第22回 令和6年度診療報酬改定におけるサイバー攻撃対策の推進

診療録管理体制加算見直しの概要

適切な診療記録の管理を推進する観点から2023年5月に改訂された「安全管理ガイドライン第6.0版」（詳細は「第11回 医療機関に求められるサイバーセキュリティ対策【前編】医療機関のサイバーセキュリティ対策の現状と医療情報システムの安全管理に関するガイドライン改定の要点」参照）を踏まえ、2024年度の診療報酬改定では、非常時に備えたサイバーセキュリティ対策などの整備に係る要件および評価が見直されました。「診療録管理体制加算」の区分・要件の見直しは大きく分けて以下3点です。

1. 充実したサイバー攻撃対策を実施している病院に対して、診療録管理体制加算1（140点）を新設
2. 現行の診療録管理体制加算1（100点）が診療録管理体制加算2（100点）となり、専任の医療情報システム安全管理責任者の配置が許可病床数200床以上の保険医療機関へ拡大
3. 現行の診療録管理体制加算2（30点）が診療録管理体制加算3（30点）に移行

図表1：2024年度診療報酬改定における診療録管理体制加算の概要^*1

（新）診療録管理体制加算1取得のために対応すべき項目

前述のように、（新）診療録管理体制加算1では追加・変更された要件が3点あります。以下、各要件にて対応すべき項目を説明します。

1. 医療情報システム安全管理責任者の設置（許可病床数200床以上の保険医療機関対象）

許可病床数200床以上の医療機関においては、医療情報システム安全管理責任者の設置が要件となっています。医療情報システム安全管理責任者は、情報セキュリティ方針の策定および教育・訓練を含む情報セキュリティ対策を推進することが求められており、「安全管理ガイドライン」では、情報セキュリティ対策に関する統制の実効性を確保するために、経営層がその役割を担うことが想定されています。具体的には、サイバー攻撃発生時には、医療情報システムの停止を受けて診療の停止を指示できる病院長クラスの人材が対象となります。

2. 医療情報システムのオフラインバックアップ体制の確保

医療情報システムのオフラインバックアップ体制については、非常時に備えた医療情報システムのバックアップを複数の方式で確保し、その一部はネットワークから切り離したオフラインで保管していることが要件となっています。この要件を満たすためには具体的にどういった対応が必要かは、疑義解釈の回答において説明されています（図表2）。

図表2：疑義解釈における回答

3. 医療情報システムの利用が困難な場合の対応を想定したBCPの策定および訓練・演習の実施

医療情報システムに対するサイバー攻撃について、想定される被害、求められる対応および措置は、震災などの自然災害とは大きく異なります。そのため、多くの医療機関が策定している自然災害向けBCPをそのまま適用することは難しく、新たに策定が必要となると想定されます。サイバー攻撃向けBCP策定のポイントについては「第11回 医療機関に求められるサイバーセキュリティ対策【後編】サイバー攻撃向けBCP策定のポイント」にて解説していますが、BCPは策定して終わりではなく、職員教育や定期訓練・演習を通して最新の状況に合わせて見直しを行い、陳腐化を防止する必要があります。また、訓練や演習を通して見えてきた課題に対して、備えるべき目標や対策レベルを設定し、通常時からのリスク軽減や回避を中心とした事前対策を行うことが重要であり、（新）診療録管理体制加算1の要件においては、少なくとも年1回程度、定期的に訓練・演習を実施し、その結果を踏まえ、必要に応じて改善に向けて対応することが求められています。

現行の診療録管理体制加算1を取得している医療機関の中には、（新）診療録管理体制加算1取得に向けて動き始めている医療機関も多いと推察されます。2024年度の診療報酬改定により追加・変更された3つの要件のうち、最も注力すべきはBCP策定です。実際にサイバー攻撃が発生した際、早期に診療機能を回復させるにはBCPは不可欠と言えます。