アクセス権限 許可 医療情報 安全管理と運用の実践

アクセス権限 許可 医療情報システム安全管理

アクセス権限 許可と医療DXガイドラインの基本原則

医療従事者が取り扱うアクセス権限と許可の議論をする際、まず押さえるべきなのが「医療情報システムの安全管理に関するガイドライン第6.0版」です。

このガイドラインでは、電子保存の3要件（真正性・見読性・保存性）と情報セキュリティの3要素（機密性・完全性・可用性）を重ね合わせ、医療情報システムのアクセス管理や認可設定の基準を整理しています。

真正性の観点からは、「虚偽入力、書換え、消去及び混同を防止し、誰が記録したか責任の所在を明確にする」ことが求められ、これはアクセス権限の粒度と許可のプロセス設計に直結します。

見読性・保存性の観点では、「必要なときに適切な方法で見読できること」「法定保存期間にわたって情報を失わないこと」が要件化されており、BCP（事業継続計画）やバックアップ設計とあわせて権限設計を検討する必要があります。

厚生労働省ガイドラインは、経営管理編・企画管理編・システム運用編に分かれ、それぞれの編でアクセス権限や許可に関わる責任分界・委託・第三者提供・認証・認可などを詳細に論じています。

例えば企画管理編では「委託と第三者提供の責任分界」や「外部保存時の閲覧権限の考え方」が示されており、クラウド型電子カルテや地域医療連携システムのアクセス権限設計を行う際の重要な参照点になります。

医療DXをテーマとした解説記事でも、職種別アクセス権限の例として「医師は診療情報の閲覧・入力・修正・削除を持つが人事情報は不可」「看護師は担当患者に限定した編集権限」「事務職員は診療情報は参照のみで会計情報に広い権限」など、最小権限の原則に基づいた具体的な設定が紹介されています。

こうした現場レベルの例は、ガイドラインを抽象的な「お作法」で終わらせず、日々の権限申請・許可フローに落とし込む際のヒントになります。

アクセス権限 許可と職種別ロール設計（医師・看護師・事務・救急）

アクセス権限と許可を考えるうえで、医療従事者の職種ごとにロール（役割）を定義し、ロール単位で権限を付与する設計は実務上もっとも現実的です。

医師ロールでは、診療行為の主体として診療録・検査結果・画像・処方情報など患者情報への広範な権限が必要になりますが、会計・人事・システム設定など診療外領域は参照またはアクセス不可にする設計が推奨されています。

看護師ロールの場合、バイタルサイン入力や経過観察記録の編集など担当患者に対する権限は必須ですが、「病院全体の全患者カルテの一括閲覧」までは求められません。

現場では「病棟単位」「担当チーム単位」などの範囲指定を組み合わせることで、必要最小限の閲覧権限と、夜間・救急対応のための一時的な拡張権限を両立させる工夫が行われています。

参考）救急医療における患者の診療情報確認、救急医療従事者に特別権限…

事務職員ロールは、レセプトや請求業務のために診療情報の一部を参照する必要がありますが、診療記録の修正・削除権限は持たせないことが基本です。

代わりに、会計情報や保険資格情報の登録・修正・取消など、事務業務に必要な権限を広く付与し、アクセスログを通じて不正な参照や操作がないか確認する運用が紹介されています。

参考）https://www.mhlw.go.jp/content/10808000/000730544.pdf

救急医療従事者のロールは、通常の外来・病棟ロールと異なり「時間制限付きの特別権限」が重要なポイントです。

救急搬送された患者の過去カルテ等を迅速に確認できるよう、「救急特別権限付与による通常端末からの広範な閲覧」を許可する仕組みが検討されており、その利用ログを厳格に監査することがセットで求められています。

以下のようなシンプルなロール別権限の表は、医療従事者向け教育でも有用です。

ロール	診療情報	会計情報	人事・設定
医師	閲覧・入力・修正・削除（所属・責任に応じて範囲調整）	参照のみ	原則不可
看護師	担当患者の閲覧・入力・修正（病棟単位などで範囲制限）	参照のみ	不可
事務職員	必要範囲の参照のみ	閲覧・入力・修正	担当業務に応じて限定的な権限
救急担当	時間制限付き特別閲覧権限＋通常権限	必要に応じて参照	不可

このようなロール設計を行ったうえで、実際の権限許可は「申請→承認→付与→定期見直し」というワークフローで運用するのが推奨されます。

特に人事異動・組織変更・システム更改のタイミングで権限の棚卸しを行い、不要なIDやロールを削除・無効化していくことが、インシデントリスク低減に直結することがガイドラインでも繰り返し強調されています。

アクセス権限 許可とログ監査・責任分界・クラウド利用の意外な落とし穴

アクセス権限と許可の設計で意外と見落とされがちなポイントが、「ログ監査」と「責任分界」のセットで考える視点です。

厚生労働省ガイドラインでは、「誰が、いつ、誰の情報にアクセスしたかを記録し、定期的な記録の確認と監査責任者への報告を行うこと」が明記されており、アクセス権限の付与だけでなく「権限行使のトレース」が必須とされています。

クラウド型電子カルテや外部保存サービスを利用する場合、アクセス権限や許可の設定が事業者側の管理画面に依存することも多く、「どこまでが医療機関、どこからが事業者の責任範囲か」を契約書で明文化しておく必要があります。

企画管理編では、「診療データのバックアップは日次バックアップを事業者が実施」「OS・ミドルウェアの脆弱性対応は事業者が実施」「ウイルス対策は医療機関が実施」など、具体的な責任分界の記載例が示されており、権限・許可と運用責任を分けて設計する重要性を示しています。

ランサムウェア被害事例では、「バックアップデータが同一権限で暗号化されていた」「アクセス権限の管理不備で攻撃者が広範な権限を奪取した」など、権限設計の甘さが被害拡大の要因として指摘されています。

対策として、「バックアップ環境を本番と論理的・物理的に分離する」「管理者権限を多要素認証＋ゼロトラストで厳格管理する」「アクセス権限の設定変更は2名以上の承認フローにする」などが挙げられ、技術的なセキュリティ設定と運用プロセスの両面からの再検討が推奨されています。

ゼロトラストネットワークの導入事例では、アクセス権限と許可が「ログイン時だけのチェック」から「セッション中の常時認証・振る舞い検知・デバイス証明書検証」に進化しており、権限が有効な状態そのものを継続的に検証する考え方が紹介されています。

これにより、形式的には許可された権限がマルウェアやなりすましに不正利用されるリスクを下げることができ、医療情報の機密性・完全性をより高いレベルで確保できるとされています。

もう一つ見落としやすいのが、「ベンダの保守アカウント」や「委託事業者の診療録閲覧権限」です。

システム運用編では「保守要員の専用アカウントの不正使用を防止する方法」や「委託機関によるアクセスログへのアクセスの監査」について具体的な留意事項が記載されており、院外事業者に対するアクセス権限の許可と監査を、契約・運用規程・技術設定で多層的に管理する必要性が示されています。

アクセス権限 許可と個人情報保護法・要配慮個人情報・生成AI活用の独自視点

アクセス権限と許可の議論では、個人情報保護法と要配慮個人情報の扱いを避けて通ることはできませんが、第6.0版のQ&Aには、生成AIサービスと医療情報の関係についての記述など、あまり知られていない論点も含まれています。

令和2年改正個人情報保護法では、要配慮個人情報（健康情報など）の漏えいがあった場合の報告義務・本人通知義務・罰則強化が規定されており、医療機関に対する説明責任・善管注意義務が従来よりも重くなっています。

参考）個人情報保護法等 ｜個人情報保護委員会

第6.0版Q&Aでは、「生成AIサービスのプロンプトとして医療情報を入力する場合、入力情報が学習のために保存されないことが契約で担保されていても、サーバが国内法の適用を受ける必要がないとは言えない」といった趣旨の記載があり、境界が曖昧になりがちな生成AIと医療情報の関係に警鐘を鳴らしています。

つまり、「生成AIサービスに入力する時点でアクセス権限の許可を受けた医療従事者が情報を外部システムに送っている」という構図になり得るため、単なるテキスト生成の補助と見なして安易に医療情報を投入することは、法令上・ガイドライン上の想定から外れる可能性があるということです。

独自視点として、医療従事者が生成AIを活用する際のアクセス権限と許可の「追加レイヤー」を考えると、以下のような整理が有用です。

• 院内ポリシーで「生成AIに入力してよい情報」と「入力してはいけない情報」を明確に定義する。
  




• 生成AI利用は、医療情報を含まないテンプレート作成・マニュアル草案などに限定し、診療録や要配慮情報を直接プロンプトに含めない。
  




• 生成AIサービスの利用ログを取得し、どの端末・どのアカウントから何の用途で利用したかを監査可能にする。
  




• アクセス権限上は「生成AI利用権限」を別ロールとして定義し、利用可能者を限定したうえで教育・誓約書をセットにする。
  

こうした設計により、「医療情報システム内のアクセス権限と許可」と「外部の生成AIサービスへの情報流出」を切り分けることができ、医療従事者が安心してAIツールを活用しつつ、個人情報保護法や医療情報ガイドラインへの適合性を維持しやすくなります。

さらに、外部保存やクラウドサービスに関するQ&Aでは、「ISMS認証やISMAP、CSゴールドマークなどの評価制度を用いて事業者の安全管理能力を確認する」ことが推奨されており、生成AIサービスを含む外部事業者との契約時にも同様の視点を持つことが重要になります。

個人情報保護委員会が公開している「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」では、要配慮個人情報の取り扱いと第三者提供・委託の違い、漏えい時の対応などが整理されており、アクセス権限の許可を行う管理者にとって、現場での判断材料となる具体例が多数掲載されています。

例えば、「委託先でインシデントが起きても説明責任は一次管理者である医療機関に残る」「第三者提供は受領確認時点で責任が移るが、提供元側にも保存情報に関する管理責任が残る」など、権限許可と責任分界を誤解しがちなポイントが丁寧に解説されています。

参考として、厚生労働省ガイドライン第6.0版Q&A全体は、アクセス権限・認証・認可・外部保存・生成AI・ネットワークセキュリティなど、医療従事者が情報システムに関わる際に押さえておくべき視点を網羅的に提供しています。

そのため、情報システム担当でない医師・看護師・薬剤師・事務職員であっても、「自分の権限がどのリスクとつながっているのか」を理解するために、一度目を通しておく価値のある資料と言えるでしょう。

医療・介護分野の個人情報保護やアクセス権限の背景法令について詳しく理解したい場合に役立つ参考リンクです（個人情報保護法とガイドライン部分の補足として）。
個人情報保護委員会「法令・ガイドライン等」—医療・介護を含む個人情報保護法、要配慮個人情報、匿名加工情報などの法令とガイドラインの一覧

【第3類医薬品】ハイチオールCプラス2 360錠