よむ、つかう、まなぶ。

MC plus(エムシープラス)は、診療報酬・介護報酬改定関連のニュース、

資料、研修などをパッケージした総合メディアです。


医療情報システムの安全管理に関するガイドライン第6.0版(令和5年5月)Q&A (114 ページ)

公開元URL https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
出典情報 医療情報システムの安全管理に関するガイドライン 第6.0版(5/31)《厚生労働省》
低解像度画像をダウンロード

資料テキストはコンピュータによる自動処理で生成されており、完全に資料と一致しない場合があります。
テキストをコピーしてご利用いただく際は資料と付け合わせてご確認ください。

18.外部からの攻撃に対する安全管理措置
シス18省第①条
シQ-69 「18.外部からの攻撃に対する安全管理措置」①の4つ目の「-」におい
て、「重要なファイルは数世代バックアップを複数の方式で取得し、」とあるが、外部か
らの攻撃を受けた場合の復旧のための対応としては、どのような点を考慮して、バック
アップを取得する必要があるか。


バックアップ取得のポリシーは、医療の社会的な影響度を鑑みて、医療機関等におけ
る診療業務の継続性を確保するため、できる限り診療に影響に及ぼさないよう、計画を
立てることが求められます。この部分は一般企業におけるバックアップに対する考え方
との大きな違いになります。
但し具体的なバックアップ取得の計画については、取扱うデータの利用頻度やシステ
ムが停止した場合に復元すべき時点、システムの特性などを考慮して、総合的に決定さ
れるため、一意に決まるわけではありません。
例えばバックアップの取得範囲として、通常、フルバックアップ、差分バックアップ、
増分バックアップなどがあり、適切に組み合わせて、対応することになります。
そのうえでさらに具体的な例として、日次で差分バックアップ、週次でフルバックア
ップを行う場合、前々週以前のフルバックアップ及びその週以前の日時の差分バックア
ップは、ネットワークから切り離した記録媒体で保管すること(磁気テープ、DVD、BluRay 等)あるいは論理的に書き込み禁止(磁気ディスク等)の状態にする等の対策が必
要となります。
最近ではクラウドサービスを利用したバックアップを行うことも考えられます。例え
ば、原本データ以外にクラウド上でバックアップを取得する場合、バックアップデータ
を追記できない設定としたり、複数のバックアップデータを取得したりするなどの方式
で、複数方式によるバックアップを行うことが想定されます。
また電子カルテ、医事システム、LIS、RIS(PACS 含む)等のサブシステムがそれぞ
れデータベースを持つ場合、それぞれについてシステム特性やデータの影響度を鑑みて、
バックアップ取得の計画を策定することになります。
具体的な例としては、電子カルテ、LIS 等保存データがあまり大きくないサブシステム
については、日次でバックアップを確保し、電子カルテは5世代、その他のシステムは3
世代保存するなどにより、前週までのデータを回復することが想定されます。この場合、
ランサムウェア等の攻撃への対策という観点から、電子カルテで3世代以降のバックア
ップデータについては、ネットワーク的あるいは論理的に書き込み禁止属性とし、その
他のシステムは3世代目をネットワーク的あるいは論理的に書き込み禁止とするなどが
求められます。
一方、PACS を含む RIS のような大量のデータを扱う場合はバックアップそのものが
困難な場合もありえます。この場合には、サイバーセキュリティを考慮すると、確定され
たデータについては書き込み禁止に設定するべきです。そのうえで、運用上可能であれ
ば、例えばキー画像の指定がされた画像データ等は電子カルテと同様の対策するなどに
より、医療の継続性の確保において極めて有用な対応になると考えられます。
113