5.1. リスクマネジメントの実践
本節では、対象事業者が実施すべきリスクマネジメントのプロセスとして「リスク特定、
リスク評価、リスク分析」（以下、「リスクアセスメント」という。）や「リスク対応」、
「リスクコミュニケーション」等の各プロセスで実施する内容について定義する。また、
対象事業者は 5.1.1～5.1.5 のプロセスの実施にあたり、詳細な実施方法については 5.2 に記
載する実施例を参考にし、抜け漏れなく対策をとりまとめること。

リスク特定
対象事業者は、自らが提供する医療情報システム等の全体構成図を作成することで、医
療情報システム等の全体構成を明らかにすること。その上で、医療情報システム等の全体
構成図をもとに、医療情報システム等のライフサイクルにおけるフェーズ毎の情報流を特
定すること。本ガイドラインでは、医療情報システム等の提供に関わる情報の流れを「情
報流」と定義する。情報流にはネットワークを介した電子的な情報の流れだけでなく、記
憶媒体の搬送により発生する情報の移動も含まれる。全体構成図をもとに情報の作成及び
参照、更新、保存、移送、廃棄等の処理を洗い出すと、構成要素間で情報がどのように流
れるのかが明らかになるため、結果として情報流が特定される。このとき、情報流を洗い
出す範囲には、ICT サプライチェーン26全体を含めること。特に、医療情報システム等をク
ラウドサービスとして提供するケースにおいては、ASP・SaaS と PaaS、IaaS をそれぞれ別
の事業者が提供する等、ICT サプライチェーンが複雑となる傾向にあるため、抜け漏れが
ないよう十分留意すること。
次に、対象事業者は、洗い出した情報流について、当該情報流で処理を行う対象の情報
の安全管理上の重要度に応じて分類すること。例えば、診療録や診療諸記録、処方箋、レ
セプト情報等は、「患者個人情報」等として分類し、「アプリケーションの設定情報」や
「テストデータ」等とは区別した分類とすること。このとき、アプリケーションを提供す
る等により、情報の中身を意識した情報の処理を行う対象事業者においては、医療機関等
が医療情報安全管理ガイドラインに基づき実施する情報の分類の結果について、医療機関
等へ情報提供を求め、分類の参考とすることが望ましい。逆に、プラットフォームやイン
フラのみを提供する等により、処理する詳細な情報の中身が不明な場合「アプリケーショ
ン提供に係る情報（医療情報を含む可能性のある情報）
」とそれ以外の情報（機器や OS/ミ
ドルウェアの設定情報等）を最低限区別した分類とすること。
さらに、対象事業者は、洗い出した情報流に対して、表 5-1 に示す「医療情報システム
等提供上の代表的な脅威」（以下、「代表的な脅威」という。）をあてはめ、当該情報流に
対してそれぞれの脅威が顕在化した場合に生じ得るリスクを特定すること。ただし、代表
的な脅威については、ISO /IEC 27005:2018 の附属書 C「典型的な脅威の例」を参考に、本
ガイドラインにて独自に整理したものであり、医療情報に関する全ての脅威を網羅してい
26

ICT サプライチェーンの考え方については、ISO/IEC 27017:2015 及び JIS Q 27017:2016 で示されている
ため、対象事業者は、本ガイドラインと併せてこれら規格を参照することが望ましい。

25