○塩竈市立病院医療情報システム運用管理規程
令和3年12月15日
市立病院庁訓第17号
目次
第1章 総則(第1条―第3条)
第2章 管理体制(第4条―第8条)
第3章 運用責任者等の責務(第9条―第12条)
第4章 一般管理における運用管理事項(第13条―第20条)
第5章 業務委託する場合の安全管理措置(第21条―第23条)
第6章 情報及び情報機器の持ち出し(第24条―第28条)
第7章 外部の機関と医療情報を交換する場合(第29条・第30条)
第8章 非常時の対策(第31条―第33条)
第9章 電子保存における運用管理事項(第34条―第38条)
第10章 雑則(第39条)
第1章 総則
(趣旨)
第1条 この規程は、塩竈市立病院情報セキュリティ基本方針(令和3年市立病院告示第2号。以下「基本方針」という。)に基づき、塩竈市立病院(以下「市立病院」という。)の医療情報を適正に保存、活用するため、医療情報システムで使用される機器、ソフトウェア及びその運用に必要な仕組み全般について、その取扱い及び管理に関し必要な事項を定める。
(対象システム及び対象情報)
第2条 この規程の対象となるシステムは、市立病院で運用する電子カルテシステム及び同システムと接続する全ての部門システム並びに接続機器など診療情報を取り扱うシステム(以下「医療情報システム」という。)とする。
2 この規程の対象となる情報は、市立病院が保有するすべての医療情報とする。
3 この規程の対象となるシステムが扱う情報については、安全管理上の重要度に応じてこれを分類し、そのリスクを分析しておかなければならない。
(標準規格)
第3条 医療情報の相互運用性を確保するため、医療情報システムの導入時や更新時においては可能な限り厚生労働省における保健医療情報分野の標準規格等に対応したシステムとするように努めなければならない。
第2章 管理体制
(職及び組織)
第4条 医療情報システムの適正な運用を図るため、基本方針第7項に基づき、次の職及び組織を置く。
(1) 医療情報システム運用責任者(以下「運用責任者」という。)
(2) 個人情報保護責任者
(3) 医療情報システム管理者(以下「システム管理者」という。)
(4) 医療情報システム部門管理者(以下「部門管理者」という。)
(5) 医療情報システム監査責任者(以下「監査責任者」という。)
(6) 医療情報システム管理委員会(以下「管理委員会」という。)
2 監査責任者の職務及び管理委員会の運営に関し必要な事項は、別に定める。
(文書管理体制)
第5条 この規程に定めるほか、医療情報システムに関連する各種文書の管理については、塩竈市立病院文書取扱規程(令和3年市立病院庁訓第7号)に定めるところによる。
(窓口の設置)
第6条 基本方針第15項に基づき、医療情報システムに関する苦情、相談等を受け付ける窓口を設置するものとし、その運用等については、別に定める。
(事故対策)
第7条 システム管理者は、緊急時及び災害時の連絡、復旧体制並びに回復手順を定めて文書化し、医療情報システムに関わる職員(以下「関係職員」という。)に周知の上、常に利用可能な状態におかなければならない。
2 システム障害に対する具体的手順等については、別に定める。
(教育・訓練体制)
第8条 システム管理者は、医療情報システムの取扱いについてマニュアルを整備し、関係職員に周知の上、常に利用可能な状態にしておかなければならない。
2 システム管理者は、関係職員に対し、定期的に医療情報システムの取扱い及びプライバシー保護に関する研修を行わなければならない。この場合において、システム管理者は、当該研修時のテキスト及び出席者リストを保存しておくものとする。
第3章 運用責任者等の責務
(運用責任者の責務)
第9条 運用責任者は、医療情報システムの機能が支障なく運用される環境を整備しなければならない。
2 運用責任者は、監査責任者に監査を実施させ、その結果の報告を受けて、問題点の指摘等がある場合には、直ちに必要な措置を講じなければならない。
(システム管理者の責務)
第10条 システム管理者は、次の各号に掲げる事項を確実に実施しなければならない。
(1) 医療情報システムに用いる機器及びソフトウェアを導入する場合は、それにより医療情報システムの機能に支障が生じないよう十分に確認すること。
(2) 医療情報の漏えい等に対して十分な安全性を確保すると同時に、医療情報が常に利用可能な状態に置いておくこと。
(3) 医療情報システムに用いる機器やソフトウェアに変更があった場合にも、医療情報が支障なく継続して使用できるように維持すること。
(4) 関係職員の医療情報システム利用者登録を管理し、そのアクセス権限を規定して、不正な利用を防止すること。
(5) 医療情報システムを正しく使用させるため、マニュアル等を整備し、関係職員の教育と訓練を行うこと。
(6) 医療情報システムの運用にあたり、院外の事業者を利用する場合は、当該事業者の提供するサービスが、医療情報システムの安全管理に関するガイドライン(令和3年1月厚生労働省)等に適合していることを文書等で確認すること。
(7) その他、医療情報システムの維持管理に必要と認められること。
(部門管理者の責務)
第11条 部門管理者は、次の各号に掲げる事項を確実に実施しなければならない。
(1) 自部門のシステムの運用管理に責任を持つこと。
(2) 自部門のマスターを管理すること。
(3) 自部門のマスターに変更又は追加が生じた場合は、速やかに書面をもって関連部門の部門管理者及びシステム管理者に通知すること。
(4) その他、部門システムの維持管理に必要と認められること。
(1) 自身の認証番号やパスワードを厳重に管理し、他者に利用させないこと。
(2) 医療情報システムを使用する場合は、認証番号やパスワードにより、同システムに自身を認識させること。
(3) 医療情報システムへの入力に際しては、確定操作(入力情報が正しいことを確認する操作をいう。)を行って、入力情報に対する責任を明示すること。
(4) 与えられたアクセス権限を超えた操作を行わないこと。
(5) 医療情報システムで参照した情報を目的外に利用しないこと。
(6) 患者のプライバシーを侵害しないこと。
(7) システムの異常を発見した場合は、速やかに部門管理者及びシステム管理者に連絡し、その指示に従うこと。
(8) 不正アクセスを発見した場合は、速やかに部門管理者及びシステム管理者に連絡し、その支持に従うこと。
(9) 離席する際は、ログアウト操作を行うこと。
第4章 一般管理における運用管理事項
(入退管理等)
第13条 医療情報が保管されている機器の設置場所及び記録媒体の保管場所(以下「サーバ室等」という。)は常時施錠しておくものとする。
2 サーバ室に入室する者は、システム管理者の許可を得た上で、必ず名札を着用し、名簿に記録を残さなければならない。
3 システム管理者は、定期的に前項の名簿の内容を確認しなければならない。
(アクセス管理)
第14条 医療情報システムを使用しようとする関係職員の識別と認証は、認証番号とパスワードを用いるものとする。
2 認証番号は個人単位で付与する。
3 パスワードは8桁以上20桁以内の英大文字、英小文字及び数字を組み合わせたものとし、その有効期限は60日以内とする。
4 システム管理者は、関係職員の職務により定められた権限によるデータアクセス範囲を定め、その範囲外にアクセスできないように機器等の設定を行わなければならない。
5 システム管理者は、前項の設定に沿って適切な使用がなされているか定期的にアクセス状況を確認し、その内容を監査責任者に報告しなければならない。
(記録媒体のバックアップ)
第15条 各部門管理者は、その管理するシステムのデータについて、定期的にバックアップを取得し保管しておかなければならない。
2 前項の作業については、その記録を残し、システム管理者の承認を得なければならない。
(記録媒体の廃棄)
第16条 医療情報を記録した媒体(内部に媒体を有する情報機器を含む。)を廃棄する場合、部門管理者は、次に定める手順に従って行うものとする。
(1) 事前にシステム管理者の許可を得ること。
(2) 廃棄にあたっては、次のいずれかの方法により、記録の再生が不可能な状態とすること。
ア 物理的破壊 物理的衝撃又は高温等により再生不能にするもの
イ 磁気的破壊 磁気的破壊装置により磁力を加えて再生不能にするもの
ウ 消去ソフトウェアによる破壊 無意味データを上書きするもの
(3) 廃棄の手段、実施者及び日時の記録を残すこと。
2 システム管理者は、前項の作業が安全かつ確実に行われたことを、作業の前後に確認しなければならない。
3 廃棄業務を事業者に委託する場合も、前2項と同様の手順で廃棄を行ったことを書類で提出させなければならない。
(リスク対応)
第17条 システム管理者は、業務上において情報漏えい等のリスクが予想されるものに対し、運用管理規程の見直しを行うなどの予防対策を行わなければならない。
2 システム管理者は、事故発生時には速やかに運用責任者に報告するとともに、関係職員に周知しなければならない。
(技術的対策と運用的対策の分担)
第18条 システム管理者は、医療情報システムの各システムについて、その設計時及び運用開始時に、医療情報セキュリティに関する技術的対策と運用による対策を、基準適合チェックリストに記載し、必要時には第三者への説明に使用できる状態で保存しておくものとする。
2 システム管理者は、医療情報システムの保守を行うときは、基準適合チェックリストの記載に従っていることを確認しなければならない。
3 システム管理者は、医療情報システムの改造を行うときは、最新の基準適合チェックリストに従って、技術的対策と運用による対策の分担を見直さなければならない。
4 前各号の技術的対策の内容については、製造業者／サービス事業社による医療情報セキュリティ開示書(JAHIS標準20―005)等を参考とする。
(無線LANの管理)
第19条 無線LANを利用する場合、システム管理者は、次に各号に掲げる対策を実施するものとする。
(1) 無線LANアクセスポイントの設定状態を適宜確認すること。
(2) ANY接続拒否等の対策を実施する等、適切な利用者以外に利用されないようにすること。
(3) MACアドレスによるアドレス制限を実施する等、不正アクセス対策を実施すること。
(4) WPA2―AES等により通信を暗号化すること。
(5) 携帯ゲーム機等、電波を発する機器による電波干渉に留意すること。
(電子署名・タイムスタンプ)
第20条 法令等で署名又は記名押印が義務付けられた文書等において、署名又は記名押印を電子署名に代える場合は、次の各号に掲げる条件を満たす電子署名を行うものとする。
(1) 厚生労働省の定める準拠性監査基準を満たす保健医療福祉分野PKI認証局又は認定特定認証事業者等の発行する電子証明書を用いて電子署名を施すこと。
(2) 電子署名を含む文書全体にタイムスタンプを付与すること。
(3) タイムスタンプを付与する時点で有効な電子証明書を用いること。
第5章 業務委託する場合の安全管理措置
(委託契約における安全管理措置)
第21条 医療情報システムに関する業務の全部又は一部を院外の事業者に委託する場合は、次の各号に定める措置を実施しなければならない。
(1) 業務委託契約を締結するときは、契約内容に受託者の守秘義務を含めるとともに、個人情報の保護に関する双方の責任を明確化する等、十分な個人情報の保護水準を担保できるようにすること。
(2) システム管理者及び各部門管理者は、委託した業務内容が、個人情報保護の観点から適正かつ安全に行われていることを確認すること。
(3) 受託者が許可なく個人情報を含むデータを院外に持ち出すことのないようにすること。
(業務の再委託)
第22条 医療情報システムに関する業務を受託した事業者が、その業務の一部を再委託しようとする場合は、個人情報の保護水準に関し、市立病院と受託事業者との間で締結した契約と同等の水準が、再委託事業者との間で確保されていることを確認できなければ、これを許可しない。
(保守及び改造時の作業報告確認)
第23条 医療情報システムに関する業務を受託した事業者が、同システムの保守又は改造のための作業を行おうとするときは、システム管理者は、次の各号に掲げる事項について確認を行うものとする。
(1) 保守要員専用のアカウントを使用してること。
(2) 作業について事前申請されていること。
(3) 作業者、作業内容、作業結果等について報告されていること並びに報告どおりの作業結果となっていること。
(4) その他、医療情報システムの安全管理に関するガイドライン中6.8(医療情報システムの改造と保守)のC(最低限のガイドライン)及びD(推奨されるガイドライン)の各項目を遵守していること。
2 清掃等、直接医療情報システムに関わらない作業であっても、システム管理者は、その作業結果を定期的に確認しなければならない。
第6章 情報及び情報機器の持ち出し
(持ち出し対象となる情報及び情報機器)
第24条 市立病院の保有する医療情報及びそれを取り扱う情報機器(可搬媒体を含む。以下同じ。)の院外への持ち出しについては、次項に定めるものを除き、禁止する。
2 システム管理者は、院外に持ち出す必要のある医療情報及び情報機器について、それを持ち出すことによるリスク分析を行った上で、持ち出し対象となる医療情報及び情報機器を特定し、その取扱いを定めて関係職員に周知するものとする。
3 個人所有の情報機器を業務に使用することは、これを認めない。
(持ち出した医療情報及び情報機器の管理)
第25条 前条第2項に定める医療情報及び情報機器を院外に持ち出す場合は、持ち出そうとする関係職員の所属、氏名、連絡先、持ち出す医療情報の内容、格納する情報機器、持ち出す目的及び期間をシステム管理者に届け出て、承認を得なければならない。
2 システム管理者は、医療情報が格納された情報機器の所在について台帳で管理するものとし、その内容について定期的に確認して所在状況を把握しておかなければならない。
(持ち出した医療情報及び情報機器への安全管理措置)
第26条 システム管理者は、医療情報が格納された情報機器を安全に管理するため、次に掲げる措置を講じておかなければならない。
(1) 起動パスワードを設定しておくこと。この場合、推定しやすいパスワード等の使用を避けるとともに、定期的な変更等の対策を実施すること。
(2) ウィルス対策ソフトをインストールしておくこと。
(3) 公衆無線LANを使用させないこと。ただし、やむを得ず使用させるときは、医療情報システムの安全管理に関するガイドライン中6.11(外部と個人情報を含む医療情報を交換する場合の安全管理)の基準を満たしていることを確認すること。
(4) 持ち出した医療情報を、システム管理者が承認していないアプリケーションがインストールされ、又はシステム管理者が承認していないサービスが利用できる情報機器で扱わせないこと。
(5) 持ち出した情報機器には、システム管理者が承認していないアプリケーションやサービスを使用させないこと。
(盗難、紛失時の対応策)
第27条 持ち出した情報機器の盗難、紛失に対応する措置として、システム管理者は、医療情報を暗号化し、又はアクセスパスワードを設定する等、容易に内容を読み取られないようにしておかなければならない。
2 持ち出した情報機器の盗難、紛失等があったことを知った関係職員は、直ちにシステム管理者に届け出なければならない。
3 前項の届出を受けたシステム管理者の対応については、別に定める。
(関係職員への周知)
第28条 システム管理者は、医療情報及び情報機器の持ち出しに関してマニュアルを整備し、関係職員に周知の上、常に利用可能な状態にしておかなければならない。
2 システム管理者は、関係職員に対し、医療情報及び情報機器の持ち出しについて、必要な研修を行うとともに、そのテキスト及び出席者のリストを保存しておかなければならない。
第7章 外部の機関と医療情報を交換する場合
(技術的、運用的面からの安全確認)
第29条 システム管理者は、外部の機関と医療情報を交換する場合は、当該交換にかかるリスク分析を行った上で、安全に運用されるように技術的及び運用的対策を講じなければならない。
2 前項の技術的対策とは、医療情報システムの安全管理に関するガイドライン中6.11(外部と個人情報を含む医療情報を交換する場合の安全管理)のC(最低限のガイドライン)及びD(推奨されるガイドライン)のうち、技術面に関する対策をいう。
3 システム管理者は、前項の技術的対策が適切に実施されているか定期的に監査を行って確認しなければならない。
(1) 外部の機関との情報通信に当たって関わる電気通信事業者等の関連組織との間で、次に掲げる事項についての責任分界点、責任の所在を契約書等で明確にすること。
ア 医療情報を送信先の外部機関に送信するタイミングと一連の情報交換に関わる操作を開始する動作の決定
イ 送信元がネットワークに接続できない場合の対処
ウ 送信先がネットワークに接続できなかった場合の対処
エ ネットワークの経路途中が不通の場合又は著しい遅延が発生している場合の対処
オ 受け取った医療情報を正しく受信できなかった場合の対処
カ 伝送情報の暗号化に不具合があった場合の対処
キ 送信元と送信先の認証に不具合があった場合の対処
ク 障害が起こった場合に障害部位を切り分ける責任
ケ 送信先又は送信元が情報交換を中止する場合の対処
(2) 院内において、次に掲げる事項を明確にしておくこと。
ア 通信機器、暗号化装置、認証装置等の管理責任(院外の事業者へ管理を委託する場合は、責任分界点も含めた整理と契約の締結)
イ 患者等に対する説明責任
ウ 事故発生時における復旧作業、他施設やベンダとの連絡にあたる選任の責任者の設置
エ 交換した医療情報に対する管理責任及び事後責任(個人情報の取扱いに関して患者等から照会等があった場合の送信元、送信先双方への連絡に関する事項及びその場合の個人情報の取扱いに関する秘密事項)
(3) 電気通信事業者やオンラインサービス提供事業者と契約を締結する際には、脅威に対する管理責任の範囲や回線の可用性の品質を確認すること。
(4) 患者等に情報を院外から閲覧させる場合、患者等への危険性や提供目的についての納得できる説明を行い、それぞれの責任を明確にすること。
5 システム管理者は、院外の事業者にリモートメンテナンスを実施させる場合は、不必要なログインを防止するための対策を実施させるとともに、電気通信事業者等の関連する事業者との間で、責任分界点や責任の所在を明確にしておかなければならない。
(モバイル端末等による院外からのアクセス管理)
第30条 関係職員がモバイル端末等で院外からアクセスする場合は、システム管理者が事前に設定等を確認して許可した端末等に限定するものとする。
2 システム管理者は、許可した端末等がその状態を保持しているか定期的に確認しなければならない。
第8章 非常時の対策
(医療情報システムの事業継続計画)
第31条 災害やサイバー攻撃等により、医療行為の一部を停止せざるを得ない等、医療サービス提供体制に支障が発生するような非常時の場合には、別に定める事業継続計画に従って医療情報システムの運用を行うものとする。
2 前項の場合において、どのような状態を非常時とみなすかについては、別に定める基準と手順に従って運用責任者が判断する。
(医療情報システムの縮退運用又は非定常時運用)
第32条 運用責任者は、自然災害やサイバー攻撃等により医療情報システムの全部又は一部が損傷した場合及び自然災害や大規模事故等により多数の傷病者が医療サービスを求める状態となったこと等のため、医療情報システムを通常運用できないときに備え、それぞれ医療情報システムの縮退運用及び非定常時運用の規程を別に定め、関係職員に周知の上、常に利用可能な状態にしておかなければならない。
(非常時の報告)
第33条 災害、サイバー攻撃等により、一部医療行為の停止など医療サービス提供体制に支障が発生した場合、システム管理者は、別に定める連絡先に連絡するものとする。
2 コンピュータウイルスの感染などによるサイバー攻撃を受けた場合(その疑いがある場合を含む。)や、サイバー攻撃により障害が発生し、個人情報の漏えいや医療提供体制に支障が生じる又はそのおそれがある事案であると判断された場合は、システム管理者は、前項に定める連絡先に加え、厚生労働省医政局に連絡するものとする。
第9章 電子保存における運用管理事項
(真正性の確保)
第34条 法令等で保存義務のある情報の電子媒体による保存について、基本方針第5項第1号に定める真正性を確保するため、システム管理者は、第8条から第14条に定めるほか、次の各号に掲げる事項について実施し、又は関係職員に遵守させなければならない。
(1) システム管理者は、医療情報システムの入力者及び確定者の登録を管理し、そのアクセス権限を規定し、不正な利用を防止すること。
(2) システム管理者は、認証の有効回数、超過した場合の対処について、別に定めること。
(3) 入力者及び確定者は、自身の認証番号やパスワードその他認証に係る情報を管理し、それらを他者に利用させないこと。
(4) 確定者が何らかの理由で確定操作ができない場合には、管理責任者が自身の責任において確定操作を行うこと。
(5) 代行入力の場合、確定者が最終的に確定操作を行い、入力情報に対する責任を明示すること。
(6) 運用責任者は、システム構成やソフトウェアの動作状況に関する内部監査を定期的に実施すること。
(見読性の確保)
第35条 基本方針第5項第1号に定める見読性を確保するため、システム管理者は、次の各号に掲げる事項を実施しなければならない。
(1) 定期的に情報機器や記録媒体のリストを作成し、その所在場所を確認すること。
(2) 電子保存に用いる機器及びソフトウェアを導入するに当たって、保存義務のある情報として電子保存された情報ごとに、見読用機器を常に利用可能な状態にしておくこと。
(3) 情報を見読化するための応答時間が業務上必要とされる時間内に維持されるよう必要な対策を行うこと。
(4) 医療情報システムの障害時の対応体制が常に最新のものであるように管理すること。
(5) データバックアップ作業が適切に行われていることを確認すること。
(保存性の確保)
第36条 基本方針第5項第1号に定める保存性を確保するため、システム管理者は、次の各号に掲げる事項を実施しなければならない。
(1) 医療情報システムで使用されるソフトウェアについて、使用前に審査を行い、情報の安全性に支障がないことを確認すること。
(2) 医療情報システムの記録媒体を含む主要機器は、システム管理者によって入退室管理された場所に設置すること。
(3) 定期的にソフトウェアのウィルスチェックを行い、感染の防止に努めること。
(4) 医療情報システムに関する機器の設置場所には、漏電防止装置、無停電電源装置を備えること。
(5) 定期的に設置機器の点検を行うこと。
(6) 不適切な保管や取扱いによる情報の滅失、破壊を防止するため、業務担当者の変更があったときは、新任の業務担当者に対し操作前に教育を行うこと。
(7) 記録媒体は、記録された情報が保護されるよう、別の媒体にも補助的に記録すること。
(8) 品質の劣化が予想される記憶媒体は、あらかじめ別の媒体に複写すること。
(9) 機器、記録媒体及びソフトウェアの変更に当たっては、データ移行のための業務計画をつくること。
(相互運用性の確保)
第37条 電子保存された情報の相互運用性を確保するため、システム管理者は、機器やソフトウェアに変更があった場合においても、電子保存された情報が継続的に使用できるように維持しなければならない。
(スキャナによる読み取り書類の運用)
第38条 スキャナによる読み取りに関し必要な事項は、別に定める。
第10章 雑則
(その他)
第39条 前条までに定めるほか、医療情報システムの運用に関することは、医療情報システムの安全管理に関するガイドラインによるものとし、これによれないと運用責任者が認めた場合は、別に定める。
附則
(施行期日)
1 この庁訓は、令和4年1月1日から施行する。
(塩竈市立病院文書取扱規程の一部改正)
2 塩竈市立病院文書取扱規程(令和3年市立病院庁訓第7号)の一部を次のように改正する。
〔次のよう〕略