営業時間 10:00 〜 19:00 (月〜金)

介護事業所のセキュリティ対策はどこまで必要？厚労省「情報安全管理の手引き」チェックリスト21項目と、義務化されたBCPの落とし穴【訪問介護・通所介護・施設向け】

結論から申し上げます。介護事業所には、厚生労働省が用意した専用のセキュリティのチェックリストがすでに存在します。全部で21項目、そのうち15項目は現場の職員向け、6項目は管理者・システム担当者向けです。
そしてその大半は、お金をかけずに今日から手をつけられるものです。

その手引きが公表されたのは令和8年3月（解説書）と令和8年4月（本体）。公開時点でまだ数か月しか経っていない、非常に新しい資料です。
しかも掲載場所は厚生労働省の「介護情報基盤について」のページで、これから始まる介護情報基盤に参加するための必読資料という位置づけになっています。

本記事は、厚生労働省「介護事業所における情報安全管理の手引き」（令和8年4月）・同「解説書」（令和8年3月）・同「調査事業報告書」（令和8年3月）、および個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（令和8年4月1日最終改正）を、いずれも原典のPDFにあたって確認したうえで書いています。

この記事では、チェックリスト21項目の中身、厚生労働省が公表している12件の実際の事故事例、義務化された介護のBCP（業務継続計画）にサイバー攻撃が入っていないという落とし穴、運営指導で実際に聞かれること、そして費用と補助金までを、ITの専門用語をなるべく使わずに整理します。

なぜ今、介護事業所で情報セキュリティが問われているのか？

いちばん大きな理由は、介護情報基盤という新しい仕組みが動き始めたことです。

介護情報基盤は、令和5年の介護保険法改正（全世代対応型の持続可能な社会保障制度を構築するための健康保険法等の一部を改正する法律・令和5年法律第31号）にもとづいて整備が進められている、自治体・利用者・介護事業所・医療機関が介護情報を電子的に閲覧できる仕組みです。
介護事業所は「介護保険資格確認等WEBサービス（介護WEBサービス）」を通じて、被保険者証の情報、要介護認定の情報と進捗、住宅改修費・福祉用具購入費の利用状況、ケアプラン情報、LIFE情報の一部などを、インターネットにつながった端末から見られるようになります。

時期	何が起きるか
令和8年4月1日以降	標準化対応が完了した市町村から順次、介護保険システムから介護情報基盤へのデータ移行と、介護情報基盤経由での情報共有が始まる
令和8年7月〜12月	介護事業所側の「引っ越し準備期間」。介護WEBサービスへの登録、マイナ資格確認アプリの設定、カードリーダーの接続などを進める
令和9年（2027年）1月ごろ	ケアプランデータ連携システムが介護WEBサービスの中に統合される（予定）
令和10年4月1日まで	全市町村で介護情報基盤へのデータ移行と活用開始を目指す

公開時点の2026年8月は、まさにこの「引っ越し準備期間（令和8年7月〜12月）」のただ中です。この半年のあいだに、介護事業所の端末はインターネット経由で国の情報基盤につながる端末になります。つまり、いまお使いのパソコンやタブレットの管理状態が、そのまま国の仕組みへの入口の管理状態になるということです。

「うちはまだアナログだから関係ない」と思われるかもしれませんが、実はもう半数を超えています。
厚生労働省の令和8年8月の説明会資料によれば、ケアプランデータ連携システムの導入率は令和8年7月末時点で53.1%。令和7年1月末の4.8%から、1年半で10倍以上に増えました。すでに半数以上の事業所が、ケアプランをインターネット経由でやり取りしています。

紙と印刷の手間が減るのは大きなメリットです（同資料では作業時間が事業所全体で月52.4時間から18.1時間へ約3分の1、経費が月13.4万円から6.7万円へ約半分に減るという試算が示されています）。
ただ、その裏側で、利用者の要配慮個人情報がネットワークを通って動くようになったという事実も同時に進んでいます。

介護事業所が扱う情報は、なぜ「特に慎重な管理」が必要なのか？

個人情報保護法には、通常の個人情報よりも一段厳しく扱うべき「要配慮個人情報」という区分があります。病歴、身体の状況、障害、健康診断の結果などが該当します。

要配慮個人情報は以下などの事項が該当し、介護事業所において扱うほとんどの情報は要配慮個人情報であり、一層慎重な管理が求められます。
（厚生労働省「介護事業所における情報安全管理の手引き（解説書）」令和8年3月より）

ここが介護事業所の特殊なところです。一般の会社であれば「顧客名簿は個人情報だが、要配慮個人情報はほとんど扱わない」という整理ができます。
ところが介護では、介護記録そのものが要配慮個人情報です。既往歴、服薬、身体状況、認知症の状態。どれも「不当な差別や偏見が生じないよう特に配慮を要する」情報にあたります。

区分	介護事業所での具体例
個人情報	利用者の基本情報（氏名・住所・生年月日・連絡先）／家族等の氏名や連絡先／介護保険被保険者番号／介護記録に記載された利用者を識別できる情報／職員の個人情報
要配慮個人情報	介護関係記録に記載された病歴／身体状況／病状／治療／診療情報や調剤情報／健康診断の結果／保健指導の内容／障害（身体・知的・精神）

介護保険の被保険者番号は、それ単体で「個人識別符号」＝個人情報にあたります。令和8年4月1日に改正された「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」で、個人識別符号の定義が介護保険法第201条の2第1項に規定する被保険者番号等へと改められ、この点が明確になりました。名前が書かれていなくても、被保険者番号が載った一覧表は個人情報です。

なお、職員のマイナンバー（個人番号）は、個人情報保護法とは別に番号法（マイナンバー法）にもとづく管理が必要です。給与計算や社会保険の手続きで扱っている以上、すべての事業所が該当します。
介護記録と同じ場所・同じ権限で扱わず、保管場所とアクセスできる人を分けてください。

もうひとつ、見落とされがちな点があります。利用者が亡くなった後も、情報を保存しているかぎり同等の安全管理措置が必要だということです。手引きにも、ガイダンスにも明記されています。
「もう亡くなった方の記録だから」という理由で管理を緩めることはできません。

どの事業所が対象になる？

「うちは小さいから対象外では」と思われる方もいますが、規模による除外はありません。ガイダンスが対象としているのは次の範囲です。

区分	含まれるもの
介護関係事業者	介護保険法に規定する居宅サービス事業、介護予防サービス事業、地域密着型サービス事業、地域密着型介護予防サービス事業、居宅介護支援事業、介護予防支援事業、介護保険施設を経営する事業／老人福祉法に規定する老人居宅生活支援事業、老人福祉施設を経営する事業／その他の高齢者福祉サービス事業
医療機関等	病院、診療所、助産所、薬局、訪問看護ステーションなど
委託を受けた事業者	検体検査、利用者への食事の提供、施設の清掃、医療事務などを受託する事業者も、ガイダンスに沿った安全管理措置が求められる

訪問介護、通所介護、居宅介護支援（ケアマネ事業所）、グループホーム、特別養護老人ホーム、介護老人保健施設。介護保険サービスを提供しているなら、事実上すべてが対象と考えて差し支えありません。
厚生労働省の令和6年「介護サービス施設・事業所調査」では、訪問介護が3万7,264か所、通所介護が2万4,585か所、居宅介護支援事業所が3万7,258か所、地域密着型通所介護が1万8,921か所、認知症対応型共同生活介護（グループホーム）が1万4,341か所。従事する介護職員は212万6,227人にのぼります。

介護事業所が守るべきルールは、全部で何本あるのか？

介護のセキュリティが分かりにくいのは、根拠となる資料が1本ではなく4層になっているからです。医療機関の「3省2ガイドライン」のような一本化された呼び名がないため、どこから読めばよいのか分からなくなります。

層	資料・条文	何を求めているか
法律	個人情報保護法（第23条ほか）	安全管理措置、従業者の監督、委託先の監督、漏えい時の報告
ガイダンス	医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス（令和8年4月1日最終改正）	介護分野に即した個人情報の取扱い方の具体化
省令（運営基準）	指定居宅サービス等の事業の人員、設備及び運営に関する基準（平成11年厚生省令第37号）ほか	秘密保持、業務継続計画（BCP）の策定、記録の整備
実務の手引き	介護事業所における情報安全管理の手引き（令和8年4月）／同解説書（令和8年3月）	日々の端末の使い方を21項目のチェックリストにしたもの

このうち、現場がまず開くべきなのはいちばん下の「手引き」です。
法律とガイダンスは「何を守るか」を書いていますが、手引きは「毎日どう操作するか」まで落とし込まれています。

厚生労働省の「情報安全管理の手引き」とは、どんな資料か？

正式名称は「介護事業所における情報安全管理の手引き」。令和7年度の老人保健事業推進費等補助金による「介護情報基盤の運用に向けた介護事業所におけるセキュリティ対策のための調査事業」の成果として作られたものです。

検討委員会には全国老人保健施設協会、保健医療福祉情報システム工業会（JAHIS）の介護システム委員会、国立長寿医療研究センター、社会福祉法人が参加しており、事務局はMS&ADインターリスク総研。介護の現場と介護ソフトのベンダーの両方の意見を入れて作られているのが特徴です。

資料	分量	用途
手引き（本体）	6ページ	チェックリストそのもの。使用する電子機器の横に備えて使う想定
解説書	28ページ	チェック項目ごとの具体的な対策、用語集、実際の事故事例12件
報告書	69ページ	介護事業所6件・介護ソフトベンダー3件へのヒアリング結果と、今後の課題・提言

この「介護事業所における情報安全管理の手引き」は、介護事業所の職員、管理者、システム担当者、経営者などが、電子機器を使用する際に、個人情報や要配慮個人情報などが漏えいしないようにするための対策を解説しています。
（厚生労働省「介護事業所における情報安全管理の手引き」令和8年4月より）

いずれも厚生労働省の「介護情報基盤について」のページから無料でダウンロードできます。3〜5分程度の解説動画も用意されており、入職時の研修にそのまま使えます。ヒアリングで「1本3〜5分程度の長さで職員の入職時に活用できる動画になるとさらに良い」という現場の声があり、それを受けて作られたものです。

チェックリストは全部で何項目あるのか？

チェックリストは5つの分類に分かれ、合計21項目です。1〜4が現場の職員向けの15項目、5が管理者・システム担当者向けの6項目という構成になっています。

分類	チェック項目	対象
1. 安全な使用環境の確保	原則、職員個人のスマートフォンやパソコンなどの端末で、個人情報を取り扱う業務は行わない、介護ソフトなどを利用していない	職員
1. 安全な使用環境の確保	個人情報を含む端末は、紛失や盗難、き損が生じないよう人通りの少ない安全な場所で使用している	職員
1. 安全な使用環境の確保	個人情報を含む端末を、管理者等からの許可なく事業所外に持ち出していない	職員
1. 安全な使用環境の確保	事業所に職員がいなくなる時は、確実に施錠している	職員
1. 安全な使用環境の確保	公衆無線LANを業務で使用していない	職員
2. ログイン・ログオフの管理等	パソコンやタブレット等の端末を起動する際は、自分専用のIDとパスワード、または生体認証を使ってログインしている	職員
2. ログイン・ログオフの管理等	他の人が簡単に見ることができる場所に、パスワードを書いたメモや付箋を置いていない	職員
3. 閲覧・入力・送信	利用時に覗き見されないように覗き見防止シート等を使用している。離席時は、端末にロックをかけている	職員
3. 閲覧・入力・送信	個人情報は、正確な情報源から得た情報を正しく入力し、正確な内容で管理している	職員
3. 閲覧・入力・送信	メールやFAXの宛先の確認を徹底し、送信ミスを防止している	職員
3. 閲覧・入力・送信	誤送信を防ぐため、あらかじめ登録したアドレス帳を使っている。または組織外のアドレスに送る際、確認メッセージが表示されるよう設定している	職員
3. 閲覧・入力・送信	重要情報はパスワード保護した添付ファイルに記載している	職員
4. その他、注意事項	USBメモリ等の外部機器を、許可なく端末に接続していない	職員
4. その他、注意事項	知らない送信元や内容に不審な点があるメールの添付ファイルやURLリンクは開いていない、クリックしていない	職員
4. その他、注意事項	業務用端末を使って、業務に関係のない目的でインターネットを使用していない	職員
5. 安全管理措置等【組織的】	個人情報保護指針や個人情報取扱規程等を作り、情報セキュリティ責任者を選任するなど、組織体制とルールを整備している	管理者
5. 安全管理措置等【人的】	入職時、派遣職員を含め、職員へ定期的に情報セキュリティ研修やインシデント発生時の対応訓練を行っている	管理者
5. 安全管理措置等【物理的】	電子機器がある部屋への入退室を管理し、不要な人が出入りしないよう対策を講じている。端末の持ち出しや持ち込みは、持ち出し記録簿で管理している	管理者
5. 安全管理措置等【技術的】	インターネットに接続するすべての電子端末には、必ずセキュリティソフトを使用している。また、定期的にOSやセキュリティソフトを更新し、常に最新の状態に保っている	管理者
5. 安全管理措置等【外的環境の把握】	情報セキュリティに関する最新の脅威や対策に関する情報を日頃から収集し、介護ソフトベンダー社等のセキュリティ対策を確認している	管理者
5. 安全管理措置等【委託先の監督】	システム運用やデータ処理などを外部業者に委託する場合は、その業者が適切なセキュリティ対策を行っているか確認して選定し、必要な契約書を交わすとともに、業務が適切に行われていることを定期的に確認している	管理者

チェックリストには「チェック結果補足」という欄があり、できていない理由・対応できている範囲・今後の対応予定を書き込む形式になっています。手引き自身が「すべての対策を適切に行うことができていない方、事業所も多いかと思われますが」と書いており、全部○にすることを最初から求めていません。まず現状を書き出すことが出発点です。

医療機関のチェックリスト19項目が「立入検査で確認される」性格のものであるのに対し、介護のこの21項目は提出を求められる書類ではなく、自主点検のための道具です。ただし後述するとおり、運営指導では同じ趣旨のことが口頭で確認されます。

実際には、どんな事故が起きているのか？

解説書の巻末には「介護事業所におけるIT機器の情報セキュリティ事例集」として、12件の事例が載っています。
いずれも介護のサービス種別ごとに具体的に書かれており、「自分の事業所でも起こりうる」と感じられるものばかりです。

事例	どんな事業所で	何が起きたか
1. タブレット端末の紛失	ホームヘルパーステーション	訪問記録用のタブレットを訪問先から戻る途中で紛失。パスワードロックや暗号化がされておらず、氏名・住所・要介護度・既往歴・服薬情報が漏えいするリスクが生じた
2. ウイルス感染による情報流出	居宅介護支援事業所	ケアマネジャーが「介護保険制度改正のお知らせ」という件名のメールの添付ファイルを開いてウイルスに感染。パソコン内の利用者情報が外部に送信された
3. クラウドの外国移転	特別養護老人ホーム	外国企業のクラウド型介護記録システムを利用。データが海外サーバーに保存されていたが、外国にある第三者への提供にあたる同意取得ができておらず法的リスクを抱えた
4. 監視カメラと要配慮個人情報	介護施設	虐待防止・事故対応のための監視カメラ映像が要配慮個人情報に該当しうるため、入所時に設置目的・保存期間・閲覧権限を説明して同意書を整備した（適法な取得の例）
5. 自動記録システムの共有ミス	介護老人保健施設	バイタルサインの自動測定システムの設定ミスで、一部の利用者データが別の利用者のファイルに記録された。気づかなかった看護師が誤ったデータで対応し、処置に混乱が生じた
6. FAX誤送信	居宅介護支援事業所	急いでいたケアマネジャーが番号を誤入力し、居宅サービス計画書を無関係の会社にFAX送信。氏名・住所・要介護度・疾病情報が含まれていた
7. ID・パスワードの共有	訪問看護ステーション	スタッフ間で「nursing123」という単純なパスワードを共有し全員が同じIDでログイン。退職した元職員が自宅から同じID・パスワードでアクセスし、現役利用者の情報を閲覧していた
8. データ移行時の不適切な処理	居宅介護支援事業所	介護ソフトの入れ替えで旧システムのデータベースを暗号化せずUSBメモリに保存して業者に渡した。旧データも削除されず放置され、後日USBメモリの紛失が発覚
9. リモートアクセス設定の不備	小規模多機能型居宅介護事業所	リモートデスクトップの接続ポートを初期設定のまま、パスワードも単純なものにしていたため不正アクセスを受けランサムウェア攻撃に。バックアップが不十分で過去3か月分の介護記録が失われた
10. クラウドの共有設定ミス	通所介護事業所	家族と活動記録・写真を共有するアプリのクラウド共有設定を誤り「リンクを知っている全ての人が閲覧可能」に。検索エンジンにインデックスされ、利用者の顔写真が誰でも見られる状態になった
11. 非管理アプリによる情報流出	特別養護老人ホーム	各フロアの介護記録用タブレットに職員が自由にアプリを入れていた。無料の写真編集アプリがタブレット内のケア記録写真に不正アクセスし、外部サーバーへアップロードしていた
12. Wi-Fi設定不備による盗聴	訪問介護事業所	事務所のWi-Fiのパスワードが「12345678」、暗号化方式も旧式のWEPのまま。近隣の第三者が接続し、メールでやり取りしていたアセスメントシートや介護計画書を盗聴していた

12件のうち、高度な攻撃と呼べるものはほとんどありません。紛失、誤送信、パスワードの共有、初期設定のまま、共有設定の誤り、アプリの入れ放題。
裏を返せば、費用をかけずにルールと設定を直すだけで防げたものが大半だということです。

中でも実務上いちばん重いのは事例9です。ランサムウェアで介護記録が3か月分消えたという結果は、単なる情報漏えいではなく、ケアの継続そのものが止まることを意味します。
そして原因は「リモートデスクトップの接続ポートを初期設定のままにし、パスワードも単純なものにしていた」——つまり設定の問題でした。

介護のBCPは義務なのに、なぜサイバー攻撃が入っていないのか？

介護事業所には業務継続計画（BCP）の策定が義務づけられています。令和6年4月1日から完全義務化され、未策定の場合は「業務継続計画未策定減算」として介護報酬が減算されます。

項目	内容
根拠	指定居宅サービス等基準第30条の2（業務継続計画の策定等）ほか、各サービスの運営基準
義務化	令和6年4月1日から（経過措置終了）。居宅療養管理指導・介護予防居宅療養管理指導のみ、令和9年3月31日まで努力義務
減算	未策定の場合、施設・居住系サービスは3％、その他のサービスは1％に相当する介護報酬を減算
求められること	策定するだけでなく、職員への周知、定期的な研修と訓練、定期的な見直しまでが一体で義務

ところが、その義務化されたBCPの条文を読むと、こう書かれています。

指定訪問介護事業者は、感染症や非常災害の発生時において、利用者に対する指定訪問介護の提供を継続的に実施するための、及び非常時の体制で早期の業務再開を図るための計画（以下「業務継続計画」という。）を策定し、当該業務継続計画に従い必要な措置を講じなければならない。
（指定居宅サービス等の事業の人員、設備及び運営に関する基準第30条の2 第1項）

「感染症や非常災害」——サイバー攻撃は書かれていません。

厚生労働省が配布しているBCPのガイドラインとひな形も、「感染症発生時の業務継続ガイドライン」と「自然災害発生時の業務継続ガイドライン」の2本だけです。
この2本のPDFを実際にダウンロードして本文を機械的に数えたところ、次のようになりました。

語	自然災害BCPガイドライン	感染症BCPガイドライン
「サイバー」	0回	0回
「情報システム」	0回	0回
「ランサム」	0回	0回
「バックアップ」	3回	0回

医療機関には、厚生労働省が「サイバー攻撃を想定したBCP策定の確認表」とBCPのひな形を無償配布しています。一方で介護には、義務化されたBCPがあるのにサイバー攻撃を想定した公的なひな形が存在しません。制度上の空白が、そのまま現場のリスクになっています。

では、どうすればいいのか——既存のBCPに1つ欄を足すだけで足ります

新しい計画を一から作る必要はありません。すでに作った自然災害BCPの中に、まさにその欄があります。

（６）システムが停止した場合の対策
電力供給停止などによりサーバ等がダウンした場合の対策を記載する（手書きによる事務処理方法など）。（中略）データ類の喪失に備えて、バックアップ等の方策を記載する。PC、サーバのデータは、定期的にバックアップをとっているか。
（厚生労働省「介護施設・事業所における自然災害発生時の業務継続ガイドライン」より）

停電でサーバーが止まったときの手順と、ランサムウェアでサーバーが止まったときの手順は、現場から見ればほとんど同じです。介護記録が見られない間、どうやってケアを続けるか。そこに書くべきことは変わりません。

しかも同ガイドラインは、BCPが考慮すべき事象を防災計画と比べてこう定義しています。

（BCPが）考慮すべき事象：自社の事業中断の原因となり得るあらゆる発生事象
（同ガイドライン「防災計画と自然災害BCPの違い」より）

「あらゆる発生事象」には、当然サイバー攻撃も含まれます。
ですから、次の見直しのときに「システムが停止した場合の対策」の欄へ、原因として『サイバー攻撃・ランサムウェア』を書き加える。これが介護事業所にとって、いちばん費用がかからず、いちばん効く一手です。

介護記録システムが見られない間の代替手順（紙の記録用紙をどこに何部置いておくか）
介護ソフトベンダー・ネットワーク業者・保険者への連絡順序と連絡先
バックアップからどのくらいの時間で戻せるか（ベンダーに一度確認して書き留める）
請求業務が締め日に間に合わないときの対応

運営指導では、セキュリティについて何を聞かれる？

運営指導（令和4年4月に「実地指導」から名称変更）は、自治体が事業所を訪問して基準の遵守状況を確認する行政指導です。
厚生労働省「介護保険施設等運営指導マニュアル」（令和4年3月策定・令和6年7月改訂）には、標準の確認項目とは別に、担当者が実際に口頭で尋ねる「確認項目を補完するヒアリング例」が載っています。

◎確認項目を補完するヒアリング例（運営状況に関する質問例）
・非常災害に備え、どのような訓練を行っていますか。
・利用者／入所者の秘密保持について、従業員に対してどのような形で誓約をさせていますか。
（厚生労働省「介護保険施設等運営指導マニュアル」令和6年7月改訂より）

つまり運営指導では、セキュリティそのものというより「秘密保持について職員にどう誓約させているか」が問われます。
就業規則や誓約書の実物、入職時の説明記録が答えになります。ここは費用ゼロで整えられる部分です。

項目	令和6年度の実績
運営指導の実施事業所数	50,424事業所
自治体の所管事業所数に対する実施率	16.2%（前年度16.1%）
監査の実施件数	1,190件（前年度1,120件）
指定取消等の行政処分	合計158件（指定取消59件・効力の一部停止86件・全部停止13件）
介護給付費の返還を求めた額	約11億5千万円

実施率16.2%ということは、平均すると6年に1回程度の頻度で自分の事業所に回ってくる計算になります。
「前回来たのが数年前」という事業所は、そろそろ準備をしておいたほうがよい時期です。

介護保険法の運営基準は、情報について何を求めている？

意外に知られていませんが、介護の運営基準には「秘密保持等」という独立した条文があります。個人情報保護法とは別に、介護保険法にもとづく省令として課されている義務です。

項	条文の内容	実務上やること
第1項	従業者は、正当な理由がなく、その業務上知り得た利用者又はその家族の秘密を漏らしてはならない	就業規則・誓約書に明記する
第2項	事業者は、従業者であった者が、正当な理由がなく、業務上知り得た利用者又はその家族の秘密を漏らすことがないよう、必要な措置を講じなければならない	退職時にも誓約書を取る。退職者のアカウントを速やかに無効化する
第3項	サービス担当者会議等において、利用者の個人情報を用いる場合は利用者の同意を、家族の個人情報を用いる場合は当該家族の同意を、あらかじめ文書により得ておかなければならない	利用契約時に、利用者本人と家族の両方から文書で同意を取る

第2項は「退職後」までを事業者の義務にしている点が重要です。単に「秘密を守れ」と言うだけでなく、事業者側が「漏らせない状態」を作ることまで求めています。
先ほどの事例7（退職した元職員が共有ID・パスワードで自宅からアクセスしていた）は、まさにこの第2項の措置ができていなかったケースです。

介護記録は何年保存する？

運営基準の「記録の整備」の条文では、完結の日から2年間の保存が定められています。対象は訪問介護計画、提供した具体的なサービス内容の記録、身体的拘束等の記録、市町村への通知に係る記録、苦情の記録、事故の記録などです。

ただし実務上は、自治体の条例で5年としているところが少なくありません。また介護報酬の返還請求の時効を考えると、5年保存にしている事業所が多いのが実態です。
電子データで保存する場合は「2年もつ」ではなく「5年もつ」設計にしておくほうが安全です。バックアップの保存期間を決めるときの目安になります。

ID・パスワードの共有は、なぜいちばん危ないのか？

介護の現場では、シフト制で同じ端末を複数人が使うため、「みんなで同じIDとパスワード」という運用が生まれやすい構造があります。

しかし解説書は、この点をはっきり否定しています。

IDとパスワードは、一人一人が自分専用のものを使います。複数人で同じID・パスワードを共有することは避けてください。（中略）認証については、認証の3要素である「記憶」、「生体情報」、「物理媒体」のうち、2つの独立した要素を組み合わせて認証を行う方法（二要素認証）を採用することが望まれます。
（厚生労働省「介護事業所における情報安全管理の手引き（解説書）」令和8年3月より）

IDを共有すると、次の3つが同時に失われます。

誰が何をしたかが分からなくなる：不適切な閲覧や記録の改変があっても、ログから個人を特定できない
退職者を締め出せなくなる：1人辞めるたびに全員のパスワードを変えなければならず、現実には変えられない
運営基準第33条第2項の「必要な措置」を果たせない：退職後に漏らせない状態を作れない

パスワードの強さについても、解説書は具体的な数字を出しています。

区分	解説書が示す内容
強固なパスワードとは	13桁以上／英数字・大文字小文字・記号が混在／ランダムな文字列
危険なパスワードの例	12345678（単純な羅列）／pa$$w0rd（単純な置換や流出済み）／qwerty（キーボード配列）／0101（生年月日）／ichiro（自分や事業所の名前）

13桁以上のパスワードを、システムごとに違うものにして、人が覚える——これは現実的ではありません。
だからこそパスワード管理ツールか、IDaaS（シングルサインオン）で「1回のログインで複数のシステムに入る」形にするのが実務的な解になります。介護WEBサービス自体も、ID・パスワードに加えてワンタイム認証（登録メールアドレスやSMSに届くコード）を使う設計になっています。

訪問系の「端末の持ち出し」は、どう管理すればいい？

訪問介護・訪問看護・居宅介護支援では、タブレットやスマートフォンを持って利用者宅に伺うのが当たり前になりました。
一方で手引きのチェックリストには「個人情報を含む端末を、管理者等からの許可なく事業所外に持ち出していない」という項目があります。

これは「持ち出すな」という意味ではなく、許可と記録のうえで持ち出せという意味です。解説書は持ち出し記録簿に書く項目まで示しています。

端末の種類、識別番号（管理番号）
持ち出し者
持ち出し理由、持ち出し先、利用期間
返却日（管理者は返却時に端末の状態と異常の有無を確認する）

ただし、訪問系の事業所で毎日20台のタブレットの持ち出しを紙で記録するのは、現実には続きません。
この点は厚生労働省の調査報告書でも、介護ソフトベンダーからこう指摘されています。

タブレットなど、据え置きでなく持ち歩きを前提とした端末で考えた場合、「部屋の入退室を管理する」といった記載内容は実態に馴染まず、違和感がある。
（厚生労働省「介護情報基盤の運用に向けた介護事業所におけるセキュリティ対策のための調査事業報告書」令和8年3月より）

現実的な答えは、MDM（モバイルデバイス管理）で端末の一覧と状態を自動的に持つことです。
MDMを入れておけば、どの端末が誰に割り当てられているかが一覧になり、紛失時には遠隔でロック・初期化ができます。事例1（タブレット紛失）で問題になった「パスワードロックや暗号化がされていなかった」という状態も、MDMなら強制的に設定できます。

紛失や盗難に遭ったときの手引きの指示は明快です。「すぐに管理者へ報告し、遠隔ロックやデータの消去など、情報漏えいを防ぐための対応を速やかに行う」。遠隔ロック・遠隔消去の手段を持っていない事業所は、この指示に従いたくても従えません。

▶ 関連記事：私物スマホの業務利用（BYOD）のリスクと社内ルールの作り方

送迎・給食・清掃の委託先は、どこまで確認すればいい？

介護事業所は、送迎、食事の提供、清掃、金銭の管理など多くの業務を外部に委託します。その委託先も個人情報保護の対象です。

ガイダンスは、委託元である介護事業所に対して「ガイダンスの趣旨を理解し、ガイダンスに沿った対応を行う事業者を委託先として選定するとともに、委託先事業者における個人情報の取扱いについて定期的に確認を行い、適切な運用が行われていることを確認する等の措置」を求めています。

解説書は、委託契約に書くべき事項を4つ挙げています。

契約に書くこと	なぜ必要か
個人情報をどのように守るか	安全管理措置の水準を委託先の義務にする
個人情報を外部に漏らしてはいけないこと	再委託や職員からの漏えいを禁じる
介護事業所がどのように確認するか	「定期的に確認する」という約束がないと、実際には確認できない
委託終了後の個人情報の廃棄	契約終了後にデータが残り続けるのを防ぐ（事例8の旧システム放置と同じ構図）

最も見落とされやすいのは介護ソフトのベンダーとネットワーク業者です。
送迎業者の名簿よりも、介護記録そのものを預かっているベンダーのほうが、扱う情報の量も機微度もはるかに大きいからです。

システムが止まったとき、責任は誰にあるのか？

厚生労働省の調査報告書が、今後の課題としてはっきり指摘している論点があります。

システムに関する障害や事故が発生した際、誰の責任範囲となるか、ユーザー（介護事業所）と介護ソフトベンダー、ネットワークベンダーの三者間での責任分界点の整理が重要であるが、多くの事業所で整理されていない状況がある。
（同報告書令和8年3月より）

当事者	主に担う範囲	事業所が確認すべきこと
介護事業所（自社）	端末の使い方、ID・パスワードの管理、職員教育、持ち出し、施錠	手引きの21項目。ここは誰も代わってくれない
介護ソフトベンダー	介護ソフト・介護記録システムそのものの脆弱性対応、サーバー側のバックアップ、復旧の手順と所要時間	バックアップは何世代・何日分か／障害時の復旧目標時間／サポート窓口の受付時間
ネットワーク業者	ルーター・Wi-Fi・回線・ファイアウォールの設定と保守	Wi-Fiの暗号化方式と管理者パスワード／リモートアクセスの開放状況／機器の保守期限

同じ報告書では、ベンダー側からこんな本音も出ています。「事業所における情報セキュリティ対策は介護事業所主体で考えるべきことである点は明記しておいてほしい」「ソフトベンダーとして介護事業所に各種アドバイスを実施するのは良いが、アドバイスした内容について責任が発生するのは困る」。
つまり「ベンダーさんに任せてあるから大丈夫」は成り立ちません。手引きの21項目は、事業所自身がやるべきこととして書かれています。

事故が起きたら、どこに報告する？

介護事業所が扱う情報のほとんどは要配慮個人情報です。そして要配慮個人情報が含まれる個人データが漏えいした場合は、1人分でも報告義務の対象になります（不正アクセスなど「不正の目的による行為」も同様に1人分から対象です）。

報告先	いつまでに	根拠・備考
個人情報保護委員会	速報：速やかに（おおむね3〜5日以内）確報：30日以内（不正の目的による行為の場合は60日以内）	個人情報保護法。土日祝を含む暦日で数える
本人（利用者・家族）	速やかに	困難な場合は公表と問い合わせ窓口の設置などの代替措置
厚生労働省	速やかに	サイバー攻撃によりシステムに障害が発生し、個人情報の漏えいやサービス提供体制に支障が生じる（おそれを含む）と判断された場合

慌てて端末の電源を切らないでください。電源を落とすと侵入の痕跡が消え、「何が漏れたか」を特定できなくなります。まずネットワークから切り離す（LANケーブルを抜く・Wi-Fiを切る）ところまでにとどめ、介護ソフトベンダーと専門業者に連絡してください。

守らなかった場合、どうなる？

情報の管理を怠った場合に生じうる責任は、大きく3つに分かれます。介護事業所の場合、罰則よりも指定への影響のほうが現実には重くなります。

責任の種類	内容
行政上の責任	個人情報保護委員会による報告徴収・立入検査・指導・助言・勧告・命令。介護保険法にもとづく運営指導・監査、悪質な場合は指定取消や効力停止（令和6年度の指定取消等は158件、介護給付費の返還を求めた額は約11億5千万円）
刑事上の責任	個人情報保護委員会の命令に違反した場合、行為者は1年以下の拘禁刑または100万円以下の罰金、法人は1億円以下の罰金。報告徴収・立入検査の拒否や虚偽報告は50万円以下の罰金
民事上の責任	利用者・家族からの損害賠償請求。介護は要配慮個人情報を扱うため、1件あたりの慰謝料が高くなりやすい

加えて、介護事業所には「信用」という数字に出ない損害があります。ケアマネジャーからの紹介、家族からの評判、職員の採用。いずれも一度失うと、調査費用のように「払えば終わる」性質のものではありません。

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

費用ゼロでできるのは、21項目のうちどこまで？

「セキュリティ＝お金がかかる」と思われがちですが、手引きの21項目を仕分けると、お金をかけずに今日から着手できるものが大半です。

分類	項目数	費用の目安
1. 安全な使用環境の確保	5項目	0円（ルールを決めて周知する／施錠を徹底する／公衆Wi-Fiを使わない）。業務用端末を新たに用意する場合のみ費用が発生
2. ログイン・ログオフの管理等	2項目	0円〜。IDを1人1つにするのは0円。二要素認証やパスワード管理ツールを入れる場合は費用が発生
3. 閲覧・入力・送信	5項目	ほぼ0円。覗き見防止シートは1枚数千円。宛先確認のルール化、アドレス帳の整備、添付ファイルのパスワード保護は0円
4. その他、注意事項	3項目	0円（USBの原則禁止、不審メールを開かない、業務外利用の禁止をルール化する）
5. 安全管理措置等（管理者向け）	6項目	規程の整備・研修・持ち出し記録簿は0円〜。セキュリティソフト、バックアップ、資産管理ツールは費用が発生

追加費用が確実に必要になるのは、実質的に①セキュリティソフト ②バックアップ ③（入れるなら）二要素認証やIT資産管理の3つだけです。
残りは「決めて、書いて、伝える」ことでクリアできます。

厚生労働省の調査報告書でも、介護事業所からこんな声が上がっています。「新しいシステム導入は費用面などからも困難なので、既存環境で対応可能な、推奨される方法などが示されていると良い」。まず0円でできる15項目を埋め、そのうえで足りないところに費用をかけるのが、いちばん無理のない順番です。

残りを埋めるには、どんな仕組みが必要か？

0円でできる部分を埋めたうえで、なお残るのが「端末の管理」「ログインの管理」「バックアップ」「職員教育」の4つです。
当社アーデントが取り扱っている製品のうち、介護事業所の実情に合うものを中立的に並べます。

項目	CLOMO MDM	LANSCOPE エンドポイントマネージャー	GMOトラスト・ログイン	クラウドバックアップ powered by Acronis	セキュリオ
何ができるか	タブレット・スマホの一元管理、遠隔ロック・初期化、位置情報の検知、アプリの配信と制限	PC・スマホの資産台帳、USB等の記録メディア制御、ソフトウェアの利用禁止、操作ログ、Windows Update管理	1回のログインで複数のシステムに入れるSSO。パスキー・ワンタイムパスワードなどの多要素認証	サーバー・PC・NASのデータをクラウドへ自動バックアップ。ランサムウェア対策機能つき	eラーニングと標的型攻撃メール訓練。受講状況を自動集計
手引きのどの項目を支えるか	1（持ち出し・紛失）／4（USB・非管理アプリ）／5（物理的）	1（端末の把握）／4（USB）／5（物理的・技術的）	2（ログイン・ログオフ）	5（技術的・BCP）	5（人的）
対象	iOS・iPadOS・macOS・Android・Windows11	Windows・Mac・iOS・Android	各種クラウドサービス・社内システム	サーバー・PC・NAS・Microsoft 365ほか	全職員
初期費用（税別）	19,800円	30,000円／契約	なし	なし	100,000円
月額（税別）	基本利用料2,100円＋1デバイス300円	1台500円（ライトA 300円／ライトB 400円）	1ID 300円（プロプラン・30ID〜12か月契約）	100GB 3,000円	50名以下月18,000円／50名超は1人360円
年額（税別）	基本利用料24,000円＋1デバイス3,600円	1台6,000円（ライトA 3,600円／ライトB 4,800円）	—	100GB 36,200円／500GB 142,500円／1,000GB 228,000円	—
無料で試せるか	無料トライアルあり	60日間の無料体験	無料プランあり	30日間の評価版	2週間の無料お試し
特記事項	国内MDMシェアNo.1（同社発表）。最低5デバイスから	エージェントを入れられないプリンター等も台帳に登録可能	デバイス証明書オプション＋150円／ID・月	バックアップできる端末数は無制限	最低利用期間は1年
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

セキュリティソフト（ウイルス対策）については、すでにお使いのものがあればまずは「全端末に入っているか」「自動更新と自動スキャンが有効か」を確認してください。手引きが求めているのは高価な製品ではなく、インターネットにつながるすべての端末に入っていて、最新の状態に保たれていることです。

全部そろえると、いくらかかる？

職員30名、事務所のパソコン10台、訪問・記録用のタブレット20台という規模の事業所を想定した目安です（いずれも税別）。

内訳	初年度
CLOMO MDM（タブレット20台）	初期19,800円＋基本利用料24,000円＋ライセンス72,000円＝115,800円
LANSCOPE エンドポイントマネージャー（PC10台）	初期30,000円＋年60,000円＝90,000円
GMOトラスト・ログインプロ（30ID）	年108,000円
クラウドバックアップ powered by Acronis（100GB）	年36,200円
セキュリオ ARライト（50名以下）	初期100,000円＋年216,000円＝316,000円
合計（初年度）	約666,000円（月あたり約55,500円）
合計（2年目以降）	約516,200円（月あたり約43,000円）

一方で、事故が起きてからかかる費用です。
当社のマルウェア感染調査サービスは300台まで298,000円、詳細レポートを付けると別途500,000円で、合わせて798,000円。1年分の対策費用よりも高くつきます。

しかも調査費用を払って分かるのは「何が起きたか」であって、止まった訪問や通所、流出した利用者情報が戻ってくるわけではありません。事例9のように介護記録が3か月分消えれば、ケアの継続にも、介護報酬の請求にも直接影響します。

補助金や助成金は使える？

介護事業所には、性格の違う2つの支援があります。両方を混同しないことが大切です。

	デジタル化・AI導入補助金2026	介護情報基盤の活用のための助成金
対象になるもの	ITツール（IT資産管理、MDM、バックアップ、セキュリティ教育、セキュリティサービスの利用料など）	①カードリーダーの購入経費 ②介護情報基盤との接続サポート等経費（クライアント証明書の搭載等の端末設定の技術的支援）
金額	通常枠は5万〜450万円・補助率は原則1/2（小規模事業者は最大4/5）。セキュリティ対策推進枠は5万〜150万円（小規模2/3・中小1/2、サービス利用料は最大2年分）	訪問・通所・短期滞在系は6.4万円まで（カードリーダー3台まで）／居住・入所系は5.5万円まで（2台まで）／その他は4.2万円まで（1台まで）。消費税分も助成対象
申請の窓口・期間	IT導入支援事業者を通じて申請。交付申請までにSECURITY ACTIONの自己宣言IDとGビズIDが必要	国民健康保険中央会の介護情報基盤ポータル経由。令和8年度は令和8年5月7日〜令和9年3月12日（予定）

どちらも「先に発注してしまうと対象外」になりうる点が共通しています。デジタル化・AI導入補助金は交付決定前の発注が対象外、介護情報基盤の助成金は令和8年4月1日以降に実施された事業が対象です。
補助率・上限額・要件は年度の公募要領で変わりますので、必ず最新の公募要領をご確認のうえ、専門家にもご相談ください。

なお、厚生労働省の調査報告書自身が、介護事業所の費用面の課題に触れ、こう提言しています。

各種対策について費用面の問題で対応が困難な部分がある。（中略）セキュリティ対策に関する体制整備や機器・システム等導入に係る費用について、補助金の対象とされることが望まれる。／有事の際に備えてのサイバーリスク保険等の活用も有効な手段の一つと考えられる。
（同報告書令和8年3月より）

当社アーデントはデジタル化・AI導入補助金のIT導入支援事業者として、製品の選定から申請、導入後の運用までを一貫してご支援しています。

▶ 関連記事：サイバー保険は本当に必要？補償範囲・保険料相場・選び方を徹底解説

何から始めればいい？──7つの手順

順番に迷ったら、この順で進めてください。1〜5は費用がほとんどかかりません。

順番	やること	所要の目安	費用
1	厚生労働省の「介護事業所における情報安全管理の手引き」と「解説書」をダウンロードし、管理者が一度通して読む	1時間	0円
2	チェックリスト21項目を印刷し、現状を○×で埋める。できていない項目には理由を書き込む	1〜2時間	0円
3	ID・パスワードの共有をやめ、1人1IDにする。付箋のパスワードを回収する	半日〜	0円
4	事業所内の端末（PC・タブレット・スマホ）を一覧にする。誰が使い、どこに置き、持ち出しているかを書き出す	半日〜	0円
5	就業規則・誓約書に秘密保持を明記し、入職時と退職時に取り交わす形にする（運営指導で聞かれる項目）	1日〜	0円
6	既存のBCPの「システムが停止した場合の対策」欄に、サイバー攻撃で介護記録が見られない場合の代替手順と連絡先を書き足す	半日〜	0円
7	足りない仕組み（セキュリティソフト・バックアップ・MDM・教育）を入れる。補助金の活用を検討する	1〜3か月	要見積り

いきなり7から始めないでください。製品を入れても、1人1IDになっていなければログは意味を持ちません。手引きが職員向け15項目を先に、管理者向け6項目を後に置いているのも同じ理由です。

よくあるご質問

Q. 職員が5名の小さな事業所でも対象になりますか？

A. なります。個人情報保護法にもガイダンスにも、規模による除外はありません。
ただし手引き自身が「すべての対策を適切に行うことができていない方、事業所も多いかと思われますが」と書いているとおり、いきなり全部を求められているわけではありません。まず費用ゼロでできる15項目から着手してください。

Q. 介護記録をまだ紙で管理していますが、それでも必要ですか？

A. 必要です。手引きは電子機器の使い方が中心ですが、介護保険の請求は電子で行いますし、FAXやメールも使います。事例6（FAX誤送信）と事例7（ID共有）は、介護記録が紙でも起こります。
また、介護情報基盤への参加を考えると、遅かれ早かれインターネットにつながる端末が必要になります。

Q. 職員の私物スマホで記録を入力しています。ダメですか？

A. 手引きは「原則、職員個人のスマートフォンやパソコンなどの端末で、個人情報を取り扱う業務は行わない」としています。
どうしても使う必要がある場合は「十分なセキュリティ対策を講じ、管理者の許可を得てください」とされていますので、①管理者の許可を記録に残す②MDMで業務データを分離し遠隔で消せるようにする、の2点をセットにするのが現実的です。ただし可能であれば業務専用端末の用意を優先してください。

Q. IDの共有をやめると、シフト交代のたびにログインし直すことになって現場が回りません

A. そこがいちばんの悩みどころです。解決策は「ログインを速くする」ことで、パスワードを共有することではありません。
具体的には、①タブレットは職員ごとに割り当てて生体認証（指紋・顔）でロック解除する②介護ソフトのログインをシングルサインオンにまとめる、の2つで入力の手間はかなり減ります。介護WEBサービス自身も、ワンタイム認証を使いながら「パスワード入力が楽に」なる方向で機能改善が予定されています。

Q. 介護ソフトのベンダーに任せていれば大丈夫ですか？

A. 大丈夫とは言えません。厚生労働省の調査報告書では、ベンダー側から「事業所における情報セキュリティ対策は介護事業所主体で考えるべきことである点は明記しておいてほしい」という意見が出ています。
ベンダーが守るのはソフトとサーバー側であり、端末の使い方・ID管理・持ち出し・職員教育は事業所の責任範囲です。まずは三者（自社・介護ソフトベンダー・ネットワーク業者）の責任範囲を一度確認してください。

Q. BCPは作りました。サイバー攻撃の分も別に作り直すのですか？

A. 作り直す必要はありません。既存の自然災害BCPにある「システムが停止した場合の対策」の欄に、原因としてサイバー攻撃を書き加え、介護記録が見られない間の代替手順と連絡先を追記すれば十分です。
厚生労働省のガイドラインもBCPが考慮すべき事象を「自社の事業中断の原因となり得るあらゆる発生事象」としています。

Q. 運営指導までに、紙で用意しておくものはありますか？

A. 運営指導マニュアルのヒアリング例では「利用者／入所者の秘密保持について、従業員に対してどのような形で誓約をさせていますか」と聞かれます。
①就業規則または個人情報取扱規程の秘密保持の条文②入職時（と退職時）の誓約書の様式と実際の控え③サービス担当者会議等で個人情報を使うことについての、利用者本人と家族からの文書による同意。この3点は紙で示せるようにしておくと安心です。

Q. ウイルス対策ソフトを入れていれば、21項目は埋まりますか？

A. 埋まりません。ウイルス対策ソフトが直接カバーするのは、21項目のうち技術的安全管理措置の1項目だけです。
12件の事例を見ても、紛失・誤送信・パスワード共有・設定ミス・アプリの入れ放題が大半で、ウイルス対策ソフトでは防げないものがほとんどでした。

Q. IT担当者がいません。何から相談すればいいですか？

A. まずチェックリスト21項目を埋めて、できていない項目を持って相談してください。
「何が足りないか分からない」状態より、「この5項目ができていない」という状態で相談したほうが、必要なものだけを最小の費用でそろえられます。当社アーデントは、その仕分けと補助金の活用までまとめてご支援しています。

まとめ

介護事業所の情報セキュリティは、もう「余裕があればやること」ではありません。
令和8年3月と4月に厚生労働省から専用の手引きとチェックリストが公表され、令和8年7月から12月は介護情報基盤への引っ越し準備期間にあたります。
そして手引きが示す21項目のうち、15項目は費用をかけずに今日から着手できます。
逆に言えば、費用がかからない項目ができていないまま製品だけを入れても、事故は防げません。
実際に厚生労働省が公表した12件の事例は、紛失・誤送信・パスワードの共有・初期設定のまま・共有設定の誤りといった、ごく基本的なところで起きています。
まずはチェックリストを印刷して現状を書き出し、1人1IDにして、既存のBCPにサイバー攻撃の欄を足す。ここまでは0円です。
そのうえで足りない仕組みを、補助金を使って無理のない費用でそろえる。これが介護事業所にとっていちばん現実的な進め方です。

▶ 関連記事：中小企業はなぜサイバー攻撃の標的になりやすいのか？

介護事業所の対策を相談する

法人向けセキュリティソフト　7社料金 10秒一括比較はこちら➡

運営会社	株式会社アーデント
所在地	〒150-0002 東京都渋谷区渋谷3-15-5 パールビル3階
電話番号	03-5468-6097
営業時間	10:00〜19:00（土日祝・年末年始除く）
URL	https://ardent.jp/