アクセス権限 許可 医療情報と安全管理の実践

アクセス権限と許可の基本と実践

アクセス権限 許可 の基本概念と医療情報システム

医療現場でいうアクセス権限とは、電子カルテやオーダリングシステムなどの医療情報システムに対して「誰が・どの情報に・どの操作まで実行できるか」を技術的かつ組織的に制御する仕組みを指します。

参考）https://www.mhlw.go.jp/content/10808000/001102575.pdf
許可は、その権限を実際に付与する意思決定とプロセスを指し、採用時・部署異動時・退職時などライフサイクル全体で管理することが求められます。

参考）https://www.meti.go.jp/policy/mono_info_service/healthcare/03besshi2_20250430.pdf

厚生労働省「医療情報システムの安全管理に関するガイドライン（第6.0版）」では、利用者の認証とアクセス権限の設定を「リスク評価に基づく規程整備と運用」として明確に位置付けています。

参考）https://www.mhlw.go.jp/content/10808000/001145860.pdf
このガイドラインでは、アクセス管理規程に「登録・変更・廃止の申請と承認」「定期的な検証」「アクセス記録の収集とレビュー」を含めることが求められており、単に技術設定を行うだけでは不十分である点が強調されています。

アクセス権限の付与は、「必要な人に必要な範囲だけアクセスさせる」という最小権限の原則に基づいて設計することが重要です。

過剰な一括権限付与は情報漏えいリスクを高めるだけでなく、医療事故や誤操作による記録の改ざん・削除の可能性も増やすため、組織として許可の判断基準を明文化しておく必要があります。

参考）https://hodanren.doc-net.or.jp/wp-content/uploads/2019/09/230911_sc.pdf

アクセス権限 許可 と最小権限原則・役割ベース管理（RBAC）の実践

アクセス権限と許可を医療現場に落とし込む際の基本設計として、役割ベースアクセス制御（RBAC：Role-Based Access Control）を採用することが推奨されています。

参考）医療DXの実現に向けた安全管理ガイドライン対応と実践方法
RBACでは、医師、看護師、医療事務、検査技師、薬剤師、システム管理者などの役割ごとに必要な機能とデータへのアクセス範囲を定義し、その役割にユーザを割り当てることで権限管理をシンプルかつ一貫性のあるものにできます。

具体例として、医師には診療録の閲覧・記載・修正・オーダ実行の権限を付与する一方、看護師には診療録の閲覧・看護記録の記載・実施記録の入力権限だけを付与し、診断名登録や処方オーダの作成は許可しないといった設計が考えられます。

参考）https://www.mhlw.go.jp/content/10808000/000936160.pdf
医療事務に対しては、会計情報や保険資格情報へのアクセスは認める一方、診療録本文の閲覧範囲を限定するなど、情報の機微度に応じてきめ細かく調整することが重要です。

最小権限原則を徹底するためには、導入時だけではなく定期的な見直しが欠かせません。

厚生労働省のガイドラインでも、アクセス管理の運用状況に関する定期的なレビューと、記録の点検を行うことが明記されており、年1回以上の棚卸しを行う医療機関も増えています。

アクセス権限 許可 の申請・承認・廃止プロセスとよくある落とし穴

アクセス権限の許可は、事前に定めたアクセス管理規程に基づき、申請・承認・設定・検証・廃止という一連のプロセスとして運用することが求められます。

申請は所属長などの管理者が行い、情報システム部門や医療情報責任者が承認する二重チェック体制をとることで、過剰権限の付与やなりすまし申請を防ぐことができます。

参考）https://www.soumu.go.jp/main_content/000030806.pdf

よくある落とし穴として、退職・異動時の権限廃止が遅れるケースがあります。

ガイドラインでも、退職後のアカウント停止や権限削除を遅滞なく実施することが強調されており、特に非常勤医師や派遣スタッフなど出入りの多い職種では、人的な連絡漏れやシステム登録の遅延がインシデントにつながりやすいと指摘されています。

もう一つ見落とされがちな点として、「一時的権限」の扱いがあります。

新規機能の導入時やトラブルシューティングのために、一時的に管理者権限を付与したまま元に戻し忘れる事例は、情報セキュリティインシデント調査の報告でも繰り返し問題視されています。

このため、一時的権限には有効期限や自動失効の仕組みを付ける、終了時チェックリストを用意するなど、運用レベルでの工夫が不可欠です。

アクセス権限 許可 とログ管理・監査証跡の活かし方（あまり語られない視点）

アクセス権限と許可の議論では「誰に何を許すか」に意識が集中しがちですが、ガイドラインでは同時に「アクセス記録の収集・保存・レビュー」が重要な柱として位置付けられています。

電子カルテや周辺システムには、ログイン履歴、閲覧ログ、変更履歴、エクスポート履歴などのログ機能が備わっており、これらを適切に保存・分析することで、権限設計の妥当性や不正アクセス兆候を早期に検出できます。

あまり知られていないポイントとして、アクセスログの分析結果を「権限見直し」に逆流させることで、より現実に即した最小権限設計が可能になるという点があります。

例えば、ある部署のユーザがほとんど利用していない機能への権限を持っている場合、その権限を削減することでインシデントリスクを低減できるだけでなく、画面表示やメニュー構成をシンプルにし、ユーザビリティ向上にもつなげられます。

また、医療情報システムの安全管理に関するガイドラインでは、アクセスログや操作履歴をインシデント対応だけでなく、職員教育や再発防止策の検討に活用することも求めています。

具体的には、疑義のある閲覧や外部媒体への書き出しが見つかった際、その事例を匿名化したうえで院内の研修資料とし、「なぜこのアクセスが問題となり得るのか」「どのような権限設計と許可の見直しが必要か」を具体的に議論することで、単なる禁止ではない納得感のあるルール作りが可能になります。

アクセス権限 許可 と委託先・クラウドサービス利用時の注意点

近年、電子カルテや画像保管、予約システム、リハビリ記録などをクラウドサービスとして利用する医療機関が増えていますが、この場合のアクセス権限と許可は院内だけで完結しません。

総務省や経済産業省が公表している医療情報を扱うクラウド・情報処理事業者向けガイドラインでは、事業者側においてもアクセス権限やアカウント管理、認証の仕組み、ログ管理を適切に整備し、医療機関と契約上それを明確にすることが求められています。

特に留意すべきなのは、委託先の職員が医療情報にアクセスできる場合、その権限範囲と許可プロセス、守秘義務、再委託時の管理などを契約書に具体的に定めることです。

厚労省のガイドラインでも、医療情報システムに関する委託契約には守秘・非開示の条項を含めること、アクセス管理の要求事項へ対応する品質管理を求めることが明示されています。

また、クラウドサービスでは多要素認証やIPアドレス制限など、院内システムとは異なる認証・アクセス制御機能が利用できることも多く、これらを積極的に活用することでセキュリティ水準を高めることができます。

一方で、自施設のアカウント管理とクラウド側のアカウント管理が二重管理となり、退職者や異動者の権限廃止漏れが発生しやすいという問題もあるため、ID管理の窓口を一本化する、定期的に名簿突合を行うなどの運用設計が重要です。

アクセス権限 許可 と教育・組織文化づくりのポイント

どれだけ精緻なアクセス権限設計や許可プロセスを整えても、それを日々運用するのは医療現場の一人ひとりの職員です。

ガイドラインでは、医療情報の取り扱いに関する教育を定期的に実施し、アクセス権限や認証、記録管理の意義を理解させることが求められており、単発のeラーニングで済ませるのではなく、現場の事例と結びつけた教育が効果的とされています。

教育の際には、「なぜこの権限は許可されていないのか」「なぜ共有アカウントが禁止されるのか」といった疑問に丁寧に答えることが重要です。

例えば、共有アカウントは一見便利に見えますが、誰がどの記録を閲覧・修正したかが特定できなくなり、医療訴訟やインシデント解析の際に重大な支障をきたすことを具体的なケースを通して説明することで、現場の納得感が高まります。

また、小さな工夫として、権限申請や廃止のフローを簡略化し、現場から申請しやすくすることも、適切な許可運用に直結します。

煩雑な申請書式や紙ベースのみの手続きは、どうしても「とりあえず今の権限で運用してしまおう」という行動を誘発するため、Webフォーム化やワークフローシステムの導入、定期的なリマインドによって、正しいプロセスに乗せやすい環境づくりが求められます。

最後に、アクセス権限と許可は一度決めて終わりではなく、診療体制やシステム構成、法令・ガイドラインの改訂に応じて継続的に見直すべき“生きた仕組み”です。

医療DXの進展に伴い、オンライン資格確認や電子処方箋、PHR連携など新たなデータ流通が日常化していく中で、自施設のアクセス権限・許可設計をどのようにアップデートしていくか、今こそ改めて議論する価値があるのではないでしょうか。

医療情報システム安全管理ガイドライン本文（アクセス管理規程や利用者認証・権限管理の具体的要件の参考）：
厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版」

クラウド・委託先におけるアクセス権限・許可、ログ管理、契約時の留意点の詳細な整理：
経済産業省・医療情報安全管理関連別紙2（対策項目一覧とアクセス管理）

クラウド事業者が医療情報を扱う際のアクセス管理や安全管理措置、委託先管理の実務的ポイント：
総務省「ASP・SaaS事業者が医療情報を取り扱う際の安全管理ガイドライン」

アースノーマットロング 1プッシュ式スプレー 24時間持続 蚊取りスプレー ワンプッシュ 屋内 蚊 対策 駆除 蚊除け 300日 防除用医薬部外品