２０２６年１０月２６日
厚生労働大臣 上野 賢一郎 殿
全国保険医団体連合会
情報通信部 部長 川村 雅之
医療情報のセキュリティ対策強化を求めます
世界シェア7割を占めるプログラミング言語（PHP）の重大な脆弱性が露見し、ウェブサイトなどのサービス利用停止が余儀なくされました。デジタル化一辺倒によるリスクも顕在化しています。
国内外において不正アクセスやサイバー攻撃による大規模な情報漏えいが相次いでおり、医療分野においても、電子カルテ、オンライン診療など医療情報サービスを提供する事業者への不正アクセスが発生し、メドレー社が提供する「アットリンク（診療予約システム）」が一定期間サービス停止に追い込まれるなど診療継続にも影響が出ています。
医療機関には厳しいサイバーセキュリティ対策が求められているものの、個人情報を取り扱う委託先事業所の直接報告義務や、電子カルテ等を開発・提供する側の安全性を公的に確認する仕組みは十分ではありません。
上野厚労相は、10月20日の記者会見で「医療情報システムの安全管理ガイドラインでは、医療情報の漏えいが発生した場合に、医療機関に対しては厚労省への報告を求めているが、システムの事業者に対しては報告を求めていない」と答弁しました。また、「メドレー社は医療情報システムを取り扱う事業者でありますので、完全に当省の所管外だという認識は持っていない」と監督責任が曖昧であることも判明しました。
医療情報システムを提供する事業者にもセキュリティ対策の体制整備等を確保していくことが不可欠であり、厚労省も所管官庁としてセキュリティ対策に責任を持つべきです。システムが医療現場に提供される仕組みを整え、安心して診療できる環境を構築することが必要です。このため、次の２点について国に要望します。
記
１．医療情報システム事業者から厚労省への直接報告制度を整備すること
医療機関と委託関係にある医療情報システムの事業者がサイバー攻撃を受けた場合に、委託先から厚生労働省への直接報告を基本とする仕組みや法整備を実施すること。
２．電子カルテの「医療情報セキュリティ開示書」に第三者評価を組み込むこと
上野厚労相は10月20日の記者会見で「医療情報セキュリティ開示書は、システムサービス事業者が製品の安全性の自己評価を行い、医療機関が事業者を選定する際の参考情報として活用していくもの。厚労省は、各製品のチェック項目への該当項目数は把握していない」と答弁しましたが、事業者や業界任せの姿勢を示しています。
電子カルテ事業者が製品・サービスの安全性等を示すMDS/SDS（医療情報セキュリティ開示書）等を事業者による自己申告のみとせず、第三者による評価を導入すべきです。