監査ログと記録の保全
誰が・いつ・どの患者情報を閲覧・編集したかを記録する監査ログの範囲、保存期間、ダウンロード方法を説明します。
1. 監査ログの概要
ヘルスインタビューでは、すべての操作を監査ログとして記録します。閲覧（参照）も記録の対象です。「医療情報システムの安全管理に関するガイドライン」（3省2ガイドライン）で求められるアクセス記録として利用できます。
2. 記録される項目
| 項目 | 内容 |
|---|---|
| 日時 | サーバ側の時刻（端末の時計に依存しません） |
| 実行者 | 利用者ID・役割・接続元IPアドレス・端末情報 |
| 施設 | 操作が行われた医療機関 |
| 操作種別 | 閲覧・登録・更新・削除 |
| 対象 | 対象の種別と対象ID（患者・予約・文書など） |
| 処理結果 | 成功・失敗 |
| 変更内容 | 一部の更新操作では変更前後の内容 |
3. 保存期間と改ざん防止
- 監査ログは追記のみで、改変できない設定を施したストレージへ自動転送して保管します。
- 保存期限は設けておらず、自動削除は行いません。
4. 監査ログの確認・ダウンロード（管理者向け）
監査ログの取得は管理者ユーザーのみ行えます。取得できる範囲は自施設の記録に限定されます。
- 管理者ユーザーでログインします。
- 監査ログの画面で、期間・利用者・操作種別などの条件を指定します。
- CSVでダウンロードします。
院内の定期点検（アクセス記録の確認）では、このCSVを台帳として保管する運用をおすすめします。監査ログの画面はMAXプランのセットアップ「18-2. 監査ログの確認」でも解説しています。
5. アクセス権限との関係
利用者区分は「一般ユーザー」「管理者ユーザー」の2種類で、権限設定と監査ログの取得は管理者のみ行えます。画面・タブ・ボタン単位（約150箇所）で不許可を設定でき、職種別・担当別に作成したグループ、または利用者個人に割り当てます。設定方法は管理者・利用者情報をご覧ください。
「担当患者のカルテだけ閲覧可」といった患者レコード単位の制限には対応していません。どの職員がどの患者情報を参照したかは、監査ログで追跡する設計です。
6. 記録の真正性を支える仕組み
- 診療録の確定時に、確定者・確定日時・記録内容のハッシュ値（SHA-256）を保持します。
- 確定後の修正は修正理由とともに新しい版として記録され、過去の版は残ります。
- カルテの版ごとに記録者・確定者・確定日時を保持します。
- 利用者の削除は論理削除のため、退職した職員が作成した記録との紐づけも保持されます。
詳しくはカルテ記録（診療録）をご覧ください。