危機管理対応時と定義する。
対象事業者は、何らかの情報セキュリティ事故が発生した場合、発生した情報セキュリ
ティ事故に関する詳細な情報を医療機関等へ提供することとなるが、この際、発生した情
報セキュリティ事故の原因・範囲等、医療機関等の管理者が個々の患者、行政機関や社会
へ説明・公表するために必要となる情報の収集をサポートできるよう、できる限り詳細な
情報を提供するべきである。
また、対象事業者は、発生した情報セキュリティ事故について、速やかに善後策を講じ
なければならない20。さらに、発生した情報セキュリティ事故自体に対応するための施策
を講じるに留まらず、同様の情報セキュリティ事故が以降発生しないように再発防止策を
医療機関等に提案すること。提案した内容については、医療機関等と適切に合意（再合意）
形成を行った上で実行すること。

20

医療情報安全管理ガイドラインでは、情報セキュリティ事故発生時に厚生労働省への連絡を実施する
ことが求められている。

19