医療情報技師能力検定試験 病院情報システムの導入と運用 練習問題 第12問: 専任のシステム担当者がいない小規模な診療所が、すべてのサーバのセキュリティアップデートを含む保守を事業者に任せるクラウド型（SaaS型）の電子カルテを導入しよう

端末やネットワーク機器の更新を診療所の責任で行う肢3が適切です。保守委託機関編10章の遵守事項⑤は、医療機関等が用いる端末・ネットワーク機器の脆弱性対応（セキュリティパッチ、ファームウェアの更新等）を「医療機関等の責任で」行い、事業者に委託するときは委託内容・範囲を明確にするとしています。

⑨はMDS/SDS（事業者がセキュリティ対応を開示する書面）の提出を導入の際に求め、別紙の部分が「はい」又は「対象外」であることを確かめるとしており、最初の監査まで待つ形も、「対象外」のある事業者を外す形も合いません。入退室管理や媒体・機器の保管ルールは、医療機関等が自ら管理する例として挙がっています。

パフォーマンス管理・死活監視は、⑧のとおり委託契約のSLA（サービスの水準の取り決め）で明確にします（医療情報システムの安全管理に関するガイドライン第7.0版（令和8年6月）保守委託機関編10章）。サーバの保守を任せても、端末・ネットワーク機器の脆弱性対応は診療所の責任で行い、任せる範囲は明確にします。