厚生労働省「医療情報システムの安全管理に関するガイドライン」へのリスクベース対応に向けたポイント～第6回：IT内部統制から見る電子保存の3原則

厚生労働省：「医療情報システムの安全管理に関するガイドライン」（以下、厚労省安全管理GL）の第7章では、e文書法等の適用範囲にある医療情報（診療録、処方せん、助産録、調剤録、照射録等）を電子的に処理・保存する情報システムに求められる法令遵守要件が、電子保存の要求事項として定められています。

電子保存の要求事項の詳細については既にさまざまな解説が一般的に行われていますので、ここでは、第4回で整理したIT内部統制の観点より、厚労省安全管理GLが求める電子保存の3原則、すなわち「真正性」、「見読性」、「保存性」の3つの原則について解説します。

なお、電子保存の3原則を確実に実現するためには、第4回で取り上げたIT内部統制の全ての領域を一定の合理的な水準で運用することが求められます。よって、特定のIT内部統制と原則を結び付けて論じることにあまり意味はありませんが、各原則を正しく遵守するために特に重点的な取り組みが求められるIT内部統制もあるため、本コラムではそれらを中心に解説します。

なお、本コラムにおける意見・判断に関する記述は筆者の私見であり、所属組織の見解とは関係のない点を予めお断りしておきます。

見読性について

厚労省安全管理GLにおいて、「電子媒体に保存された内容を、『診療』、『患者への説明』、『監査』、『訴訟』等の要求に応じて、それぞれの目的に対し支障のない応答時間やスループット、操作方法で、肉眼で見読可能な状態にできること」と定められた見読性は、必要な時にいつでも正確なデータの利用が可能な仕組みを維持するという意味で、情報セキュリティにおける「可用性」に類する概念です。

この要件を満たすためには、少なくともシステム障害などによる利用不可状況を予防するために、バックアップ取得やシステムパフォーマンスの見直しを図る＜システム保守管理＞、およびシステムが利用不可となった場合の緊急対応を実効的に行うための＜業務継続管理＞というIT内部統制が重点的に求められます。

障害・不具合に伴うシステム利用水準の低下の未然防止、あるいは当該事態の発生を見据えた対策を事前に講じるとともに、関係者を交え、実際にそのような事態が発生した場合の対応計画の策定／訓練を実施しておくことで、必要な時にいつでもデータを利用可能な状況を維持することが可能になります。

なおこの概念には、バックアップシステムも含めた全てが利用不可になるという最悪のリスクシナリオの下で、該当システムに保管されたデータをエクスポートし、直接的に参照できるようにするツールを予め準備することも、要件の一部として含まれます。

例えば医療現場では、システムが利用不可となり、患者関連データを参照できなくなる事態を想定し、医療行為の継続性を損なわないための対策が要求されるため、このような観点も含め、見読性への対応を図ることが必要になります。

電子保存の3原則で情報セキュリティは確保可能か

では、電子保存の3原則の全てに対応すれば、情報セキュリティへの対応を果たしたと言えるのでしょうか。

既に述べているとおり、電子保存の3原則を、ISO27001等などが定める情報セキュリティに引き寄せると、真正性は情報が正確かつ完全であることを求める「完全性」、見読性／保存性は必要な時に必要な情報を利用可能とする「可用性」に類似する概念であると言えます。

しかしながら、電子保存の3原則は、許可された者のみが情報へアクセスできること、つまり「機密性」の要件までは含んでいない点に留意が必要です。

「機密性」の要件自体は、「完全性」が求めるIT内部統制に通底するところがありますが、「完全性」とはあくまでデータの改ざん・毀損を予防・発見することが目的であり、データの機微性に応じた参照権限のコントロールを明示的に含んではいません。よって「機密性」という情報セキュリティは、電子保存の要求事項から独立した取り組みとして検討しなければなりません。

この点については、特定非営利活動法人デジタル・フォレンジック研究会が公表する「『医療情報システムの安全管理に関するガイドライン」対応のための手引き」（※1）に詳細が記されていますが、ひとことで言えば、「機密性」の要件は、IT内部統制のうち、＜契約管理／リテラシー管理＞に係る人的な安全管理を中心とした取り組みによって担保されるしかない状況です。

医療機関における情報漏えい等を見れば分かるとおり、＜機密性＞を損なう事態の多くは、電子保存の3原則を担保するためのIT内部統制のみでは対応できない、人の意識の弱さに係る点を起因としています。人は過ちを犯すがゆえにIT内部統制が求められますが、内部統制を担うのもまた人です。情報セキュリティを維持するためには、電子保存の3原則が重点的に求めるIT内部統制のみに注力するのでなく、人を対象とした安全管理へのコミットも欠かせません。この二つが相乗的に機能することで、初めて、電子保存の要求事項を通した情報セキュリティが実現すると言えるでしょう。