厚生労働省は5月31日、医療情報システムの適切な取扱い等を示す「医療情報システムの安全管理に関するガイドライン」を「第6.0版」に改定し、医療機関等への周知徹底を図るよう自治体に通知した。
参考：厚生労働省HP『医療情報システムの安全管理に関するガイドライン　第6.0版（令和5年5月）』

オンライン資格確認導入の原則義務化（令和5年4月から）に伴い、ガイドラインに記載されているセキュリティ対策については、より多くの医療機関等に共通して求められるものとなる。
今回の改定はこうした背景から、より安全管理の実効性を高めるため、全体構成の見直しが行われたものとなっている。
また、サイバー攻撃の多様化・巧妙化などを踏まえ、医療機関等に求められる安全管理措置を中心に、内容の見直しも行われている。
主な改定の内容は以下の通りである。

「経営管理」「企画管理」「システム運用」――読者類型で整理

旧版となる第5.2版では、安全管理に必要な内容を示した本編と、前提となる考え方や具体的な方策例を示した別冊編の2編に分けられていた。
これに対して、第6.0版では「概況編（Overview）」「経営管理編（Governance）」「企画管理編（Management）」「システム運用編（Control）」の4編への分冊化が図られた。
「概況編」は、各編に共通する内容を整理したものであり、他の3編を理解する上で前提となる考え方などが示されたもの。
一方、残り3編は主に医療機関等において想定する読者類型ごとに、次のように整理された。

「経営管理編」
対象者：組織の経営方針を策定し、意思決定を担う経営者層
内容：経営層として遵守・判断すべき事項や企画管理やシステム運営の担当部署・担当者に対して指示・管理すべき事項、その考え方

「企画管理編」
対象者：医療情報システムの安全管理（企画管理・システム運営）の実務を担う担当者（企画管理者）
内容：安全管理の実務を担う担当者として遵守すべき事項、医療情報システムの実装・運用に関してシステム運用担当者に対する指示・管理を行うに当たり遵守すべき事項、その考え方

「システム運用編」
対象者：医療情報システムの実装・運用の実務を担う担当者
内容：情報機器やソフトウェア、インフラ等の設計・実装・運用等の担当者として適切に対応すべき事項、その考え方

こうした4編のガイドラインのほか、関連する別添として用語集や各編間の相関表などが、特集として「医療機関等におけるサイバーセキュリティ」と「小規模医療機関等向けガイダンス」が示されているほか、Q&Aも更新されている。
Q＆Aについては第5.2版の本編・別冊編の内容の一部が移動されており、また構成も新たな4編ごとに整理されるなど、ガイドラインとあわせた読みやすさの向上が図られている。

外部委託にサイバー攻撃、本人確認等を踏まえたセキュリティ対策を

全体構成の見直しのほかにも、安全管理措置を中心とした内容の見直しが行われた。
これは、クラウドサービス利用の普及や近年のサイバー攻撃、電子本人確認（eKYC: electronic Know Your Customer）の活用などを踏まえたものとなっており、次の3つに分類できる。

①外部委託、外部サービスの利用に関する整理
クラウドサービスの特徴を踏まえたリスクや対策の考え方ともに、医療機関等のシステム類型別に責任分界の考え方等を整理

②情報セキュリティに関する考え方の整理
ネットワークの安全性の考え方や認証のあり方を踏まえて、ゼロトラスト思考（オープンでない環境を含めてすべてのトラフィックについての安全性を検証するなど）に則した対策の考え方を示すほか、サイバー攻撃を含む非常時に対する具体的な対応について整理

③新技術、制度・規格の変更への対応
オンライン資格確認の導入に必要なネットワーク機器等の安全管理措置等について整理

「医療情報システムの安全管理に関するガイドライン」は病院や診療所のほか、薬局・訪問看護ステーション、介護事業者に医療情報連携ネットワーク運営事業者等において、すべての医療情報システムの運用・利用等に関わる人を対象としており、その性質上システムに求められる安全管理の水準も高い。
ガイドラインの内容は今後も随時更新される見込みとなっており、その動向に注意したい。

関連書籍

保険診療のしくみからHL7 FHIRなど最新動向まで解説　JAHIS編『医療情報システム入門2023』
※上記書籍における「医療情報システムの安全管理に関するガイドライン」の記述については、第5.2版段階のものとなるため、ご注意ください。