コラム

医療DX・セキュリティ・AI技術に関する知見をお届けします。

カテゴリ

295 件の記事

アクセス権限設計と特権ID管理|医療機関で現実的にどこまでやるか
医療情報セキュリティ2026年9月14日

アクセス権限設計と特権ID管理|医療機関で現実的にどこまでやるか

職種別の権限設計、最小権限の考え方、退職・異動時の棚卸し、ベンダー保守アカウントの管理、そして共有IDをやめられない現場での次善策。理想論ではなく、医療現場の制約のなかで被害の広がりを実際に抑えるための権限設計を整理します。

組織的管理策37項目の読み方
ISMS・認証取得2026年9月14日

組織的管理策37項目の読み方

ISO/IEC 27001:2022 附属書A.5の組織的管理策37項目を、一つずつ訳すのではなく8つのグループに束ねて解説します。方針とガバナンス、資産と情報の分類、アクセスの方針、委託先とクラウド、脅威情報、インシデント管理、事業継続、法令遵守と点検。各グループで実務上どの文書・記録を作ることになるかを整理しました。

附属書A 2022年版|93管理策と4テーマの全体像
ISMS・認証取得2026年9月14日

附属書A 2022年版|93管理策と4テーマの全体像

ISO/IEC 27001:2022 附属書Aの93管理策を、組織的37・人的8・物理的14・技術的34という4テーマの構造から俯瞰します。93すべてを実施する義務はないこと、採否を適用宣言書でどう説明するか、属性による分類の使いどころ、そしてヘルスケア企業がどの順で着手すべきかを整理しました。

人的管理策8項目の読み方
ISMS・認証取得2026年9月14日

人的管理策8項目の読み方

ISO/IEC 27001:2022 附属書A.6の人的管理策8項目を、入口・在職中・出口・働く場所・報告文化の5グループで整理します。既存の就業規則・雇用契約とどう接続するか、少人数組織で職務分離が成立しないときにどう説明するか、リモートワークをどこまで書くかを、ヘルスケア事業者の文脈で解説しました。

物理的管理策14項目の読み方
ISMS・認証取得2026年9月14日

物理的管理策14項目の読み方

ISO/IEC 27001:2022 附属書A.7の物理的管理策14項目を5グループで整理し、オフィスを持たないフルリモート組織・クラウド専業のSaaS事業者がどこまでを適用除外にでき、どこを在宅勤務環境と委託先管理に振り替えるべきかを具体的に解説します。データセンターの扱い、媒体と廃棄、装置の社外持ち出しまで。

技術的管理策34項目の読み方
ISMS・認証取得2026年9月14日

技術的管理策34項目の読み方

ISO/IEC 27001:2022 附属書A.8の技術的管理策34項目を6グループで整理します。アクセス制御と認証、脆弱性と構成管理、データ保護のライフサイクル、ログと監視、ネットワーク、そしてセキュアな開発。医療SaaSの開発・運用の文脈で、何を実装し何を記録として残すべきかを具体的に解説しました。

ウイルス対策とEDR|医療機関が導入前に決めておくこと
医療情報セキュリティ2026年9月14日

ウイルス対策とEDR|医療機関が導入前に決めておくこと

従来型のウイルス対策とEDRは何が違うのか。EDRは「入れれば守られる」製品ではなく、検知したあとに誰かが判断し動くことで初めて機能します。運用体制の選び方、医療機器のように導入できない端末への代替策、そして導入前に確認しておくべき項目を整理しました。

審査費用の相場と変動要因
ISMS・認証取得2026年9月14日

審査費用の相場と変動要因

ISMSの審査費用は「審査人日 × 単価」で決まります。人日を動かす要素(適用範囲内の要員数、拠点数、事業の複雑さ、統合審査の有無)を整理し、初年度と2年目以降の違い、3年総額での比較の仕方を解説します。コンサル費用との切り分け、相見積で確認すべき費目のチェックリストも掲載しています。

ログ管理と監査証跡|取っているが見ていない状態から抜け出す
医療情報セキュリティ2026年9月14日

ログ管理と監査証跡|取っているが見ていない状態から抜け出す

何のログを取るか、どれだけ保管するか、そして最大の課題である「取っているが見ていない」問題。インシデント発生時に実際に必要になるログは何か、点検を運用に乗せるにはどうするかを、限られた人員の医療機関を前提に整理します。

医療機関のバックアップ設計|3-2-1ルールと加算1の要件
医療情報セキュリティ2026年9月14日

医療機関のバックアップ設計|3-2-1ルールと加算1の要件

2026年度改定で、複数方式によるバックアップと一部のオフライン保管が加算1の要件になりました。要件を満たすとされる3つの方式(外部媒体・NASへの自動転送・クラウド内の論理分離領域)、日次なら少なくとも3世代という世代管理、そして復旧試験をしていないバックアップは無いのと同じという論点を整理します。

事業継続計画(BCP)とISMSの接続
ISMS・認証取得2026年9月14日

事業継続計画(BCP)とISMSの接続

ISMSの可用性の要求とBCPをどう接続するかを整理しました。RTO・RPOを誰がどう決めるのか、ISMSの範囲で作るBCPと全社BCPの関係、医療システムが止まると何が起きるのか、そして訓練の記録に何を残すべきか。ヘルスケア企業が可用性をリスクとして正しく評価するための実務を解説します。

主要審査機関の比較|BSI・JQA・BV・SGS・DQS
ISMS・認証取得2026年9月14日

主要審査機関の比較|BSI・JQA・BV・SGS・DQS

ISMS認証の審査機関としてよく候補に挙がる5機関——BSIグループジャパン、日本品質保証機構(JQA)、ビューローベリタスジャパン、SGSジャパン、DQSジャパン——の認定機関と特徴を一覧で整理しました。価格では差がつきにくい領域で、自社の条件からどう絞り込むかまで解説します。

審査機関の選び方|相見積で見るべき点
ISMS・認証取得2026年9月14日

審査機関の選び方|相見積で見るべき点

ISMSの審査機関はどこを選んでも認証の効力は同じです。では何で選ぶのか。見積りが審査人日でどう決まるのか、相見積を取る前に揃えるべき前提条件、金額以外に比較すべき認定機関・日程の柔軟性・審査員の業界知見まで、選定の手順を実務の順番で整理しました。

治験・臨床研究システムのISMSとER/ES指針
ISMS・認証取得2026年9月14日

治験・臨床研究システムのISMSとER/ES指針

EDCやeConsentなど治験・臨床研究を支えるシステムでは、ISMSに加えてER/ES指針(電子記録・電子署名)への適合が問われます。真正性・見読性・保存性の3要件、監査証跡に何を残すか、GCPとの関係、そしてISMS文書でどこまで賄えてどこからが別物なのかを整理します。

クラウド事業者の選定基準|医療機関が確認すべき7項目
医療情報セキュリティ2026年9月14日

クラウド事業者の選定基準|医療機関が確認すべき7項目

医療情報を預けるクラウド事業者を選ぶときの判断基準を整理しました。ガイドライン適合の確認方法、データの所在(本番・バックアップ・ログ)、ISMS・ISO 27017といった認証の読み方、契約終了時のデータ返還、そして再委託の透明性。相見積りを比べる前に確認すべき項目を表で示します。

審査でよくある不適合と対策
ISMS・認証取得2026年9月14日

審査でよくある不適合と対策

ISMS審査で指摘される不適合を、重大・軽微の区別と典型的なパターンに分けて整理します。内部監査の形式化、教育記録の欠落、リスクアセスメントの更新漏れ、委託先管理の未実施、記録と実態の乖離、SoAと規程の不整合——それぞれがなぜ起きるのか、審査前にどう潰すのか、指摘を受けた後の是正処置をどう進めるのかまで解説します。

是正処置報告書の書き方
ISMS・認証取得2026年9月14日

是正処置報告書の書き方

是正処置報告書を、様式を埋める作業から再発防止の設計に変えるための実務を整理しました。応急処置と是正処置の違い、「なぜなぜ」で止まらない原因分析の進め方、有効性の確認をいつ何で行うか、審査で受けた指摘を是正に落とす流れ、そして記載例の構造を表で示します。

サイバー攻撃を想定したBCP|自然災害BCPとの違いと診療継続の優先順位
医療情報セキュリティ2026年9月14日

サイバー攻撃を想定したBCP|自然災害BCPとの違いと診療継続の優先順位

医療機関のサイバーBCPを、自然災害BCPとの違いから組み立てます。復旧までの期間が読めないこと、紙運用への切替が長期化すること、バックアップ自体が被害を受けること。RTO・RPOの決め方、診療機能の優先順位づけ、そして2026年度改定で加算1の要件になったBCP策定と訓練の位置づけを整理しました。

医療機関のサイバー保険|何が補償され、何が対象外か
医療情報セキュリティ2026年9月14日

医療機関のサイバー保険|何が補償され、何が対象外か

医療機関がサイバー保険を検討するときの見方を整理しました。補償されやすい費用と対象外になりやすいもの、加入前に求められる対策水準、免責が効く場面、そして「保険は対策の代わりにならない」理由。具体的な商品名や保険料には触れず、契約前に確認すべき論点に絞っています。

個人情報漏えい時の報告義務|医療機関が押さえる速報・確報と本人通知
医療情報セキュリティ2026年9月14日

個人情報漏えい時の報告義務|医療機関が押さえる速報・確報と本人通知

医療機関で個人情報の漏えい等が起きたときの報告義務を整理しました。個人情報保護委員会への報告が必要になる場面、速報と確報という二段構えの枠組み、本人通知の考え方、そして診療情報が要配慮個人情報であることの意味。インシデント対応計画に組み込むべき判断手順としてまとめています。

電子カルテのアクセスログ点検|不正閲覧をどう検知し、どう抑止するか
医療情報セキュリティ2026年9月14日

電子カルテのアクセスログ点検|不正閲覧をどう検知し、どう抑止するか

電子カルテのアクセスログは取得されていても、見られていないことがあります。知人や著名な患者のカルテを職務と関係なく閲覧する行為は、外部からの攻撃ではなく内部で起きます。何を手がかりに検知するのか、点検の頻度と担当をどう決めるのか、そして「点検している」と周知すること自体の効果まで整理しました。

電子カルテ更新時のセキュリティ要件|移行期が最も危ない
医療情報セキュリティ2026年9月14日

電子カルテ更新時のセキュリティ要件|移行期が最も危ない

電子カルテの更新プロジェクトで、最もリスクが高いのは移行期です。全患者データの持ち出し、新旧システムの並行稼働、旧システム・旧媒体の廃棄——この3つの局面で何が起きるのか、移行業者をどう管理するのか、旧媒体をどう処分するのかを、発注側が押さえるべき要件として整理します。

端末管理|持ち出しPC・タブレットの安全対策
医療情報セキュリティ2026年9月14日

端末管理|持ち出しPC・タブレットの安全対策

在宅医療・訪問診療でタブレットを持ち出す、自宅でノートPCを使う、職員が私物端末で業務メールを見る。院外に出た端末をどう管理するか、紛失時に何ができるようにしておくか、そして資産台帳とどう接続するかを、限られた人員で回せる形に整理します。

医療情報システムの安全管理ガイドライン第6.0版の要点
医療情報セキュリティ2026年9月14日

医療情報システムの安全管理ガイドライン第6.0版の要点

2026年度診療報酬改定で、電子的診療情報連携体制整備加算の要件に「医療情報システムの安全管理に関するガイドラインへの準拠」が入りました。セキュリティ対策は算定要件になっています。第6.0版の4編構成、誰がどの編を読むのか、対象範囲が規模を問わないこと、2025年5月のQ&Aまで、医療機関が最初に押さえるべき点を整理します。