１７．証跡のレビュー・システム監査

[Ⅰ、Ⅲ]

【遵守事項】
①

利用者のアクセスについて、アクセスログを記録するとともに、定期的にログを確認するこ

と。アクセスログは、少なくとも利用者のログイン時刻、アクセス時間及びログイン中に操作
した医療情報が特定できるように記録すること。医療情報システムにアクセスログの記録機能
があることが前提であるが、ない場合は、業務日誌等により操作者、操作内容等を記録するこ
と。
②

アクセスログへのアクセス制限を行い、アクセスログの不当な削除／改ざん／追加等を防止

する対策を実施すること。
③

アクセスログの記録に用いる時刻情報は、信頼できるものを利用すること。利用する時刻情

報は、医療機関等の内部で同期させるとともに、標準時刻と定期的に一致させる等の手段で診
療事実の記録として問題のない範囲の精度を保つ必要がある。
④

監査等を行うに際し、技術的な対応に関する監査実施計画の作成や証跡の整理等を行い、企

画管理者に報告すること。

１７．１ 証跡のレビュー
システム運用担当者は、医療情報システムが適切に運用されていることを確認するために、技術的
な対応として、システム上のログを収集し、レビューすることが求められる。特に個人情報を含む資
源については、全てのアクセスログを収集し、定期的にその内容をチェックして不正利用がないこと
を確認しなければならない。
アクセスログは、それ自体に個人情報が含まれている可能性があること、さらには情報セキュリテ
ィインシデントが発生した際の調査に非常に有効な情報であることから、その保護は必須である。シ
ステム運用担当者は、アクセスログへのアクセス制限や改ざん防止措置等を行い、アクセスログへの
不当な削除／改ざん／追加等を防止する対策を講じることが求められる。
アクセスログの正確性のため、記録する時刻の精度も重要である。精度の高いものを使用し、管理
対象の全てのシステムで同期を取らなければならない。
アクセスログを分析し、緊急時にアラートを発する仕組みを講じることも求められる。
医療情報システムの管理を委託している場合には、事業者との間でログの管理方法や提供等に関して、
明確にする必要がある。
なお、医療機関等において取り扱っている医療情報システムにアクセスログを収集する機能がない
場合には、システム操作に係る業務日誌等を作成し、操作の記録（操作者及び操作内容等）を管理す
るなどの代替策を講じることが必要となる。
１７．２ 監査の実施の支援
システム運用担当者は、企画管理者が監査実施計画を作成する際に、技術的な対応における部分の
内容を作成し、企画管理者に報告することが求められる。また監査に必要な証跡（手順等の実施証跡
や、システムログ及びレビューの結果等）を整理したうえで、企画管理者に報告することが求められ
る。監査結果で指摘された事項については、企画管理者と協議し、改善することも求められる。

- 47 -