薬局開局時に押さえておきたいIT・セキュリティ整備の全体像

対象読者: これから開局する薬局の管理薬剤師・開設者、または開局後にIT整備を見直したい方

開局準備でITが後回しになる理由

薬局の開局準備では、物件・設備・スタッフ・届出と、決めるべきことが一気に押し寄せます。ITまわりは「レセコンを入れる」「ネットがつながる」で止まりがちです。

ただ、患者情報を扱うシステムはレセコンだけではありません。電子薬歴、調剤支援システム（自動分包機など）、オンライン資格確認、店舗内のPC・タブレット・ルーター。これらすべてが管理対象になりえます。

そして、ITの整理と保健所対応は分けて考えにくい部分があります。患者情報を扱うシステムや機器が見えないと、どこまでを管理対象にするか判断できません。逆に、立入検査で求められる書類を知っておくと、導入前にベンダーへ聞いておくべきことも見えてきます。

まず整理したいのは「患者情報を扱うシステムと機器」

最初にやっておきたいのは、どのシステムや機器で患者情報を扱うのかをざっくり並べることです。

薬局の開局時によく入るのは次のようなものです。

• レセコン（薬局の中核システム。処方情報・患者情報を直接扱う）
• 電子薬歴システム（処方歴・服薬指導記録を管理する）
• 調剤支援システム（自動分包機、散薬監査システムなど。患者情報と紐づく場合は対象）
• オンライン資格確認
• 在庫管理システム（患者情報と紐づく場合のみ対象）
• 店舗内で使うパソコン、タブレット、ルーター、無線LAN

クリニックでは電子カルテが中核ですが、薬局ではレセコンと電子薬歴がその役割を担います。この2つはほぼ確実にサイバーセキュリティ対策の対象になると考えておくのが自然です。

「対象かどうか」の判断軸

すべてのシステムが一律に対象というわけではありません。判断の軸は「患者情報を含む医療情報を扱っているかどうか」です。レセコンは患者の氏名・処方内容・調剤情報を扱うため、ほぼ確実に対象です。「会計寄りだから対象外では」と思われることがありますが、ガイドライン上で対象外となりうるのは医療情報を含まない費用請求・経理だけの仕組みに限られます。

在庫管理システムは一律ではありません。純粋な薬の数量データだけなら対象外と整理しやすいですが、レセコンや電子薬歴と連携して患者単位の情報を参照している場合は対象に含めて考えるべきです。

なお、対象外であってもレセコン等と同じネットワーク上にあれば、OSの更新やウイルス対策などの基本的な対策は意識しておくことが推奨されます。

立入検査で求められる4つの書類

薬局の立入検査（薬機法に基づく）では、サイバーセキュリティ関連で4つの書類の「現物確認」が行われます。開局前から完璧に仕上げる必要はありませんが、何を書くものなのかは把握しておくべきです。

1. 機器台帳 ― 店舗内のIT機器を書き出す

店舗内のネットワークにつながっている機器の一覧表です。調剤室のレセコン端末、電子薬歴のPC、Wi-Fiのルーター、スタッフ用のタブレットなどが対象になります。

記載する項目は主に7点です。

「店舗のどこに、何のIT機器が、何台あるのか」を把握するための一覧です。すべてのセキュリティ対策の土台になります。

2. 緊急連絡体制図 ― サイバー攻撃時にどこへ連絡するか

万が一サイバー攻撃を受けた際の連絡先をまとめたリストです。基本的には以下の3カ所が中心になります。

• ITベンダー（レセコン・電子薬歴などのシステム保守会社）
• 厚生労働省の担当窓口および管轄の保健所（厚労省窓口: 03-6812-7837）
• 警察（都道府県警のサイバー犯罪相談窓口）

「誰が・どの順番で・どこに連絡するか」を事前に1枚の紙に整理して薬局内に掲示しておく。これだけで、インシデント発生時の初動スピードが大きく変わります。

薬局の場合、ベンダーが複数になることが多い点に注意が必要です。レセコン・電子薬歴・調剤機器・ネットワーク設定と、それぞれ保守先が異なることがあります。「レセコンが止まった場合はA社、ネットワークの問題はB社」のように、障害の種類ごとに連絡先を書き分けておくと、パニック時に迷いにくくなります。

3. BCP ― システムが止まったときの調剤継続手順

サイバー攻撃や通信障害でレセコンや電子薬歴が使えなくなった時に、どうやって調剤業務を続けるかの手順書（事業継続計画）です。

大規模病院のような何十ページもの分厚いマニュアルは必要ありません。以下の4つの取り決めを整理しておくことが現実的な目安です。

4. 運用管理規程 ― スタッフ向けの運用ルールの明文化

日常業務におけるセキュリティルールをスタッフ向けに文書化した規程です。

• 管理体制（管理薬剤師と利用者の役割）
• 私物のUSBメモリの接続禁止
• パスワードの使い回しや、モニターへの付箋貼りの禁止
• 退職者が出た際のアカウント削除の手続き
• インシデント発生時の対応手順
• 教育・周知（年1回の研修や回覧）

これまで「うちではずっとこうしてきた」「常識的にやってはいけない」で済ませていた暗黙のルールを、紙に落とし込んでおくことが立入検査では求められます。店舗の規模や導入しているシステム（クラウドか店舗内サーバーか等）に応じて、必要な内容は異なります。

レセコン・電子薬歴の契約前にベンダーへ確認したい6つのこと

レセコンや電子薬歴の選定では価格・機能・操作性が比較の中心ですが、契約後に確認すると「オプション対応です」「契約外です」と言われる論点があります。以下の6項目を、導入前に押さえておくことを勧めます。

1. バックアップの仕様と復旧範囲

「バックアップを取っている」だけでは不十分です。確認すべきは「何が、どこまで戻せるか」。

• 何を対象にバックアップするのか（薬歴データだけか、設定情報やプログラムも含むか）
• どの頻度で取得するのか
• 何世代分残るのか
• 障害時にどの時点まで復元できるのか
• バックアップデータはネットワークから分離されているか

ガイドラインでは、データだけでなくプログラムや設定も含めたフルバックアップが求められています。ネットワークから分離されていない場合、ランサムウェアで本体と一緒に暗号化されるリスクがあります。

2. 二要素認証の対応状況とロードマップ

サイバーセキュリティ対策チェックリストでは、「二要素認証を実装している、または令和9年度までに実装予定である」が確認項目になっています。

• 現時点で二要素認証に対応しているか
• 未対応の場合、いつの更新で対応予定か
• 何をもって「二要素認証」としているか（生体認証、ICカード、ワンタイムパスワードなど）

未対応の製品を選んだ場合、令和9年度までに別途対応が必要です。それが標準アップデートに含まれるのか、追加費用が発生するのかも契約前に確認したい点です。

3. リモートメンテナンスの有無と管理

導入後の保守対応がリモートで行われるかどうかは、運用にもチェックリスト対応にも関わります。

• リモートメンテナンスの有無
• どの機器・システムに外部から保守接続が入るのか
• 保守作業のログが残るか、誰が確認できるか

リモートメンテナンスがあること自体は問題ありません。ただ、「どの経路で、どのベンダーが、どの機器に入るのか」を把握しておかないと、機器台帳やチェックリストを作る段階で手が止まります。

4. MDS/SDS（セキュリティ開示資料）の提供可否

MDS/SDSは、ベンダーが医療機関等に提出する安全管理に関する開示資料です。厚労省の「役割分担等に関する確認表」でも最初の確認項目として挙がっています。

• MDS/SDSまたはそれに相当する資料を提出できるか
• 対象はどのシステム・サービスか
• 「サービス仕様適合開示書」「セキュリティ仕様回答書」など別名で提出されることがあるか

名称が違っても、安全管理対策が書面で確認できれば実質的に同じものです。提出できないベンダーの場合、薬局側で個別にヒアリングして整理する負担が大きくなります。

5. アクセスログの取得範囲

ガイドライン第6.0版では、アクセスログに記録すべき最低限の内容として以下の3つを求めています。

1. 利用者のログイン時刻
2. アクセス時間
3. ログイン中に操作した医療情報（誰の薬歴を見たか）

この基準を踏まえて確認したいのは、

• 上記3点が標準機能で記録されるか
• どのシステム・機器でログを取得しているか
• ログの保存期間はどのくらいか
• 薬局の管理者がログを確認できるか

「ログがある」だけでなく「管理者が確認できる」ことが重要です。

6. 責任分界 ― 何がベンダー対応で、何が薬局側の判断か

上記5項目すべてに共通する大事な視点です。

薬局では、レセコン・電子薬歴・自動分包機・ネットワーク設定とベンダーが複数にわたるのが一般的です。厚労省の資料でもマルチベンダー環境では責任の間隙が生じやすいとされています。

契約前に確認しておきたい線引きの例は次のとおりです。

この線引きがあいまいなまま契約すると、トラブル時に「それはうちの範囲ではない」と言われて対応が遅れるリスクがあります。確認結果は口頭で済ませず、日付・相手・項目・回答内容を記録しておくと、後で契約書やチェックリストに落とし込みやすくなります。

開局前にどこまでやればいいか

ここまで読むと「開局前からそこまで考えるのは大変だ」と感じるかもしれません。その感覚は自然です。全部を固めるのは現実的ではありません。

次の4つができていれば、開局後の対応はかなり楽になります。

「何から手を付ければよいか分からない」という状態を、開局前に解消しておくことが目標です。

まだ整理していなければ、今日は次の3つだけでも十分です。

この3つで、開局準備のITまわりが「何となく進めるもの」から「確認しながら進めるもの」に変わります。

ご質問・ご相談はお問い合わせページからお気軽にどうぞ。

※本記事は、厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版」および関連するサイバーセキュリティ対策チェックリストの内容に基づいて整理しています。検査の具体的な確認内容は検査官や都道府県によって異なる場合があります。不明な点は管轄保健所への事前確認をお勧めします。