ガイドライン第7.0版は、最初から全部読む必要はありません。
サーバのセキュリティアップデートを業者に任せていて、それが契約書に書いてあるなら、読むのは「概説編」と、新しくできた「保守委託機関編」の2つだけです。合わせて40ページ足らずです。
まず業者に契約の中身を1つ確認する。それだけで、読む量が4分の1ほどになります。
第7.0版で変わったこと
第7.0版は2026年6月に公表されました。厚生労働省の策定通知に書かれた、主な変更点は次のとおりです。
| 変わったこと | 中身 |
|---|---|
| 保守委託機関編ができた | 専門の担当者がいない小規模な医療機関を想定した、新しい編 |
| 根拠となる法律が増えた | サイバーセキュリティ基本法を追加。サプライチェーン（取引先経由）のリスクも追記 |
| 業者との役割分担 | 医療機関と業者の役割分担や、リスクについての話し合いを追記 |
| クラウドの活用 | クラウドサービスを積極的に活用する方針を追記 |
| パスワード | 使い回し禁止とアカウントロックを追加。定期的な変更の要件はなくなった |
| 二要素認証 | 対象を端末とサーバに明確化。期限に間に合わない場合の緩和措置を追加 |
改定の背景として、医療機関へのサイバー攻撃が続いていること、サイバー対処能力強化法ができたことが挙げられています。
検討の場では、医療機関のセキュリティ人材が足りず、ガイドラインを読み解いて対応するのが難しいという声も課題に挙がっていました。保守委託機関編は、この課題への答えです。
5つの編は「読む人」で分かれている
第7.0版は5つの編に分かれていて、それぞれ想定している読者が違います。
| 編 | 想定している読者 | 分量（PDF） |
|---|---|---|
| 概説編 | 全員。各編に共通する前提 | 11ページ |
| 経営管理編 | 経営層（院長など） | 21ページ |
| 企画管理編 | 安全管理の実務を担う人（企画管理者） | 59ページ |
| システム運用編 | 機器やソフトを設定・運用する人 | 51ページ |
| 保守委託機関編 | 保守を業者に任せている医療機関の管理者・担当者 | 27ページ |
概説編だけは全員が読みます。本文は8ページほどと短く、ガイドライン全体の地図にあたります。
残りの4つのうち、どれを読むかは次の質問で決まります。
概説編で押さえておく3つのこと
全員が読む概説編のうち、小さな診療所でも必ず押さえておきたいのは次の3点です。
- 法的な根拠：医療法施行規則第14条第2項で、病院・診療所・助産所の管理者は、サイバーセキュリティを確保するための措置をとらなければならない。ガイドラインはその中身にあたる
- 業者との話し合い：システムのリスクを評価するときは、業者からMDS/SDSなどの情報を受け取り、どちらが何を担うかを話し合って決める。決めた内容は契約書やSLAに書いておく
- 担当者がいない施設はクラウドを：専任の担当者がいない施設では、適切なクラウドサービスを使って、安全管理を業者に任せるのが望ましい
2つ目は、第7.0版で「リスクコミュニケーション」という言葉で強調されている考え方です。医療機関と業者のどちらの責任か、あいまいなまま放っておかない、と読み替えると分かりやすくなります。
読む範囲は、1つの質問で決まる
概説編には、どの編を読むかを決めるフローチャートが載っています。中身を短くすると、次の図のとおりです。
どの編を読めばいいかは、1つの質問で決まる
- 質問すべてのサーバのセキュリティアップデートを業者に任せていて、それが契約書・約款に書いてある？サーバ＝電子カルテなどの情報を保存・処理する機器。アプリを入れたパソコン1台で完結している場合は、そのパソコンも含む
- 答えで読むものが分かれる
- はい概説編（11ページ）＋保守委託機関編（27ページ）この2つを守れば、ガイドライン全体を守ったものとみなされる
- いいえ・分からない概説編＋経営管理編＋企画管理編＋システム運用編合わせて140ページほど。分からなければ、まず業者に契約の中身を確認する
ポイントは、「サーバ」が何を指すかと、「契約書に書いてあるか」の2つです。
「サーバ」には、パソコン1台の場合も含まれる
ここでいうサーバは、医療情報を保存したり、主な処理をしたりする機器です。受付や診察室のパソコンは、原則として含みません。
ただし、電子カルテのアプリをパソコンに入れて、そのパソコンの中で処理が完結している場合は、そのパソコンも「サーバ」に含まれます。小さな診療所では、この形のこともあるので注意してください。
決め手は規模ではなく、契約書
ガイドラインのQ&Aでは、保守委託機関編の対象かどうかは、医療機関の規模だけで判断するものではないとされています。
さらに、業者が実際にアップデートをしてくれていても、契約書などに書かれていなければ対象とは判断できないとも書かれています。
つまり確認するのは、契約書・約款・SLA（サービスの品質を約束した文書）に、「サーバのセキュリティアップデートは業者の責任で行う」と書いてあるかです。分からなければ、業者に直接聞くのが早道です。
クラウド型の電子カルテなら、ほぼ当てはまる
ガイドラインは、専任の担当者がいない医療機関では、クラウドサービスを使って安全管理を業者に任せることが望ましいとしています。
クラウド型（SaaS型）の電子カルテなら、特別な契約をしなくても、サーバの管理は業者が行うのが前提です。保守委託機関編の対象になりやすい形です。
保守委託機関編には何が書いてあるか
保守委託機関編は、次の3つに当てはまる医療機関を想定しています。
- システムの設定や運用をする担当者がいない
- 小規模で、経営と実務の担当が分かれていない
- セキュリティアップデートを含むシステムの保守を、業者に十分に任せている
中身は、医療機関が自分でやるべきことを11の区分の遵守項目として短くまとめたものです。システム運用編の技術的な事項は、MDS/SDS（業者が作るセキュリティの説明書）で機器やサービスの対応状況を確かめれば、対応したものとみなすという扱いになっています。
小さな診療所に関係が深い記述を、いくつか抜き出します。
- 院長などの経営層が、医療情報システム安全管理責任者を担うことは十分に想定される
- 第三者の監査は負担が大きいので、最低限、年1回などで責任者が運用状況を点検し、問題があればルールや委託契約を見直す
- システムはできる限りクラウドサービスを選び、保守管理を業者に任せる。難しければ医療機関自身が定期的にアップデートする
- 導入時には業者にMDS/SDSの提出を求め、別紙の項目が「はい」か「対象外」かを確認する
MDS/SDSの頼み方と見方は、MDS/SDSとは？で解説しています。
対象外になったら、4つの編を手分けして読む
契約書にサーバの更新が書かれていない場合は、概説編に加えて4つの編が対象になります。1人で全部読もうとせず、編ごとに読む人を決めるのが現実的です。
- 経営管理編（21ページ）：院長が読む。経営層として判断すること、担当者に指示することが書かれている
- 企画管理編（59ページ）：事務長など、安全管理の実務を回す人が読む。院内のルールや体制づくりが中心
- システム運用編（51ページ）：保守の業者と一緒に読む。技術的な対策は業者に任せ、実施状況を確認する形でよい
システム運用編にも、専任の担当者がいない場合は技術的な対応の多くを外部に任せることになり、その場合は業者に実施状況を確認すると書かれています。院内で全部を理解する必要はありません。
パスワードのルールが変わった
第7.0版で、現場にいちばん影響があるのがパスワードの変更です。
- 定期的な変更は不要になった。何か月ごとに変える、というルールはなくなりました
- 使い回しは禁止。同じパスワードを複数の機器やサービスで使わない
- アカウントロックを入れる。何度も間違えたらログインできなくする
- 長さは、二要素認証を使っていれば英数字8文字以上、使っていなければ13文字以上
院内のルールで「3か月ごとにパスワードを変える」と決めている場合は、見直してかまいません。代わりに、長く、使い回さないことに力を入れます。
二要素認証の対象がはっきりした
二要素認証は、パスワードに加えてICカードや指紋など、もう1つの方法で本人を確かめる仕組みです。
第7.0版では、端末はアプリにログインするとき、サーバはOSにログインするときに二要素認証を求める、と対象がはっきりしました。
令和9年（2027年）4月1日の時点で対応が難しい場合は、次のシステム更改のときに対応すればよいという緩和措置も加わっています。医療機器への二要素認証は、今回は見送られました。
期限と進め方は、二要素認証はいつまでに必要？で詳しく解説しています。
チェックリストとの関係
立入検査で確認されるのは、ガイドラインそのものではなく、ガイドラインから優先して取り組むことを抜き出したチェックリストです。
ガイドラインは、チェックリストの項目で分からないことが出たときに引く辞書として使うのが現実的です。チェックリストマニュアルの各項目には、ガイドラインのどの編・どの節に当たるかが書かれています。
今日やること
- 業者に「サーバのセキュリティアップデートは契約に含まれていますか。契約書のどこに書いてありますか」と聞く
- 含まれていれば、概説編と保守委託機関編の2つをダウンロードして、保守委託機関編の遵守項目に目を通す
- 含まれていなければ、業者と契約の見直しを相談するか、4つの編を担当を分けて読む
どちらの場合も、立入検査に向けた作業はチェックリストの書き方から進めてください。
