厚生労働省大臣官房医薬産業振興・医療情報審議官

現在、厚生労働省から、再生医療等の提供をする医療機関に対して通知を行っておりまして、現時点で、使用されるエクソソーム等で諸外国等を含め有効性、安全性が示され、薬事承認を得て製造販売されている医薬品はありません、このため、当該医療を行う場合には、実施する医師、歯科医師の責任の下、特にその安全性に留意する必要があると考えていますという旨、通知しているところでございます。

いろいろな形のデータベース等の医療ＤＸについてでございます。例えば、オンライン資格確認等システム、それから匿名医療保険等関連情報データベース……（尾辻委員「数だけでいいです、時間がないので」と呼ぶ） 　関連するシステムの定義がなかなか難しいので、数を今申し上げるのは難しいんですけれども、事前に委員からおっしゃられていたその量でいうと、大体十五のシステムが医療ＤＸの関係であると考えております。

クラウドの基盤についてでございますが、例えば電子カルテ情報共有サービスほか複数のシステムについて、アマゾンウェブサービスジャパン合同会社のクラウドサービス、ＡＷＳを利用しているところでございます。

マイナポータルからの侵入についてでございますが、電子カルテ共有サービスからマイナポータルを通じて提供される情報は、マイナポータルにログインしたアカウントにひもづく個人の情報に限られているところでございます。 　マイナポータルは、他者による成り済ましを防止するため、ログイン時にマイナカードを用いた本人確認を行っており、不正なログインが行われる可能性自体が極めて低いというふうに考えておりますけれども、基本的には情報が限定されているというふうに考えております。 　それから、オンライン資格確認等システム、電子カルテ共有サービスにおいては、政府機関等のサイバーセキュリティー対策の統一基準にのっとって構築、運用を行っておりますので、支払基金のシステムのセキュリティーそのものについては、そうした安全性を考慮して運営されている。具体的には、専門家の知見も得ながら、暗号化、認証、認可、脆弱性診断、現在考

診療所経由の侵入のケースについてでございます。 　支払基金のシステムそのものについては、先ほど答弁申し上げたとおり、暗号化、認証等を行って対応しているところでございます。 　支払基金の電子カルテ情報共有サービスから個々の医療機関に提供される情報は、医療機関等の窓口でマイナ保険証を用いて本人確認と同意取得がなされた個人に対する情報のみを、同意取得から原則二十四時間以内に限り提供される仕組みとなっております。 　そのため、仮に悪意ある第三者が医療機関等を経由して情報窃取を試みた場合、電子カルテ共有サービスに関する同意取得から二十四時間以内の情報を除き、その医療機関の全ての患者の情報が窃取されることはないというふうに考えております。

ＢＣＰの策定状況についてでございますが、令和七年三月の時点で、病院におけるＢＣＰの作成状況は五七％というふうになっているところでございます。

現時点では把握しておりません。

お答え申し上げます。 　病院については、先ほど新聞記事で御説明されたとおり、いわゆるサイバーテロの攻撃により非常に大きな被害を与えるという観点から、病院の状況について緊急的にＢＣＰの状況等を把握したものでございます。 　今後、診療所等についても、必要に応じて把握していきたいというふうに考えております。

医療機関等の責任として、医療情報の漏えい等による損害賠償も含めて行政上、刑事上、民事上の責任が生じることについては、国が策定した医療情報システムの安全管理のガイドラインにおいて明示しているところでございます。厚労省が医療機関等に向け実施しているサイバーセキュリティーに関する研修なども通じて、医療機関への周知も図っているところでございます。 　引き続き、医療情報を含めた個人情報が医療機関等において適切に管理されるよう、取組を実施してまいりたいと考えております。

三文書六情報については省令に規定しているところでございまして、これを拡大する場合については省令改正をしていくことになると考えております。