院内SEが語る中小病院のDX・サイバーセキュリティ対策（1）システム運用失敗例

　厚生労働省は2023年5月31日に「医療情報システムの安全管理に関するガイドライン第6.0版」（以下、ガイドライン）を公表しました。医療機関におけるサイバーセキュリティ事故やクラウドサービス、オンライン資格確認など新たな技術への対応のため、ガイドライン改訂も早まる傾向がみられます。

　2023年5月のガイドライン改定で、内容が大きく3部構成となり役割が明確化されました。その1つで経営者の役割についても触れられています。具体的にはセキュリティ対策への危機意識を持つこと、システムに対する予算確保、担当者の配置、委託先業者との協働といった内容です。全体的にはガバナンスをもって取り組むことが求められています。これまでの報道にあったように大規模な医療機関でもインシデントは容易に発生し、多大な損害が発生します。ですが、それまでの経験から改訂されたガイドラインを読み込み、インシデントを正しく理解し適切に対応することで、被害を防止または軽減することができます。

　今回は医療機関の大半を占める中小規模の病院を対象に、電子カルテを中心にシステム導入や運用管理の失敗例をお伝えします。次に、これらの例から失敗しないためにはどのようなところに注意しないといけないか、最後にガイドラインと照らし合わせて今後のシステム導入の提案を示します。

　電子カルテを導入する際には、各種メーカーが販売する電子カルテを導入するのが一般的です。中には、一部の画面や機能に対して追加費用を支払ってカスタマイズすることもあります。さらには自院で独自の電子カルテを開発しようという話もありました。

　A病院では、地元の小規模なシステム開発会社と共同でオーダリングシステムから開発していました。始めのうちは、院内の要望を取り入れて希望どおりの機能を実装していきました。初期投資もサーバや現場のパソコンで数千万円、毎月数十万円の業務委託費がかかっており、6年を経過するころには1億円以上の投資になっていました。

　あるとき、サーバの保守期限が切れるため買い替えをしたいと委託先業者から要望がありました。費用は3千万円程度。この稟議を経営陣に提出したところ、