システム監査技術者 2013年 午後1 問02
情報システム運用の監査に関する次の記述を読んで、設問1～4に答えよ。
M病院は、約200の病床を有する一般病院であり、7年前に電子カルテシステムを導入して現在に至っている。
〔電子カルテシステムの概要〕
電子カルテシステムは、従来紙カルテに記録していた情報を電子データに置き換え、院内での情報共有を図るものである。また、処方、検査などの指示（以下、オーダという）を行う機能も有しているので、医師は、電子カルテシステムに診療内容を記録し、薬剤部、検査部、放射線部、栄養管理部などの部門システムに、オーダを直接送信することができる。
M病院が導入した電子カルテシステムは、外部ベンダが開発したソフトウェアパッケージで、導入以降およそ2年ごとにバージョンアップが行われており、直近のバージョンアップが行われたのは1年前である。
〔システム運用環境の概要〕
(1) 電子カルテシステムが稼働するサーバを含め、全てのサーバは院内のサーバルームに設置され、事務部システム課に所属する5名の職員が管理している。
(2) 本番システムについては、システム障害発生時に備えてハードウェアを冗長化しているが、災害発生時に備えたバックアップサイトはもっていない。
(3) バックアップデータの保管については、専門業者の遠隔地データ保管サービスを1年前から利用している。バックアップデータは日次で取得し、サーバルームに一時保管した後、週次で専門業者に引き渡している。従来サーバルームに保管していた全てのバックアップデータの移動は完了している。
〔電子保存の要求事項及び代行操作の承認機能に関するガイドライン〕
電子カルテシステムについては、法的に保存が義務付けられている診療記録を電子データで保存するための前提として、表1に示す電子保存の要求事項を満たすことが求められている。
また、M病院では、医療品質の向上及び業務運用の効率化を図るために、医師、看護師など専門性が必要とされる医療関係職員と、メディカルクラークと呼ばれる事務職員（以下、MCという）の役割分担が推進されている。
具体的には、役割分担の一環として、医師の指示の下でMCが医師に代わって電子カルテに記録する代行操作を認めている。ただし、オーダについては、従来どおり医師が行う必要がある。代行操作を依頼した医師は、電子カルテの記録内容を承認して確定操作を行わなければならない。記録内容の承認については、表1の項番1に示す要求事項を満たしていなければならない。そのために、表2に示すガイドラインに基づき、運用管理規程で運用方法を定めている。
〔システム監査の実施〕
監査室長は、年次監査計画に基づき、2名のシステム監査人を任命し、電子カルテシステムの運用に関する監査を指示した。システム監査人は、文書などの閲覧及び関係者へのインタビューを通じて、次の事項を発見した。
(1) 電子カルテシステムの操作ログを用いて代行操作の状況を調査したところ、多数のMCが代行操作を行っており、医師とMCの役割分担が進んでいる。
(2) 電子カルテの記録内容について、医師がやむを得ず一定時間内に承認及び確定操作を行えなかった場合は、電子カルテシステムによる自動確定が行われる。これは、予約外の外来患者が多いといった、特別な理由がない日にも発生している。
(3) 業務継続計画（以下、BCPという）の訓練の一部として、電子カルテシステムのバックアップデータを参照するテストが初めて行われている。このテストの対象は、サーバルームに保管しているバックアップデータだけである。また、電子カルテシステムのデータはベンダ独自の形式なので、電子カルテシステムを使用できない場合にデータを参照するには、専用ソフトウェアが必要である。専用ソフトウェアは、電子カルテシステムのバージョンアップの際、ベンダからバージョンに対応したものが提供されている。
なお、処方、検査などの指示を行うオーダ業務については、手書き伝票の起票によって容易に代替できるという理由で、BCPが策定されていない。
〔システム監査における指摘事項〕
システム監査人は、指摘事項を次のようにまとめた。
(1) 代行操作について、誰（MC）が誰（医師）の代行者なのか、あらかじめ特定されていないケースが見られる。表2の項番1に関する内容が運用管理規程に含まれているが、明確に記述されておらず、正しく理解されていないことが原因だと考えられる。運用管理規程の明確化が必要である。
(2) 代行操作によって電子カルテに記録された内容について、自動確定が行われているケースが見られる。運用管理規程では、自動確定時における電子カルテの作成責任者は、代行操作を依頼した医師であると定めている。ただし、自動確定はやむを得ない場合の処置であり、原則として自動確定に至る前に医師が承認及び確定操作を行うことと定められている。自動確定を減少させるために、電子カルテシステムの機能強化を図るべきである。
(3) 電子カルテシステムのバックアップデータ参照テストにおけるテスト対象のデータは、サーバルームに保管されているものである。これだけでは、電子カルテシステムを使用できない場合に、業務が中断するおそれがある。業務上必要となる期間のバックアップデータを対象に、テストを実施する必要がある。
(4) オーダ業務について、電子カルテシステムを使用できない場合の運用手続が定められておらず、手書き伝票による代替運用が実質的に機能しない可能性がある。手書き伝票に切り替えた場合の運用手続を定め、BCPを策定し、訓練を行う必要がある。
設問1：
問題文を見る〔システム監査の実施〕の(1)について、システム監査人が、操作ログの調査に際してあらかじめ確かめておくべき前提条件を、40字以内で具体的に述べよ。
模範解答
・ユーザID及びパスワードの管理が適切で、なりすましの可能性がないこと
・調査の対象となる操作ログが全てそろっており、改ざんが行われていないこと
解説
解答の導き方
この設問では、操作ログを調べる前に、ログから分かる内容を証拠として信頼できるかどうかを確認します。
まず、本文では「電子カルテシステムの操作ログを用いて代行操作の状況を調査」しています。ログに記録されたユーザIDを見て、誰が操作したかを判断するには、そのIDを実際に操作した人と結び付けられる必要があります。ユーザIDやパスワードが他人と共有されていたり、第三者に使われていたりすると、ログ上の操作者と実際の操作者が異なる可能性があり、MCによる代行操作の状況を正しく把握できません。そのため、ユーザID及びパスワードが適切に管理され、なりすましが起きていないことを確かめます。
次に、ログに記録された内容そのものが調査に使える状態かを確認します。一部のログが欠けていれば、調査対象の操作を見落とす可能性があります。また、ログが改ざんされていれば、記録された操作が事実と異なるおそれがあります。したがって、調査対象となる操作ログが全てそろっており、改ざんされていないことも前提になります。
このように、確認すべきことは、誰が操作したかを正しく特定できることと、調査に使うログが完全で改ざんされていないことの二つです。
誤りやすいポイント
- ログにユーザIDが記録されていれば、操作者も特定できると考えてしまうことです。IDやパスワードが共有されていれば、本人が操作したとは限りません。
- ログが保管されていることだけを確認し、調査対象のログが全てそろっているかを見落とすことです。
- ログの記録内容が正しい前提で調査を進め、改ざんの有無を確認しないことです。
- 「代行操作が適切に行われたか」だけに注目し、操作ログを調査証拠として使うための前提条件を答えないことです。
FAQ
Q: 操作ログにユーザIDがあれば、誰が操作したか分かりませんか？
A: ユーザIDを複数人で共有していたり、他人が使用できたりする場合、ログのIDと実際の操作者が一致するとは限りません。認証情報の管理状況も確認する必要があります。
A: ユーザIDを複数人で共有していたり、他人が使用できたりする場合、ログのIDと実際の操作者が一致するとは限りません。認証情報の管理状況も確認する必要があります。
Q: ログが一部だけ欠けていても、残っている範囲を調べればよいですか？
A: 一部が欠けていると、代行操作の件数や状況を正しく把握できない可能性があります。調査対象となるログが全てそろっていることを確認します。
A: 一部が欠けていると、代行操作の件数や状況を正しく把握できない可能性があります。調査対象となるログが全てそろっていることを確認します。
Q: なぜログの改ざんの有無も確認するのですか？
A: 改ざんされていると、実際には行われた操作が記録されていないなど、ログが事実を正しく示さないおそれがあるためです。
A: 改ざんされていると、実際には行われた操作が記録されていないなど、ログが事実を正しく示さないおそれがあるためです。
関連キーワード: 操作ログ、ユーザ認証、アクセス管理、ログ完全性、監査証跡
設問2：
問題文を見る〔システム監査における指摘事項〕の(2)について、システム監査人が想定した、電子カルテシステムの自動確定に関する機能強化に必要な内容を、35字以内で述べよ。
模範解答
自動確定前に、医師へ承認及び確定操作を促す通知を表示する機能
解説
解答の導き方
-
問われているのは、自動確定が発生する状況を減らすために、システムにどのような機能を追加するかです。単に作成責任者を明確にすることではありません。
-
本文では、医師が一定時間内に承認及び確定操作をしないと自動確定される仕組みがあり、特別な理由がない日にも自動確定が起きていると分かります。つまり、医師が操作する前に時間切れになることが問題です。
-
一方、運用管理規程では、医師が自動確定の前に承認及び確定操作を行うことが原則とされています。したがって、システムの機能強化では、この原則どおり医師が操作できるように促す必要があります。
-
自動確定までの時間を延ばすだけでは、医師が操作しないまま時間切れになる問題は残ります。そこで、自動確定される前に医師へ操作を促す通知を表示すれば、医師が記録内容を確認して承認及び確定操作を行いやすくなります。
誤りやすいポイント
- 自動確定を全面的に禁止することを答えにしないようにします。本文では、医師がやむを得ず操作できない場合に自動確定が行われる仕組みが既にあります。
- 作成責任者を明確にすることだけでは、自動確定の発生を減らせません。本文では、自動確定時の作成責任者は運用管理規程で定められています。
- 自動確定後に医師へ通知するのではなく、自動確定の前に通知して、医師による承認及び確定操作を促す点が重要です。
FAQ
Q: 通知は誰に表示するのが適切ですか？
A: 代行操作を依頼した医師です。医師自身が記録内容を承認し、確定操作を行うためです。
A: 代行操作を依頼した医師です。医師自身が記録内容を承認し、確定操作を行うためです。
Q: 通知を表示すれば、自動確定をなくせますか？
A: 必ずなくせるとは限りません。通知によって医師の操作を促し、自動確定に至るケースを減らすことが目的です。
A: 必ずなくせるとは限りません。通知によって医師の操作を促し、自動確定に至るケースを減らすことが目的です。
Q: 作成責任者のルールを追加すれば十分ですか？
A: いいえ。責任者を明確にすることと、自動確定の発生を抑えることは別の課題です。
A: いいえ。責任者を明確にすることと、自動確定の発生を抑えることは別の課題です。
関連キーワード: 自動確定、承認ワークフロー、通知機能、作成責任者、運用管理規程
設問3：
問題文を見る〔システム監査における指摘事項〕の(3)について、システム監査人が“業務が中断するおそれがある”と考えた理由を、表1の項番2の二つの観点から、それぞれ45字以内で述べよ。
模範解答
①：異なるバージョンで作成されたバックアップデータを参照するテストが行われていないから
②：適切な時間内に遠隔地のバックアップデータを入手し書面化するテストが行われていないから
解説
解答の導き方
設問は、表1の項番2「見読性の確保」にある二つの観点から、バックアップデータ参照テストだけでは何が確認できていないのかを考える問題です。
まず、1つ目の観点は、情報の内容を必要に応じて肉眼で見読可能な状態にできることです。本文には、電子カルテシステムのデータは「ベンダ独自の形式」であり、参照には専用ソフトウェアが必要だとあります。さらに、そのソフトウェアは電子カルテシステムのバージョンに対応したものが提供されています。
電子カルテシステムは導入後にバージョンアップを重ねています。そのため、異なるバージョンで作成されたバックアップデータを参照するには、対応するソフトウェアで正しく読めることを確認する必要があります。しかし、テスト対象はサーバルームに保管しているバックアップデータだけです。よって、異なるバージョンで作成されたバックアップデータを参照できるかは確認できていません。これが、肉眼で見読可能な状態にできるかという観点での問題です。
次に、2つ目の観点は、情報の内容を必要に応じて直ちに書面に表示できることです。バックアップデータは、サーバルームに一時保管された後、専門業者に引き渡されます。また、従来サーバルームに保管していた全てのバックアップデータの移動は完了しています。つまり、障害時に必要となるデータが遠隔地にある場合があります。
ところが、今回のテストではサーバルームに保管しているデータしか対象にしていません。そのため、遠隔地のバックアップデータを業務上必要な時間内に入手できるか、さらに書面に表示できるかが確認できていません。したがって、直ちに書面に表示できるかという観点でも、業務の中断につながるおそれがあります。
誤りやすいポイント
- バックアップデータが取得されていることだけで、見読性も確保されていると判断しないようにします。データを保存できていても、対応するソフトウェアで参照できるとは限りません。
- バージョンの問題と、遠隔地からの入手にかかる時間の問題を混同しないようにします。前者は情報を読めるか、後者は必要なときに間に合うかという違いがあります。
- テスト対象が「サーバルームに保管しているバックアップデータだけ」である点を見落とさないようにします。遠隔地のバックアップデータは、このテストでは確認されていません。
- 見読性の二つ目の観点は、画面で参照できるかだけではありません。必要に応じて直ちに書面に表示できることも含まれます。
FAQ
Q: バックアップデータが遠隔地に保管されていれば、問題ないのですか？
A: 保管されていることだけでは十分ではありません。必要なデータを適切な時間内に入手し、内容を参照して書面に表示できることを確認する必要があります。
A: 保管されていることだけでは十分ではありません。必要なデータを適切な時間内に入手し、内容を参照して書面に表示できることを確認する必要があります。
Q: バージョンが異なると、バックアップデータは必ず参照できないのですか？
A: 必ず参照できないとはいえません。ただし、本文では参照に必要なソフトウェアがバージョンに対応するとされています。異なるバージョンのデータを実際に参照できるか、テストで確認する必要があります。
A: 必ず参照できないとはいえません。ただし、本文では参照に必要なソフトウェアがバージョンに対応するとされています。異なるバージョンのデータを実際に参照できるか、テストで確認する必要があります。
Q: サーバルームにあるバックアップデータのテストでは、何が確認できていますか？
A: そのテスト対象のデータを参照できることは確認できますが、異なるバージョンのデータや、遠隔地から入手するデータを参照できることまでは確認できません。
A: そのテスト対象のデータを参照できることは確認できますが、異なるバージョンのデータや、遠隔地から入手するデータを参照できることまでは確認できません。
関連キーワード: 見読性、バックアップ、バージョン互換性、遠隔地保管、復旧テスト
設問4：
問題文を見る〔システム監査における指摘事項〕の(4)について、システム監査人が、“手書き伝票による代替運用が実質的に機能しない可能性がある”と考えた理由を、40字以内で述べよ。
模範解答
・手書き伝票で運用を代替した場合の業務負荷の増加分が検証されていないから
・手書き伝票起票後の各部門システムとの連携方法が検証されていないから
解説
解答の導き方
-
まず、オーダ業務が電子カルテシステムでどのように行われているかを確認します。本文では、医師が処方や検査などのオーダを「部門システムに、オーダを直接送信する」とあります。つまり、通常は電子カルテシステムから各部門システムへ情報が連携されています。
-
一方、電子カルテシステムを使えない場合については、「手書き伝票の起票によって容易に代替できる」という理由でBCPが策定されていません。しかし、伝票を書けることだけでは、電子システムで行っていたオーダ業務全体を代替できるとは限りません。
-
そこで、手書きに切り替えたときに、伝票の作成や受渡しなどの作業が増えても業務を回せるのかを考えます。本文には、その場合の作業量や職員の負担を確認した記述がありません。業務負荷の増加分が検証されていなければ、代替運用が実際に続けられるか分かりません。
-
さらに、紙の伝票に記載されたオーダを、薬剤部や検査部などがどのように受け取り、各部門システムで処理するのかも問題になります。電子カルテシステムからの直接送信が使えないため、伝票を受け取った後の連携方法を定め、実際に動くか確かめる必要があります。その検証がなければ、伝票を起票できても各部門で処理されない可能性があります。
-
したがって、監査人が懸念したのは、手書きにした場合の業務負荷と、伝票起票後の部門システムとの連携の両方が確かめられていないことです。
誤りやすいポイント
- 「BCPが策定されていないから」とだけ答えると、代替運用が機能しない具体的な理由に踏み込めていません。
- 手書き伝票を作成できることと、オーダ業務全体を代替できることを同一視しないようにします。
- 業務負荷の問題と、伝票起票後に部門システムへ情報を連携する問題は、別の観点として押さえます。
- 電子カルテへの記録の代行操作ではなく、設問が対象としているオーダ業務の代替運用に焦点を当てます。
FAQ
Q: 手書き伝票への切替え手順がないことだけを書けばよいですか？
A: 手順がないことは問題の背景ですが、設問では、なぜ代替運用が機能しない可能性があるのかを問われています。業務負荷の検証不足と、起票後の部門システムとの連携方法の検証不足まで述べることが重要です。
A: 手順がないことは問題の背景ですが、設問では、なぜ代替運用が機能しない可能性があるのかを問われています。業務負荷の検証不足と、起票後の部門システムとの連携方法の検証不足まで述べることが重要です。
Q: 部門システムとの連携とは、何を指しますか？
A: 電子カルテシステムからの直接送信に代わり、手書き伝票の内容を各部門が受け取り、必要な処理につなげることです。その方法が定まっているか、実際に処理できるかを確かめる必要があります。
A: 電子カルテシステムからの直接送信に代わり、手書き伝票の内容を各部門が受け取り、必要な処理につなげることです。その方法が定まっているか、実際に処理できるかを確かめる必要があります。
Q: 業務負荷の検証では、何を確認しますか？
A: 電子システムの代わりに伝票を作成・受渡しすることで、どのような作業が増え、職員がその業務量を処理できるかを確認します。
A: 電子システムの代わりに伝票を作成・受渡しすることで、どのような作業が増え、職員がその業務量を処理できるかを確認します。
関連キーワード: 業務継続計画、代替運用、業務負荷、部門システム連携、業務手順
