3省2ガイドライン対応実務｜医療情報システムの安全管理を体系的に解説

最終更新日: 2026年10月4日

医療分野におけるデジタル化の進展に伴い、医療情報システムの安全管理は医療機関の経営上の最重要課題の一つとなっている。令和5年厚生労働省令第20号による医療法施行規則の改正（令和5年4月1日施行）でサイバーセキュリティ確保の措置が管理者の義務として規定され、全ての病院・診療所・助産所が安全管理体制の整備を求められている。

本記事では、厚生労働省「医療情報システムの安全管理に関するガイドライン」（第7.0版、令和8年6月） および 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（第2.0版、令和7年3月改定） の2本からなる「3省2ガイドライン」を基軸に、医療機関および情報システム事業者が対応すべき安全管理の実務を体系的に解説する。

---

関連記事
– 電子的診療情報連携体制整備加算の新設｜医療DX推進体制整備加算からの移行と要件一覧 — 令和8年度診療報酬改定で新設された加算の施設基準に、安全管理ガイドラインに準拠した体制であることが含まれる
– 個人情報保護法 令和8年改正（法律第56号）成立｜AI開発の同意不要化と課徴金制度を徹底解説 — 医療情報の安全管理に関連する個人情報保護法の令和8年改正を解説

---

3省2ガイドラインの全体像と統合の経緯

3省3ガイドラインから3省2ガイドラインへ

医療情報システムに関する国のガイドラインは、かつて厚生労働省・経済産業省・総務省がそれぞれ1本ずつ策定する「3省3ガイドライン」体制であった。しかし、事業者から見て参照すべきガイドラインが複数に分かれ、内容の重複や整合性の課題が指摘されていたことから、経済産業省と総務省のガイドラインが統合され、現在の「3省2ガイドライン」体制に移行した。

出典: 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」（令和8年6月）、産情発0629第1号「「医療情報システムの安全管理に関するガイドライン第7.0版」の策定について」（令和8年6月29日）

2本のガイドラインの対象と関係性

3省2ガイドラインは、医療情報の安全管理を 「医療機関等」側 と 「情報システム・サービス提供事業者」側 の双方から規律するものである。

実務上のポイント: 医療機関が情報システムを外部委託・クラウド利用する場合、厚労省ガイドラインと経産省・総務省ガイドラインの 双方 の要件を満たす必要がある。委託先の事業者が経産省・総務省ガイドラインに準拠していることを、契約締結前に確認すべきである。

---

厚労省ガイドライン第7.0版の構成と要点

5編構成と各編の対象読者

厚労省ガイドライン第7.0版は、共通事項を整理した概説編と、読者類型ごとの4編（経営管理編、企画管理編、システム運用編、保守委託機関編）の 5編構成 である。第6.0版で導入された概説編・経営管理編・企画管理編・システム運用編の4編構成に、第7.0版で保守委託機関編が加わった。各読者（経営者、企画管理者、システム運用者、保守委託を活用する医療機関）が自身に関係する編を効率的に参照できる。

出典: 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」概説編（令和8年6月）

保守委託機関編の「みなし遵守」: 概説編は、すべてのサーバのセキュリティアップデートを事業者に委託している医療機関等（クラウドサービスの利用を含む）については、「概説編」と「保守委託機関編」に対応することで、本ガイドラインを遵守しているものとみなすと定めている。この場合の「サーバ」は、医療情報の保存や主要な処理を担う機器を指し、原則としてPCやタブレット等のクライアント端末は含まない。ただし、電子カルテアプリ等を端末にインストールし、当該機器上で処理が完結する場合は、PC等の端末も「サーバ」に含まれる。

第7.0版の主要な改定ポイント

厚生労働省は、第6.0版（令和5年5月）の公表以降も医療機関等を対象としたサイバー攻撃事案の発生が継続していることなどを背景に、第7.0版への見直しを行った。主な改定内容は以下のとおりである。

出典: 産情発0629第1号（令和8年6月29日）「第1 改定の概要」

---

安全管理措置の4分類と要求事項

組織的安全管理措置

組織的安全管理措置は、医療情報の安全管理に関する組織体制と規程を整備するための措置である。個人情報の保護に関する法律（平成15年法律第57号）第23条に基づく安全管理措置義務の根幹をなす。なお、課徴金制度の導入を含む個人情報保護法の改正法は、令和8年7月10日に国会で可決・成立し、7月17日に公布された。施行は公布から2年以内で、医療機関への影響も大きい（詳細は「個人情報保護法 令和8年改正の実務対応」を参照）。

物理的安全管理措置

物理的安全管理措置は、医療情報を取り扱う施設・機器に対する物理的なセキュリティ対策である。

技術的安全管理措置

技術的安全管理措置は、情報システム上でのアクセス制御、暗号化、監視等の技術的対策である。システム運用編において詳細な実装要件が示されている。

人的安全管理措置

人的安全管理措置は、医療情報を取り扱う従業者に対する教育・監督に関する措置である。

---

電子カルテの3原則と法的要件

真正性・見読性・保存性の要件

電子カルテをはじめとする診療録等の電子保存にあたっては、e-文書法（民間事業者等が行う書面の保存等における情報通信の技術の利用に関する法律、平成16年法律第149号） および 医療法施行規則（昭和23年厚生省令第50号）第20条 等に基づき、以下の3原則を満たす必要がある。

法定保存期間と対象文書

医療関係文書には法令で定められた保存期間があり、電子保存システムはこれを充足する設計が必要である。

注意: 診療録の保存期間5年の根拠は医師法第24条第2項であり、保険診療か自由診療かを問わない。保険診療に係る診療録は、保険医療機関及び保険医療養担当規則第9条ただし書によっても完結の日から5年間の保存が求められる。医療法施行規則第20条第10号が定めるのは、病院の「診療に関する諸記録」（過去2年間）であり、診療録そのものの保存期間ではない。

電子署名とタイムスタンプの要件

真正性を確保するための技術的措置として、電子署名およびタイムスタンプに関する要件が定められている。

---

クラウドサービス利用時の安全管理

クラウド利用の増加と責任分界

医療機関のクラウドサービス利用は急速に拡大しており、電子カルテやPACS（医用画像管理システム）、オンライン診療システム等のクラウド化が進んでいる。ガイドライン第7.0版では、クラウドサービスの積極的な活用を推進する旨が追記され、クラウドサービスの利用等によりセキュリティアップデートを含む保守業務を委託できている医療機関向けに保守委託機関編が新設された。

クラウドサービス事業者選定のチェック項目

医療機関がクラウドサービスを選定する際に確認すべき事項を以下に整理する。

ISMAPとの関係

ISMAP（政府情報システムのためのセキュリティ評価制度） は、政府がクラウドサービスのセキュリティを評価・登録する制度である。医療分野においても、ISMAPへの登録は事業者の安全管理体制の信頼性を示す重要な指標となる。

実務上の注意: ISMAPへの登録は医療情報を取り扱うクラウドサービスの必須要件ではないが、事業者選定における安全管理体制の客観的な評価指標として活用できる。ISMAPを確認する場合は、ISMAP-LIUではなくISMAPの登録であることを確認する。

---

サイバーセキュリティ対策と法的義務

医療法施行規則改正（2023年4月）によるサイバーセキュリティ確保の義務化

令和5年厚生労働省令第20号による医療法施行規則の改正（令和5年3月10日付け通知産情発0310第2号で周知、令和5年4月1日施行）により、全ての病院、診療所、助産所の管理者に対してサイバーセキュリティ確保のための措置が義務付けられた。同通知は、規則第14条第2項に規定する「必要な措置」として、最新の「医療情報システムの安全管理に関するガイドライン」を参照の上、サイバー攻撃に対する対策を含めセキュリティ対策全般について適切な対応を行うことを求めている。なお、令和8年度診療報酬改定で新設された電子的診療情報連携体制整備加算の施設基準（電子カルテの要件）にも、安全管理ガイドラインに準拠した体制であることが含まれており、診療報酬とも関係する。

根拠条文: 医療法施行規則（昭和23年厚生省令第50号）第14条第2項

「病院、診療所又は助産所の管理者は、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティを確保するために必要な措置を講じなければならない。」

この規定は、医療法第17条（病院、診療所又は助産所の管理者が遵守すべき事項は厚生労働省令で定める）の委任に基づく。医療法第25条第1項に基づく立入検査においても、令和8年度のサイバーセキュリティ対策チェックリストが立入検査時に確認される。

サイバーセキュリティ対策の必須項目

ガイドライン第7.0版および厚生労働省の通知・チェックリストに基づき、医療機関が講じるべきサイバーセキュリティ対策の必須項目を以下に整理する。

近年の医療機関へのサイバー攻撃事例と教訓

近年、日本国内の医療機関がランサムウェア攻撃を受け、診療業務に深刻な影響が生じた事例が相次いでいる。以下は、いずれも公表された調査報告書に基づく。

教訓: 2事例とも、侵入の起点は外部との接続口（VPN装置、リモート保守用の機器）の脆弱性であった。復旧の面では、徳島県の病院では2018年までにオフラインで保管していたバックアップデータがLockBit 2.0の影響を受けず、復旧に使うことができた。大阪急性期・総合医療センターでは、オフラインで保存されていた患者のデータを用いて端末・サーバーをすべて初期化する方針を立て、復旧を行った。一方、大阪では、BCP（事業継続計画）が自然災害に主眼を置いた内容で、サイバー攻撃を想定したBCPは整備されていなかった。ガイドラインがバックアップ、VPN装置等の脆弱性対策、サイバー攻撃を想定したBCPを重視する背景には、こうした実例がある。

BCP（事業継続計画）の策定要件

サイバー攻撃や大規模システム障害発生時に診療を継続するためのBCP策定が、ガイドライン第7.0版でも求められている。第7.0版は、サイバー攻撃の場合、バックアップデータには既にマルウェアの影響が及んでいる可能性があるため、復旧するための手順をあらかじめ検討してBCPとして定めておくこと、およびBCPが機能することを訓練等で確認することを求めている。令和8年度チェックリストにも「サイバー攻撃の想定を含む事業継続計画（BCP）を策定している」の項目がある。

---

経産省・総務省ガイドラインとリスクマネジメント

事業者向けガイドラインの概要

経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（第2.0版、令和7年3月改定）は、医療機関にシステム・サービスを提供する事業者が遵守すべきリスクマネジメントの枠組みを定めている。第2.0版では、サイバー攻撃の多様化・巧妙化を踏まえ、対象事業者の範囲の明確化、医療機関等と事業者間の取決め内容の明確化、リスクコミュニケーションの実効性向上が図られた。

リスクマネジメントプロセスの全体像

事業者向けガイドラインが求めるリスクマネジメントプロセスは、ISO 31000（リスクマネジメントの国際規格）をベースとしている。

サービス仕様適合開示書の意義

経産省・総務省ガイドラインの特徴的な仕組みとして、サービス仕様適合開示書 がある。これは、事業者が自社サービスのセキュリティ対策状況をガイドラインの各項目に対応させて開示する文書である。

実務上のポイント: 医療機関は、クラウドサービス事業者やシステムベンダーに対してサービス仕様適合開示書の提出を求めることにより、ガイドラインへの準拠状況を体系的に確認できる。これは事業者選定時の比較評価にも有用である。

---

ガイドライン対応の実務チェックリスト

認証・認定制度の比較

ガイドライン対応の一環として、第三者認証の取得を検討する医療機関・事業者が増えている。主要な認証・認定制度の比較は以下のとおりである。

医療情報の分類と取扱いレベル

ガイドラインでは、取り扱う情報の機微性に応じた管理レベルの設定を求めている。

ガイドライン対応の5ステップ

医療機関がガイドライン対応を進める際の実務的なステップを以下に示す。

[STEP1] 現状把握
    ↓ 情報資産の洗い出し、システム構成の把握、現行の安全管理措置の棚卸し
[STEP2] ギャップ分析
    ↓ ガイドラインの要求事項と現状との差異を特定
[STEP3] 対応計画の策定
    ↓ 優先順位の決定、スケジュール・予算・体制の計画
[STEP4] 措置の実施
    ↓ 技術的対策の導入、規程の整備、教育研修の実施
[STEP5] 監査・継続的改善
    ↓ 内部監査の実施、改善措置のフォロー、定期的な見直し

実務上のアドバイス: 中小規模の医療機関では、全てのガイドライン要求事項に一度に対応することは困難な場合が多い。まずはSTEP1の現状把握と、サイバーセキュリティ対策の最優先事項（バックアップ、VPN脆弱性対策、インシデント対応計画）から着手し、段階的に対応範囲を拡大することが現実的である。すべてのサーバのセキュリティアップデートを事業者に委託できる場合は、保守委託機関編の利用も選択肢になる。

MDS/SDS（医療情報セキュリティ開示書）の活用

「製造業者/サービス事業者による医療情報セキュリティ開示書」（MDS/SDS） は、医療情報システムの提供事業者が自社製品・サービスのセキュリティ対策状況を医療機関に開示するための様式である。令和8年度版のサイバーセキュリティ対策チェックリストでは、医療機関側の項目として「事業者からMDS/SDSを提出してもらう」が、事業者側の項目として「医療機関等にMDS/SDSを提出した」が置かれている。サービス仕様適合開示書と併せて、事業者選定の重要な判断材料となる。

実務上のポイント: 医療機関は、システム導入・更新時にベンダーに対してMDS/SDSの提出を求め、ガイドラインの各項目への対応状況を確認することが推奨される。あわせて、リモートメンテナンス（保守）を利用している機器の有無を事業者に確認する。

令和8年度版サイバーセキュリティ対策チェックリストの主な項目

厚生労働省は、令和8年6月に「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」（令和8年度版）を公表した。令和7年度版までは「医療機関用」と「薬局用」でフォームが分かれていたが、チェック項目が医療機関と薬局で同一であることから、令和8年度版から統合されている。チェックリストには、医療機関・薬局の確認用と、事業者確認用がある。

注意: チェックリストは立入検査時に確認される。「令和8年度中にすべての項目で「はい」にマルが付くよう取り組んでください」とされており、「いいえ」の項目には令和8年度中の対応目標日を記入する。全ての医療機関において各項目への対応状況を点検し、不足があれば速やかに対策を講じる必要がある。

---

今すぐやること：3省2ガイドライン対応チェックリスト

最優先：まず着手

• ネットワーク構成図の作成・更新（情報システム部門／外部ベンダー）：接続機器の台帳（メーカー・型番・ファームウェアバージョン・IPアドレス）を整備し、VPN装置・ルーター等のファームウェアが最新か確認する
• バックアップの確保（情報システム部門）：電子カルテデータのバックアップが、物理的にネットワークから切り離された媒体（外付けHDD・磁気テープ等）にも保存されているか確認する。未実施の場合は直ちに導入する
• インシデント対応計画の策定・見直し（安全管理責任者）：サイバー攻撃発生時の初動対応手順、連絡先一覧（厚労省・保健所・警察・ベンダー）を文書化する

重要：3か月以内に

• 経営管理編の経営層への共有（安全管理責任者）：厚労省ガイドライン第7.0版「経営管理編」（約20ページ）を院長・理事長に読んでもらい、安全管理に関する経営層の責任を認識してもらう
• サービス仕様適合開示書・MDS/SDSの取得（企画管理者）：電子カルテベンダー・クラウドサービス事業者に、経産省・総務省ガイドライン第2.0版に基づくサービス仕様適合開示書とMDS/SDSの提出を依頼する
• 全職員向けセキュリティ研修の実施（人事・総務部門）：フィッシングメール対応、パスワード管理、USB機器の取扱いを含む基礎研修を定期的に実施する

中期：年度内に完了

• BCP（事業継続計画）のサイバー攻撃版策定（経営層・安全管理責任者）：ランサムウェア被害を想定した紙カルテ運用手順、RTO・RPOの設定、訓練計画を策定する
• ギャップ分析と対応ロードマップの作成（企画管理者・外部コンサルタント）：令和8年度版チェックリストに基づく自己点検を実施し、未対応項目の洗い出しと対応計画を策定する

---

よくある質問（FAQ）

令和8年度の最新動向（2026年10月時点）

令和8年度診療報酬改定とガイドライン対応の連動

令和8年度診療報酬改定で電子的診療情報連携体制整備加算が新設され、2026年6月1日から適用されている（2026年3月5日付け保医発0305第7号、告示第69号・第70号）。この加算の施設基準のうち、電子カルテの要件（加算1の(10)）には、「厚生労働省「医療情報システムの安全管理に関するガイドライン」に準拠した体制であること」が含まれる。通知は版を指定せず「安全管理ガイドライン」と記載している。なお、加算3の施設基準は、加算1の(1)から(8)までの基準を満たすこととされている。

二要素認証の令和9年度（2027年度）対応に向けた準備

厚労省ガイドライン第7.0版システム運用編は、令和9年度（令和9年4月1日時点）で稼働していることが想定される医療情報システムを、今後、新規導入または機器の入替等を伴うシステム更改をする際には、二要素認証を採用する、またはこれに相当する対応を行うことを求めている。技術的な理由等により令和9年度までの対応が困難な場合は、令和9年度以降、直近の次期の医療情報システムの更新までを期限とする。クライアント端末ではアプリケーションのログイン時、サーバではOSでの二要素認証の実装が必要である。

令和8年度版のサイバーセキュリティ対策チェックリストでも、端末（アプリケーションログイン時）とサーバ（OSログイン時）のそれぞれについて、「二要素認証を実装している。または令和9年度以降初回のシステム更改時に実装予定である」ことが確認項目になっている。

令和8年度中の対応が必要な事項

---

まとめ

3省2ガイドラインへの対応は、医療機関の経営層から現場のシステム運用担当者まで、組織全体で取り組むべき課題である。特に以下の3点は、全ての医療機関が直ちに対応すべき最優先事項として認識されたい。

1. サイバーセキュリティ対策の最低限の実施: バックアップの確保（ネットワークから切り離した保管を含む）、ネットワーク機器の脆弱性対策、インシデント対応計画の策定は、医療法施行規則第14条第2項に基づく措置を講じる上で不可欠である
2. 責任体制の明確化: 安全管理に関する責任者の設置と、経営層が主体的に関与する体制の構築が、ガイドライン第7.0版の経営管理編で求められている
3. 外部委託・クラウド利用の適切な管理: 事業者選定時のサービス仕様適合開示書・MDS/SDSの確認、SLAの締結、責任分界の明確化を通じ、委託先を含めた安全管理体制を確保する

---

参考法令・出典一覧

---

免責事項: 本記事は2026年10月時点の法令・ガイドラインに基づき、一般的な情報提供を目的として作成したものである。各ガイドラインの解釈や具体的な対応方法は、医療機関の規模・特性・システム構成により異なるため、個別の判断にあたっては所管省庁の最新の通知やガイドラインの原文を必ず確認されたい。本記事の内容に基づく判断・行動により生じたいかなる損害についても、筆者は責任を負わない。具体的な法的判断が必要な場合は、医療情報セキュリティに精通した専門家への相談を推奨する。