院内SEが語る中小病院のDX・サイバーセキュリティ対策（2）システム運用を失敗しないために

　前回は、中小病院のIT担当者がどのようなときに失敗するかの事例を書きました。

　昨今の医療機関を取り巻くサイバーセキュリティ事故多発と同時に、医療分野のDX（デジタルトランスフォーメーション）担当が内閣府に設置され、本格的な議論を進めています。医療DXの布石としてオンライン資格確認や電子処方箋の導入が進められています。マイナンバーカードも保険証利用や税と社会保障の一体改革など省庁を跨いだDX推進施策のひとつです。DXとは、デジタル技術によってビジネスや社会、生活の形・スタイルを変える（Transformする）ことと定義されています。すべての分野で働き手が不足することに対応するためにも、デジタル技術によって、これまでの働き方を変えていく必要があります。

　今回はサイバーセキュリティ対策がテーマですので、目に見えて業務が改善され、業務効率が良くなるようなわかりやすい部分ではありません。しかし、電子カルテやこれらの医療DXを動作させる基盤となる情報インフラの安全運用・管理は大変重要です。今回はガイドラインを中心にシステム運用を失敗しないための要点を紹介します。

　前回、「医療情報システムの安全管理に関するガイドライン第6.0版」（以後、ガイドライン）が大きく3部構成になったことをお伝えしました。わかりづらくなったように感じますが、具体的に役割が示されたことがとても重要です。

図表１：「医療情報システムの安全管理に関するガイドライン第6.0版」概要

　今回のガイドラインでは経営管理編、企画管理編、システム運用編と大きく３部に分かれました。その中で医療機関のシステムに経営者が関与することが明確に記載されました。

中小規模の医療機関では、事務部門や一部の関係者のみで電子カルテや関係する部門システムの導入の決定を行うところもあるでしょう。必要最低限のセキュリティ対策や場合によっては全く対策をしていない医療機関も存在していたと考えられます。電子カルテなどのシステムはそれ単体では医療機関に利益を生み出すことはないため、出費を抑えたいという気持ちも理解できます。しかし、近年のようにサイバーセキュリティ事故が発生した医療機関では、地域への医療機能停止だけでなく、業務停止していた期間に得られたはずの収益が失われ、事故の調査や補償、機器の買い替えなどで新たに費用も発生します。経営的な大打撃を受けることはこれまでの事故報告から明らかです。そのため、今回のガイドライン改訂で経営者の関与がシステム運用管理に必要であるとされました。

　電子カルテをはじめとした医療情報システムは非常に高額です。業務効率化や診療科を立ち上げるといった際にシステムの導入を行いますが、100床規模の病院になると数億円単位の投資になることは珍しくありません。そのような際に、医療機関とシステムメーカーとの橋渡し役となるのがシステム担当者となります。

　今回のガイドライン改訂で経営者の役割として、セキュリティ対策への危機意識を持つこと、システムに対する予算確保、担当者の配置、委託先業者との協働についての記載があります。医療機関のシステム導入やセキュリティ対策のガバナンス形成の役割が求められています。経営者としてシステムを導入することで業務の効率化や医療DXのような変革への舵を切る場合、現場スタッフとの直接的な対応はシステム担当者が担うことになります。経営者の思いを実現するための右腕、コーディネーターとしての活躍が期待されます。

　経営者にはIT投資やセキュリティ対策で実現したいことを明確にし、システム担当者はその実現に向けて調整と実践の役割があります。管理側は任せきりではなく、定期的に方向性を確認しながら進めていきましょう。ガイドラインではISMSというセキュリティマネジメントの考え方がベースとなっています。医療機関で取り入れられているPDCAサイクルと同じく組織体制の構築、リスク分析・評価など一連の取り組みを継続していけるとよいでしょう。ISMSの認証取得の必要はなく、既存の安全管理委員会などにサイバーセキュリティも取り込んで計画と推進を実践するといいと思います。

　医療機関の内部でシステム担当者を採用する場合は、ある程度の権限やポジションを付与しておいたほうが良いと考えます。新しいシステムの導入やサイバーセキュリティ対策もですが、現場業務手順の変更や一時的な業務停止のお願いを行う場合があります。そのような際に、何の権限もないシステム担当者だけが矢面に立つと指示に従ってもらえない場合があります。少なくとも院長や事務長といった経営者・管理者のバックアップが必要です。今回のガイドラインが分かれたことには、このような意味合いも含まれていると推察しています。

　今回のガイドラインでは、システム担当者は安全管理の対策やその実践、資料作成、技術的な対応の検討、システムや製品のライフサイクル（EOS）の把握、システムの監視や多要素認証への対応準備と多岐にわたります。医療機関の規模によっては、他部門の事務職員が兼任することや、企画管理者の業務範囲も対応する場合もあると思います。マンパワーが足りない場合は新規の担当者の採用や業務委託の検討も必要です。