3省2ガイドラインとは？医療情報システムの安全管理ガイドライン第7.0版の変更点と、立入検査で確認されるチェックリスト19項目【クリニック・歯科・薬局向け】
結論から申し上げます。クリニック・歯科医院・薬局を含むすべての医療機関にとって、サイバーセキュリティ対策はすでに「やったほうがよいこと」ではなく、法令上の義務です。そして毎年の立入検査では、厚生労働省が配布している19項目のチェックリストが実際に確認されます。
さらに2026年6月29日、その根拠となる「医療情報システムの安全管理に関するガイドライン」が第7.0版に改定されました。
パスワードの「定期的な変更」という長年の要件が削除され、二要素認証の対象が明確化され、専任のシステム担当者がいない小さな医療機関のために「保守委託機関編」という新しい編が追加されています。
本記事は公開時点で最新の第7.0版（令和8年6月）と令和8年度版チェックリストにもとづいて書いています。インターネット上には第6.0版（令和5年5月）を前提にした解説が数多く残っていますので、参照される資料の版数にご注意ください。
この記事では、3省2ガイドラインの全体像、第7.0版で何が変わったか、立入検査で実際に見られる19項目、二要素認証の期限、そして費用と補助金までを、ITの専門用語をなるべく使わずに整理します。
3省2ガイドラインとは？
「3省2ガイドライン」とは、厚生労働省・経済産業省・総務省の3つの省庁が出している、2本のガイドラインをまとめた呼び方です。
医療機関側が守るものと、電子カルテやレセコンを提供する事業者側が守るものが、それぞれ別々に用意されています。
| ガイドライン | 所管 | 誰が守るものか | 最新版 |
|---|---|---|---|
| 医療情報システムの安全管理に関するガイドライン | 厚生労働省 | 病院・診療所・歯科医院・薬局などの医療機関等 | 第7.0版 （令和8年6月） |
| 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン （通称・2省ガイドライン） |
経済産業省 総務省 |
電子カルテ・レセコン・クラウドサービス等を提供する事業者 | 第2.0版 （令和7年3月28日改定） |
つまり「3省2ガイドライン」は、医療機関と、その医療機関にシステムを納めている業者の両方をセットで縛る仕組みだとお考えください。
どちらか一方だけが頑張っても穴が残るため、後述するチェックリストも「医療機関・薬局確認用」と「事業者確認用」の2種類が用意されています。
2省ガイドラインは令和7年3月28日に第2.0版へ改定されています。第1.1版を前提にした解説記事がまだ多く残っているため、事業者との打ち合わせで版数がずれていないか確認してください。
なぜ「やったほうがよい」ではなく義務なのか？
多くの院長先生・管理薬剤師の方が意外に思われるのがこの点です。
医療機関のサイバーセキュリティ対策は、省令によって管理者が遵守すべき事項として明記されています。
| 施設の種類 | 根拠となる省令 | 内容 |
|---|---|---|
| 病院・診療所・助産所 | 医療法施行規則 （昭和23年厚生省令第50号） 第14条第2項 |
管理者は、サイバーセキュリティの確保について 必要な措置を講じなければならない |
| 薬局 | 薬機法施行規則 （昭和36年厚生省令第1号） 第11条第2項 |
薬局の管理者は、サイバーセキュリティの確保について 必要な措置を講じなければならない |
サイバー攻撃の脅威が近年増大していることに鑑み、医療法施行規則（昭和23年厚生省令第50号）第14条第2項において、病院、診療所又は助産所の管理者が遵守すべき事項として、サイバーセキュリティの確保について必要な措置を講じなければならないとしている。
（厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版 経営管理編」より）
そして、その実施状況を確認する場が立入検査です。
病院・診療所・助産所は医療法第25条第1項にもとづく立入検査、薬局は薬機法にもとづく立入検査の中で、サイバーセキュリティ確保のために必要な取組を行っているかが確認されます。
あわせて、医療機関は個人情報保護法上の安全管理措置（第23条）と委託先の監督（第25条）も負っています。
電子カルテのベンダーに任せているから自院は関係ない、とはならない点にご注意ください。
▶ 関連記事：委託先・外注先のセキュリティ管理はどこまで必要？個人情報保護法25条の監督義務
第7.0版で何が変わった？
第7.0版は、2026年6月29日付の通知（産情発0629第1号）で各都道府県知事等に対して発出されました。
前回の第6.0版（令和5年5月）から約3年ぶりの改定で、背景にはサイバー対処能力強化法（令和7年法律第42号）の成立や、医療機関を狙った攻撃が止まらない状況があります。
| 変わった点 | 第6.0版まで | 第7.0版 |
|---|---|---|
| 保守委託機関編の新設 | 概説編・経営管理編・企画管理編・システム運用編の4編 | 上記に加えて保守委託機関編を新設 （専任担当者がいない小規模医療機関向け） |
| パスワードの定期変更 | 定期的な変更を求める記載があった | 「定期的な変更」の要件を削除 代わりに使い回しの禁止とアカウントロックを追記 |
| 二要素認証の対象 | 対象が明確でなかった | クライアント端末とサーバで対応することを明確化 令和9年4月1日時点で困難な場合の緩和措置も新設 |
| クラウドの位置づけ | 利用にあたっての留意事項が中心 | クラウドサービスの積極的な活用を推進する旨を追記 |
| 関連法令・供給網 | ― | サイバーセキュリティ基本法を関連法令に追加 サプライチェーンリスクを追記 |
パスワードルールに関して、使い回しの禁止、アカウントロックの導入について追記する一方で、セキュリティ面の強化につながらないとされる「定期的な変更」の要件を削除。
（厚生労働省「医療情報システムの安全管理に関するガイドライン第7.0版の策定について」より）
「3か月に1回パスワードを変えさせる」という運用を続けている医療機関は少なくありませんが、それはもう国の求める対策ではなくなりました。
むしろ定期変更を強いると、職員が「Aoi2026春」のような推測しやすい文字列に流れてしまい、かえって危なくなることが知られています。今後は「長く・使い回さない」に力を入れてください。
5つの編は、誰が読むためのものか？
第7.0版は5編に分かれており、読むべき人が編ごとに決まっています。
院長先生がすべてを読む必要はありません。
| 編 | 想定読者 | 内容 |
|---|---|---|
| 概説編 | すべての読者 | 各編に共通する前提 |
| 経営管理編 | 経営層（院長・理事長等） | 安全管理に関する統制・責任 |
| 企画管理編 | システムの安全管理者 | 組織的な対応・全体の管理 |
| システム運用編 | システム運用担当者 | 技術的な対応の詳細 |
| 保守委託機関編 | 医療機関の管理者・担当者 | 保守を事業者に委ねている医療機関等の 統制・管理・対策 |
「保守委託機関編」ができて、小さな医療機関は何が変わる？
第7.0版の目玉が、この保守委託機関編です。
ガイドライン本体は5編あわせて数百ページあり、専任のシステム担当者がいないクリニックや薬局がすべてを読み解くのは現実的ではありませんでした。そこで「保守をきちんと事業者に委ねているなら、この編だけを守れば他の編も守れているとみなす」という仕組みが用意されました。
すべてのサーバにおけるセキュリティアップデートを委託（クラウドサービスの利用を含む）している医療機関等においては、保守委託機関編を遵守することで、その他の編の項目も遵守できているものとみなす。
（厚生労働省「医療情報システムの安全管理に関するガイドライン第7.0版の策定について」より）
対象になるかどうかは、ガイドラインに載っている判断フローチャートで決まります。判断はたった1問です。
すべてのサーバのセキュリティアップデート責任を、事業者に委託していますか？
→ はい であれば保守委託機関編の対象です。
ここが実務上いちばん重要な落とし穴です。ガイドラインは「事業者がセキュリティアップデート責任を負うこと」が契約書・約款・サービスレベル合意書（SLA）等に記載されている場合にのみ「はい」を選択できると明記しています。
記載がない場合や不明確な場合は、医療機関側の責任になっている可能性があります。「たぶん業者がやってくれている」は通用しません。契約書を開いて確認してください。
なお、ここでいう「サーバ」は医療情報の保存や主要な処理を担う機器を指し、原則としてパソコンやタブレットなどの端末は含みません。
ただし、電子カルテのアプリを端末にインストールして、その機器の中だけで処理が完結している場合は、そのパソコンも「サーバ」に含まれます。院内にサーバ機がなくても対象外とは限らない、という点にご注意ください。
保守委託機関編は何項目あるのか？
保守委託機関編の遵守項目を実際に数えると、11分類・52項目です。
ガイドライン本体すべてに比べれば大幅に絞られていますが、それでも52項目あります。分類ごとの内訳は次のとおりです。
| 分類 | 項目数 | 主な内容 |
|---|---|---|
| 1. 安全管理に関する責任・責務 | 6 | 法令遵守、通常時／非常時の責任、委託・第三者提供 |
| 2. 責任分界 | 3 | 事業者との役割分担の取決め |
| 3. リスクマネジメント | 2 | 情報のリスト化、事業者からの技術情報の収集 |
| 4. 安全管理全般 | 7 | 規程・体制、責任者の設置、方針の整備、自己点検 |
| 5. 人的管理 | 5 | 守秘義務条項、教育・訓練、委託先の選定 |
| 6. 情報管理 | 3 | 持ち出し・破棄の手順、外部からのアクセス |
| 7. 資産管理 | 6 | 台帳管理、クラウドの選定、BYOD、IoT機器 |
| 8. サイバーセキュリティ | 3 | インシデント時の隔離・復元、行政への連絡 |
| 9. 認証等及び権限 | 5 | アクセス権限、不要アカウント、二要素認証 |
| 10. 技術的な安全管理対策の管理 | 10 | 入退室、画面ロック、構成図、脆弱性対応、ID台帳 |
| 11. 電子署名・電子化 | 2 | 法令に適合したシステムの導入 |
単独で最も多いのが「技術的な安全管理対策の管理」の10項目です。
入退室の管理や離席時の画面ロック、ネットワーク構成図の作成など、ウイルス対策ソフトを入れるだけでは埋まらない項目が並んでいる点に注目してください。
▶ 関連記事：オフィスの物理セキュリティ・入退室管理はどこまで必要？費用ゼロでできる対策
また、保守委託機関編では技術的な部分をMDS/SDS（医療情報セキュリティ開示書）で確認することで、システム運用編の事項に対応したものとみなす、という整理になっています。
MDS/SDSは、日本画像医療システム工業会（JIRA）と保健医療福祉情報システム工業会（JAHIS）が定めた書式で、厚生労働省標準規格にもなっています。要は「この製品のセキュリティ機能はこうなっています」というメーカーの開示書です。
つまり院内で技術検証をするのではなく、事業者に開示書を出させて中身を確認するのが、小規模医療機関の正しいやり方だということです。
立入検査では何を見られる？──チェックリスト19項目
ここが本記事の核心です。
厚生労働省は「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」を毎年更新しており、令和8年度版が公開されています。冒頭には次のように書かれています。
立入検査時、本チェックリストを確認します。令和8年度中にすべての項目で「はい」にマルが付くよう取り組んでください。
（厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」令和8年度版より）
医療機関・薬局確認用のチェック項目は、4つの分類・全19項目です。
| # | 分類 | チェック項目 |
|---|---|---|
| 1-① | 体制構築 | 医療情報システム安全管理責任者を設置している |
| 2-① | 管理・運用 | サーバ、端末、ネットワーク機器の台帳管理を行っている |
| 2-② | 管理・運用 | リモートメンテナンス（保守）を利用している機器の有無を事業者に確認した |
| 2-③ | 管理・運用 | 事業者からMDS/SDSを提出してもらう |
| 2-④ | 管理・運用 | 職種・担当業務別のアクセス利用権限を設定している （管理者権限対象者の明確化を含む） |
| 2-⑤ | 管理・運用 | 退職者や使用していない不要なアカウントを削除・無効化している |
| 2-⑥ | 管理・運用 | セキュリティパッチ（最新ファームウェアや更新プログラム）を適用している |
| 2-⑦ | 管理・運用 | パスワードは英数字混在の8桁以上 （二要素認証を採用するまでの期間は13桁以上） |
| 2-⑧ | 管理・運用 | パスワードの使い回しを禁止している |
| 2-⑨ | 管理・運用 | USBストレージ等の外部記録媒体・情報機器の接続を制限している |
| 2-⑩ | 管理・運用 | バックグラウンドで動作している不要なソフトウェア・サービスを停止している |
| 2-⑪ | 管理・運用 （端末） |
アプリケーションログイン時の二要素認証を実装している または令和9年度以降初回のシステム更改時に実装予定である |
| 2-⑫ | 管理・運用 （サーバ） |
OSログイン時の二要素認証を実装している または令和9年度以降初回のシステム更改時に実装予定である |
| 2-⑬ | 管理・運用 （サーバ） |
アクセスログを管理している |
| 2-⑭ | 管理・運用 （NW機器） |
接続元制限を実施している |
| 3-① | インシデント対応 | 組織内と外部関係機関への連絡体制図がある |
| 3-② | インシデント対応 | 診療継続に必要な情報を検討し、バックアップを確保のうえ復旧手順を確認している |
| 3-③ | インシデント対応 | サイバー攻撃の想定を含む事業継続計画（BCP）を策定している |
| 4-① | 規程類の整備 | 上記1〜3のすべての項目について、具体的な実施方法を運用管理規程等に定めている |
紙で出せるようにしておくべき4点はどれか？
19項目のうち、立入検査で現物を確認されるものが4つ明示されています。
チェックリストに丸を付けるだけでは足りず、その場で見せられる状態にしておく必要があります。
立入検査では「医療機関・薬局確認用」、「事業者確認用」のすべての項目について、確認日と回答等が記入されていることを確認します。このうち、2-①の台帳、3-①の連絡体制図、3-③の事業継続計画（BCP）、4-①の規程類は現物を確認しますので、立入検査までに作成してください。
（厚生労働省「チェックリストマニュアル」令和8年度版より）
| # | 現物を求められるもの | 作り方の目安 |
|---|---|---|
| 2-① | 機器台帳 | 管理番号・メーカー・OS・ソフトウェア名とバージョン・IPアドレス・ 設置場所・利用者・登録日・状態。Excelで十分 |
| 3-① | 連絡体制図 | 院内の連絡先に加えて、事業者・セキュリティ事業者・外部有識者・ 都道府県警察の担当部署・厚生労働省等を明示 |
| 3-③ | BCP | 厚生労働省が「サイバー攻撃を想定したBCP策定の確認表」と 「BCPのひな形（Word）」を無償配布 |
| 4-① | 運用管理規程 | 厚生労働省が「運用管理規程文例」を無償配布 |
この4点は、いずれも費用をかけずに作れます。台帳はExcel、連絡体制図は1枚の図、BCPと規程は厚生労働省が配っているひな形をベースに自院の内容へ書き換えるだけです。
逆に言えば、お金がかからないのに用意していない状態で立入検査を迎えるのが、いちばんもったいない形になります。
インシデント発生時（システム障害を含む）の連絡先として、チェックリストマニュアルには厚生労働省医政局医療情報担当参事官室の電話番号（03-6812-7837）が記載されています。連絡体制図にはこの番号も入れておくとよいでしょう。
▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト
なお、チェックリストは立入検査のためだけのものではありません。マニュアルには「少なくとも年に1回は、チェックリストを用いた点検を実施してください」と書かれています。
年1回、院内ミーティングの議題にして全員で確認する形が現実的です。
手元のチェックリストが古くないか、確認してください
見落とされやすい点がひとつあります。令和8年度版のチェックリストは、ガイドライン第7.0版の公表にあわせて令和8年6月に差し替えられています。
それ以前に配布されていた版と比べると、実務に効く違いが出ています。
| 変わった点 | 以前の版 | 現行版（令和8年6月） |
|---|---|---|
| 用紙の構成 | 「医療機関における〜」と「薬局における〜」の2種類に分かれていた | 「医療機関・薬局における〜」の1つに統合 （回答欄も「医療機関・薬局確認用」に） |
| サーバの二要素認証 | みなし措置の解説なし | 踏み台端末を使った「みなし措置」の解説を追加 |
| 二要素認証の記述量 | 12箇所 | 18箇所に増加（対象と期限の明確化） |
院内のフォルダやファイルに保存してある古いチェックリストを、そのまま使い回していないかご確認ください。
薬局用と医療機関用が別々になっている用紙をお持ちなら、それは差し替え前の版です。厚生労働省のサイトから最新版をダウンロードし直してください。なお、BCPの「サイバー攻撃を想定した確認表」のほうは、いまも医療機関用と薬局用に分かれています。
「事業者確認用」チェックリストとは？
チェックリストには医療機関が自分で答えるものとは別に、電子カルテやレセコンを納めている事業者に書かせるものがあります。これが「事業者確認用」で、全15項目です。
医療機関側の仕事は、この用紙をシステムを提供している事業者ごとに送って、回収することです。複数のベンダーが入っていれば、その数だけ回収します。
立入検査ではこの回収済みの用紙も確認されます。
事業者確認用の回答は3種類あり、ここに落とし穴があります。
| 回答 | 意味 | 医療機関にとっての読み方 |
|---|---|---|
| はい | 保守契約の範囲に含まれ、事業者側の責任で対応できている | この項目は事業者に任せて問題ない |
| いいえ | 保守契約の範囲だが、事業者側が対応できていない | 対応目標日を書かせて、いつ直るかを握る |
| 対象外 | 保守契約の範囲外であり、その責任は医療機関が負う | 自院でやらなければ誰もやらない項目 |
「対象外」に丸が付いた項目は、そのまま自院の宿題になります。ガイドラインも「医療機関等に対して、責任分界の認識齟齬がないか、事業者側から必ず確認して下さい」と念を押しています。
回収した用紙で「対象外」の欄だけを拾い出せば、自院がやるべきことのリストがそのまま出来上がります。
なお、製品を買い切っただけで運用・保守の契約がない場合は、事業者確認用の記入自体が不要です。
ただしその場合、セキュリティアップデートを含む保守管理の責任はすべて医療機関が負うことになります。「安く買えた」ことの裏側に何があるかを、一度確認しておいてください。
パスワードは結局、何桁必要なのか？
チェックリストの2-⑦は、読み飛ばされやすいのに実務への影響が大きい項目です。
ガイドラインが定める「強固なパスワード」の定義は次のとおりです。
| 前提 | 求められるパスワード | 実務上の意味 |
|---|---|---|
| 二要素認証を採用していない | 英数字を混在させた13桁以上の推定困難な文字列 | 職員全員に13桁を覚えさせる必要がある |
| 二要素認証を採用している | 英数字を混在させた8文字以上の推定困難な文字列 | 現実的な長さで運用できる |
ここは読み方を間違えないでください。13桁と8文字は「どちらでもよい」ではなく、二要素認証を入れていない医療機関へのペナルティとして13桁が課されている、という構造です。
言い換えれば、二要素認証を導入すると、職員のパスワード運用がむしろ楽になります。
二要素認証を採用するまでの期間は13桁以上としている。
（厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」令和8年度版 2-⑦より）
あわせて、2-⑧の「使い回しの禁止」も見過ごせません。マニュアルには、危険な使い回しの例として次の2つが挙げられています。
- 施設内のサーバ、ネットワーク機器等に同一のパスワードを用いている
- 事業者が契約している複数施設に対して同一のパスワードを用いて管理している
2つ目は自院の努力では防げません。マニュアルには「事業者が顧客となるすべての医療機関等に対して同じパスワードを使い回し、サイバー攻撃を受けた事案が報告されています」と明記されており、「事業者がパスワードを使い回していないことを宣言させてください」とまで書かれています。
他院で漏れたパスワードで自院が破られる、という構図が現実に起きているということです。
さらに現場でよくあるのが、ログインパスワードをモニターに付箋で貼っている状態です。
マニュアルは「絶対に避けなければなりません」と強い表現で禁じています。診察室と受付を一度見回してみてください。
▶ 関連記事：法人向けパスワード管理ツールの比較｜おすすめ製品の選び方・料金相場
二要素認証はいつまでに入れればいい？
医療機関にとって、いま最も費用と時間がかかるのがこの項目です。
期限は令和9年（2027年）4月1日です。
二要素認証とは、記憶しているもの（パスワード）・持っているもの（ICカードやスマートフォン）・体の特徴（指紋など）のうち、種類の違う2つを組み合わせる認証方式です。ガイドラインが挙げている例は次の3つです。
- パスワード ＋ 指紋認証
- ICカード ＋ パスワード
- ICカード ＋ 指紋認証
第7.0版では、どこに入れるべきかが明確になりました。
| 対象 | 求められる二要素認証 | 期限 |
|---|---|---|
| クライアント端末 （電子カルテを操作するPC等） |
アプリケーションログイン時の二要素認証 | 令和9年4月1日 （困難な場合は次期システム更改時） |
| サーバ （電子カルテサーバ・レセコンサーバ等） |
OSログイン時の二要素認証 | 令和9年4月1日 （困難な場合は次期システム更改時） |
| 医療機器 | 第7.0版では改定が見送られ、 現時点で必須とはされていない |
今後のガイドライン改定で検討 |
緩和措置の読み方に注意してください。「令和9年4月1日時点で対応が困難な医療機関等においては、次期システム改修での対応を許容する」という趣旨です。
つまり何もしなくてよいのではなく、「次の更改で入れます」と言える状態＝計画があることが前提です。チェックリストの2-⑪2-⑫も「または令和9年度以降初回のシステム更改時に実装予定である」という書き方になっています。次回更改の時期と、その見積りに二要素認証が入っているかを、いま事業者に確認しておいてください。
サーバのOSログインまで二要素認証にするのは大変では？
そのとおりで、サーバのOSログインに二要素認証を入れようとすると、院内ネットワークの作り直しが必要になることがあります。
そこでガイドラインは、サーバについて「みなし措置」を用意しました。次の①か②、またはそれと同等以上の措置がとられていれば、二要素認証を実装できているものとみなすことができます。
| 方式 | 満たすべき条件 |
|---|---|
| ①踏み台方式 | ・サーバ群へのアクセスを、別ドメインに置いた踏み台端末からのRDPやSSH等による接続のみに限定する ・その踏み台端末のOSログインに二要素認証を実装する |
| ②踏み台＋EDR＋VPN方式 | ・サーバ群へのアクセスを、別ドメインに置いた踏み台端末からのRDP・SSH等に限定する ・踏み台端末にEDR機能を備え、運用上想定されない振る舞いを検知可能にする ・院外からの接続はVPNを経由し、踏み台端末へのRDP・SSH等に限定する |
EDRとは、パソコンやサーバの中の「いつもと違う動き」を見張って、怪しい動作を検知・遮断する仕組みのことです。
ガイドラインは「必ずしもEDR製品を要せず、例えばWindows標準機能等によって振る舞い検知が可能であればよい」としています。ここは正確に押さえておいてください。必ずしも高額な製品が必要というわけではありません。
ただし、みなし措置には3つの前提があり、これが満たされない場合は十分な措置とみなされません。
①外部から踏み台端末にログインするユーザーに管理者権限を与えない
②十分なOSのセキュリティアップデートを行う
③医療情報システムのサーバ群と踏み台端末で共通のパスワードを利用しない
なお「同等以上の措置」については、医療法に基づく立入検査の際に同等性を検査職員に対して説明できることが想定されると書かれています。
独自の構成で対応する場合は、なぜそれで同等なのかを説明できる資料を残しておいてください。
▶ 関連記事：多要素認証（MFA）ツール比較｜法人向けおすすめ製品と料金・認証方式の選び方
アクセスログはどこまで残せばいい？
チェックリスト2-⑬は、サーバのアクセスログの管理です。
マニュアルは、記録すべき内容を具体的に示しています。
アクセスログは、少なくとも利用者のログイン時刻、アクセス時間及び操作内容が特定できるように記録することが必要です。
アクセスログは立入検査の際に直接確認する可能性があります。
（厚生労働省「チェックリストマニュアル」令和8年度版より）
加えて、ログへのアクセス制限を行い、不当な削除・改ざん・追加を防止する対策もあわせて講じるよう求められています。
攻撃者が最初にやることのひとつがログの消去ですから、これは形式的な要件ではありません。
大切なのは「取っているか」ではなく「見ているか」です。マニュアルは、システム運用担当者が記録し、企画管理者等がそのログを定期的に確認することを求めています。
月に一度、深夜や休診日のログイン記録がないかを眺めるだけでも、内部不正や乗っ取りの発見につながります。
▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間を徹底比較
バックアップとBCPはどこまでやればいい？
ランサムウェアで電子カルテが暗号化され、外来を止めた医療機関の事例は、すでに複数報道されています。
チェックリストの3-②と3-③は、まさにそこへの備えです。
バックアップについて、マニュアルは次の水準を示しています。
- 重要なファイルは、不正ソフトウェアの影響が波及しないよう複数の方式で世代管理する
- 世代管理とは、最新データだけでなく、それ以前のデータも残す方法（日次で3世代なら3日分）
- 3世代目以降のバックアップはオフライン（物理的あるいは論理的に書き込み不可の状態）にすることが望ましい
- 復旧手順を整備し、BCPに定めておく
ここが「バックアップを取っているから大丈夫」で止まってはいけない理由です。
ネットワークにつながったままのバックアップは、ランサムウェアに一緒に暗号化されます。攻撃者は復旧させないために、バックアップそのものを消しにきます。オフライン保管が求められているのはそのためです。
▶ 関連記事：バックアップの基本「3-2-1ルール」とは
BCPについては、厚生労働省が「サイバー攻撃を想定したBCP策定の確認表」（医療機関用・薬局用）と「医療情報システム部門等におけるBCPのひな形」（Word）を無償で配布しています。
ゼロから書く必要はありません。ひな形をダウンロードして、自院の体制と連絡先に書き換えるところから始めてください。
判断基準を決めておくのが要点です。ガイドラインは、短時間の障害なら他の手段で診療を継続する、回復に数日以上かかるなら診療を縮小する・紙の運用に切り替える、といった判断基準と対応策を平常時から整理しておくことを求めています。
そして最も大事なのは訓練です。マニュアルは「BCPを策定していても、実際には運用できず、バックアップが復旧できない事例も多数発生しています」と率直に書いています。
年に一度、実際にバックアップから1ファイルだけでも戻してみる。これだけで、いざというときの結果が変わります。
▶ 関連記事：ノーウェアランサムとは？バックアップだけでは守れない理由と「盗ませない・気づく」対策
最後の山は「規程に書く」こと
19項目のうち、最も手が止まりやすいのが最後の4-①です。文面をあらためて読んでみてください。
上記1−3のすべての項目について、具体的な実施方法を運用管理規程等に定めている。
（厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」令和8年度版 4-①より）
つまり「対策をやっている」だけでは足りず、1-①から3-③までの18項目それぞれについて、自院では誰が・いつ・どうやるのかを文章にしておく必要があるということです。
台帳は誰が年に何回更新するのか、退職者のアカウントは誰が何日以内に止めるのか、パスワードは何桁にするのか。これらを規程に落として初めて、この項目に「はい」が付きます。
マニュアルは、規程に書くべき内容の例として次のようなものを挙げています。
- 医療情報システムの利用ができる機器の管理方法（例：システム管理者は利用者ごとに適切なアクセス権限を付与したアカウントを登録し、定期的に操作ログを確認する）
- 医療情報システムに異常が生じた場合の対応（例：災害・サイバー攻撃等により医療サービス提供体制に支障が発生する非常時は、別途定める事業継続計画（BCP）に従って運用を行う）
- 職員の情報セキュリティなどに関する教育や訓練に関すること（例：システム管理者は、利用者に対し定期的に情報システムの取扱い及びプライバシー保護に関する研修を行う）
ゼロから書く必要はありません。厚生労働省が「運用管理規程文例」を無償で公開していますので、これをベースに自院の実態へ書き換えるのが最短です。
すでに個人情報保護規程や就業規則をお持ちであれば、そこへ章を足す形でも構いません。
▶ 関連記事：情報セキュリティ規程とは？就業規則との違い・無料ひな形の使い方
19項目のうち、お金がかかるのはどれ？
19項目と聞くと身構えますが、追加費用が必ず発生するのは実質3項目だけです。残りは、いまある仕組みと手間で対応できます。
| 項目 | 追加費用 | 対応の仕方 |
|---|---|---|
| 1-① 責任者の設置 | 0円 | 院内で任命し、規程に書く |
| 2-① 台帳管理 | 0円〜 | Excelで作れる。台数が多ければIT資産管理ツール |
| 2-② リモート保守の確認 | 0円 | 事業者に1通メールを出すだけ |
| 2-③ MDS/SDSの入手 | 0円 | 事業者に提出を求める |
| 2-④ アクセス権限の設定 | 0円 | 電子カルテの既存機能で設定 |
| 2-⑤ 不要アカウントの削除 | 0円 | 退職者・使っていないIDを止める |
| 2-⑥ セキュリティパッチ | 0円〜 | 自動更新の有効化。台数が多ければ管理ツール |
| 2-⑦⑧ パスワード | 0円 | 13桁化と使い回し禁止をルール化 |
| 2-⑨ USB制限 | 0円〜 | Windowsの設定でも可。厳密にやるなら管理ツール |
| 2-⑩ 不要サービスの停止 | 0円 | 事業者と一緒に確認 |
| 2-⑪⑫ 二要素認証 | 有料 | IDaaS・MFA製品、またはシステム更改で対応 |
| 2-⑬ アクセスログ | 0円〜 | 電子カルテの標準機能で残っていることが多い |
| 2-⑭ 接続元制限 | 0円 | ルーター・無線LANの設定 |
| 3-① 連絡体制図 | 0円 | 1枚の図として作成 |
| 3-② バックアップ | 有料 | クラウドバックアップ等（既に契約済なら0円） |
| 3-③ BCP | 0円 | 厚生労働省のひな形を書き換える |
| 4-① 運用管理規程 | 0円 | 厚生労働省の運用管理規程文例を書き換える |
お金の話に入る前に、まず0円でできる16項目を片づけてしまうのが正解です。
そのうえで、二要素認証とバックアップという2つの投資の見積りを取る、という順番にすると、院内の合意も取りやすくなります。
どんな製品で埋められる？
当社が取り扱っている製品のうち、チェックリストの項目に直接対応するものを整理しました。
価格はすべて税別です。
| 項目 | GMOトラスト・ログイン | LANSCOPE エンドポイントマネージャー |
SentinelOne データお守り隊 |
クラウドバックアップ powered by Acronis |
セキュリオ |
|---|---|---|---|---|---|
| 種類 | IDaaS・多要素認証 | IT資産管理・端末管理 | EDR＋SOC監視 | クラウドバックアップ | セキュリティ教育・訓練 |
| 埋められる チェック項目 |
2-⑦⑧⑪⑫ | 2-①④⑤⑥⑨⑬ | 2-⑥⑨⑩ （サーバみなし措置の 踏み台EDRにも） |
3-②③ | 1-①・4-①の 教育・訓練部分 |
| 初期費用 | 0円 | 30,000円／契約 | 0円 | 0円 | 100,000円 |
| 月額 | 無料プランあり プロ 300円／ID （30ID〜・12か月契約） |
ベーシック 500円／台 ライトA 300円／台 ライトB 400円／台 |
1,000円／台 （Control 1,100円 Complete 1,660円） |
100GB 3,000円 500GB 12,500円 1,000GB 20,000円 |
50名以下 18,000円 50名超 360円／人 |
| 主な機能 | SSO・FIDOパスキー OTP・デバイス証明書 約8,800アプリ連携 |
機器台帳・USB制御 操作ログ標準2年 Windows Update管理 |
AIによる24時間365日監視 ワンクリック自動修復 サイバー保険最大50万円 |
端末数無制限 世代管理・自動保存 30日無料評価版 |
eラーニング 標的型メール訓練 受講状況の自動集計 |
| 向いている医療機関 | 二要素認証を 令和9年4月に間に合わせたい |
PCが10台以上あり 台帳と操作ログを整えたい |
専任担当がおらず 監視まで任せたい |
電子カルテ以外のデータも まとめて守りたい |
職員教育の記録を 残したい |
| 詳細 | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
二要素認証については、GMOトラスト・ログインのほかに、国産のIDaaSであるCloudGate UNO（Standard Plus 400円／ユーザー・月〜、Smart Packは初期費用無償）や、ICカードやスマートフォンを配らずにマトリックス方式のワンタイムパスワードが使えるPassLogic（クラウド版 480円／ID・月、最小10ID）もお選びいただけます。
院内の端末構成やスタッフ数によって最適解が変わりますので、比較のうえご提案します。
▶ 関連記事：IDaaSとは？SSO・ID管理ツールの比較と費用相場・選び方
なお、万一マルウェア感染が疑われる事態になった場合は、当社のマルウェア感染調査サービス（300台まで298,000円、詳細レポート別途500,000円）で、どの端末がどこまで侵害されたかを調べることができます。
ただし、これは起きてから払う費用です。次の項でその金額感を比べてみてください。
全部そろえると、いくらかかる？
スタッフ20名・パソコン15台・サーバー1台のクリニックを想定して試算しました。すべて税別です。
| 内容 | 費用 |
|---|---|
| GMOトラスト・ログイン プロ（20ID・二要素認証） | 年 72,000円 |
| LANSCOPE ベーシック（15台・台帳／USB制御／操作ログ／更新管理） | 年 90,000円 ＋初期 30,000円 |
| クラウドバックアップ powered by Acronis（100GB） | 年 36,200円 |
| セキュリオ ARライト（職員教育・メール訓練） | 年 216,000円 ＋初期 100,000円 |
| 台帳・連絡体制図・BCP・運用管理規程・パスワードのルール化 | 0円 |
| 初年度合計 | 約 544,200円（月あたり約45,400円） |
| 2年目以降 | 年 414,200円（月あたり約34,500円） |
この金額を、事故が起きたあとの費用と比べてみてください。
マルウェア感染調査が300台まで298,000円、詳細レポートが別途500,000円で合わせて798,000円。しかもこれは「何が起きたか」を調べる費用であって、止まった外来も、流出した患者情報も、これで戻ってくるわけではありません。
電子カルテが数日止まったときの逸失利益と、患者さんへの説明にかかる労力まで含めれば、差はさらに開きます。
補助金は使える？
医療法人やクリニック・薬局も、デジタル化・AI導入補助金2026（旧・IT導入補助金）の対象になり得ます。
常時使用する従業員が300人以下という規模要件を満たし、GビズIDの取得など共通要件をクリアしていることが前提です。
| 枠 | 補助額 | 補助率 |
|---|---|---|
| 通常枠 | 5万円〜450万円 | 原則1/2 （小規模事業者は要件を満たせば最大4/5） |
| セキュリティ対策推進枠 | 5万円〜150万円 | 小規模事業者2/3・中小企業1/2 サービス利用料は最大2年分 |
申請にあたっては、IPAのSECURITY ACTION（セキュリティ対策自己宣言）の宣言IDが必要です。宣言自体は無料で、審査もありません。
セキュリティ対策推進枠については、IPAの「サイバーセキュリティお助け隊サービスリスト」に掲載されたサービスのうち、支援事業者が登録したものが対象となります。
注意点を3つ。
①交付決定前に発注・契約・支払いをしたものは対象外です。先に契約してしまうと補助を受けられません。
②電子カルテやレセコンといったソフトウェアは対象になり得ますが、パソコン本体などのハードウェアは枠や年度によって扱いが変わります。
③補助率や要件は年度ごとに変わりますので、必ず最新の公募要領をご確認ください。当社でも申請のご支援が可能です。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ
▶ 関連記事：SECURITY ACTIONとは？一つ星・二つ星の違いと宣言のやり方
何から始めればいい？
順番を間違えなければ、専任のIT担当者がいなくても進められます。
1〜5は費用がかかりません。
| 順番 | やること | 誰が | 費用 |
|---|---|---|---|
| 1 | 厚生労働省のサイトから令和8年度版チェックリスト（医療機関・薬局確認用／事業者確認用）をダウンロードする | 事務長・院長 | 0円 |
| 2 | 医療情報システム安全管理責任者を任命する（規模によっては院長本人でよい） | 院長・理事長 | 0円 |
| 3 | 院内のサーバ・パソコン・ルーター・複合機を書き出して機器台帳を作る | 事務長 | 0円 |
| 4 | 事業者確認用チェックリストを各ベンダーに送り、回収する。「対象外」の項目を洗い出す | 事務長 | 0円 |
| 5 | 契約書を開き、サーバのセキュリティアップデート責任が事業者にあるか確認する | 院長・事務長 | 0円 |
| 6 | 連絡体制図・BCP・運用管理規程を、厚生労働省のひな形をもとに作成する | 事務長 | 0円 |
| 7 | 残った二要素認証とバックアップについて見積りを取り、補助金の活用可否とあわせて検討する | 院長・事務長 | 見積り |
ポイントは4番と5番です。
この2つを先にやっておくと、自院がどこまでやらなければならないのかが確定します。逆にここを飛ばすと、事業者がやってくれていると思い込んでいた項目が、立入検査の当日に穴として出てきます。
▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？優先順位・費用・外部の使い方
よくあるご質問
Q. 職員5名の小さなクリニックでも対象になりますか？
A. はい、対象です。医療法施行規則第14条第2項は、病院・診療所・助産所の管理者が遵守すべき事項として定められており、規模による例外はありません。
ただし第7.0版では、専任のシステム担当者がいない小規模医療機関のために「保守委託機関編」が新設されました。すべてのサーバのセキュリティアップデートを事業者に委託していれば、この編を守ることで他の編も守れているとみなされます。まずは自院がその条件に当てはまるかを、契約書で確認してください。
Q. 電子カルテを入れていない紙カルテの診療所でも必要ですか？
A. 必要です。ガイドラインの対象は「すべての医療情報システムの導入、運用、利用、保守及び廃棄に関わる者」です。
レセコン（レセプトコンピュータ）、オンライン資格確認の端末、予約システム、患者名簿を入れたパソコンなども医療情報システムに含まれます。紙カルテでも、レセコンとインターネットにつながったパソコンがあれば対象です。
Q. 二要素認証はどうしても令和9年4月までに入れないといけませんか？
A. 「令和9年4月1日時点で対応が困難な医療機関等においては、次期システム改修での対応を許容する」という緩和措置があります。
ただし、これは何もしなくてよいという意味ではありません。チェックリストは「または令和9年度以降初回のシステム更改時に実装予定である」という書き方で、実装予定であることを求めています。次の更改がいつで、その見積りに二要素認証が含まれているかを、いま事業者に確認しておいてください。
Q. パスワードの定期変更は、本当にもうやらなくていいのですか？
A. 第7.0版で「定期的な変更」の要件は削除されました。理由として、セキュリティ面の強化につながらないとされていることが明記されています。
代わりに求められているのは、長さ（二要素認証がなければ13桁以上）と、使い回しをしないことです。定期変更をやめて、そのぶん長さと使い回し防止に力を入れてください。
Q. 業者に全部任せているので、うちは大丈夫ですよね？
A. そう言い切れるかどうかは、契約書に書いてあるかで決まります。ガイドラインは、事業者がセキュリティアップデート責任を負うことが契約書・約款・SLA等に記載されている場合にのみ、委託できているとみなせるとしています。
また、事業者確認用チェックリストで「対象外」に丸が付いた項目は、その責任を医療機関が負います。委託先の監督責任は個人情報保護法第25条でも医療機関側にありますので、任せきりにはできません。
Q. 立入検査までに何を紙で用意しておけばいいですか？
A. 現物を確認されると明示されているのは、①機器台帳、②連絡体制図、③サイバー攻撃を想定したBCP、④運用管理規程の4点です。
加えて、医療機関・薬局確認用と事業者確認用のチェックリストの両方に、確認日と回答が記入されていることが確認されます。事業者から回収した用紙も一緒に保管しておいてください。アクセスログも直接確認される可能性があります。
Q. ウイルス対策ソフトを入れていれば、チェックリストは埋まりますか？
A. 埋まりません。19項目のうち、ウイルス対策ソフトが直接関係するのはごく一部です。
台帳の作成、アクセス権限の整理、不要アカウントの削除、パスワードのルール、連絡体制図、BCP、運用管理規程といった組織と運用の項目が大半を占めます。しかもそれらの多くは費用がかかりません。ソフトを買うより先に、書類と運用を整えるのが近道です。
Q. 費用をかけずに、まず何から手をつけるべきですか？
A. 機器台帳の作成です。院内にあるサーバ・パソコン・ルーター・複合機を1枚のExcelに書き出すところから始めてください。
台帳がないと、パッチが当たっていない機器も、誰も使っていないアカウントも、外部から保守用につながっている口も見つけられません。立入検査で現物確認される4点のひとつでもあり、費用は0円です。
Q. 何から相談すればよいですか？
A. 「事業者確認用チェックリストを回収したものの、『対象外』が何を意味するのか分からない」という段階でご相談いただくのがおすすめです。
当社では、回収した用紙をもとに自院がやるべき項目を仕分けし、二要素認証・バックアップ・IT資産管理といった有料の対策について、補助金の活用も含めてご提案しています。
▶ 関連記事：介護事業所のセキュリティ対策はどこまで必要？厚労省「情報安全管理の手引き」チェックリスト21項目と、義務化されたBCPの落とし穴
まとめ
医療機関のサイバーセキュリティ対策は、医療法施行規則第14条第2項（薬局は薬機法施行規則第11条第2項）により、管理者が守るべき義務として定められています。
その実施状況は立入検査で確認され、厚生労働省が配る令和8年度版チェックリストの19項目が実際に見られます。
このうち機器台帳・連絡体制図・BCP・運用管理規程の4点は現物を求められますので、立入検査までに作成しておいてください。
2026年6月29日に改定された第7.0版では、パスワードの「定期的な変更」という要件が削除され、二要素認証の対象がクライアント端末とサーバに明確化されました。
期限は令和9年（2027年）4月1日で、間に合わない場合は次期システム更改時の対応が許容されますが、計画があることが前提です。
また、専任のシステム担当者がいない医療機関のために「保守委託機関編」が新設され、すべてのサーバのセキュリティアップデートを事業者に委託していれば、11分類52項目のこの編を守ることで他の編も守れているとみなされるようになりました。
大切なのは、19項目のうち追加費用が必ず必要なのは二要素認証とバックアップの実質3項目だけだということです。
残りの16項目は、いまある仕組みと少しの手間で埋められます。厚生労働省はBCPのひな形も運用管理規程の文例も無償で配っています。
まずは0円でできるところを片づけ、そのうえで二要素認証とバックアップの見積りを取る。この順番で進めれば、専任担当がいなくても令和9年4月に間に合います。
当社は、IT資産管理・多要素認証・バックアップ・職員教育の各製品を取り扱い、デジタル化・AI導入補助金の支援事業者でもあります。
「事業者確認用チェックリストの『対象外』をどう埋めればいいか分からない」という段階からご相談いただけますので、お気軽にお声がけください。
▶ 関連記事：医療機関のサイバーセキュリティ強化：バックアップとログ取得の重要性
▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告と2026年10月施行のサイバー対処能力強化法
▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方