切な取扱いに関する要件を定めているものであり、「医薬品、医療機器等の品質、有効
性及び安全性の確保等に関する法律」（昭和 35 年 8 月 10 日法律第 145 号）において定
める医療機器のサイバーセキュリティの保全については、厚生労働省医薬・生活衛生局
から発出されている「医療機器におけるサイバーセキュリティの確保について」（平成
27 年 4 月 28 日付け薬食機参発 0428 第 1 号、薬食安発 0428 第 1 号）等を踏まえて、医
療機器の製造販売業者と必要な連携を図ること。
施設外からネットワークに接続する場合の基準については、6.11 章の規定を参照する
こと。
IoT セキュリティに関しては「IoT セキュリティガイドライン ver1.0」
（IoT 推進コン
ソーシアム、総務省、経済産業省；平成 28 年 7 月）が取りまとめられており、参考にな
る。
C．最低限のガイドライン
1. 医療情報システムへのアクセスにおける利用者の識別・認証を行うこと。
2. 利用者の識別・認証にユーザ ID とパスワードの組み合わせを用いる場合、それらの情
報を、本人しか知り得ない状態に保つよう対策を実施すること。
3. 利用者の識別・認証に IC カード等のセキュリティ・デバイスを用いる場合、IC カード
の破損等、セキュリティ・デバイスが利用できないときを想定し、緊急時の代替手段に
よる一時的なアクセスルールを用意すること。
4. 利用者が個人情報を入力・参照できる端末から長時間離席する際に、正当な利用者以外
の者による入力のおそれがある場合には、クリアスクリーン等の対策を実施させるこ
と。
5. 動作確認等で個人情報を含むデータを使用するときは、漏えい等に十分留意すること。
6. 利用者の職種・担当業務ごとに、アクセスできる診療録等の範囲（アクセス権限）を定
め、アクセス権限に沿ったアクセス管理を行うこと。また人事異動等による利用者の担
当業務の変更等に合わせて、アクセス権限の変更を行うことを、運用管理規程で定める
こと。なお、複数の職種の利用者がアクセスするシステムでは職種別のアクセス管理機
能があることが求められるが、そのような機能がない場合は、システム更新までの期間、
運用管理規程でアクセス可能範囲を定め、次項の操作記録を行うことでアクセス管理
を実施する必要がある。
7. アクセスログを記録するとともに、定期的にログを確認すること。アクセスログは、少
なくとも利用者のログイン時刻、アクセス時間及びログイン中に操作した医療情報が
特定できるように記録すること。医療情報システムにアクセスログの記録機能がある
ことが前提であるが、ない場合は、業務日誌等により操作者、操作内容等を記録するこ
と。
8. アクセスログへのアクセス制限を行い、アクセスログの不当な削除／改ざん／追加等

25