クリニックUSB管理の実務ルール｜税理士が解説

クリニックのUSBメモリ管理は「原則禁止＋例外管理」が基本

クリニックのUSBメモリ管理とは、患者データをむやみに外へ持ち出させない仕組みを作ることです。院長や事務長にとっての問題は、便利さを優先すると情報漏えい事故が起きやすく、一方で全面禁止だけでは現場が回らない点ではないでしょうか。実務では「USB全面禁止」よりも、原則禁止・例外許可・暗号化・台帳管理の4点セットで運用する方が現実的です。

厚生労働省の医療機関向けチェックリストでは、USBストレージ等の外部記録媒体への接続制限や、機器の台帳管理、アクセスログ管理、運用管理規程の整備が確認項目になっています。小規模クリニックでも、ルールを文書化して継続運用することが重要です。

クリニックでUSB管理が必要な理由とは

患者データ持ち出しが起きやすい場面

USBメモリの利用は、次のような場面で発生しがちです。

• レセコンや電子カルテ関連データをベンダーへ渡すとき
• 自宅作業や分院間移動で資料を持ち出すとき
• 健診データ、画像、帳票を一時保存するとき
• 古い医療機器との連携で外部媒体が必要なとき

問題は、正当な業務目的があっても、紛失・盗難・誤保存・私物USB混入が起きることです。医療分野では1件の漏えいでも信用低下が大きく、予約キャンセルや紹介減少など経営面の影響も無視できません。

医療USBメモリ禁止が検索される背景

「医療 USBメモリ 禁止」と検索されるのは、禁止すべきか、例外運用でよいか判断に迷う医療機関が多いからです。結論として、私物USBの使用は禁止、院内承認済みUSBのみ例外使用可、という整理が現実的です。現場でゼロ運用が難しいなら、禁止対象と許可対象を切り分ける必要があります。

USB全面禁止と例外許可の違い

全面禁止と例外管理には、それぞれ長所と限界があります。

電子カルテや検査機器の仕様上、外部媒体が残ることもあります。その場合は「禁止できないから放置」ではなく、「誰が、何を、いつ、どこへ、どう保護して持ち出したか」を残すことが重要です。

例外許可にすべきケース

• ベンダー保守で一時的に媒体利用が必要
• 行政・会計・監査対応で限定的に出力が必要
• ネットワーク分離された機器間で受け渡しが必要

禁止すべきケース

• 私物USBの利用
• 院長や職員の自己判断による持ち出し
• 暗号化されていない媒体の使用
• 保存後の削除確認がない運用

患者データ持ち出しルールの作り方

ルールは長文より、誰でも守れる運用に落とすことが大切です。最低限、次の5項目を規程に入れてください。

1. 使用可否の原則

「USB利用は原則禁止。院長または管理責任者の事前承認がある場合のみ可」と明記します。

2. 使用できる媒体の限定

院内貸与品のみ、シリアル番号管理済み、暗号化機能付きUSBのみ使用可とします。

3. 保存できるデータの限定

患者一覧の丸ごと保存は避け、必要最小限のデータに限定します。氏名フルセットではなくID化できるかも確認します。

4. 持ち出し承認と返却

持ち出し日時、目的、返却日時、削除確認者を台帳に記録します。

5. 事故時の初動

紛失発覚から連絡、使用停止、対象確認、報告判断までの手順を定めます。

USB情報漏洩を防ぐ実務手順

Step 1: 現在のUSB利用実態を洗い出す

まず、院内のどこでUSBが使われているかを確認します。電子カルテ、レセコン、画像機器、検査機器、会計PC、バックアップ用途など、部署別に洗い出してください。

Step 2: 接続制限を設定する

厚労省の医療機関向けチェックリストでは、USBストレージ等の外部記録媒体への接続制限が確認項目とされています。Windowsのデバイス制御、ウイルス対策ソフト、EDR、グループポリシーなどで制御する方法が実務的です。

Step 3: 承認済み媒体だけを台帳登録する

台帳には少なくとも以下を入れます。

• 管理番号
• 機器名・製品番号
• 利用者
• 持ち出し目的
• 保存データの概要
• 承認者
• 返却日
• データ削除確認日

Step 4: 暗号化とパスワード管理を徹底する

IPAは、USBメモリなどの可搬媒体を外部へ持ち運ぶ際、暗号化により紛失・盗難時の漏えいリスク低減を示しています。少なくともパスワード付きZIPではなく、媒体自体の暗号化や専用製品の利用を検討したいところです。

Step 5: 持ち出し後の削除確認まで行う

最も多い抜け漏れは「渡した後のコピー放置」です。持ち出し先での利用終了後、USB内データ削除と、元データの共有先整理まで確認しましょう。

漏えい事故が起きたときの対応

個人情報保護委員会は、要配慮個人情報を含む個人データの漏えい等に報告義務がある場合を示しており、病院における患者の診療情報や調剤情報を記録したUSBメモリの紛失を例示しています。医療情報は要配慮個人情報を含みやすいため、USB紛失は軽く扱えません。

初動で行うこと

• 事実確認
• いつ、どこで、誰が、何を失ったか整理
• USBの暗号化有無、パスワード管理状況確認
• 対象患者数と情報項目の特定
• 委託先、ベンダー、保険会社への連絡
• 個人情報保護委員会等への報告要否の確認

クリニックが見落としやすい点

• 「暗号化していないが、見つかるかもしれない」で報告判断を先延ばしにする
• 名簿だけでなく診療情報や検査結果が含まれていたことを後から把握する
• 事故後に規程が未整備だったことが発覚する

事故対応では、再発防止策の提出まで見られます。したがって、平時から台帳、規程、教育記録を残しておくことが重要です。

小規模クリニック向けの最小ルール例

小規模院で最初に整えるなら、次の水準が現実的です。

• 私物USBは全面禁止
• 院内承認済みUSBは2本まで
• 利用目的は保守・行政対応などに限定
• 必ず暗号化機能付き媒体を使用
• 持ち出しは事前承認制
• 返却当日に削除確認
• 年1回、職員研修を実施

この程度でも、無ルール状態とは大きな差があります。当法人でも、サイバー対策の相談では「USBを使っていないはずが、実は保守業者対応で使っていた」というケースがよくあります。現場の実態確認から始めることが、最も再発防止に直結します。

よくある質問

まとめ

• クリニックのUSB管理は、原則禁止と例外管理を組み合わせるのが実務的
• 私物USB禁止、承認済み媒体限定、暗号化、台帳管理が基本
• 厚労省チェックリストでも外部記録媒体の接続制限や台帳管理が重視されている
• 患者データを含むUSB紛失は、漏えい事故として初動対応が必要
• 個別のシステム構成や委託先契約により最適な運用は異なるため、規程整備は専門家と確認すると安全

参照ソース

• 厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版」: https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
• 厚生労働省「令和7年度版 医療機関におけるサイバーセキュリティ対策チェックリスト」: https://www.mhlw.go.jp/content/10808000/001450189.pdf
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」: https://www.ppc.go.jp/personalinfo/legal/leakAction/
• IPA「情報漏えいを防ぐための モバイルデバイス等 設定マニュアル」: https://www.ipa.go.jp/archive/security/crypto/gmcbt80000005tnj-att/000026760.pdf