医療情報システムの安全管理に関するガイドラインとは？ログ管理の重要性と対応方法を解説

医療機関では、電子カルテをはじめとする医療情報システムが診療業務に欠かせないものとなっています。一方で、システムのネットワーク化や外部サービスとの接続が進んだことで、サイバー攻撃による情報漏えいやシステム停止などのリスクも高まっています。

近年では、ランサムウェアなどによって医療機関のシステムが停止し、診療業務に大きな影響が生じる事例も発生しています。中でも以下事例は、最終的に十数億円以上の逸失利益が生じ、業界内で大きな関心を集めました。

このような事例からも、従来の「院内システムは外部ネットワークから隔離されているため安全」という考え方だけでは、現在の脅威に十分対応できないことが分かります。「閉域網だから安全」と過信するのではなく、万が一侵入された場合を想定したセキュリティ対策も重要になっています。

また、2023年4月からはオンライン資格確認の導入が原則として義務化され、医療機関において外部ネットワークとの接続が必要となるなど、ネットワーク環境も変化しています。

こうしたサイバー攻撃の巧妙化やネットワーク環境の変化を背景に、医療機関には、医療情報を適切に保護するとともに、サイバー攻撃などのセキュリティインシデントに備えた対策が求められています。

医療情報システムの安全管理に関するガイドラインとは？

医療情報を取り扱うシステムの安全管理について、厚生労働省が示しているのが「医療情報システムの安全管理に関するガイドライン」です。

本ガイドラインでは、医療機関等における医療情報システムの導入・運用・利用・保守・廃棄などに関して、情報セキュリティを確保するために必要となる考え方や対策が示されています。

2005年に初版が策定され、その後、医療を取り巻くIT環境やサイバーセキュリティをめぐる状況の変化に合わせて改訂されています。現在は第7.0版が最新版です。

第7.0版では、医療機関等を取り巻くサイバーセキュリティ上の脅威や、医療情報システムの環境変化などを踏まえ、安全管理に必要となる考え方や対策が整理されています。

医療情報を取り扱う医療機関等にとって、情報システムの安全管理を検討するうえで重要な指針となっています。

医療情報システムの安全管理に関するガイドラインの対象者

本ガイドラインは、医療機関等において、医療情報システムの導入、運用、利用、保守及び廃棄に関わる者を対象としています。

医療情報を取り扱うシステムは特定の部門だけでなく医療機関全体に関わるため、組織全体でガイドラインに沿った安全管理を行うことが重要です。

「侵入されない」だけではなく「侵入後」に備えることが重要

サイバー攻撃への対策というと、ファイアウォールやウイルス対策ソフトなどによって「攻撃を防ぐ」ことに目が向きがちです。

しかし、近年のサイバー攻撃は巧妙化しており、脆弱性の悪用や認証情報の窃取などを通じて、正規のネットワークやアカウントを悪用して侵入される可能性もあります。

そのため、セキュリティ対策では、「侵入を防ぐ」だけでなく、「侵入された場合に早期に発見し、被害を最小限に抑える」という考え方も重要です。

そこで重要な役割を果たすのがログです。

ログには、ユーザーのログイン・ログアウト、システムへのアクセス、ネットワーク機器の通信、設定変更など、情報システム上で発生したさまざまな操作やイベントが記録されます。

ログを適切に取得・保管・監視することで、通常とは異なる挙動の早期発見や、インシデント発生時の原因調査などに役立てることができます。

医療情報システムの安全管理におけるログ管理の重要性

医療機関のシステムでは、患者の診療情報など重要な情報を取り扱うため、誰がいつ、どのような操作を行ったのかを把握できる状態にしておくことが重要です。

ログ管理には、主に次のような役割があります。

1. セキュリティインシデントの早期発見

ログを監視することで、通常とは異なるアクセスや不審な操作などを把握し、セキュリティインシデントの兆候を早期に発見できる可能性があります。

2. インシデント発生時の原因調査

サイバー攻撃などのインシデントが発生した際には、「いつ」「どの端末から」「どのユーザーが」「どのような操作を行ったのか」といった情報が、原因究明において重要になります。

ログが適切に保存されていれば、発生した事象を時系列で確認し、侵入経路や影響範囲などを調査するための手がかりとして活用できます。

3. 迅速な復旧と被害拡大の防止

インシデントの原因や影響範囲を迅速に把握できれば、必要なシステムやアカウントを特定して対処するなど、復旧に向けた適切な対応につなげられます。

一方で、必要なログが取得されていなかったり、保存期間が短かったりすると、調査に必要な情報が不足し、原因究明や復旧に時間がかかる可能性があります。

医療機関のログ管理における課題

ログの重要性は理解していても、医療機関でログを適切に管理することは容易ではありません。

医療機関では、電子カルテ、サーバー、ネットワーク機器、認証システムなど、さまざまなシステムや機器が利用されています。

それぞれのシステムから出力されるログを個別に管理していると、必要な情報を横断的に確認することが難しくなります。

また、インシデント発生時には複数のシステムのログを突き合わせて調査する必要があるため、ログが各システムに分散していると、調査に多くの時間と手間がかかります。

そのため、複数のシステム・機器からログを収集し、統合的に管理できる仕組みを整えておくことが重要です。

Logstorageで医療機関のログ管理を支援

Logstorageは、サーバやネットワーク機器など、企業内の情報システムから出力される大量のログデータを迅速・確実に収集し、安全に保管する純国産システムです。
2002年の販売開始以来、ログデータの収集・保管や分析・アラート出力を可能にする製品として、内部統制・情報漏洩・情報セキュリティ対策・システム障害対策・監査要件対応などの目的に応え続け、先進企業や官公庁など5,800社を超える導入実績をもち、統合ログ分野のデファクトスタンダードとなっている製品です。

「医療情報システムの安全管理に関するガイドライン」のログ要件への対応方法を解説するセミナー

医療情報システムの安全管理に関するガイドラインでは、医療情報システムを安全に運用するためのさまざまな対策が示されています。

その中でも、ログはセキュリティインシデントの早期発見や、発生後の原因調査・復旧に活用できる重要な情報です。

しかし、実際に「どのようなログを取得すればよいのか」「どのように保管・管理すればよいのか」など、具体的な対応方法に悩むケースも少なくありません。

そこで、ガイドラインのログに関する要件に焦点を当て、具体的な対応方法を解説するセミナーをご用意しています。

本セミナーでは、医療業界におけるネットワーク関連のセキュリティリスクを背景に、ガイドラインで求められるログ管理の考え方や、ログを活用したセキュリティ対策について解説します。

なお、本セミナーは「医療情報システムの安全管理に関するガイドライン 第6.0版」をもとにした内容です。現在のガイドラインの内容とは一部異なる場合がありますので、あらかじめご了承ください。

医療情報システムの安全管理におけるログ管理について理解を深めたい方は、ぜひご視聴ください。

セミナー視聴申込