チェックリストは、19項目それぞれに「はい」か「いいえ」に○をつけ、確認した日付を書くだけの様式です。
「いいえ」の項目には、令和8年度中に対応する目標日を書きます。そのうえで、台帳・連絡体制図・BCP・運用管理規程の4つは、立入検査までに現物を用意します。
19項目のうち半分ほどは、電子カルテやレセコンの業者に聞けば答えられます。1項目ずつ、何を聞かれているのかを見ていきます。
様式はどこで手に入る？
令和8年度版のチェックリストは、2026年6月29日付けの厚生労働省の通知で示されました。
様式は2種類あります。
- 医療機関・薬局確認用：医療機関や薬局が自分で書くもの（19項目）
- 事業者確認用：電子カルテなどの業者に送って、業者に書いてもらうもの
厚生労働省のガイドラインのページのほか、都道府県のページにPDFとExcelの両方が置かれていることがあります（千葉県など）。あわせて、各項目の考え方を解説したチェックリストマニュアルも手元に置いておくと安心です。
令和8年度版から、医療機関用と薬局用が1つの様式にまとまりました。前の年度の様式は使わず、令和8年度版で書いてください。
書き方の流れは6ステップ
全体の流れは次のとおりです。
チェックリストを書く流れ
- 1様式を手に入れる厚生労働省や都道府県のページから。Excel版がある
- 2業者に「事業者確認用」を送る電子カルテ・レセコンなど、保守契約のある会社ごとに
- 319項目に「はい・いいえ」どちらかに○をつけ、確認した日付を書く
- 4「いいえ」には目標日令和8年度中に対応する予定の日を書く
- 5書類4つをそろえる台帳・連絡体制図・BCP・運用管理規程
- 6年1回は見直す立入検査の前にも、もう一度確認する
最初に手をつけたいのは、ステップ2の業者への送付です。業者からの回答が戻るまでに時間がかかるので、院内の確認と並行して進めます。
「はい」「いいえ」と目標日の書き方
迷いやすい書き方のルールを、先にまとめておきます。
- 確認日：その項目を確認した日を書きます
- 「はい」：その対策がすでにできている
- 「いいえ」：まだできていない。令和8年度中の対応目標日を書く（令和8年度は2027年3月31日まで）
- 紙でも電子でもよい：Excelに入力して保存しても構いません
マニュアルには、令和8年度中にすべての項目が「はい」になるように、業者と連携して取り組むよう書かれています。
「いいえ」が多いと不安になりますが、まずは空欄を作らないことを優先してください。立入検査で確認されるのは、すべての項目に確認日と回答が書かれているかどうかです。
19項目は「誰が動くか」で3つに分かれる
19項目を一度に考えると大変ですが、「誰が動くか」で分けると見通しが立ちます。
19項目は「誰が動くか」で3つに分かれる
- 院内で決めて書く6項目1-① 責任者
2-① 機器台帳
3-① 連絡体制図
3-② バックアップと復旧手順
3-③ BCP
4-① 運用管理規程 - 業者に聞く・頼む10項目2-② リモート保守
2-③ MDS/SDS
2-④ 権限の設定
2-⑥ パッチ
2-⑨ USB制限
2-⑩ 不要なソフト
2-⑪⑫ 二要素認証
2-⑬ アクセスログ
2-⑭ 接続元制限 - 院内の運用で守る3項目2-⑤ 退職者のアカウント削除
2-⑦ パスワードの長さ
2-⑧ 使い回し禁止
院内で決めて書く項目は、院長や事務長が時間をとれば進められます。台帳やBCPのように、作るのに数時間かかるものもあります。
業者に聞く・頼む項目は、電子カルテ・レセコン・ネットワークの保守業者に質問すれば答えが出ます。バックアップ（3-②）も、実際の設定は業者と相談しながら決めることが多い項目です。
院内の運用で守る項目は、ルールを決めて、職員に守ってもらうものです。
ここから、区分ごとに1項目ずつ見ていきます。
1 体制構築（1項目）
1-① 医療情報システム安全管理責任者を設置している
安全管理の責任者を1人決めるという項目です。
責任者の仕事は、セキュリティの方針を決めて、職員への教育や訓練を含む対策を進めることです。マニュアルでは、経営層が就くのが望ましいとされています。
規模によっては、実務を担う担当者（企画管理者）が兼ねることもできます。小さな診療所なら院長、または事務長が現実的です。
情報セキュリティマネジメント試験の合格などの資格は「望ましい」とされていますが、必須ではありません。誰がなるかを決めて、院内のルール（4-①）に書いておけば「はい」です。
2 医療情報システムの管理・運用（14項目）
いちばん項目が多い区分です。ここでいう「医療情報システム」は、サーバ・端末（パソコン）・ネットワーク機器（ルータや無線LAN）のすべてを指します。
| 項目 | 一言でいうと | 誰に聞く・誰がやる |
|---|---|---|
| 2-① 台帳管理 | 機器の一覧表を作る | 院内（業者に情報をもらう） |
| 2-② リモート保守の確認 | 外からつながる保守用の入口があるか聞く | 業者 |
| 2-③ MDS/SDS | 業者からセキュリティの説明書をもらう | 業者 |
| 2-④ アクセス権限 | 職種ごとに見られる範囲を分ける。管理者権限は最低限 | 業者と院内 |
| 2-⑤ 不要なアカウント | 退職者などのIDを消す・止める | 院内 |
| 2-⑥ セキュリティパッチ | 更新プログラムを当てる | 業者 |
| 2-⑦ パスワードの長さ | 英数字まぜて8文字以上（二要素認証が入るまでは13文字以上） | 院内と業者 |
| 2-⑧ 使い回し禁止 | 同じパスワードを複数で使わない | 院内と業者 |
| 2-⑨ USBなどの制限 | USBメモリなど、つなげる機器を制限する | 業者 |
| 2-⑩ 不要なソフトの停止 | 使っていないソフトやサービスを止める | 業者 |
| 2-⑪ 端末の二要素認証 | アプリにログインするとき2つの方法で確認 | 業者 |
| 2-⑫ サーバの二要素認証 | サーバにログインするとき2つの方法で確認 | 業者 |
| 2-⑬ アクセスログ | 誰がいつ何をしたかの記録を残す | 業者 |
| 2-⑭ 接続元の制限 | 決まった機器しかネットワークにつなげない | 業者 |
この中で、とくに迷いやすい項目を詳しく見ます。
2-① 台帳は「どの機器が、どこで、誰が使っているか」の一覧
台帳は立入検査で現物を見られる書類です。
マニュアルの例では、管理番号・メーカー・OS・ソフトウェアとそのバージョン・IPアドレス・コンピュータ名・設置場所・利用者・登録日・状態（稼働・停止）を1行ずつ書いています。
IPアドレスやバージョンは、業者に聞けば教えてもらえます。院内にあるすべてのサーバ・端末・ネットワーク機器が載っていれば「はい」です。
2-② と 2-③ は、業者にまとめて聞く
2-②は、業者が遠くから保守するための入口がある機器はどれかを確認する項目です。この入口からの攻撃が相次いでいて、医療機関がその存在を知らないことが大きな原因とされています。
2-③のMDS/SDSは、業者が作る「医療情報セキュリティ開示書」のことです。製品のセキュリティ機能を決まった書式で説明した書類で、業者に「MDS/SDSをください」と頼めば出してもらえます。
どちらも業者に聞く項目なので、事業者確認用を送るときに、あわせて依頼すると一度で済みます。保守契約がない場合は、この2項目の記入は不要です。
2-⑦ パスワードは「8文字以上」と「13文字以上」の2段階
基本は英数字をまぜた8文字以上です。
ただし、二要素認証が入るまでの間は13文字以上にすることになっています。今はパスワードだけでログインしているなら、13文字以上を目安にしてください。
職員のパスワードを付箋でモニターに貼るのは、マニュアルでもはっきり避けるべきとされています。業者が管理するサーバや機器のパスワードも対象なので、事業者確認用で確認します。
2-⑪ と 2-⑫ の二要素認証は「予定」でも「はい」にできる
二要素認証は、パスワードに加えてICカードや指紋など、もう1つの方法で本人を確かめる仕組みです。
この2項目は、「令和9年度以降の最初のシステム更改のときに入れる予定」であれば「はい」にできます。電子カルテの入れ替え時期と、そのときに二要素認証を入れるかを業者に確認してください。
サーバ（2-⑫）は、院内のネットワークを大きく作り直さないと入れられない場合があるため、「踏み台」と呼ばれる専用の端末を経由させる方法で、二要素認証をしたとみなす措置も示されています。自院が当てはまるかは業者に聞くのが確実です。
なお、医療機器への二要素認証は、ガイドライン第7.0版への改定で見送られたため、今のところ必須とはされていません。
2-⑬ アクセスログは、立入検査で見られることがある
アクセスログは、誰が・いつ・どの画面で・何をしたかの記録です。少なくともログインした時刻、利用した時間、操作の内容が分かるように残す必要があります。
マニュアルには、立入検査で直接確認する可能性があると書かれています。電子カルテに記録の機能があるか、どこで見られるかを業者に聞いておきます。
3 インシデント発生に備えた対応（3項目）
攻撃を受けたときに、慌てずに動けるようにする区分です。3つのうち2つ（3-①と3-③）は、立入検査で現物を見られます。
3-① 連絡体制図
攻撃を受けたときに、誰が誰に連絡するかを1枚にまとめた図です。
院内の連絡先に加えて、業者、セキュリティの専門業者、都道府県警察の担当部署、厚生労働省などを書き込みます。
厚生労働省の連絡先は、医政局 医療情報担当参事官室（03-6812-7837）です。都道府県のページに、診療所向けの見本が置かれていることもあります。
3-② バックアップと復旧手順
システムが止まっても診療を続けるために必要な情報は何かを決め、そのバックアップと、元に戻す手順を確認する項目です。
バックアップは、最新の1つだけでなく、それより前のものも残す「世代管理」が求められます。たとえば毎日バックアップをとるなら、3世代は3日分です。
ウイルスがバックアップまで広がるのを防ぐため、3世代目以降はネットから切り離した状態で保管するのが望ましいとされています。設定は業者と相談して決めることが多いです。
3-③ サイバー攻撃を想定したBCP
BCP（事業継続計画）は、システムが止まったときに、どの業務をどう続けるかを決めておく計画です。
厚生労働省や都道府県のページに、サイバー攻撃を想定したBCPのひな形や確認表が置かれています。ゼロから作るより、ひな形を埋めるほうが早く確実です。
BCPを作っても、実際にはバックアップから戻せなかった事例が多いとして、訓練をしておくことも望ましいとされています。
4 規程類の整備（1項目）
4-① 運用管理規程
最後の項目は、1〜3の対策を、院内のルールとして文章に書いておくことです。立入検査で現物を見られます。
マニュアルでは、たとえば次のような書き方が例として挙げられています。
- 情報システムの利用者ごとに、適切な権限のアカウントを登録し、定期的に操作ログを確認する
- 災害やサイバー攻撃で診療に支障が出たときは、別に定めるBCPに従って運用する
- 情報システムの利用者に、定期的に取扱いと個人情報保護の研修を行う
厚生労働省のガイドラインや、小規模医療機関向けのガイダンスを参考に作るよう書かれています。1〜3が「はい」になった内容を、そのまま文章にしていくと作りやすくなります。
業者に送る「事業者確認用」の扱い
医療機関・薬局確認用と並んで大事なのが、業者に書いてもらう事業者確認用です。
- 保守契約のある業者ごとに送る：電子カルテ、レセコン、ネットワーク機器など、業者が複数あれば、それぞれに送ります
- 回答は3種類：「はい」は業者が対応済み、「いいえ」は契約範囲だが未対応（業者が目標日を書く）、「対象外」は契約範囲の外で、医療機関の側が責任を持つ項目です
- 回収して保管する：立入検査では、事業者確認用の記入も確認されます
「対象外」が返ってきた項目は、院内で対応するか、業者と契約の範囲を相談する必要があります。誰の責任かがあいまいなまま残らないように、回答を受け取ったら一度目を通してください。
書き終えたら：年1回と、立入検査の前に見直す
チェックリストは、一度書いたら終わりではありません。
マニュアルでは、少なくとも年に1回はチェックリストで点検することと、立入検査の前にもう一度確認することが勧められています。
毎年5〜6月ごろに新しい年度の様式が出ています。新しい様式が出たら、前年の回答を見ながら書き直すと、1年で何が進んだかも分かります。
