厚生労働省「医療情報システムの安全管理に関するガイドライン」へのリスクベース対応に向けたポイント～第7回：外部情報処理事業者に対するITガバナンスの重要性としての第8章

医療機関等が実施すべきITガバナンス上の取組

医療機関等が外部IT事業者の提供するシステム環境に医療情報を電子的に保存することは、当該事業者に医療情報というセンシティブな個人情報の処理・保存等に係る業務を委託することと同義です。医療機関等では、様々な臨床／事務等に係る業務遂行に際して多くの業務を外部委託することが一般的ですが、医療情報システムという院内の業務インフラを外部事業者へ委託することは、同時にその管理を外部者へ委ねるという、非常に重要な決断を行うということでもあります。そのため第8章では、守秘義務、作業範囲の制限等、外部IT事業者との契約締結に際して事前に調整・交渉すべき、契約上の要求事項が最低限実施すべき事項としてさまざまに定められています。その中でも、ITガバナンスの観点で特に重要な事項は、業務委託期間において、外部事業者が契約に基づく適切な委託業務の運営を行っていることを定期的に報告させることを確実に求める要件と言っていいでしょう。具体的には、厚生労働省安全管理ガイドラインの第8章：8-1-2-C：最低限のガイドラインの、以下、C-（ウ）の事項が該当します。

【第8章：8-1-2：最低限のガイドライン】

（ウ）：受託事業者が民間事業者等に課せられた経済産業省の「医療情報を受託管理する情報処理事業者向けガイドライン」や総務省の「ASP・SaaS における情報セキュリティ対策ガイドライン」及び「ASP・SaaS 事業者が医療情報を取り扱う際の安全管理に関するガイドライン」等を遵守することを契約等で明確に定め、少なくとも定期的に報告を受ける等で確認をすること。（※）

外部IT事業者に対して、経済産業省または総務省の各ガイドラインに基づく自社の管理状況の定期報告を求め、その内容が契約上、妥当であるかどうかを医療機関等が確認するという要件は、限られた人的リソースでIT管理を行っている医療機関等にとっては、言うは易し、行うは難しかもしれません。経済産業省または総務省の各ガイドラインに基づく報告書は、技術専門性も高く、その内容を十分に吟味できるリソース自体が院内に存在しないケースもあるかもしれません。

しかしながら、業務インフラの中核を外部IT事業者へ委託することに伴う説明責任という観点から、その安全性を確実に確保することは、医療機関等にとって最重要ステークホルダーである患者から求められていることでもあると言えます。例えば、医療情報システムの管理監督が十分でなく、システム障害が発生した場合、最も悪影響を被るステークホルダーは院内の関係者や外部IT事業者でもなく、ほかならぬ患者です。

例えば、厚生労働省安全管理ガイドラインの「8.1.3：個人情報の保護-C：最低限のガイドライン」でも述べられている通り、外部保存を行っている医療機関等においては、患者に対して『外部保存を行っている旨を、院内掲示等を通じて説明し理解』を得ることが求められています。これは、医療情報の外部保存（医療情報システムの外部委託）において、自身への不利益が発生しないことを患者本人から同意を得ることの重要性を示していると言えます。

患者保護の観点より、医療機関等は、外部IT事業者の院内システム運営状況の定期的なモニタリングを行い、問題があれば適切な改善指導を行い、患者への医療サービスの提供の信頼性・継続性に影響を発生させないようにする管理責任を担っています。もし院内の人的リソースが不足しているのであれば、他の医療機関から情報収集を行う、あるいは外部の専門家に相談する等、さまざまな対応アプローチがあります。報告資料が存在すれば、事後的に取るべき対応を検討することが可能ですが、報告資料が存在しなければ、検討を行うこと自体が不可能となってしまいます。

このように、医療機関等は、まず外部のIT事業者に報告を求め、その内容のモニタリングを通して改善指導を行うという基本的な姿勢を持つことが重要です。この姿勢のもとで初めて、医療情報の外部保存（医療情報システムの外部委託）に際した、外部IT事業者へのITガバナンスの前提が担保されるようになります。

※：2018年7月時点で、「ASP・SaaS における情報セキュリティ対策ガイドライン」は『クラウドサービス提供における情報セキュリティ対策ガイドライン』、「ASP・SaaS 事業者が医療情報を取り扱う際の安全管理に関するガイドライン」は『クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン』への改定が進んでいます。