。医療情報システムも同様に、利用者や利用範囲を適切に管理することが求められ、そのためにシステム利用等において認証・認可の対策を講じる必要がある。
医療情報システムでは、医療機関等が組織として情報システムの利用権限を認めた利用者に対して、設定した利用範囲内で適切に利用することを保証するために、利用者の認証・認可を行うことになる。
医療情報によっては、医師等の法令で定められた者以外の作成や利用等が認められていないものがある。加えて、患者の医療情報が流出したり、不正に利用されたりした場合には、患者の生命や心身の安全に影響を及ぼす可能性がある。したがって、こうした医療情報を取り扱う医療情報システムにおいて算定するリスクは、通常の情報システムよりも高く算定する必要があるため、医療情報システムにおいて用いる認証・認可については、特に安全なものを採用する必要がある。
情報システムの認証では、認証に際しては利用者を特定するための識別子（ID など）と、利用者が本人であることを確認するための符号（パスワードや指紋認証データなど）等が必要とされる。医療情報システムにおいては、このような識別子の発行や、本人であることを確認するための仕組み（認証方法）のいずれも、高い水準のものを採用することが求められる。例えば ID の発行については、対面など確
実に身元確認が取れる方法を採用する、認証方法については、複数の要素を用いて認証するなどの方法が挙げられる。

-9-

４．７ 医療情報の外部保存
医療情報の外部保存については、「４．３

医療情報システムの安全管理に関連する法令」で示した「民間事業者等が行う書面の保存等における情報通信の技術の利用に関する法律等の施行等について」や「診療録等の保存を行う場所について」に掲げる基準を満たすことを前提に、外部の事業者に医療情報のデータの保管を委託し、医療機関の外部に医療情報を保管することが可能となっている。これを踏
まえ、本ガイドラインでは、適切な外部保存委託先としての医療情報システム・サービス事業者の選定に関する対策項目を示している。
外部保存に際しては、外部と接続するネットワークを利用するという意味で、情報漏洩や不正アクセス等のリスクが生じる。一方、適切な医療情報システム・サービス事業者に委託することで、専門的な知識に基づいて、必要な情報セキュリティ対策が講じられた環境での医療情報やデータの管理が可能となる。そのため、医療機関等においては、自機関のみで整備するよりも、医療情報システム・サービス
事業者に一部の業務を委託する方が、結果としてより安全な情報セキュリティ対策を講じることが可能となることも想定される。加えて、情報システム等の運用に係る要員などの負担軽減にもつながることがある。
このように、外部保存については、適切な運用により、医療機関等における医療情報の取扱いを向上させることも想定できる。そこで、医療機関等において取り扱う医療情報システムの種類や医療情報の量、組織体制などを勘案して、外部保存を適宜利用することも、安全管理との関係では重要な方策の一つである。

- 10 -

参照文書リンク集
文書名

制定・公表

主体

最新

参照先リンク①

参照先リンク②https://elaws.e1 個人情報の保護に関する法律

平成15年法律第57号

法律

令和3年法

gov.go.jp/document?lawid=4
15AC0000000057

2

3

行政機関の保有する個人情報の保護に関する法律

独立行政法人等の保有する個人情報の保護に関する法律

https://elaws.e平成15年法律第58号

法律

令和3年法律第37号による廃止

15AC0000000058

https://elaws.e平成15年法律第59号

法律

令和3年法律第37号による廃止

https://elaws.e-

4 における情報通信の技術の利用に 平成16年法律第149号

法律

令和3年法律第36号による改正

関する法律

5

律

gov.go.jp/document?lawid=4
16AC0000000149

https://elaws.e平成12年5月

法律

令和4年法律第68号による改正

gov.go.jp/document?lawid=4
12AC0000000102

電子署名等に係る地方公共団体情https://elaws.e-

6 報システム機構の認証業務に関す 平成14年法律第153号

法律

令和4年法律第68号による改正

gov.go.jp/document?lawid=4

る法律

14AC0000000153

医薬品、医療機器等の品質、有効https://elaws.e-

7 性及び安全性の確保等に関する法 昭和35年法律第145号

法律

令和4年法律第47号による改正

律に基づく民間事業者等が行う書面の保存等における情報通信の技術

gov.go.jp/document?lawid=335AC0000000145

厚生労働省の所管する法令の規定
8

gov.go.jp/document?lawid=4
15AC0000000059

民間事業者等が行う書面の保存等

電子署名及び認証業務に関する法

gov.go.jp/document?lawid=4

平成17年3月25日発出

厚生労働大臣

令和4年厚生労働省令第75号による改正の利用に関する省令

https://elaws.egov.go.jp/document?lawid=4
17M60000100044
https://www.digital.go.jp/ass

9

政府情報システムにおけるクラウ
ドサービスの利用に係る基本方針

令和4年9月30日初版決定

デジタル社会推進会議幹事会決定 令和4年12月28日最終改定

https://www.digital.go.jp/res
ources/standard_guidelines/

ets/contents/node/basic_pag
e/field_ref_resources/e2a061
43-ed29-4f1d-9c310f06fca67afc/17ef852e/2022

良質な医療を提供する体制の確立

https://www.mhlw.go.jp/web

10 を図るための医療法の一部を改正 平成19年3月30日発出

厚生労働省

平成19年3月30日発出する法律の一部の施行について/t_doc?dataId=00tb3561&dat
aType=1&page

https://www.mhlw.go.jp/stf/
11「診療録等の保存を行う場所について」の一部改正について

平成25年3月25日発出

厚生労働省

平成25年3月25日発出

seisakunitsuite/bunya/kenko
u_iryou/iryou/johoka/index.html
https://www.mhlw.go.jp/file/「民間事業者等が行う書面の保存12等における情報通信の技術の利用に関する法律等の施行等につい05-Shingikai-12601000平成28年3月31日発出

厚生労働省

平成28年3月31日発出

Sanjikanshitsu_Shakaihoshouて」の一部改正について

13

医療機器におけるサイバーセキュ
リティの確保について

Seisakutoukatsukantantou/0000120128.pdf

平成27年4月28日発出

厚生労働省

平成27年4月28日発出https://www.pmda.go.jp/files/000204891.pdf

https://www.mhlw.go.jp/stf/
14

医療機関等におけるサイバーセ
キュリティ対策の強化について

平成30年10月29日発出

厚生労働省

平成30年10月29日発出

seisakunitsuite/bunya/kenko
u_iryou/iryou/johoka/cybersecurity.html

15

ランサムウエアによるサイバー攻撃に関する注意喚起

令和3年4月30日発出

内閣官房内閣サイバーセキュリ
ティセンター（NISC）

総務省

令和3年4月30日発出

17

いてのガイドライン（通則編）

430.pdf

令和3年4月1日制定

in_sosiki/joho_tsusin/top/nin

https://www.ppc.go.jp/perso
平成29年5月公表

個人情報保護委員会

folicy/infra/ransomware20210

shou-law/timestamp.html

個人情報の保護に関する法律につ

tent/10808000/001011697.pd

https://www.nisc.go.jp/pdf/phttps://www.soumu.go.jp/ma
16 時刻認証業務の認定に関する規程 令和3年4月1日制定

https://www.mhlw.go.jp/con

令和4年9月改正

nalinfo/legal/guidelines_admi
nistrative/

https://www.soumu.go.jp/ma
in_content/000742664.pdf

参照先リンク③

医療・介護関係事業者における個18 人情報の適切な取扱いのためのガ 平成29年4月14日
イダンス

医療情報を取り扱う情報システ
19 ム・サービスの提供事業者におけ 令和2年8月21日策定
る安全管理ガイドライン

政府機関等のサイバーセキュリ
20 ティ対策のための統一基準群（令 令和3年7月7日策定
和３年度版）

個人情報保護委員会
厚生労働省

経済産業省
総務省

内閣官房内閣サイバーセキュリ
ティセンター（NISC）

令和4年3月一部改正

https://www.mhlw.go.jp/con
tent/000909511.pdf

https://www.ppc.go.jp/perso
nalinfo/legal/iryoukaigo_guidance/

https://www.meti.go.jp/polic
令和3年8月31日改定

y/mono_info_service/healthc
are/teikyoujigyousyagl.html

令和4年12月12日一部改定

https://www.nisc.go.jp/policy/group/general/kijun.html

利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号

総務省

21 化等を行う電子契約サービスに関 令和2年7月17日公表
するQ&A（電子署名法2条1項に関

法務省

令和2年7月17日公表

経済産業省

https://www.meti.go.jp/covid https://www.moj.go.jp/MINJI-19/denshishomei_qa.html/denshishomeihou.html

するQ&A）
利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号

総務省

22 化等を行う電子契約サービスに関 令和2年9月4日公表
するQ&A（電子署名法3条に関す

法務省

令和2年9月4日公表

経済産業省

https://www.meti.go.jp/covid-19/denshishomei3_qa.html

るQ&A）
タイムビジネスに係る指針－ネッ

https://www.soumu.go.jp/ma

23 トワークの安心な利用と電子デー 平成16年11月5日公表

総務省

平成16年11月5日公表

タの安全な長期保存のために－

in_sosiki/joho_tsusin/top/nin
shou-law/timestamp.html

https://www.mhlw.go.jp/stf/
24

医療機器のサイバーセキュリティの確保に関するガイダンス

平成30年7月24日発出

厚生労働省

平成30年7月24日発出

seisakunitsuite/bunya/kenko
u_iryou/iryou/johoka/cybersecurity.html

https://www.soumu.go.jp/ma
in_content/000485112.pdf

https://www.mhlw.go.jp/con
tent/10808000/001011666.pdfhttps://www.soumu.go.jp/me

クラウドサービス提供における情25 報セキュリティ対策ガイドライン 平成26年に初版公表

総務省

令和3年9月公表（第３版）

nu_news/s-

https://www.soumu.go.jp/ma

news/01cyber01_02000001_0 in_content/000771516.pdf
0121.html
https://www.soumu.go.jp/me

クラウドサービス提供・利用にお26 ける適切な設定に関するガイドラ 令和4年10月策定

総務省

令和4年10月策定

イン

nu_news/s-

https://www.soumu.go.jp/ma

news/01cyber01_02000001_0 in_content/000843318.pdf
0149.html
https://www.mhlw.go.jp/stf/

27 厚生労働省標準規格

平成22年3月31日医政発0331第1
号

厚生労働省

令和4年3月24日改正

seisakunitsuite/bunya/kenko http://helics.umin.ac.jp/helicu_iryou/iryou/johoka/index.h sStdList.html
tml
https://www.jisc.go.jp/app/ji

28

JIS Q 27001（情報セキュリティ
マネジメントシステム）

平成18年5月20日制定

経済産業大臣平成26年3月20日最終改正

s/general/GnrJISNumberNam
eSearchList?toGnrJISStandardDetailList

ISO14533-1：2014CMS利用電子
29 署名(CAdES)の長期署名プロファ 平成26年12月策定

ISO/TC154

イル

ISO 14533-1:2022が最新

https://www.iso.org/standar https://www.iso.org/standar（令和4年6月策定）

d/64756.html

ISO14533-2:2021XML署名利用電
30 子署名(XAdES)の長期署名プロ

令和3年8月策定

ISO/TC154

令和3年8月策定

平成29年9月策定

ISO/TC154

平成29年9月策定

ファイル

31

32

ISO14533-3:2017PDF長期署名プ
ロファイル(PAdES)JIS Q 15001（個人情報保護マネ
ジメントシステム）

平成11年3月20日制定「医療情報システムの安全管理に33 関するガイドライン」の実装事例 平成19年2月公表に関する報告書

34 TLS暗号設定ガイドライン3.0.1版 平成27年5月8日初版発行『製造業者・サービス事業者によ35 る医療情報セキュリティ開示書』 令和3年3月公表
ガイド（原案作成）一般財団法人日本情報経済社会推進協会（JIPDEC）

2017年12月20日改正

一般社団法人保健医療福祉情報シ
ステム工業会（JAHIS）

https://www.iso.org/standard/67937.html

oks/W11M0090/index/?buns
yo_id=JIS+Q+15001%3A2017

http://www.heasnet.jp/open
平成19年2月公表

ソーシアム（HEASNET）

独立行政法人情報処理推進機構

d/79129.html

https://webdesk.jsa.or.jp/bo

保健・医療・福祉情報セキュア
ネットワーク基盤普及促進コン

https://www.iso.org/standar/report.php?data=report_docs

令和2年7月8日改定

令和3年3月公表

https://www.cryptrec.go.jp/op_guidelines.html

https://www.jahis.jp/standard/detail/id=779

d/81814.html

IoT セキュリティガイドライン
36

ver1.0（IoT 推進コン
ソーシアム、総務省、経済産業

IoT 推進コンソーシアム
平成28年7月5日公表

37て

38 IPA対策のしおりシリーズ

平成28年4月28日公表

平成24年1月30日第1版策定

デジタル画像の取り扱いに関する39 ガイドライン 3.0 版（平成 27 年

平成28年7月5日公表

経済産業省

省；平成 28 年 7 月）

標的型攻撃メールへの対処につい総務省

平成11年4月公表

4 月）

日本医療情報学会

情報処理推進機構（IPA）

日本医学放射線学会電子情報委員会

平成28年4月28日公表

令和2年9月4日最終更新

https://www.ipa.go.jp/securi http://www.iotac.jp/wg/secu
ty/iot/https://www.jami.jp/medical
Fields/イド～あなたの病院の個人情報を守るために～（医療情報システム
開発センター）

平成19年3月発行

一般財団法人医療情報システム開

mber_info/guideline/2015041
7.html発センター（MEDIS）

平成19年3月発行

Fields/Documents/targetedm
ailattack.pdf

ty/antivirus/shiori.html

個人情報保護に役立つ監査証跡ガ
40

https://www.jami.jp/medical

https://www.ipa.go.jp/securi

http://www.radiology.jp/me
平成27年4月改定

rity/https://www.medis.or.jp/7_ki
kaku/hanbai/hanbai.html

http://www.radiology.jp/content/files/20150417.pdf

http://www.radiology.jp/member_info/guideline/2006040
2.html