NRIセキュアテクノロジーズは8月27日、医療情報を取り扱う情報システムやサービスを提供する事業者に向けた「医療情報システムのセキュリティガイドライン準拠支援サービス」を提供開始した。

新サービスは、総務省と経済産業省が8月21日に公表した「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン(第1版)」に基づくコンサルティングサービス。

  • サービスの流れ

従来、医療情報を扱うシステムについては、厚生労働省、総務省、経済産業省それぞれがセキュリティガイドラインを策定し、「3省3ガイドライン」と呼ばれており、事業者はそれぞれを参照し対応する必要があった。新ガイドラインは、総務省と経産省が2つのガイドラインを統合・改定して公表したもの。

同ガイドラインは、医療情報システム固有のリスクを特定し、それぞれのリスクに応じた必要なセキュリティ対策の実施(リスクベースアプローチ)と、システム提供先の医療機関などとの明示的な合意(リスクコミュニケーション)を求めている。

新サービスでは、医療情報システムに関する知見を持つ同社の専門家が同ガイドラインを基に、医療情報システムに対するリスク評価からセキュリティ対策の立案、実行までを包括的かつ実効的に支援するという。

同サービスは、以下の4つの内容で構成する。

1.医療情報の流れ全体のリスクアセスメント
2.リスク対応方針の策定
3.リスクコミュニケーションのための文書作成(オプションサービス)
4.危機管理対応(オプションサービス)

医療情報の流れ全体のリスクアセスメントでは、医療情報システムの構成図を元に、システムを構成する要素間をデータがどのように流れるかの全体像を把握し、想定されるリスクを洗い出す。

リスクの大きさや発現可能性に応じてセキュリティ対策が必要かどうかを検討し、必要な対策の優先順位付けを支援するとのこと。

リスク対応方針の策定では、対応が必要と評価したリスクについて、それぞれの「事業者自身が実施すべきセキュリティ対策」「医療機関など外部への依頼事項」「対策実施後の残存リスク」を整理し、リスク対応方針(低減・回避・移転・保有)を策定する。

リスクコミュニケーションのための文書作成に関して、ガイドラインでは、システムやサービスを利用する医療機関などとリスクコミュニケーションを行う上で、必要な文書を整備することを求めている(例:サービス仕様適合開示書)。

同社は専門家の観点から、文書作成にあたって考慮すべき事項をアドバイスするという。

危機管理対応では、医療情報システムにおいてセキュリティインシデント(事故・事案)などが発生した場合に備え、対応手順の整備や、発生後に行う医療機関などとの合意形成において考慮すべき事項について、アドバイスするとのこと。