医療情報セキュリティ完全ガイドブック.pdf

Transcript

1. 電子カルテの検討時に読むべき 『医療情報セキュリティ完全ガイドブック』 Copyright © Medley, Inc. All rights reserved. ver.2
2. 目次： はじめに P2 1. 医療機関でセキュリティがクローズアップされた背景 P3 2. 医療情報は適切に共有する時代へ P5 3. 医療クラウドサービスのセキュリティに関するガイドラインとは？ P7 4.クラウド型とオンプレ型のそれぞれのセキュリティ P8 5.診療所は、どのようにセキュリティ対策をしたらよいのか P10 6.まとめ P11 表.診療所のセキュリティ対策チェックシート P12 1
3. はじめに この度は、電子カルテの検討時に読むべき『医療情報セキュリティ完全ガイドブック』をご 請求いただき誠にありがとうございます。 医療分野は患者の本人情報、診察記録や検査結果など、特に秘匿性の高い情報を取り扱うこと が多く、個人情報保護は医療者の守秘義務として取り扱われてきました。それにも関わらず、 医療機関での個人情報漏えいに関する報道を一度はご覧になったことがあるのではないでしょ うか。 1999年に厚生省（現厚生労働省）より「診療録等の電子媒体による保存について【医政局 通知】」が出され電子カルテの使用が認められたことを境に多くの​ 電子カルテが発売されま した。それから、20年以上が経過し今では多くの医療機関で電子カルテが稼働しています。 電子カルテの普及が進み、改めて医療機関が取るべき医療情報のセキュリティ対策が変わりつ つあります。 そこで今回、診療所が取るべきセキュリティ対策や遵守すべきガイドライン、オンプレ型・ク ラウド型それぞれの電子カルテに関するセキュリティ観点での比較などをまとめた、電子カル テの検討時に読むべき『医療情報セキュリティ完全ガイドブック』を発行いたしました。 本資料が皆様の情報収集の一助になれますと幸いです。 ※本資料は2021年1月12日時点の公表データを元に作成された資料となっております。 2
4. １．​ ​ 医療機関でセキュリティがクローズアップされた背景 レセプトのオンライン請求 　診療所がセキュリティを強く意識するようになったのは、2006年の「レセプト（診療報 酬明細書）オンライン請求の義務化」にさかのぼります。当時は、どのメーカーもレセプト コンピュータ（以下、レセコン）や電子カルテは、インターネットにつなげないというのが 基本方針でした。また、レセプトは印刷して紙で提出するのが一般的でした。 しかし、2006年に政府は「レセプトのオンライン請求義務化」という方針を打ち出し、 従来のレセプト提出をオンラインで請求する仕組みに変更しました。その後、オンラインだ けではなく、CDなど電子媒体も認められ、現在の電子レセプト請求に落ち着きました。 　レセプトには、患者さんの個人情報、保険情報、診療行為、薬剤などが記載されており、 その情報はセキュリティレベルが高いため、送信には安心安全な仕組みが必要となります。 そこで政府は、レセプトをオンラインで請求するためには「VPN」という専用回線で提出 することを義務付けました。 このVPNとは「Virtual Private Network」の略で、直訳すると仮想専用回線となります。 VPNは世界中にクモの巣のように張り巡らされたインターネット網に、暗号化技術により 仮想的なトンネルを作り出し、あたかも専用線のように安全な回線にする仕組みのことで す。当時は、このVPNを医療機関に説明するのに、大変苦労しました。医療機関はイン ターネット上でレセプトデータをやり取りすることに強い抵抗があったのです。「VPNだ から大丈夫と言われても、目に見えない仮想専用回線なんて信用できない」というのが本音 であったのだと思います。 それから13年後、社会保険診療報酬基金の「レセプト請求形態別の請求状況（平成30年 度）」によると、医療機関全体でオンラインでの請求は60.0％、電子媒体での請求は34.0 ％、紙での請求はわずか6.0％となっています。オンラインでの請求の内訳は、病床規模別 では400床以上が98.2％、400床未満が97.5％、診療所が77.4％、歯科が22.6％、調剤薬局 で98.8％となっています。多くの医療機関でレセプトをオンラインで請求することに抵抗が なくなっていることが分かるでしょう。 図　レセプト請求形態別の請求状況 出典：レセプト請求形態別の請求状況（平成30年度）＜社会保険診療報酬支払基金＞ (​ https://www.ssk.or.jp/tokeijoho/tokeijoho_rezept/tokeijoho_rezept_h30.files/seikyu_3103.pdf​ ) 3
5. 医療分野のクラウド解禁 　​ 2010年に厚生労働省が「診療録等の外部保存について」という通知を一部改正し、従 来、医療機関か医療機関に準ずる施設でしか認めていなかった診療録等の医療情報の管理 を、企業が運営するサーバで管理することが認められました。これがいわゆる「医療分野の クラウドコンピューティング（以下、クラウド）の解禁」です。 この結果、医療情報システムを企業が運営するクラウドサーバで管理・運営することが可 能となり、診療予約システムを皮切りに、いまではレセコンや電子カルテもクラウドを利用 する仕組みが広まっています。 カルテやレセプトなどの医療情報には高いセキュリティレベルが必要なため、政府が定め たセキュリティレベルをクリアしたクラウドサーバでのみ利用が認められています。 相次ぐ自然災害を受けてクラウドバックアップが進む 　​ 2011年に東日本大震災、最近では中国地方での集中豪雨など、我が国は相次ぐ自然災害 に見舞われています。災害によって紙カルテや電子カルテが水没する事件が、ニュース等で たびたび報道されています。相次ぐ自然災害の報道を受けて、いつ何時自らが当事者になる かもしれないという恐れから、多くの医療機関で危機管理意識が高まっており、BCP（ Business Continuity Plan：事業継続計画）を作成する医療機関が増えています。医療機関 にとって、事業を継続する、すなわち災害がおきても患者を診療するためには、カルテなど 医療情報を安全に管理することは重要です。 　そこで、災害対策として医療機関内で電子カルテやレセコンなどのサーバを管理するだけ ではなく、クラウド上でバックアップデータを管理し万が一に備える医療機関が増えていま す。医療情報の分散管理を行うことが一般的になりつつあります。 4
6. ２．医療情報は適切に共有する時代へ 地域包括ケアシステムの完成に向けて 厚労省は2025年に「地域包括ケアシステム」の完成に向けて様々施策に取り組んでいま す。そもそも地域包括ケアシステムとは、「高齢者が住み慣れた地域で自分らしい暮らしを 人生の最後まで続けることができるよう、『住まい』『医療』『介護』『予防』『生活支 援』が切れ目なく一体的に提供される体制のこと」と定義されています。 これまで医療機関や介護施設それぞれが提供してきたサービスを地域社会全体でネット ワークを組み、互いに連携し合い、効率的に提供する時代に変化させようとする試みです。 出典：厚労省ホームページ (​ https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/hukushi_kaigo/kaigo_koureisha/chiiki-houkatsu/​ ) 診療情報提供書、電子的な役割が可能に 2016年に厚労省は地域包括ケアを見据えて「診療情報提供書等の電子的な送受に関する 評価」を打ち出しました。従来、診療情報提供書や訪問看護指示書、服薬情報提供書など は、紙へのプリントアウトに加えて署名と押印が必要でしたが、電子的に署名し、安全性を 確保した上で電子的に送受信した場合も「診療情報提供料」の算定が可能になりました。こ れでネットワーク上での医療機関間の書類のやり取りが認められたことになります。また、 2016年度の診療報酬改定では、診療情報提供書に添付する検査データや画像データを、地 域連携ネットワークで電子的にやりとりする行為を評価する点数が新設されました。地域連 携ネットワークを通して、先行的に診療情報提供書（いわゆる紹介状）、検査、画像をやり とりしている地域が評価されたことになります。 さらに現在、国家戦略特区などで試験的に運用している電子処方箋について、今後の普及 を見込んで2016年に運用ガイドラインが整備されました。さらに、2020年6月に開催された 第9回経済財政諮問会議においては、新型コロナウイルス感染症の感染拡大を受けた「新た な日常にも対応したデータヘルスの集中改革プラン」が報告されました。このなかで、電子 処方箋については、2022年夏をめどに運用を開始することが発表されています。今後、電 5
7. 子処方箋が普及し、オンライン診療やオンライン服薬指導などと組み合わせることで、患者 の利便性が飛躍的に向上することが予想されます。 診察や処方もオンラインで行う時代へ 2018年の診療報酬改定で、ビデオ通話などを利用したオンラインでの診療について「オ ンライン診療料（70点）」が新設されました。オンライン診療料の算定にあたっては、施 設基準をクリアした上で地方厚生局長に届け出た保険医療機関が、継続的に対面による診察 を行っている患者に対して、情報通信機器を用いた診察を行った場合に患者１人につき月１ 回に限り算定できます。入院、外来、在宅、そしてオンライン（遠隔）と新たな診療スタイ ルへの門戸が開きました。 また、2020年4月以降、新型コロナウイルス感染症の拡大を受けて、オンライン診療に設 けられていた様々な制限が時限的・特例的に撤廃されることとなり、オンライン診療が急速 に普及する要因となりました。 さらに、上記の時限措置と並行するかたちで、2020年9月には改正薬機法が施行され、オ ンライン服薬指導が解禁されました。 これにより、オンライン診療とオンライン服薬指導を組み合わせることで、新たな価値が創 出できるのではないかと考えられています。 医療情報化支援基金の新設 2019年の厚労省予算で、オンライン資格確認や電子カルテ等の普及のために、医療情報 化支援基金を創設することが発表されました。予算規模は300億円で、2019年10月の施行に 向けて議論が進められています。 オンライン資格確認とは、保険証の資格確認をオンラインで行うもので、2021年3月から 開始される予定です。これにより、資格の過誤請求等の削減、事務コストの削減が期待され ます。医療情報化支援基金では、オンライン資格確認の普及を目指し、医療機関・調剤薬局 での整備費用を支援するとしています。また、電子カルテの普及については、「区の指定す る標準規格を用いて相互に連携可能な電子カルテシステムを導入する医療機関」の初期導入 コストを補助するとしています。 安全安心にクラウドを利用するためのセキュリティ対策 このように、レセプトオンライン請求から始まった我が国の「ネットワーク化」の流れ は、医療分野のクラウド解禁後、2025年の地域包括ケアシステムの完成に向けて、急ピッ チで整備が進められています。現在では診療もオンラインで行える時代となりました。クラ ウドサービス等ネットワークで情報を利用する動きはさらに活発化されることが予想されま す。このクラウドやネットワーク化の流れを止めないためにも、セキュリティ対策が今注目 されています。 6
8. ３. 医療クラウドサービスのセキュリティに関するガイドラインとは？ クラウドサービスに関する「3省2ガイドライン」 医療分野においてクラウドサービスの活用が進みつつある中、クラウドサービスを利用す る際のルールや守るべき規範をまとめたガイドラインがあります。そのガイドラインは、医 療分野を管轄する厚生労働省、総務省、経済産業省の3省がそれぞれ出しています。この3 省が出している2つのガイドラインを総称して、「3省2ガイドライン」と呼ばれています。 　具体的なガイドラインの名称は、厚生労働省が「医療情報システムの安全管理に関するガ イドライン」、経済産業省・総務省が「医療情報を取り扱う情報システム・サービスの提供 事業者における安全管理ガイドライン（第1版）」です。 このように医療機関やクラウドサービス事業者を管轄する2省（厚労省、経産省、総務省） が協力してガイドラインを整備することで、医療機関は安心してクラウドサービスを利用す ることが可能となっています。 7 ガイドライン 発行元 概要 医療情報システムの安全管理 に関するガイドライン（第５ 版） 厚労省 病院、診療所、薬局などが対象。これら組織で扱う医療・介 護情報システムを運営するための組織体制や設置基準、外部 委託時の外部事業者と定める内容などを提示している。 医療情報を取り扱う情報シス テム・サービスの提供事業者 における安全管理ガイドライ ン（第1版） 経産省・ 総務省 サービス提供事業者が対象。厚労省のガイドラインを情報処 理事業者・クラウドサービス事業者の観点から追加・補強し たもの。医療情報を受託管理する情報処理事業者やクラウド サービス事業者が医療情報の処理を行う際の責任や安全管理 に関する要求事項などを提示している。
9. ４. クラウド型とオンプレ型のそれぞれのセキュリティ 「オンプレ型なら安心」は本当か？ 　​ 前提として、「クラウド型」は企業がサーバを管理し、「オンプレ型」は医療機関自らが サーバを管理することになりますが、電子カルテ等医療情報を管理するサーバはどこに置く と安全なのでしょうか。企業が管理した方が安全か、医療機関自らが管理した方か安全かと いう問題となります。 　この件については、厚労省のガイドラインを比較すると分かりやすいと思われます。以下 は、医療機関が外部に保存する際、遵守すべきルールを「医療機関」と「企業」に分けて整 理したものです。企業のサーバが主にインターネットを経由していることが前提になってい るため、ネットワーク回線の安全性についても言及されています。明らかに企業サーバの方 が厳格な運用を求めていることが分かるでしょう。 8 医療機関のサーバで管理する場合 企業のサーバで管理する場合 （ア） 病院や診療所の内部で診療録等を保存す ること。 医療機関等が、外部保存を受託する事業者 と、その管理者や電子保存作業従事者等に対 する守秘に関連した事項や違反した場合のペ ナルティも含めた委託契約を取り交わし、保 存した情報の取扱いに対して監督を行えるこ と。 （イ） 保存を受託した診療録等を委託した病 院、診療所や患者の許可なく分析等を目 的として取り扱わないこと。 医療機関等と外部保存を受託する事業者を結 ぶネットワーク回線の安全性に関しては「 6.11 外部と個人情報を含む医療情報を交換す る場合の安全管理」を遵守していること。 （ウ） 病院、診療所等であっても、保存を受託 した診療録等について分析等を行う場合 は、委託した病院、診療所及び患者の同 意を得た上で、不当な営利、利益を目的 としない場合に限ること。 受託事業者が民間事業者等に課せられた経済 産業省のガイドラインや総務省のガイドライ ン等を遵守することを契約等で明確に定め、 少なくとも定期的に報告を受ける等で確認を すること。 （エ） 匿名化された情報を取り扱う場合におい ても、匿名化の妥当性の検証を検証組織 で検討することや、取扱いをしている事 実を患者等に掲示等を使って知らせる 等、個人情報の保護に配慮した上で実施 すること。 保存された情報を、外部保存を受託する事業 者が契約で取り交わした範囲での保守作業に 必要な範囲での閲覧を超えて閲覧してはなら ないこと。 （オ） 情報を保存している機関に患者がアクセ スし、自らの記録を閲覧するような仕組 みを提供する場合は、情報の保存を受託 した病院、診療所は適切なアクセス権を 規定し、情報漏えいや、誤った閲覧が起 こらないように配慮すること。 外部保存を受託する事業者が保存した情報を 分析、解析等を実施してはならないこと。匿 名化された情報であっても同様であること。 これらの事項を契約に明記し、医療機関等に おいて厳守させること。
10. 出典：​ 医療情報システムの安全管理に関するガイドライン（第５版）p.117 「8.1.2 外部保存を受託する機関の選定基準及び情報の取扱いに関する基準　C．最低限のガイドライン」 (​ https://www.mhlw.go.jp/file/05-Shingikai-12601000-Seisakutoukatsukan-Sanjikanshitsu_Shakaihoshoutantou/00 00166260.pdf​ ) 　サーバダウンなど「システム上のトラブル」については、診療所におけるオンプレ型電子 カルテは、サーバ管理を院内で行うのですが、規模の関係から専門家を配置することが難し いため、何かトラブルがあった際は、全面的にベンダーのサポートに依存することになりま す。サーバが何らかの不具合で止まってしまった場合、ベンダーの到着を待たなくてはなり ません。 一方、クラウド型電子カルテは、サーバ管理ごと企業に委託するので、企業に配備された 専門家が常にサーバの監視を行い、不具合への対応を行うことになります。リアルタイムで の問題解決が可能となります。 　また、「情報漏えい・改ざん」などについてのリスクは、インターネットにつながないオ ンプレ型のサーバは、サーバテロなどのネットワーク上の脅威にさらされることはないた め、あくまで院内のスタッフ及び外部の侵入者による持ち出し、故意の書き換えなど物理的 な対策を行う必要があります。一方、インターネットにつなぐクラウド型のサーバは、暗号 化などサーバテロへの脅威に対する対策を企業側が厳格に行う必要があります。また、ス タッフ及び外部の侵入者に対する対策もオンプレ型と同様の対応となります。 　このように、オンプレ型・クラウド型双方に長所と短所があります。必ずしも「オンプレ 型であれば安心」とは言えないというのが実際のところです。 9 （カ） 情報の提供は、原則、患者が受診してい る医療機関等と患者間の同意で実施され ること。 保存された情報を、外部保存を受託する事業 者が独自に提供しないように、医療機関等は 契約書等で情報提供について規定すること。 外部保存を受託する事業者が提供に係るアク セス権を設定する場合は、適切な権限を設定 し、情報漏えいや、誤った閲覧が起こらない ようにさせること。 （キ） 医療機関等において（ア）から（カ）を満た した上で、外部保存を受託する事業者の選定 基準を定めること。少なくとも以下の4 点に ついて確認すること。 （a） 医療情報等の安全管理に係る基本方 針・取扱規程等の整備 （b） 医療情報等の安全管理に係る実施体制 の整備 （c） 実績等に基づく個人データ安全管理に 関する信用度 （d）財務諸表等に基づく経営の健全性
11. ５. 診療所は、どのようにセキュリティ対策をしたらよいのか 委託するという選択 電子カルテ等医療情報システムを導入する際、診療所はどのようなセキュリティ対策を図 るべきでしょうか。具体的には外部からの医療情報データに対する「盗聴（盗み見）」「侵 入」「改ざん」「妨害」といったリスクをいかにゼロに近づけるかという問題になります。 この問題を考える際、パソコンやルータ、そしてネットワーク上での対策が必要になりま す。具体的には、外部へデータを持ち出せないようにパソコンのUSBを利用停止にした り、サーバを鍵のかかる部屋で管理したり、ルータなどの設定によって、院内ネットワーク と外部ネットワークに切り分ける等の対策が必要となります。また、二要素認証やVPNな どの通信の暗号化による不正アクセス対策も必要となります。 診療所にとっては、オンプレ型とクラウド型はどこまでの範囲を自らが行うのか、企業に 委託するのかという問題であり、クラウド型の方が当然、診療所の範囲が小さくなることが 分かります。近年、診療所でクラウド型電子カルテの利用が進んでいる背景には、医療情報 システムを自らが管理するよりも、企業に委託してしまった方が安全という考え方が浸透し つつあるためかもしれません。 10
12. ６. まとめ 　医療機関で「セキュリティ」が注目されるようになった背景には、政府主導で進められた 医療ネットワークのインフラ整備がありました。全国の医療機関がカルテや検査・画像と いったセキュリティレベルの高い医療情報をネットワーク上で共有するためには、セキュリ ティの確保が必要であったのです。 　それに対して、厚労省は「医療情報システムの安全管理に関するガイドライン」を定め、 次いで経産省、総務省がそれぞれ、クラウドサービス事業者向けガイドラインをまとめまし た。医療機関がクラウドサービスやネットワークでの情報共有を安全安心に利用できるよう にルールを整備したのです。そのことで、医療機関のクラウド利用に対する不安は著しく減 少したのではないかと考えます。 いま、医療情報システムは「オンプレ型」と「クラウド型」の仕組みが混在しています。 クラウドは企業がサーバを管理し、オンプレは医療機関自らがサーバを管理することになり ます。企業が管理した方が安全か、それとも医療機関自らが管理するべきかが気になるとこ ろです。その件については、厚労省のガイドラインを比較すると分かりやすく、それによる と、企業のサーバが主にインターネットを経由していることが前提になっているため、ネッ トワーク回線の安全性についても言及されています。明らかに企業サーバの方が厳格な運用 を求めており、クラウドの方がオンプレに比べセキュリティ対策が施されていると言えるの ではないでしょうか。 診療所が医療情報システムを導入する際、どのようなセキュリティ対策を図る必要がある のでしょうか。この問題を考える際、パソコンやルータ、そしてネットワーク上での対策が 必要になります。詳細はセキュリティチェックリストを参照してください。 診療所にとっては、オンプレ型とクラウド型の違いは、セキュリティ対策の範囲と言い変 えられるかもしれません。対策を医療機関自らが行うのか、外部の企業に委託するのかとい う問題であり、クラウド型の方が当然、診療所の範囲が小さくなることが分かります。近 年、診療所でクラウド型電子カルテの利用が進んでいる背景には、医療情報システムを自ら が管理するよりも、企業に委託した方が安全という考え方が浸透しつつあるためかもしれま せん。 最後に、本資料が安全・安心に医療情報システム利用する上でのセキュリティ対策の参考 になれば幸いです。 11
13. 表.診療所のセキュリティ対策チェックシート 12 医療情報システムの「運用管理規定」が整備されていますか。 医療情報システムの「管理者」を定めていますか。 「個人情報の取り扱い」について患者に説明・提示していますか。 サーバ等「システムトラブル」の復旧計画が定められていますか。 「システムトラブル」時の連絡ルートが明確になっていますか。 「災害時」の復旧計画が定められていますか。 「外部からの侵入」に対するセキュリティ対策を行っていますか。 システムから医療情報を「外部に持ち出せないような対策」が施されて いますか。 スタッフ、関係者の医療情報システム「利用時の誓約書」を整備してい ますか。 「サービス事業者」は、3省2ガイドラインに準拠、あるいはそれ以上の セキュリティ対策を施していますか。また、その内容を契約書に明記し ていますか。