最近、厚生労働省からサイバーセキュリティに関する通知が届き、「またか」と感じた方もいらっしゃると思います。令和8年度に向けた実態調査が始まり、G-MIS(医療機関等情報支援システム）での回答が求められています。同時に「ガイドライン第7.0版」という最新の指針も示されました。
クラウド活用や二要素認証の導入など、時代に即したアップデートが図られていますが、要点は「病院だけでなく、薬局でもサイバー攻撃への備えを万全に」であり、特に今後は立入検査の際にチェックリストの実施状況が確認されるため、後回しにできない課題となっています。
さて、チェックリストの中で地味ながら極めて重要なのが、「⑬アクセスログを管理している」という項目です。
具体的に求められているのは、「誰が」「いつ」「どの操作をしたか」という足跡を記録し、管理することです。例えば、「〇月〇日 10時15分に、Aさんが患者Bさんの薬歴を閲覧した」といった履歴（アクセスログ、ログ）がシステムに残っている必要があります。また、ただ記録するだけでなく、責任者が定期的にそのログを確認することも併せて求められています。
「わざわざそんな記録をチェックしてどうするのか」と思われるかも知れません。アクセスログはサイバー世界における「防犯カメラ」のようなものです。
万が一、個人情報の漏洩やシステムダウンが起きたとき、アクセスログがない状態は、防犯カメラのない店舗が盗難に遭ったようなものです。「いつ、どこから侵入され、何を持ち出されたのか」が全くわかりません。つまり、被害範囲の特定ができず、結果として「全患者さんのデータが漏れた可能性があります」という最悪の報告をせざるを得なくなります。更に、「誰が操作したか」が分からないと、内部関係者の関与を疑われる可能性が出てきます。
逆にログがしっかり残っていれば、「侵入経路はここだ」「被害はこの範囲に留まっている」と迅速に突き止めることができ、被害を抑える上で重要な足がかりとなります。また、「記録に残る」ことを意識することで、内部での不適切な操作を防ぐ抑止力にもなります。つまり、ログはトラブル時に薬局と薬剤師自身を守るための強力な「保険」となります。
なお、IT環境の整備状況は薬局によって大きく異なります。クラウドサービスを一括利用されている薬局から、サーバーを自前で構築・運用され、システム管理を内部で完結されているケース、あるいはAIツールを駆使して運用を高度化されている薬局まで、その幅は非常に広いでしょう。高度な環境をお持ちの場合は、本項目は「既存の仕組みが最新のガイドライン要件に適合しているか」の確認と、定期的な監査レビューの記録整理として捉えていただければ幸いです。一方で、ログ管理の仕組み作りをこれから検討される薬局には、まずは「記録の残し方」と「責任の所在」を整理する第一歩として、今回のチェックリストを活用していただければと考えています。
現在、現場の努力で手書き運用を続けていらっしゃる薬局さんもあるかと思いますが、日常業務の中で漏れなく書き続けるのは大変で、形骸化してしまう心配があります。また、いざという時に「いつ誰が何をしたか」をノートから探し出すのは非常に時間がかかり、デジタルデータに比べると量、質的に証拠としての能力は弱まります。今後セキュリティ基準がさらに厳しくなれば、こうしたアナログな記録は十分ではない、と判断されることもあるでしょう。
ログを「保険」と書きましたが、正しく残り、仕組みが維持、機能することが重要です。システムベンダーに多くを委ねることになりますが、「どこまではシステムベンダーさんが、どこからが薬局の責任か」を明確にしておく必要があります。
サイバーセキュリティと聞くと難しく感じますが、まずは「うちのシステムの足跡（ログ）は正しく残っているか？」のチェックから始めてみましょう。次回のシステムベンダーさんとの打ち合わせや点検の際に、ぜひ具体的に聞いてみてください。
