法令だけでは足りない―医療情報ガイドラインと医療DXのリアル

ガイドラインが「事実上の必須要件」になる構造

医療情報システムの安全管理ガイドラインは、名称こそ「ガイドライン」ですが、実務的にはほぼ必須の基準として扱われています。その理由は、医療機関にとって、個人情報保護法や医療法などを遵守していることを対外的に説明する際、このガイドラインに沿った運用をしているかどうかが、最も分かりやすい指標になるからです。監査法人や行政の立入検査、保険者のチェックなどでも、このガイドラインが参照されるケースが少なくありません。

第6.0版では、サイバー攻撃の高度化やクラウドサービスの普及を背景に、組織的・技術的な安全管理措置が一段と具体化されました。経営層に対しては、単に「情報セキュリティに配慮する」ではなく、情報セキュリティポリシーの策定、予算措置、BCPとの連動など、統制の枠組みを構築する責任が明示され、情報システム担当者には、アクセス制御やログ管理、暗号化、バックアップ、委託先管理といった具体的な対策が求められています。

このガイドラインが「必須」に近い重みを持つもう一つの理由は、ベンダーやクラウド事業者が製品・サービスの仕様を設計する際の前提条件になっていることです。医療向けSaaSやクラウドサービスのパンフレットには、「医療情報システム安全管理ガイドライン第6.0版準拠」といった文言が並びます。つまり、ガイドラインは医療機関の内部ルールであると同時に、市場に流通するITサービスの品質を規定する「業界標準」の役割も果たしているのです。

医療DXプロジェクトとガイドラインの関係

全国医療情報プラットフォームや電子処方箋、オンライン資格確認といった医療DXプロジェクトは、単独の大規模システムとして存在しているわけではありません。実際には、各医療機関の電子カルテシステムやレセプトコンピュータ、院内ネットワーク、地域医療連携システムなどと複雑に連動しながら動いています。その際、どこまでを国のシステム側が責任を持ち、どこからを医療機関やベンダー側の責任とするのかという「責任分界」が常に問題になります。

医療情報システム安全管理ガイドラインは、この責任分界を整理するための枠組みも提示しています。クラウドサービスを利用する場合、インフラ部分のセキュリティはクラウド事業者が担う一方で、アカウント管理やアクセス権限設定、ログの確認、端末側のセキュリティなどは医療機関の責任、というように、層ごとに役割を分けて考えるのが基本的なアプローチです。これを明確にしないままシステム導入を進めてしまうと、インシデント発生時に「誰が何を怠ったのか」が不明瞭になり、適切な改善が進まなくなってしまいます。

また、ガイドラインは、医療DXプロジェクトに参加する際の「参加条件」としても機能します。オンライン資格確認を利用するためには、ネットワーク分離や端末認証、マルウェア対策、物理的なアクセス制御など、一定のセキュリティ要件を満たす必要があります。電子処方箋や電子カルテ情報共有サービスへの接続も同様で、それぞれの仕様書とガイドラインを突き合わせながら、院内のインフラ整備計画を立てていくことになります。

ガイドライン時代の現場課題とこれから

もっとも、ガイドラインが整備されたからといって、すべての医療機関が理想的なセキュリティ体制を構築できているわけではありません。地方の中小規模病院や診療所では、専任の情報システム担当者を置くこと自体が難しいケースも多く、日々の診療を回すだけで手一杯という現実があります。ランサムウェア攻撃による診療停止のニュースが相次ぐなかで、最低限のセキュリティ対策と医療DXへの対応をどのように両立させるのかは、今後しばらく続く大きな課題です。

その意味で、ガイドラインは「守るべきチェックリスト」であると同時に、「どこまでできれば一定の水準を満たしていると言えるのか」を示すベンチマークでもあります。すべての項目を完璧に満たすことが難しい医療機関であっても、自院のリスクとリソースを踏まえ、優先順位をつけながら段階的に対応を進めていくことが現実的なアプローチです。その際には、ベンダーや地域の医師会、第三者機関などとの連携を通じて、知見やコストをシェアしていく工夫も求められます。

今後、医療情報ガイドラインはサイバー攻撃の手口や技術の進展に応じて、さらに改定が行われていくと見込まれます。重要なのは、そのたびに「また新しいことをやらされる」と受け身になるのではなく、自院のデータガバナンスや医療DX戦略を見直す機会と捉える姿勢です。法律だけではカバーしきれない現場のリアルな課題を、ガイドラインという形でどこまで吸収できるか。それこそが、医療DXの成否を左右する鍵になっていくのかもしれません。