電子カルテ セキュリティ対策｜院長が確認すべき要点

電子カルテのセキュリティ対策とは、「患者情報を守るために院長自身が管理責任を持つべき領域」です。ベンダー任せにすると責任の所在が曖昧になり、情報漏洩や診療停止といった重大リスクにつながる点が問題ではないでしょうか。医療機関では個人情報保護法に加え、厚労省ガイドラインへの対応が求められます。

電子カルテ セキュリティとは何か

電子カルテのセキュリティとは、患者情報の「機密性・完全性・可用性」を守ることです。単なるパスワード設定ではなく、運用体制まで含めた総合的な管理が必要です。

医療機関に求められる水準

厚労省の「医療情報システム安全管理ガイドライン」では、以下の3点が求められています。

• 不正アクセスの防止
• データ改ざん防止
• 災害時のデータ保全

電子カルテは「診療継続インフラ」でもあるため、単なるITではなく医療安全の一部として扱う必要があります。

ベンダー任せのリスク

よくある誤解として「クラウドだから安全」という認識がありますが、実際には以下のようなリスクがあります。

• アカウント管理は医療機関側の責任
• 設定ミスによる情報漏洩
• サイバー攻撃時の初動対応の遅れ

電子カルテ 安全対策の基本（最低限）

クリニックで最低限必要なセキュリティ対策は以下の通りです。

アクセス管理

• ID・パスワードの個別管理（共有禁止）
• 定期的なパスワード変更
• 退職者アカウントの即時削除

「誰がいつ操作したか」が追跡できる状態が必須です。

端末・ネットワーク管理

• ウイルス対策ソフトの導入
• OS・ソフトのアップデート
• 院内Wi-Fiの分離（業務用と来院者用）

バックアップ対策

• 自動バックアップの設定
• 外部保存（クラウドまたは別拠点）
• 定期的な復元テスト

ベンダー セキュリティとの違い

院長が把握すべきなのは「どこまでがベンダー責任か」です。

このように、実務の多くは医療機関側に残る点が重要です。

クリニック ITセキュリティの実務手順

実際の対応は段階的に行うと現実的です。

Step 1: 現状把握

• 利用している電子カルテの種類
• アカウント数・権限設定
• バックアップ体制

Step 2: リスク洗い出し

• パスワード共有の有無
• 退職者アカウント残存
• 外部アクセス状況

Step 3: 改善実施

• アクセス権限の整理
• ルールの文書化
• 定期点検の仕組み構築

Step 4: 年1回の見直し

• 新しいサイバーリスクへの対応
• ベンダー契約内容の再確認

電子カルテ セキュリティの注意点・リスク

サイバー攻撃（ランサムウェア）

近年、医療機関への攻撃が増加しています。被害が発生すると以下の影響があります。

• 診療停止（数日〜数週間）
• 患者情報漏洩
• 信用失墜

内部不正

意外に多いのが内部リスクです。

• 不正閲覧
• USB持ち出し
• 誤操作による削除

「内部リスク対策＝ログ管理」が鍵になります。

よくある質問

Q: 電子カルテはクラウドなら安全ですか？ ▼

完全に安全ではありません。クラウドは基盤の安全性は高いものの、アカウント管理や操作ミスは医療機関側の責任となります。

Q: 小規模クリニックでも対策は必要ですか？ ▼

必須です。むしろ小規模ほど対策が弱く、攻撃対象になりやすい傾向があります。

Q: どこまで対応すれば十分ですか？ ▼

厚労省ガイドラインに基づき、アクセス管理・バックアップ・ログ管理の3点は最低限必要です。

まとめ

• 電子カルテのセキュリティは院長責任で管理すべき領域
• ベンダー任せでは運用リスクが残る
• 最低限はアクセス管理・バックアップ・ログ管理
• サイバー攻撃と内部不正の両方に対応が必要
• 年1回の見直しと運用定着が重要

---

参照ソース

• 厚生労働省「医療情報システムの安全管理に関するガイドライン」: https://www.mhlw.go.jp/stf/shingi/2r98520000034d8o.html
• 総務省「医療分野の情報セキュリティ対策」: https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/