この記事の要点
- 保団連は10月20日、上野厚生労働大臣会見での医療支援システム不正アクセスなどの質疑概要を公開した。
- メドレーの「@link」で最大787医療機関の患者個人情報が漏えいした可能性がある事案が取り上げられた。
- 漏えい時の報告先や委託先の第三者認証取得状況を確認し、院内の連絡手順と選定資料を整備する。
全国保険医団体連合会（保団連）は10月20日、上野賢一郎厚生労働大臣の会見で、医療支援システムへの不正アクセスなどに関する質疑概要を公開した。漏えい時の報告や開示書の扱いが焦点となった。
事案の詳細
保団連は、株式会社メドレーの産科医療機関向け業務支援システム「@link（アットリンク）」が不正アクセスを受け、最大787医療機関で患者の個人情報が漏えいした可能性がある事案を取り上げた。会見では、同社が厚生労働省の所管となるのか、委託先事業者に報告義務はあるのかなどが質問された。
上野厚生労働大臣は所管について、解釈や定義次第としたうえで、メドレー社は医療情報システムを取り扱う事業者であり「完全に当省の所管外だという認識は持っておりません」と述べるにとどめ、所管か否かは明言しなかった。
また大臣は、医療情報システムの安全管理ガイドラインでは、漏えい発生時に医療機関には厚生労働省への報告を求めているが、システム事業者には求めていないと説明した。そのうえで、サイバー攻撃による情報漏えいが相次いでいることから、関係団体や事業者などに、被害を受けた場合の報告を依頼したと述べた。
影響と背景
医療機関が委託先選定の参考として厚生労働省が参照を促す文書として、医療情報セキュリティ開示書がある。保団連は、同開示書に示された約200のチェック項目のうち、メドレー社の非該当は何件あったのかを質問した。しかし大臣は、同開示書は事業者の自己評価によるものであり、各製品のチェック項目への該当項目数は厚生労働省として把握していないと答え、メドレー社の件数は示さなかった。
対策・今後の展望
公的な基準による認証制度の必要性を問われたのに対し、大臣は、ガイドラインでISMS認証やプライバシーマークなどの第三者認証の取得状況を確認することが望ましいとしていると述べた。電子カルテの認証制度については、安全管理ガイドラインへの対応を求めるほか、脆弱性診断などのサイバーセキュリティ対策の実施状況やその結果も審査するとした。
CSRIからのアドバイス
医療機関の業務支援システムでの不正アクセスや漏えいは、委託先が関わる構成になりやすい点が要所となる。ガイドラインで誰がどこへ報告するのか、報告の対象が医療機関か事業者かを、運用として整理しておくことが重要だ。
病院の外にある設備で起きた故障でも、患者への影響が出るなら院内の対応が必要になるのと同じように、システム事業者側の出来事でも、医療機関の説明や判断に直結しうる。あらかじめ情報の流れを決めておく必要がある。
まず委託中のシステムについて、漏えい時の報告先が厚生労働省なのか院内なのか、連絡手順を担当者に確認する。次に、委託先にISMS認証やプライバシーマークなどの取得状況を確認し、社内の選定資料に記録しておく。
参照: 医療情報漏えい時の報告「システム事業者には求めていない」、セキュリティ開示書の非該当件数「把握していない」 ～ 厚生労働大臣
