意思決定・経営層が遵守すべき事項
２．リスク評価を踏まえた管理

(２/５)
２．１

◆医療機関等で取扱う医療情報や医療情報
システムを取り巻くリスクを理解
◆リスク評価結果への対応判断を行い、
適切なセキュリティ対策を実施

医療情報システムにおけるリスク評価の実施

経営層は、医療機関等で管理する医療情報等の重要度に応じ
て、リスク対応のポリシーを判断して、リスク管理方針を決定
する。
リスク決定方針を踏まえて、医療機関等における安全対策の
体制やルール等の整備、具体的な対応措置などを行うようにす
る。
２．２ リスク評価を踏まえた判断

外部からの攻撃で医療
情報が漏えいするリスクを
減少する技術対応を
しよう

医療情報の保存に関する
運用は、専門家である
外部の事業者に委ねよう

リスク移転
リスク低減

リスク回避

診療業務以外の時間に
攻撃されないよう、
その時間帯は医療情報
システムは止めよう

経営層は、リスク管理方針について、医療情報の重要性や医
療の継続性と併せて、医療機関等における経営資源や対策の継
続性などを鑑みて、経営判断の観点から決定するとともに、そ
の説明責任を果たせるようにする。
医療機関等における医療情報の安全対策を継続するため、情
報セキュリティマネジメントシステムを構築する。
医療機関が実施したリスク評価の結果を委託先と調整して、
適切な委託内容を決定する。

リスク受容

〇〇システムの場合は、
夜間のシステム障害等への
対応が翌朝以降になる
可能性は受け容れよう
13