いま医療機関がクラウド型電子カルテやSaaS型医療情報システムを選ぶとき、土台になる公的資料は大きく2つあります。1つは厚生労働省の「医療情報システムの安全管理に関するガイドライン 第6.0版」と、そこから参照される令和7年5月版のチェックリストマニュアルです。もう1つは、経済産業省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン 第2.0版」と、その別紙1（サービス仕様適合開示書及びSLA参考例）です。21日目の記事では、この現行資料に沿って、選定時に最低限見るべき点を整理するのが適切です。

このテーマで最初に押さえるべきなのは、クラウド型電子カルテの選定は「機能比較」だけでは不十分だという点です。経産省の第2.0版は、対象事業者と医療機関等の合意形成において、医療機関等へ提供すべき情報、役割分担の明確化、安全管理に係る評価を示し、別紙1の参考例そのものの作成・提供は必須ではない一方で、同等の内容について情報提供した上で、適切な共通理解に基づく合意形成を図ることを求めています。つまり、ベンダーから紙が出るかどうかより、責任・仕様・障害時対応が見える形で説明されているかが重要です。

1. まず「事業者確認用チェックリスト」を事業者ごとに回収する

厚労省のチェックリストマニュアルは、医療機関等が**「事業者確認用」**を事業者へ送付し、対策状況を確認するよう求めています。複数の医療情報システムを利用している場合は、システムを提供している事業者ごとに確認することが必要です。したがって、クラウド型電子カルテの選定でも、見積書や提案書だけで終えず、まずベンダーに事業者確認用を返してもらうことが入口になります。

2. MDS/SDSとサービス仕様適合開示書・SLAを分けて読む

厚労省のチェックリストマニュアルは、MDS/SDS（医療情報セキュリティ開示書）を、製造業者・サービス事業者が作成する医療情報システムのセキュリティ機能に関する標準的記載方法で、医療機関側が必要な対策を理解しやすくするための資料だと説明しています。経産省の別紙1は、サービス仕様適合開示書とSLAを、医療機関等と対象事業者の合意形成に使う参考例として位置付けています。実務上は、MDS/SDSは機能と前提条件を見る資料、サービス仕様適合開示書とSLAは責任分界と運用条件を見る資料として分けて読むのが分かりやすいです。これは公的資料に基づく実務整理です。

3. 保存場所・国外法・バックアップ・実施体制・財務の健全性まで確認する

経産省の第2.0版は、事業者の選定基準として少なくとも確認する必要がある項目として、保存された医療情報を格納する情報機器等が国内法の適用を受けること、医療情報を保存する情報機器等の設置場所（地域、国）、国外法の適用可能性、安全管理に係る基本方針・取扱規程等の整備状況、バックアップの取得及び管理状況、実施体制の整備状況、実績等に基づく信用度、財務諸表等に基づく経営の健全性、さらにプライバシーマーク、ISMS、ISMAP、FedRAMP等の確認を挙げています。つまり、クラウド型電子カルテの選定では、UIや帳票より前に、どこに保存され、どの法令の下に置かれ、止まったときにどう守られるかを見なければなりません。

4. 「責任共有モデル」の空白を埋める

経産省の別紙1は、役割分担の項目として、本サービス提供に対する責任と、利用環境に関する役割分担と責任を必須項目にしています。そこでは、特にクラウドサービスでは、セキュリティに対する責任は共有するという責任共有モデルの考え方が示され、利用者側で用意すべき機器やネットワーク等の管理も論点になると説明されています。したがって、SaaS型電子カルテを選ぶときは、「ベンダーが守る範囲」と「医療機関が守る範囲」の境界を曖昧にしないことが重要です。これは制度文書の表現に沿った実務上の核心です。

5. 通常時と障害時の連絡体制を、直接契約先ベースで確認する

経産省の別紙1は、通常時の連絡体制と障害時・非常時の連絡体制・告知方法をいずれも必須項目としています。通常時は医療機関等側の責任者、対象事業者側の責任者、ヘルプデスク窓口の連絡先を明示し、連携対象事業者等が含まれていても、医療機関等が直接契約している対象事業者を直接の連絡先とすることが求められています。障害時・非常時についても、通常業務時間外を含む連絡先や、電話・メール・Webフォームなどの方法を、業務の即時性に応じて合意することが求められています。つまり、選定時には「障害時はお問い合わせください」では足りず、誰に、どの時間帯に、どの手段で、どこまで通知されるかを確認する必要があります。

6. 再委託・連携クラウド・データセンター・保守業務を見える化する

経産省の別紙1は、SLA参考例の対象項目として、障害一般に関する役割分担と責任に加え、再委託事業者・連携クラウドサービス事業者等を挙げています。具体的には、データセンタ業務、保守業務、連携クラウドサービス事業者、再委託先・連携事業者に対する管理責任等、再委託先・連携事業者に関する情報提供が並んでいます。したがって、クラウド型電子カルテの選定では、直接の販売会社だけでなく、実際にどこが保守し、どこがデータを扱い、どのクラウドや下請が関わるのかまで確認する必要があります。

7. セキュリティ仕様として、ネットワーク・不正アクセス対策・利用者認証・更新履歴管理を見る

経産省の別紙1は、ネットワーク経路の安全管理対策、外部からの不正アクセス対策、**利用者認証（利用者資格認証、電子署名等）**を必須項目として示しています。さらに、電子カルテに関するサービスでは、職種等に基づくアクセス制御、診療記録の確定（本人による確定、代行確定等）、データの更新履歴管理もサービス仕様として確認すべき項目に含まれています。したがって、クラウド型電子カルテの選定では、「クラウドだから安全」ではなく、通信経路、認証方式、職種別アクセス、記録確定、更新履歴の保持まで確認して、初めて安全性を比較できます。

このテーマで一番伝えたい結論は、SaaS・クラウド型電子カルテの選定では、機能一覧より先に「責任・場所・連絡・再委託・認証・更新履歴」が見えるかを確認すべきという点です。厚労省のチェックリストマニュアルは、医療機関が事業者確認用チェックリストを事業者ごとに回収し、MDS/SDSを確認することを求めていますし、経産省の第2.0版と別紙1は、同等内容の情報提供、責任共有モデル、再委託、障害時連絡、セキュリティ仕様を明示する考え方を示しています。機能比較はその後でも遅くありません。