3省2ガイドライン対応実務｜医療情報システムの安全管理を体系的に解説

最終更新日: 2026年3月

医療分野におけるデジタル化の進展に伴い、医療情報システムの安全管理は医療機関の経営上の最重要課題の一つとなっている。2023年4月の医療法施行規則改正によりサイバーセキュリティ確保が義務化され、全ての医療機関が安全管理体制の整備を求められる時代に突入した。

本記事では、厚生労働省「医療情報システムの安全管理に関するガイドライン」（第6.0版、令和5年5月） および 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（第2.0版、令和7年3月改定） の2本からなる「3省2ガイドライン」を基軸に、医療機関および情報システム事業者が対応すべき安全管理の実務を体系的に解説する。

---

関連記事
– 電子的診療情報連携体制整備加算の新設｜医療DX推進体制整備加算からの移行と要件一覧 — 令和8年度診療報酬改定で新設される加算の施設基準として、本ガイドラインへの準拠が要件化されている
– 個人情報保護法 2026年改正｜3年見直しの制度改正方針と実務対応 — 医療情報の安全管理に関連する個人情報保護法の2026年改正（課徴金制度・委託管理の再設計等）を解説

---

3省2ガイドラインの全体像と統合の経緯

3省3ガイドラインから3省2ガイドラインへ

医療情報システムに関する国のガイドラインは、かつて厚生労働省・経済産業省・総務省がそれぞれ1本ずつ策定する「3省3ガイドライン」体制であった。しかし、事業者から見て参照すべきガイドラインが複数に分かれ、内容の重複や整合性の課題が指摘されていたことから、経済産業省と総務省のガイドラインが統合され、現在の「3省2ガイドライン」体制に移行した。

出典: 厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版」（令和5年5月）

2本のガイドラインの対象と関係性

3省2ガイドラインは、医療情報の安全管理を 「医療機関等」側 と 「情報システム・サービス提供事業者」側 の双方から規律するものである。

実務上のポイント: 医療機関が情報システムを外部委託・クラウド利用する場合、厚労省ガイドラインと経産省・総務省ガイドラインの 双方 の要件を満たす必要がある。委託先の事業者が経産省・総務省ガイドラインに準拠していることを、契約締結前に確認すべきである。

---

厚労省ガイドライン第6.0版の構成と要点

4編構成と各編の対象読者

厚労省ガイドライン第6.0版は、従来の一体型構成から 4編構成 に大幅に再編された。これにより、各読者（経営者、企画管理者、システム運用者）が自身に関係する編を効率的に参照できるようになった。

出典: 厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版」概説編（令和5年5月）

【実務ポイント】 厚労省ガイドライン第6.0版は4編構成だが最初に取り組むべきは「経営管理編」を経営層（院長・理事長）に読んでもらうこと。サイバーセキュリティ対策の義務は管理者（開設者）に課されたもの（医療法施行規則第14条第2項）。経営管理編は約20ページとコンパクト。「まずこの20ページだけ読んでほしい」と伝えるのが効果的。

第6.0版の主要な改定ポイント

第5.2版（令和4年3月）から第6.0版への主な変更点は以下のとおりである。

---

安全管理措置の4分類と要求事項

組織的安全管理措置

組織的安全管理措置は、医療情報の安全管理に関する組織体制と規程を整備するための措置である。個人情報の保護に関する法律（平成15年法律第57号）第23条に基づく安全管理措置義務の根幹をなす。なお、2026年の個人情報保護法改正では課徴金制度の導入や委託管理の強化が予定されており、医療機関への影響も大きい（詳細は「個人情報保護法2026年改正の実務対応」を参照）。

物理的安全管理措置

物理的安全管理措置は、医療情報を取り扱う施設・機器に対する物理的なセキュリティ対策である。

技術的安全管理措置

技術的安全管理措置は、情報システム上でのアクセス制御、暗号化、監視等の技術的対策である。システム運用編において詳細な実装要件が示されている。

人的安全管理措置

人的安全管理措置は、医療情報を取り扱う従業者に対する教育・監督に関する措置である。

---

電子カルテの3原則と法的要件

真正性・見読性・保存性の要件

電子カルテをはじめとする診療録等の電子保存にあたっては、e-文書法（民間事業者等が行う書面の保存等における情報通信の技術の利用に関する法律、平成16年法律第149号） および 医療法施行規則（昭和23年厚生省令第50号）第20条 等に基づき、以下の3原則を満たす必要がある。

法定保存期間と対象文書

医療関係文書には法令で定められた保存期間があり、電子保存システムはこれを充足する設計が必要である。

注意: 保険診療に係る診療録等は、保険医療機関及び保険医療養担当規則第9条により 完結の日から5年間 の保存義務がある。自由診療の場合は医師法の3年間（又は医療法施行規則の5年間）が基準となるが、訴訟リスクを考慮し、最低5年以上の保存を推奨する。

電子署名とタイムスタンプの要件

真正性を確保するための技術的措置として、電子署名およびタイムスタンプに関する要件が定められている。

---

クラウドサービス利用時の安全管理

クラウド利用の増加と責任分界

医療機関のクラウドサービス利用は急速に拡大しており、電子カルテやPACS（医用画像管理システム）、オンライン診療システム等のクラウド化が進んでいる。ガイドライン第6.0版では、クラウドサービス利用時の責任分界と安全管理要件が大幅に拡充された。

クラウドサービス事業者選定のチェック項目

医療機関がクラウドサービスを選定する際に確認すべき事項を以下に整理する。

ISMAPとの関係

ISMAP（政府情報システムのためのセキュリティ評価制度） は、政府がクラウドサービスのセキュリティを評価・登録する制度である。医療分野においても、ISMAPへの登録は事業者の安全管理体制の信頼性を示す重要な指標となる。

実務上の注意: ISMAPへの登録は医療情報を取り扱うクラウドサービスの必須要件ではないが、事業者選定における安全管理体制の客観的な評価指標として活用できる。ガイドラインでは「第三者認証の取得状況を確認する」ことを求めており、ISMAPの登録状況はその重要な一要素である。

---

サイバーセキュリティ対策と法的義務

医療法施行規則改正（2023年4月）によるサイバーセキュリティ確保の義務化

2022年の医療法施行規則改正（令和5年4月1日施行）により、全ての病院、診療所、助産所に対してサイバーセキュリティ確保のための措置が義務化された。なお、令和8年度診療報酬改定では、本ガイドラインへの準拠が電子的診療情報連携体制整備加算の施設基準要件として明確に位置づけられており、診療報酬上のインセンティブとも直結している。

根拠条文: 医療法施行規則（昭和23年厚生省令第50号）第14条第2項

「病院、診療所又は助産所の管理者は、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティ（サイバーセキュリティ基本法（平成26年法律第104号）第2条に規定するサイバーセキュリティをいう。）を確保するために必要な措置を講じなければならない。」

この義務化により、サイバーセキュリティ対策は医療機関にとって「努力義務」から 「法的義務」 に格上げされた。医療法第25条第1項に基づく立入検査においても、サイバーセキュリティ対策の実施状況が確認の対象となる。

サイバーセキュリティ対策の必須項目

ガイドライン第6.0版および厚生労働省の通知に基づき、医療機関が講じるべきサイバーセキュリティ対策の必須項目を以下に整理する。

近年の医療機関へのサイバー攻撃事例と教訓

近年、日本国内の医療機関がランサムウェア攻撃を受け、診療業務に深刻な影響が生じた事例が相次いでいる。

教訓: 上記の事例に共通するのは、VPN装置の脆弱性が放置されていた、オフラインバックアップが不十分であった、インシデント対応計画が未策定であった という点である。ガイドライン第6.0版がこれらの対策を最優先事項として位置づけた背景には、こうした実例がある。

BCP（事業継続計画）の策定要件

サイバー攻撃や大規模システム障害発生時に診療を継続するためのBCP策定が、ガイドライン第6.0版で強く求められている。

---

経産省・総務省ガイドラインとリスクマネジメント

事業者向けガイドラインの概要

経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（第2.0版、令和7年3月改定）は、医療機関にシステム・サービスを提供する事業者が遵守すべきリスクマネジメントの枠組みを定めている。第2.0版では、サイバー攻撃の多様化・巧妙化を踏まえ、対象事業者の範囲の明確化、医療機関等と事業者間の取決め内容の明確化、リスクコミュニケーションの実効性向上が図られた。

リスクマネジメントプロセスの全体像

事業者向けガイドラインが求めるリスクマネジメントプロセスは、ISO 31000（リスクマネジメントの国際規格）をベースとしている。

サービス仕様適合開示書の意義

経産省・総務省ガイドラインの特徴的な仕組みとして、サービス仕様適合開示書 がある。これは、事業者が自社サービスのセキュリティ対策状況をガイドラインの各項目に対応させて開示する文書である。

実務上のポイント: 医療機関は、クラウドサービス事業者やシステムベンダーに対してサービス仕様適合開示書の提出を求めることにより、ガイドラインへの準拠状況を体系的に確認できる。これは事業者選定時の比較評価にも有用である。

【実務ポイント】 経産省・総務省ガイドライン第2.0版で事業者が医療機関に「サービス仕様適合開示書」を提供する仕組みが整備済み。委託先の電子カルテベンダーやクラウドサービス事業者に年1回適合開示書の更新版を提出させ、自院の安全管理規程との整合性を確認することが推奨。ひな形はガイドライン別冊に掲載。

---

ガイドライン対応の実務チェックリスト

認証・認定制度の比較

ガイドライン対応の一環として、第三者認証の取得を検討する医療機関・事業者が増えている。主要な認証・認定制度の比較は以下のとおりである。

医療情報の分類と取扱いレベル

ガイドラインでは、取り扱う情報の機微性に応じた管理レベルの設定を求めている。

ガイドライン対応の5ステップ

医療機関がガイドライン対応を進める際の実務的なステップを以下に示す。

[STEP1] 現状把握
    ↓ 情報資産の洗い出し、システム構成の把握、現行の安全管理措置の棚卸し
[STEP2] ギャップ分析
    ↓ ガイドラインの要求事項と現状との差異を特定
[STEP3] 対応計画の策定
    ↓ 優先順位の決定、スケジュール・予算・体制の計画
[STEP4] 措置の実施
    ↓ 技術的対策の導入、規程の整備、教育研修の実施
[STEP5] 監査・継続的改善
    ↓ 内部監査の実施、改善措置のフォロー、定期的な見直し

実務上のアドバイス: 中小規模の医療機関では、全てのガイドライン要求事項に一度に対応することは困難な場合が多い。まずはSTEP1の現状把握と、サイバーセキュリティ対策の最優先事項（バックアップ、VPN脆弱性対策、インシデント対応計画）から着手し、段階的に対応範囲を拡大することが現実的である。

MDS/SDS（医療情報セキュリティ開示書）の標準規格認定

2025年1月、JAHIS（保健医療福祉情報システム工業会）が策定する「製造業者/サービス事業者による医療情報セキュリティ開示書」（MDS/SDS）が、厚生労働省標準規格として認定された。MDS/SDSは、医療情報システムの提供事業者が自社製品・サービスのセキュリティ対策状況を医療機関に開示するための標準的な様式であり、現行バージョンはVer.5.0である。

経産省・総務省ガイドライン第2.0版においても、事業者から医療機関への情報開示手段としてMDS/SDSの活用が明記されており、サービス仕様適合開示書と併せて、事業者選定の重要な判断材料となる。

実務上のポイント: 医療機関は、システム導入・更新時にベンダーに対してMDS/SDS（Ver.5.0）の提出を求め、ガイドラインの各項目への対応状況を確認することが推奨される。厚生労働省標準規格となったことで、今後、提出を求める医療機関がさらに増加すると見込まれる。

令和7年度版サイバーセキュリティ対策チェックリストの主な追加項目

厚生労働省は、令和7年度版として「医療機関等におけるサイバーセキュリティ対策チェックリスト」を改訂し、以下の項目が新たに追加・強化された。

注意: 令和7年度版チェックリストは立入検査における確認対象となるため、全ての医療機関において上記項目への対応状況を点検し、不足があれば速やかに対策を講じる必要がある。

---

今すぐやること：3省2ガイドライン対応チェックリスト

最優先：今月中に対応

• ネットワーク構成図の作成・更新（情報システム部門／外部ベンダー）：接続機器の台帳（メーカー・型番・ファームウェアバージョン・IPアドレス）を整備し、VPN装置・ルーター等のファームウェアが最新か確認する
• オフラインバックアップの確保（情報システム部門）：電子カルテデータのバックアップが物理的にネットワークから切り離された媒体（LTOテープ・外付けHDD等）に保存されているか確認。未実施の場合は直ちに導入する
• インシデント対応計画の策定・見直し（安全管理責任者）：サイバー攻撃発生時の初動対応手順、連絡先一覧（厚労省・保健所・警察・ベンダー）を文書化する

重要：3か月以内に

• 経営管理編の経営層への共有（安全管理責任者）：厚労省ガイドライン第6.0版「経営管理編」（約20ページ）を院長・理事長に読んでもらい、安全管理に関する経営層の責任を認識してもらう
• サービス仕様適合開示書の取得（企画管理者）：電子カルテベンダー・クラウドサービス事業者に経産省・総務省ガイドライン第2.0版に基づくサービス仕様適合開示書の提出を依頼する
• 全職員向けセキュリティ研修の実施（人事・総務部門）：フィッシングメール対応、パスワード管理、USB機器の取扱いを含む基礎研修を年1回以上実施する

中期：年度内に完了

• BCP（事業継続計画）のサイバー攻撃版策定（経営層・安全管理責任者）：ランサムウェア被害を想定した紙カルテ運用手順、RTO・RPOの設定、訓練計画を策定する
• ギャップ分析と対応ロードマップの作成（企画管理者・外部コンサルタント）：ガイドラインのチェックシートに基づく自己点検を実施し、未対応項目の洗い出しと対応計画を策定する

---

よくある質問（FAQ）

2026年3月の最新動向

令和8年度診療報酬改定とガイドライン対応の連動

2026年3月5日に公布された令和8年度診療報酬改定の告示において、電子的診療情報連携体制整備加算の施設基準が正式に確定した。本加算の算定要件には3省2ガイドラインへの準拠が明記されており、6月1日施行を前に以下の対応が急務となっている。

二要素認証の2027年度実装に向けた準備

厚労省ガイドライン第6.0版システム運用編は、2027年度時点で稼働している医療情報システムへの二要素認証の実装を求めている。また、令和7年度版サイバーセキュリティ対策チェックリスト（2025年5月統合改定版）で対応計画の策定が義務付けられた。

2026年度中の対応が必要な事項

---

まとめ

3省2ガイドラインへの対応は、医療機関の経営層から現場のシステム運用担当者まで、組織全体で取り組むべき課題である。特に以下の3点は、全ての医療機関が直ちに対応すべき最優先事項として認識されたい。

1. サイバーセキュリティ対策の最低限の実施: オフラインバックアップの確保、ネットワーク機器の脆弱性対策、インシデント対応計画の策定は、医療法施行規則に基づく法的義務の履行として不可欠である
2. 責任体制の明確化: 安全管理に関する責任者の設置と、経営層が主体的に関与する体制の構築が、ガイドライン第6.0版の経営管理編で強く求められている
3. 外部委託・クラウド利用の適切な管理: 事業者選定時のサービス仕様適合開示書の確認、SLAの締結、責任分界の明確化を通じ、委託先を含めた安全管理体制を確保する

---

参考法令・出典一覧

---

免責事項: 本記事は2026年2月時点の法令・ガイドラインに基づき、一般的な情報提供を目的として作成したものである。各ガイドラインの解釈や具体的な対応方法は、医療機関の規模・特性・システム構成により異なるため、個別の判断にあたっては所管省庁の最新の通知やガイドラインの原文を必ず確認されたい。本記事の内容に基づく判断・行動により生じたいかなる損害についても、筆者は責任を負わない。具体的な法的判断が必要な場合は、医療情報セキュリティに精通した専門家への相談を推奨する。