また、本ガイドラインで想定する基本的なライフサイクルの全体像について図 3-4 に示
す。
契約中

契約前

合
意
形
成

通
常
時

共
通
理
解

契
約
終
了
フ
ェ
ー
ズ

開発フェーズ

運用フェーズ

＋
機密性 完全性 可用性
が害される状態が発生

明
示
的
な
合
意

危
機
管
理
対
応
時

合意

再発防止策の実行

契
約
終
了

危機管理対応

合意の維持（変化に応じて再合意形成）

図 3-4 医療情報システム等のライフサイクル

3.2.1. 契約前の合意形成及び契約中の合意の維持
対象事業者は説明義務を果たすために、医療機関等との間で「共通理解」と「明示的な
合意」の形成を行うこと。
契約前の合意形成において、対象事業者は、4.1 にて示す「医療機関等へ情報提供すべき
項目」について、医療機関等と共通理解を形成すること。このとき、対象事業者は、医療
機関等との間で適切な共通理解が形成されるよう、ICT やセキュリティに係る専門知識の
差異があることを踏まえ、用語集や解説を加える等の工夫に努めること。なお、本ガイド
ラインにおける「共通理解」とは、契約書や SLA 等の契約上の文書による明示的な合意と
は別に、共通の理解を形成することであり、その取組みの記録として議事メモや作業記録
等の文書等に残すことは重要である。対象事業者は、医療機関等との共通理解の上で、契
約書や SLA 等の契約上の文書を作成し、医療機関等と明示的な合意を形成すること。合意
形成にあたって情報提供すべき内容については、4.1 に示す。
また、契約中においても、医療機関等からの要求内容や環境に変化が生じた場合や、情
報セキュリティ事故発生により開発・運用内容等を見直す必要が生じた場合等には、共通
理解や明示的な合意に基づく合意形成を改めて実施し、合意を維持すること。

17