医療情報を適切に管理するためにサービス提供事業者が行うべきこととは？コラム

医療情報を適切に管理するために国が定めたガイドライン、「医療情報システムの安全管理に関するガイドライン」（「以下、厚生労働省版医療情報ガイドライン」という）の第6.0版が令和5年５月に発行されました。

厚生労働省のホームページでは、ガイドラインの改定情報の他に『医療機関等におけるサイバーセキュリティ対策チェックリスト』も掲載されています。

これによると、サイバー攻撃への対応として、サイバーセキュリティ対策チェックリストへの対応及びサイバーセキュリティの適正状況によっては、行政による立入検査が可能であるとされています。

医療機関等及びサービス提供事業者におけるサイバーセキュリティ対策として、以下を実施するよう求められています。

上記チェックリスト項目（３）に、医療機関確認用には『事業者から製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）を提出してもらう』、事業者確認用には『医療機関に製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）を提出した』のチェック項目があります。つまり、医療機関には提出の確認義務があり、サービス提供事業者には提出義務があるのです。

また、厚生労働省版医療情報ガイドライン(第6.0版)【概説編】にも、当該事業者からサービス仕様適合開示書^（※1）もしくはJAHISチェックリスト^（※2）等情報提供を受けることにより、当該事業者と医療情報システムの安全管理上のリスクについて共通の理解を得た上で、リスク管理に関する合意形成（リスクコミュニケーション）を図ることが求められる、と明示されています。

厚生労働省が求めているこの文書は、厚労省版医療情報ガイドラインに対応しており、改定状況は以下の通りです。現在のバージョンは、最新の厚労省版医療情報ガイドラインに対応しています。

2021年3月　「製造業者/サービス事業者による医療情報セキュリティ開示書Ver.4.0」発行

（厚労省版医療情報ガイドライン第5.1版」対応）

2023年6月　「製造業者/サービス事業者による医療情報セキュリティ開示書Ver.4.1」発行

（厚労省版医療情報ガイドライン第5.2版」対応）

2023年８月　「製造業者/サービス事業者による医療情報セキュリティ開示書Ver.4.1」追加

（厚労省版医療情報ガイドライン第6.0版」対応）

MDSは医療情報システムに関する対応状況を示すチェックリスト(Manufacturer Disclosure Statement for Medical Information Security)であり、記載対象の単位は、製造業者が提供する医療情報システムです。

例）電子カルテシステム、医事会計システム、PACS等

SDSは医療情報システムを用いたサービスに関する対応状況を示すチェックリスト(Service Provider Disclosure Statement for Medical Information Security)であり、記載対象の単位は、サービス事業者が提供する医療情報システムを用いたサービスです。

例）電子カルテサービス、PACSサービス、リモートメンテナンス等

上記、MDS/SDSチェックリストの記載内容は、記載した製造業者/サービス事業者が全責任を負う自己宣言書です。

現在、医療分野において、サービス提供事業者が医療機関等に、システム・サービスを導入する場合、医療機関等がサービス提供事業者のサイバーセキュリティ対策状況を把握するためにMDS/SDSチェックリストの提出を求めてきています。そのため、サービス提供事業者は、サイバーセキュリティの確保のため、医療情報ガイドラインへの対応及びMDS/SDSチェックリストの作成を進めていくことが重要と考えます。