２．１

医療情報システムにおけるリスク評価の実施.......................................................... - 9 –

【遵守事項】
① 取り扱う医療情報に応じたリスク分析・評価を踏まえ、対応方針を策定し、リスク管理方針（リスク
の回避・低減・移転・受容）を決定すること。
②

リスク分析を踏まえたリスク管理が必要な場面の整理、対策として求められる体制、並びにルール
等の企画、整備及び管理について、企画管理者に指示すること。

③

経営層の方針及びリスク分析を踏まえ、具体的にシステム面からの最適なリスク管理措置を検討
し、実装、運用するよう、企画管理者に指示すること。

２．２

リスク評価を踏まえた判断......................................................................................- 10 –

２．２．１

リスク評価を踏まえたリスク管理.................................................................................- 10 –

【遵守事項】
① リスク評価を踏まえ、医療情報の重要性及び医療の継続性並びに経営資源の投入及びリスク管理対
策の実施の継続可能性等を鑑みて、リスク管理方針を決定すること。
②

リスク評価結果及びリスク管理方針に関する説明責任を果たすこと。

２．２．２ 情報セキュリティマネジメントシステム（ISMS：Information Security Management System）の
実践....................................................................................................................................- 10 【遵守事項】
① リスク管理方針を踏まえ、医療情報及び医療情報システムといった医療機関等における情報資産のセ
キュリティに関する管理を、通常業務の一環として整え、ISMS を策定し、実施すること。
２．２．３

リスク分析を踏まえた要求仕様適合性の管理...............................................................- 11

【遵守事項】
① 医療機関等のリスク管理方針に基づき、システム関連事業者による適切なリスク管理を実施し、
医療機関等の要求仕様への適合性を確認し、管理すること。

３．安全管理全般（統制、設計、管理等）.................................................................. - 12 ３．１ 統制.........................................................................................................................- 12 ３．１．１

情報セキュリティ対策のための統制..............................................................................- 12 –

【遵守事項】
① 統制の体系を理解し、医療機関等における情報セキュリティ対策に関する統制の実効性を確保するた
めに必要な規程類、管理体制等を整備するとともに、適切に統制が機能しれているかを確認するこ
と。

３．１．２

医療情報システムにおける統制上の留意点...................................................................- 13 -