電子カルテやレセコンのクラウド化、勤怠システムの外部サービス利用など、医療機関では情報システムの外部委託が一般的になっています。一方で、医療情報を外部に預ける以上、安全管理と契約の整備は必須です。
この記事では、厚生労働省の「医療情報システムの安全管理に関するガイドライン」を踏まえた、外部委託・クラウド利用のポイントを解説します。
ガイドライン第7.0版の考え方
医療情報システムの安全管理に関するガイドラインは、厚生労働省が定める医療情報の安全管理の基準です。第7.0版では、次のような背景から改定されました。
- 医療機関等を対象としたサイバー攻撃事案の継続
- サイバー対処能力強化法の成立など、セキュリティへの社会的関心の高まり
- 二要素認証が令和9年度から遵守事項となること
- クラウドネイティブ型の電子カルテを普及する厚生労働省の方針
ガイドラインは、概説編・経営管理編・企画管理編・システム運用編・保守委託機関編などで構成され、外部委託や責任分界についても整理されています。
外部委託で確認すべきポイント
委託先の安全管理体制
委託先（システムベンダー・クラウド事業者）が、ガイドラインや関連する安全基準に沿った管理体制を持っているかを確認しましょう。セキュリティ認証（ISMSなど）の有無も判断材料になります。
契約で明確にする項目
- 責任分界：医療機関と委託先の責任範囲（障害時・事故時の対応を含む）
- 秘密保持：医療情報の取扱いと漏えい時の責任
- 第三者への再委託：再委託の可否と、再委託先の安全管理
- データの所在と移行：データの保存場所、契約終了時の返却・削除
- バックアップと復旧：障害時の復旧手順と目標復旧時間
契約書の細部は、医療機関向けの契約ひな型（ガイドライン関連資料）も参考に、専門家（弁護士・社労士等）の確認を得るのが確実です。
クラウド利用時の注意点
- アクセス管理：ID・パスワードの管理を徹底し、二要素認証の導入を検討する
- データの暗号化：通信経路と保存データの暗号化を確認する
- 利用規約の確認：医療情報の取扱いに関する条項が、ガイドラインの要求を満たしているか確認する
- 事業継続性：委託先の事業継続リスク（撤退・合併など）も考慮する
院内のサイバー攻撃対策の全体像はクリニックのサイバー攻撃対策、個人情報保護の実務は医療機関の個人情報保護と漏洩対策で解説しています。
委託先選定の進め方
- 委託範囲の明確化：何を・どこまで委託するかを決める（システム運用・保守・クラウド・データ加工など）
- 候補先の比較：医療機関向けの実績、安全管理体制、契約条件を比較する
- 契約と運用ルールの策定：責任分界・秘密保持・再委託・バックアップを契約に反映する
- 定期的な見直し：ガイドライン改定や委託先の体制変更に合わせて、契約と運用を再確認する
院内で整備すべき体制
外部委託の有無にかかわらず、院内の情報管理体制を整備することが基本です。
- 情報管理責任者の選任：医療情報の安全管理の責任者を明確にする
- スタッフ教育：パスワード管理・持ち出し禁止・漏えい時の報告フローを研修する
- アクセス権限の管理：スタッフごとのアクセス範囲を定め、退職時には速やかに権限を削除する
- 定期的な監査：利用状況のログ確認や、委託先との連絡体制の確認を定期的に行う
事故発生時の対応手順
情報漏えいや障害が発生した場合に備え、次の手順をあらかじめ決めておきましょう。
- 初動対応：影響範囲の特定と、システム停止・アカウント停止などの応急措置
- 報告：管理者・委託先への連絡と、必要に応じた関係機関への報告
- 影響調査：漏えいした情報の範囲と原因を調査する
- 再発防止：原因に応じた対策（アクセス制御の強化・教育の実施など）を講じる
事故時の連絡先（委託先の窓口・保険会社・弁護士など）をまとめた資料を用意しておくと、初動がスムーズになります。
委託先とのコミュニケーション
外部委託は「契約して終わり」ではなく、日常的なコミュニケーションが重要です。
- 定期的な打ち合わせ：システムの運用状況・障害情報・アップデート予定を共有する
- 連絡窓口の明確化：緊急時と通常時の連絡先を確認する
- 変更時の協議：機能追加や契約変更の際は、安全管理の観点から協議する
- 報告の記録：障害対応やセキュリティ関連の報告を記録に残す
委託先の担当者が変わった場合は、引き継ぎが適切に行われたか確認しましょう。
よくある質問
勤怠管理システムの利用も外部委託になる？
勤怠データは医療情報ではありませんが、個人情報として適切な管理が必要です。クラウド勤怠サービスを利用する場合は、データの保存場所やセキュリティ体制を確認しましょう。
ガイドラインは法的に義務？
ガイドラインは告示等で定められた遵守事項を含むものの、医療機関の実情に応じた対応が求められる「努力義務」の性質を持つ部分があります。詳細はガイドライン本文と関連通知で確認してください。
電子カルテのクラウド化は進めていい？
厚生労働省はクラウドネイティブ型の電子カルテを普及する方針で、クラウド利用自体は可能です。ただし、ガイドラインの要求事項（アクセス管理・データ保護・事業継続性）を満たす委託先を選ぶことが前提です。
委託先のセキュリティ事故をどう監視する？
契約に定期的な報告（セキュリティ監査結果・障害報告など）を盛り込み、担当者が確認する運用にしましょう。情報提供を依頼できる契約条項があると安心です。
委託先の再委託（孫請け）はどう確認する？
契約で再委託の可否と、再委託先にも同等の安全管理を求める条項を確認しましょう。実際に再委託が行われている場合は、委託先に再委託先の体制の報告を求めます。
契約期間の終了後、データはどうなる？
契約終了時のデータ返却・削除の方法を契約で定めておきましょう。医療情報が残ったまま放置されないよう、移行先での利用可能性も確認します。
ガイドラインの改定にどう追従する？
ガイドラインは数年ごとに改定されます。厚生労働省の発表や委託先からの情報をもとに、院内の運用と契約を定期的に見直す仕組みを作りましょう。
個人情報保護法との関係は？
医療情報は「要配慮個人情報」に該当し、個人情報保護法でも厳格な管理が求められます。ガイドラインとあわせて、個人情報保護の実務（医療機関の個人情報保護と漏洩対策）を確認しましょう。
まとめ
医療情報の外部委託・クラウド利用は、ガイドライン第7.0版の考え方に沿って、委託先の安全管理体制と契約内容を確認することが基本です。責任分界・秘密保持・再委託・バックアップ・データの返却削除を契約で明確にし、定期的な打ち合わせと見直しを行いましょう。院内の情報管理の体制（責任者・教育・アクセス管理・監査）も、委託の有無にかかわらず整備しておくことが重要です。
医療情報の安全管理、院内の運用から
Medical Attend はクリニック専用に設計された勤怠管理ソフト。
勤怠データも含めた情報管理の体制づくりを支援。30日間無料でお試しいただけます。