ISMS取得の成功事例①　Dクリニック 健康・検査センター/ISMS取得

クリニックが保有する情報セキュリティ体制をアピール

Dクリニックは、総合病院付属の臨床検査部門です。心電図、エコー、脳波などを調べる生理機能検査と、血液、尿、組織などを調べる検体検査の両方を担い、さらに検査技術 を活かした健康診断や人間ドックなどの医療サービスを展開しています。

医療機関における個人情報の取り扱いは医療事故に直結する可能性も…

「当然のことですが非常に多くの個人情報を取り扱います。医師や薬剤師だけでなく、看護師や臨床検査技師もその資格を定める罰則付きの法律による守秘義務が課せられています。しかし個人の資格者だけでなく、受付や総務をはじめクリニックの全従業者が個人情報保護に高い関心をもち、責任感、使命感をもって業務に当たらなければならないと思いました。当初はプライバシーマークの取得を検討しましたが、当クリニックは付属機関であることから、単独で取得できるISMSの認証を目指すことにしたんです」

医療機関における個人情報の取り扱いは医療事故に直結しかねない重大性をもっており、また病歴や健康状態などの情報は非常にセンシティブなもので、個人情報保護への厳格な取り組みが求められています。患者側の 「あのクリニックの個人情報管理はどうなっているか」 という関心も非常に高まっています。個人情報保護法でも「医療関連」は「金融」「電気通信事業」などとともに特定分野ガイドラインが定められています。

また、最近はITの導入も進み、情報システムは医療機関の業務運用上、非常に大きな位置を占めるようになりました。情報システムの停止は医療行為に大きな影響を与えるものであり、個人情報保護にとどまらずその対策も非常に重要になっています。

医療機関における情報セキュリティが維持できなければ、信用・ブランドイメージの低下による信頼 や患者の喪失、システム停止による医療サービスの低下や診療報酬の減少、さらには訴訟 や賠償請求、法的な処罰などが考えられ、クリニック経営の根幹に関わります。その意味でDクリニックの取り組みは大きな意義のあるものになりました。

ISMSの取得で職員全員が情報セキュリティに対して高い意識を持つように

Dクリニックでは法人全体が対象になると極めて大がかりな取り組みになってしまうことから、付属施設であるクリニック単体に範囲を限定して取得できるISMS認証を目指しました。

なお、プライバシーマーク制度でも、大手病院や開業医、薬局、介護施設、サービス、医療システムなどの医療・介護関連機関が扱う情報の特殊性に鑑み、専門化したプライ バシーマーク「MEDIS」を設け、審査機関も一般財団法人医療情報システム開発センター(MEDIS‐DC)という専門機関によって行う独自のメニューをもっています。 マーク付与のための審査はやや専門的なものになるので、コンサルタント会社を選ぶときは、あらかじめ対応が可能か、チェックすることが必要です。

その後、Dクリニックでは、当初のスケジュールどおりにISMSの認証を取得することができました。

「取り組みを終えて思うのは、思い切ってチャレンジして本当によかったということです。目標を『個人情報の保護』『医療事故防止』『クリニックの機能維持』と定め、それぞれについてどのような脅威や脆弱性があるのか、そして顕在化するリスクに対してどのように対処するのか、体系立てて一つひとつ検討することで新たに気づけたリスクもあり、 それに対する対処方針も定めることができました。何よりの成果は、職員全員が情報セキュリティという課題を自分の問題として考え、日頃何に注意すべきか、万一のときはどうするかということを考えてくれたことです。職員自身もやるべきことが整理されて働き やすくなったと言ってくれています。当クリニックの職員のセキュリティレベルは、認証 取得の過程で明らかに高まったと思いますね。これからはいざというときにも、慌てずに 対処できると思います」 今後は医療機関でもプライバシーマークやISMS認証の取得が増えていくと思います。認証の取得がDクリニックのように職員の意識向上につながれば、患者・利用者から の信頼性向上とともに、情報漏えいなどのセキュリティ・インシデントの発生防止にも大きな役割を果たすことになると思います。