目次

• 医療機関において情報管理が重視される理由
• 「医療情報システムの安全管理に関するガイドライン」とは
• 医療法に基づく立入検査
• 「医療情報システムの安全管理に関するガイドライン　第7.0版」の主な改定内容
• 医療機関におけるサイバーセキュリティ対策チェックリストに基づいて医療機関が実施すべき対策
• 医療情報安全ガイドラインに対応したセキュリティ対策の提案はNECフィールディングにお任せください

医療機関において情報管理が重視される理由

電子カルテをはじめとした医療情報を活用したシステムも進化し、近年では一般のクリニックや歯科診療所、薬局などでも医療情報を取り扱うようになりました。患者さまに適切な医療サービスを提供するためには、医療機関の間で患者さまの情報を迅速かつ正確に連携し、活用することが不可欠です。
一方で医療情報システムの脆弱性を突いたサイバー攻撃はたびたび起きています。最重要な個人情報に位置付けられる医療情報を活用し守るためには、安全性の高いシステムを構築しなければなりません。

こういった状況を踏まえ、厚生労働省は医療法施行規則を改正し、医療機関におけるサイバーセキュリティ対策を2023年4月に義務化しました。
この、サイバーセキュリティ対策の義務化に合わせて、厚生労働省は「医療情報システムの安全管理に関するガイドライン」の改訂や、「医療機関におけるサイバーセキュリティ対策チェックリスト」の公開もしています。

医療機関がサイバーセキュリティ対策を進めるうえで重要な指標となる、「医療情報システムの安全管理に関するガイドライン」と「医療機関におけるサイバーセキュリティ対策チェックリスト」について詳しく確認していきましょう。

「医療情報システムの安全管理に関するガイドライン　第7.0版」とは

「医療情報システムの安全管理に関するガイドライン 第7.0版」は、医療情報システムの取り扱いと情報管理を適切に行うため、国が定めたものです。

サーバ、クライアント、ネットワークなどさまざまな領域に対して要件が定められており、次のような要件があります。

紹介した要件はほんの一部で多数の要件が定められています。

医療情報システムの利用増加やサイバー攻撃の多様化に伴い、医療情報システムの安全管理の実効性を高めるために、内容の見直しが行われています。2026年（令和8年）6月には第7.0版が策定されました。

参考：「医療情報システムの安全管理に関するガイドライン　第7.0版（令和8年6月）」（厚生労働省）　※外部サイトへ移動します

医療情報安全ガイドラインの目的・範囲

医療情報安全ガイドラインは、医療情報システムのセキュリティ管理を目的として作成されています。一般的な情報システムよりも安全性の高いシステム構築・運用を行うため、e-文書法や個人情報保護関連などの法律に対応した内容となっています。

医療情報安全ガイドラインが対象とする医療情報システムは、医療情報を保存するシステムのみならず、医療情報を扱うシステム全般です。

医療法に基づく立入検査

医療機関のセキュリティ対策は「医療情報システムの安全管理に関するガイドライン」に基づき進められてきました。
しかし、厚生労働省が病院への調査を行ったところ、各病院が自主的なセキュリティ対策の取り組みを進めるだけでは対策が不十分と考えられる結果が見られました。

そこで、医療機関がサイバーセキュリティを確保するための具体的な対策を明示し、支援・助言を行うための検査として「医療法に基づく立入検査」が開始されました。この医療法に基づく立入検査では「医療情報システムの安全管理に関するガイドライン」のチェックリストに基づいた対策が行われているかの確認が行われます。

【チェックリストの検査項目】

• 1．体制構築
• 2．医療情報システムの管理・運用
  - サーバや端末PCのセキュリティパッチ(最新ファームウェアや更新プログラム)を適用している
  - 端末PCの利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定している
• 3．インシデント発生に備えた対応
  - データやシステムのバックアップの実施と復旧手順を確認している　など
•  

紹介したチェックリスト項目は一部で、その他にも多数の項目があります。

参考：「医療法に基づく立入検査について」（厚生労働省）　※外部サイトへ移動します

「医療情報システムの安全管理に関するガイドライン　第7.0版」の主な改定内容

「医療情報システムの安全管理に関するガイドライン　第7.0版」では全体構成の見直しがされており、概説編、経営管理編、企画管理編、システム運用編、保守委託機関編の5部構成となりました。
背景には、システム担当者不足やクラウドサービスの普及、保守業務の外部委託が進んでいることが挙げられます。医療現場の実態を踏まえ、医療機関と事業者の役割分担を明確化するため、新たに保守委託機関編が追加されました。
また、近年は医療機関を標的としたランサムウェア等のサイバー攻撃が継続的に発生していることから、委託先管理の強化や認証管理の見直しなど、医療情報システムの安全対策に関する内容も拡充されています。

外部委託、外部サービスの利用に関する整理

昨今では医療情報システムにおいても多様なクラウドサービスが活用されています。最新の医療情報安全ガイドラインでは、クラウドサービスの特徴を踏まえたリスクや対策の考え方の整理に加え、医療機関とクラウドサービス事業者の責任分界点が明確化されました。

医療機関は、安全なクラウドサービスの選定に加え、契約内容、サービスレベル、障害対応、バックアップ、データ管理等を継続的に確認・監督する責任を負います。一方、クラウドサービス事業者は、契約に基づき基盤設備やサービス機能に関する技術的管理を担当します。

なお、責任範囲はサービス形態や委託内容によって異なるため、医療機関と事業者の間で責任分界点を明確に定める必要があります。医療機関で自社開発を行ったシステムは、サービス事業者の責任範囲に含まれない場合があります。

脆弱性管理とサプライチェーンリスク対策の強化

サイバー攻撃の多くは、未修正の脆弱性や委託先を経由して侵入を試みます。

第7.0版では、医療機関単独での対策だけではなく、クラウド事業者や保守委託先を含めたサプライチェーン全体を考慮したセキュリティ対策を実施し、継続的にリスクを評価・改善することが求められています。

医療機関は、自組織だけでなく委託先のセキュリティ対策状況も把握し、適切な脆弱性管理体制を構築する必要があります。

災害、サイバー攻撃、システム障害などの非常時への対応や対策

同じ「非常時」でも、地震や台風などの自然災害と、サイバー攻撃、システム障害では対応が異なります。第7.0版では、発生要因ごとの特性を踏まえた非常時対応の考え方が整理されています。

特にランサムウェア攻撃の増加を背景として、事業継続計画（BCP）の整備やバックアップ体制の確保、インシデント発生時の対応手順の明確化などが重視されています。

医療機関においては、医療提供を継続するため平時から関係事業者を含めた対応体制を整備し、非常時に迅速な復旧や業務継続が行えるよう備えておくことが重要です。

二要素認証の適用拡大と認証管理の強化

医療機関を狙ったランサムウェア攻撃や不正アクセスの増加を背景に、利用者認証の強化が重要なテーマとなっています。

特に、リモートアクセス環境や管理者権限を持つアカウントに対する認証管理の考え方が整理され、多要素認証（MFA）を含む認証強化の適用範囲が明確化されました。

多要素認証を導入することで、ID・パスワードの漏えいだけでは不正アクセスが成立しにくくなり、なりすましやアカウント侵害のリスクを低減できます。
さらに、認証方式の導入だけでなく、アカウント管理、アクセス権限管理、アクセスログの取得・監査を組み合わせて運用することで、医療情報システム全体の安全性向上につながります。

第7.0版で示された二要素認証の対応方法は複数のパターンがあります。弊社では、お客様の環境を踏まえたより適切な対応方法をご提案可能です。

医療機関におけるサイバーセキュリティ対策チェックリストに基づいて医療機関が実施すべき対策

医療情報安全ガイドラインの中に、優先的に取り組むべき事項として「医療機関におけるサイバーセキュリティ対策チェックリスト」がまとめられています。

医療機関におけるサイバーセキュリティ対策チェックリストとは

医療機関は年1回医療法に基づいた管理を実施しているか検査を受ける必要がありますが、チェックリストの項目は立ち入り検査対象となる事項です。チェックリストに記載されている項目の例を挙げます。

参考：令和8年度版　医療機関におけるサイバーセキュリティ対策チェックリスト（厚生労働省）　※外部サイトへ移動します

医療情報安全ガイドラインに対応したセキュリティ対策の提案はNECフィールディングにお任せください

医療機関におけるセキュリティ対策は、医療情報安全ガイドラインのチェックリストに基づき、優先順位をつけて対応していくことが求められます。しかしチェックリストにはどういった対策をとれば良いのかなど詳細な対策方法まで記載されていないため、どのように対応すればよいのか分からないこともあるでしょう。

NECフィールディングでは、医療機関向けセキュリティ対策をサポートしています。

・ガイドラインがあるのは知っているけれど内容の確認ができていない
・二要素認証の対応方法がわからない
・具体的にどういった対策をとれば良いのかがわからない
・何から対策をすれば良いのかがわからない　など

ガイドライン・チェックリストの対応に課題を抱えている場合はお気軽にご相談ください。

発行元：NECフィールディング

お客さま事業・業務にお役立ていただける情報をお届けします。
ご相談はお問い合わせフォームよりご連絡ください。
※当社は法人向けサービスを提供しているため、個人のお客さまに対してはサービス提供できません。あらかじめご了承ください。