３．２．２ リスク管理
リスク分析・評価を踏まえ、各リスクに対して「回避・低減・移転・受容」のいずれのリスク管理方
針をとるか決定します。
リスク管理方針の検討を行う際には、情報セキュリティの３要素である「機密性(Confidentiality)」、
「完全性（Integrity）
」
、「可用性（Availability）」のバランスを考慮しながら、医療機関等に求められる
医療の提供の維持・継続等するために、どの程度の経営資源を投入し、どのような対策を講じるかなど
の判断が求められます。
リスク管理方針を決定し、リスク管理対策を講じるに際しては、医療情報システム・サービス事業者
とも協議を行い、助言を求めるなどしながら、認識の齟齬等が生じないようにすることは重要です。

３．３ 安全管理全般（統制、設計、管理等）
３．３．１ 統制（Governance）
医療機関等での医療情報システムの安全管理において、安全管理に関する経営層の意識や方針が、組
織全体にしっかり浸透し、これに基づいて適切に運用され、その状況や改善すべき課題を経営層が管理
できるように、統制が効いている状態となっていることが重要です。
小規模医療機関等では、限られた人数と医療情報システム・サービス事業者で手分けをして、適切な
安全管理に行うこともあるかと思われます。
そのため、統制の効いた体制づくりとして、個々の職員やシステム関連事業者の役割分担を明確にす
ることが求められます。例えば、
・医療情報システムが利用できる機器の施錠管理を誰が行うのか
・医療情報システムに異常が生じた場合に誰がどのような連絡体制で対応するのか
・職員の情報セキュリティなどに関する教育や訓練の担当は誰がどのように行うのか 等
役割を明確にし、遂行した上で、病院長など経営層が管理できるようにすることが求められます。
なお、技術的な対応などは、医療情報システム・サービス提供事業者に委ねることも考えられるため、
体制づくりに際してこうした事業者も組み込むことは重要です。
様々な医療情報システム・サービス事業者と協働しながら、医療情報システムの運営や利用をする場
合、医療機関等においては、医療情報システムに求められる安全管理の水準に鑑み、安全管理ガイドラ
インに加えて、総務省・経済産業省が定めている「医療情報を取り扱う情報システム・サービスの提供
事業者における安全管理ガイドライン」、その他の法令等に掲げる基準を満たした医療情報システム・
サービス事業者を選定し、当該事業者との契約等において、双方の認識の齟齬が生じないよう、提供さ
れる情報システムやサービスの内容、当該事業者が行う業務内容、当該事業者との責任分界、役割分担、
協働体制などを明確にした上で合意形成を図ることが必要で、当該事業者に対して、必要に応じて、
「医

-7-