３．４．１ 事業継続計画（BCP：Business Continuity Plan）の整備と訓練..................................- 16 【遵守事項】
① 情報セキュリティインシデントの発生に備え、非常時における業務継続の可否の判断基準、継続する
業務内容の選定等に係る意思決定プロセスを検討し、BCP 等を整備すること。
② 情報セキュリティインシデントにより、医療機関等内の医療情報システムの全部又は一部に影響が生
じる場合に備え、医療情報システムの適切な復旧手順を検討するよう、企画管理者やシステム運用担
当者に指示するとともに、当該復旧手順について随時自己点検を行うよう指示した上で、その結果報
告を受け、必要に応じて、改善に向けた対応を指示すること。
③ 通常時に整備していた BCP が、非常時において迅速かつ的確に実施できるよう、通常時から定期的
に訓練・演習を実施し、その結果を踏まえ、必要に応じて改善に向けた対応を企画管理者やシステム
運用担当者に指示すること。
３．４．２ 情報共有・支援、情報収集............................................................................................- 17 –
【遵守事項】
① 情報セキュリティインシデントの発生に備え、システム関連事業者又は外部有識者と非常時を想定し
た情報共有や支援に関する取決めや体制を整備するよう、企画管理者に指示すること。
② 情報セキュリティインシデントの未然防止策として、通常時から医療情報システムに関係する脆弱性
対策や EOS（End of Sale, Support, Service：販売終了、サポート終了、サービス終了）等に関する情
報を収集し、速やかに対策を講じることができる体制を整えるよう、企画管理者やシステム運用担当
者に指示すること。
３．４．３

情報セキュリティインシデントへの対応体制...............................................................- 18 –

【遵守事項】
① 情報セキュリティインシデントの発生に備え、厚生労働省、都道府県警察の担当部署その他の所管官
庁等に速やかに報告するために必要な手順や方法、体制などを整備するよう、企画管理者に指示する
こと。
② 情報セキュリティインシデントが発生した場合に、厚生労働省等への報告のほかに、患者等に対する
公表・広報を適切に行える体制を、通常時から整備すること。

４．安全管理に必要な対策全般.................................................................................... - 19 –
４．１ 必要な対策項目の概要.............................................................................................- 19 –
【遵守事項】
① 医療情報システムの安全管理に必要な対策項目の概要を認識した上で、企画管理者やシステム運用担
当者に対して、それぞれの対策項目に係る具体的な方法について整理する旨を指示し、それぞれの対
策事項が対応できている旨を確認すること。
② 対応ができてない対策項目がある場合、その理由を確認し、対応の要否を判断の上、必要に応じて対
応を指示すること。

４．２

必要な措置.............................................................................................................. - 20 –

【遵守事項】
① 医療情報システムの安全管理対策項目の特徴を認識し、企画管理者やシステム運用担当者に、必要
に応じて、対策項目に掲げられる措置をとるよう指示すること。