・ 許可されていない機器、ソフトウェア、サービスの業務利用
・ 管理されている機器、ソフトウェア、サービスの目的外利用

医療機関等には、受託する事業者の選定に関する責任やセキュリティ等の改
善指示を含めた管理責任があるため、受託する事業者を適切に管理監督する必
要があります。受託する事業者においても保存した情報の漏えい防止、改ざん
防止等の対策を講じることは当然ですが、感染症情報や遺伝子情報等の機微な
情報の取扱い方法や保存期間等については、双方協議して整理しておく必要が
あります。

企６章第⑨条
企Ｑ－２０

「 ISMS（Information Security Management System：情報
セキュリティマネジメントシステム）を構築し、管理することが重
要である」とあるが、医療情報の場合にはどのような考え方に基づ
いて行う必要があるか。

Ａ PDCA（Plan-Do-Check-Action）のステップをより身近にイメージでき
るようにするために、医療行為における安全管理のステップがどのように行
われているかについて、一般財団法人日本情報経済社会推進協会（JIPDEC））
の「医療機関向け ISMS ユーザーズガイド」では次のような例が記載されて
います。
【医療の安全管理の流れ】
事故やミスの発見と報告（Do）
「ヒヤリ、ハット事例」や「インシデントレポート」による事故やミスの
発見と報告
↓
原因の分析（Check）
・「プロセスアプローチ」によって医療行為をプロセスと捉え、事故やミ
スの起きた業務全体を一つ一つの単体プロセス（動作）に分解し、フロ
ー図として目に見える形にする。
（例えば注射を例にプロセスに分解すれば、①医師が処方箋を出し、②
処方箋が薬剤部に送られ、③薬剤部から処方が病棟に届けられ、④病棟

33